|
금융IT |
“금융사, 핵심업무 아웃소싱 어렵다”모범규준 확정…외주금지 업무로 규정 |
|
전자금융감독규정과 ‘금융회사 정보기술(IT) 보호업무 모범규준’에 의해 금융회사의 핵심업무에 대한 아웃소싱이 사실상 막혔다.
지난 19일 금융위원회는 ‘금융회사 정보기술(IT) 보호업무 모범규준’을 마련, 시행한다고 밝혔다.
모범규준에 따르면, 제18항 ‘외부주문 등에 대한 기준’의 ④(외부주문등금지) 금융회사 등은‘금융기관의 업무위탁 등에 관한 규정’ 제3조에 따라 정보기술부문에 대하여 외부주문 등을 할 수 없는 업무를 ‘업무 위수탁 운영기준’에 반영하고, 내부인력(규정 <별표1> 2.가목 및 3.가목에 해당하는 인력을 말함)으로 하여금 처리하도록 하여야 한다고 규정하고 있다.
즉 이미 금융감독원에는 ‘금융기관의 업무 위탁의 범위’에 대해 규정하고 있고 이 규정에 따라 금융회사는 기준을 마련, 가목 즉 순수 금융회사 IT인력으로만 운영하도록 했다.
금융위는 이를 뒷받침하는 내부업무 수행업무 예시를 통해 ▲인가 등을 받은 금융업의 본질적 요소를 포함하는 업무 ▲관련법령에서 금융회사등이 수행하도록 의무를 부여하고 있는 업무 ▲업무 위탁으로 인해 금융회사등의 건전성 또는 신인도를 크게 저해하거나 금융질서의 문란 또는 금융이용자의 피해 발생이 심히 우려되는 업무 등으로 규정했다. <표1 ‘내부인력 수행 업무(예시)’ 참조>
| |
 |
|
| ▲ 표1 ‘내부인력 수행 업무(예시)’ |
내부업무 예시를 실제 은행업무에 반영할 경우, 적게는 IT업무의 50%에서 70%에 해당하는 것으로 전해졌다.
사실상 핵심업무에 대해서는 외부 아웃소싱이 금지된 것이다.
다만 국민, 우리, 신한, 하나금융 등 4대 지주사의 IT자회사는 지난 전자금융감독규정 및 이번 모범규준의 ‘나. 금융지주회사 내의 전산 정보처리 용역을 제공하는 자회사의 정규직 및 계약직 인력중 해당 금융기관(동일 금융지주회사 및 금융지주회사법 제4조에 따른 자회사등에 한한다.)의 전산실(재해복구센터포함)이 위치한 건물내에 상주하는 사람으로서, 제60조 제1항 제13호에 따른 업무수행인력 관리방안에 따라 관리되고 있는 사람’ 규정에 의해 내부인력으로 간주됐다.
다만, 모범규준 제5항 인력 및 예산의 규정에 ‘전산자회사의 재하청 인력’은 제외됐다.
우리FIS의 경우, 우리은행 아웃소싱 인력 중 약 100여명의 재하청 인력에 대해 우리FIS 채용 또는 우리은행 채용으로 규정을 충족해야 하는 것으로 전해졌다.
아울러 금융위는 ▲인력 및 예산에 대한 모호한 내용 정리 ▲권고수준 미충족시 인터넷 공시 내용, 절차 및 예시 ▲계약 체결시 준수사항 ▲‘위기행동대응’ 매뉴얼 마련 ▲금융ISAC 연계 강화 ▲외부주문 등에 대한 기준 강화 등을 모범규준에 마련됐다.
◆인력 및 예산 = 제5항 인력 및 예산에는 모호했던 ‘내부인력’과 ‘외부인력’에 대한 기준이 마련됐다.
예를 들어, 1만명의 금융회사가 전자금융감독규정에 의해 약 500명의 인력을 IT인력으로 확보해야 한다.
이 500명은 금융회사 내부인력(정규직+계약직), 금융지주회사 전산자회사 상주인력(정규직+계약직+재하청인력), 금융회사 상주 외주인력 등으로 구성돼 있다.
여기서 가목에 해당하는 ‘내부인력’은 금융회사 내부인력이다. 전산자회사 상주인력은 정규직과 계약직만 해당된다. 재하청 인력은 제외된다.
다목에 해당하는 ‘외부인력’은 앞서 설명한 내부인력에 합해 전산자회사 상주인력 중 재하청 인력을 제외한 인력의 수와 같거나 넘지 못하는 규모여야 한다. <표2 ‘인력비율 산정예시’ 참조>
| |
 |
|
| ▲ 표2 ‘인력비율 산정예시’ |
금융위는 이어 ④(인력비율 적용 특례)를 두고 모범규준이 시행되는 11월 1일 기준으로 규정을 지키는 금융회사의 인력은 특별한 사유가 발생하지 않으면 변경하지 못하도록 규정했다.
즉 11월 1일 기준 IT인력을 8% 가량 확보, 5% 기준을 초과 충족한 경우 기준을 맞추기 위해 8% 확보인력을 5%로 낮출 수 없다는 얘기다.
이는 금융회사가 모범규준이 마련된 시점에서 규정에 맞추기 위해 무리하게 인력을 줄일 경우 전산사고 발생 우려가 높다는 점을 주목한 것으로 풀이된다. <표3 ‘인력비율 적용 특례예시’ 참조>
| |
 |
|
| ▲ 표3 ‘인력비율 적용 특례예시’ |
금융위는 정보보호 예산부문에 있어서도 같은 논리를 적용했다. 즉 11월 1일 기준 전체 IT예산의 5%를 초과한 예산을 확보한 금융회사는 초과한 예산 비율 이상을 유지해야 한다.
◆권고수준 미충족시 인터넷 공시 내용, 절차 및 예시 = 전자금융감독규정 개정안에는 이같은 인력 및 예산기준을 충족하지 못한 금융회사의 ‘인터넷 공지’를 의무화하고 있다.
모범규준에는 ‘정보기술부문 공시제도 운영방안(예시)’을 제시, 공시 의무기관, 공시 내용, 공시 주체 등을 규정했다.
아울러 금융위는 정보기술 부문 공시절차, 공시 인터넷 팝업창 화면 등을 명확히 규정하고 있다. <표4 ‘정보기술 부문 공시절차’ 참조>
| |
 |
|
| ▲ 표4 ‘정보기술 부문 공시절차’ |
◆계약 체결시 준수사항 마련 = 정보기술 부문 내부 통제 절차에 의해 ‘금융회사 등은 정보처리시스템 구축 및 전자금융거래와 관련된 계약 체결 시’ 준수사항을 마련했다.
준수사항 내용은 ‘▲적합한 업체의 공정한 선정을 위하여 객관적인 세부평가기준 등 업체 선정 기준 및 절차를 마련하여 운용할 것 ▲정보처리시스템의 안전성과 신뢰성을 확보하기 위하여 업체 선정 기준 및 절차의 내용에 보안대책 관련 사항을 포함할 것 ▲내부감사규정에 따라 감사가 정한 금액 이상의 계약에 대하여는 자체 감사를 실시하거나 검사부서의 승인을 받을 것’ 등이다.
은행권 한 관계자는 “대부분 현재 시행중인 내용”이라며 “검사부서 승인 과정 등 일부는 세부적인 손질이 필요해 보인다”고 전했다.
◆국가적인 대응 요구 = 모범규준은 금융회사의 IT시스템 장애시 그동안 ‘금융전산 분야 위기 대응 실무 매뉴얼’에 따르던 방식을 ‘위기대응 행동매뉴얼’로 격상, 대응토록 규정했다.
금융위 관계자는 “최근 금융회사 사고에서 보듯이 범국가적인 위기 상황으로 치닫는 경우도 있다”며 “장애 대응 차원을 넘어선 조치를 취해야 한다”고 밝혔다.
아울러 금융위는 제15항 침해사고 대응 등 규준을 통해 현 금융ISAC 연계 활성화를 주문했다.
모범규준에 금융회사의 금융ISAC의 연계대상, 연계방법, 연계시기, 세부방안 등 내용이 포함됐다.
◆외부주문 기준 강화 = 금융위는 모범규준 제18항 ‘외부주문 등에 대한 기준’에서 계약서 기재사항에 대한 세부적인 기준 마련, 금융감독원 ‘금융기관의 업무위탁 등에 관한 규정’ 제 3조의 2에 따른 ‘업무위수탁 운영기준’ 준수를 금융회사에 요구했다.
다만, 금융위는 전자금융감독규정의 ‘금융지주회사 IT자회사 인력에 대한 내부인력 인정’ 규정이 금융감독원 ‘금융기관의 업무위탁 등에 관한 규정’과 금융지주사법의 ‘핵심업무에 대한 위수탁 금지 규정’과 충돌을 빚는다고 보고 손질을 검토 중이다.
한편 금융위는 금융회사가 이같은 내용을 골자로 하는 ‘이행계획’을 2011년 12월 31일까지 제출토록 했다.
금융위 관계자는 “합리적인 이행 계획을 통해 금융회사가 단계적으로 전자금융감독규정을 이행토록 지도할 예정”이라고 밝혔다.
<김동기 기자>kdk@bikorea.net
< 저작권자 © BI KOREA 무단전재 및 재배포금지 > |
|
|
|
|
|
|
|
