[비즈니스포스트] 금융감독원이 해킹 사고 등 IT 리스크와 관련한 금융회사의 관리 책임을 강화한다.

금융감독원은 업권별 금융협회·중앙회와 함께 정보처리업무위탁에 따른 제3자 IT 리스크를 보다 효과적으로 관리하기 위한 가이드라인을 마련했다고 29일 밝혔다.
 

금융감독원은 “금융회사들이 외부 IT 서비스를 활용하거나 IT 업무를 외부 제3자에 위탁하는 사례가 보편화하는 가운데 수탁회사에서 해킹 등 침해사고나 정보유출이 발생하면 금융회사는 물론 금융소비자에게도 큰 피해를 초래할 수 있다”며 가이드라인 마련 배경을 설명했다.

이번 가이드라인에 따르면 금융회사는 앞으로 이사회가 제3자 IT 리스크관리의 최종 책임을 지도록 명시해야 한다.

경영진은 제3자 IT 리스크 관리 체계를 구축·시행·유지한다.

구체적으로 IT 리스크 관리를 맡을 ‘총괄관리부서’를 지정·운영하면서 안전성 확보 조치 수립, 각 사업부서의 정보처리업무 위탁 현황 총괄, 제3자 IT 리스크 현황·위탁계약 적정성 평가 등도 수행해야 한다.

이에 따라 금융회사의 제3자 IT 리스크 관리 체계는 ‘총괄관리부서–리스크관리부서–내부감사부서’로 구성되는 ‘3단계 통제 체계’로 구축된다.

이번 가이드라인은 2026년 11월 이후 시행된다. 업권별 금융협회와 중앙회는 이번 가이드라인을 기초로 모범 규준 등을 제정해 시행을 준비한다. 업권별 상황에 따라 실제 적용 시기는 일부 조정될 수 있다.

금융감독원 관계자는 “제3자 IT 리스크 관리 가이드라인이 실효성 있게 운영될 수 있도록 적극 지원하겠다”며 “업권별 협회 등과 함께 가이드라인 이행실태를 점검·평가하고 미비점을 개선·보완하는 등 지속 고도화하겠다”고 말했다. 조혜경 기자