한화생명보험주식회사 금감원 경영유의사항 · 2026-11-05

경영유의사항 등 공개안

1. 금융기관명 : 한화생명보험㈜

2. 조치일 : 2026. 11. 5.

3. 조치내용

4. 조치대상사실

(1) 임원 성과보수 체계 운영 강화 필요

금융회사는 임원의 성과목표 설정 시 임원이 담당하고 있는 조직의 성과, 장기적

인 목표 그리고 불완전판매비율, 유지율 등을 중요 평가요소로 반영하여야 하고, 성과 보수도 성과평가 결과 등을 적절하게 반영해 객관적이고 합리적인 방식으로 산정해야 함에도

회사는 임원의 성과를 평가하기 위해 임원별로 작성하는 목표합의서 중 일부 목

표를 구체적이지 않거나, 정성(비계량)적인 지표로만 평가하는 항목으로 구성하여 성과 를 객관적으로 측정하기 어렵고 목표 내용 및 성격이 사업성 및 리스크 등을 고려하 여 중·장기적으로 신중하게 추진해야 하는 사업과 관련되어 있는데도 단순히 건수만 으로 평가하고 있으며

또한, 2020.2월 양도제한조건부주식(이하 ‘RSU’) 제도를 도입하였으나 임원의 개인

성과와는 상관이 없이 해당 임원이 속하는 그룹에 따라 RSU 부여 규모를 일괄로 정 하고, 부여 대상 임원을 선정하는 구체적인 기준이 없어 매년 부여 대상자의 직위, 직 책이 변동되는 등 일관성 없이 운영하고 있고

금전 및 RSU 등 성과보수를 환수·조정할 수 있다고 이사회에서 정하고 있을 뿐 구

체적인 방법에 대해서는 정하지 않아 성과보수 환수 절차를 실제로 운영하는 데에 한 계가 예상됨

(2) 해외출장 경비 등 지급 및 사후관리 필요

회사는 임직원이 해외사업추진비를 사용하는 경우에 사전에 해외사업관리팀과 협

의하여 해외출장 기안문서에 사용처, 예상금액 등을 기재해야 하고, 사후관리를 위해 미팅 업체, 담당자, 논의 내용 등을 상세히 기술한 해외출장 결과보고서를 작성하도록 하고 있음에도

회사는 2020.1월~2025.3월 기간 중 임직원들이 해외사업관리팀과 구두로 합의하였

다는 사유로 기안문서에 사용처 등을 기재하지 않고, 일부 해외출장 결과보고서의 경 우 현지 미팅 업체, 미팅 내용 등을 구체적으로 기술하지 않는데도 별다른 확인절차 등이 없이 해외사업추진비를 지급하는 등 해외출장과 관련된 관리가 미흡하였음

(3) 고객확인 운영절차 미흡

회사는 법인 고객의 대리인(법인의 직원)과 보험계약 등을 체결하는 경우 대리인의

신원과 대리권을 확인할 수 있는 서류를 대리인으로부터 제출받아야 함에도

회사는 대리인과 회사의 관계를 확인할 수 있는 법인 인감증명서 및 대리인의 재직

증명서를 필수 제출서류에 포함하지 아니하여 대리권을 명확하게 확인하지 않고 있고

또한, 금융기관보험대리점에게 보험계약 모집 시 고객확인 업무를 위임하면서 금

융기관보험대리점들이 고객확인 업무를 적정하게 이행했는지 확인하는 절차를 운영하 지 않고 있음

(4) 경영인정기보험 관련 내부통제 강화 필요

㈎ 금융소비자보호 관련 내부통제 절차 미흡

보험회사는 보험상품 판매과정에서 불충분한 상품설명 등으로 인한 불완전판매가

발생하지 않도록 적절한 조치를 이행하여야 함에도

검사대상기간 중 전체 보험상품의 평균 불완전판매비율보다 경영인정기보험의 불

완전판매비율이 매우 높고, 2022년~2024년 기간 중 지속적으로 상승하는 추세였으며 2024년 상반기 전체 불완전판매건수에서 과반수 이상이 H종신 및 CEO정기 보험상품 불완전판매 건이었는데도

오히려, 불완전판매비율 개선을 위한 실효성 있는 관리 조치 없이 2024.7월 CEO

정기보험Ⅱ의 시책을 인상하였고 이후 2024.8월에는 시책을 기존보다 인상한 CEO정 기보험Ⅲ를 출시하는 등 영업을 확대하였음

㈏ 보험계약 관련 인수심사 절차 미흡

보험회사는 건전한 보험계약 인수를 위하여 보험상품의 특성, 보험계약자 및 피보

험자의 가입 취지, 보험료 납입능력 등을 충분히 고려해 보험계약 인수 여부를 심사 하여야 함에도

회사는 법인 최고경영인의 유고 시 발생할 수 있는 재무적 위험에 대비하기 위한

경영인정기보험을 판매하면서 계약자 및 피보험자가 법인이 아닌 개인 또는 개인사업 자인 경우에도 인수하였고

또한, 회사는 경영인정기보험의 보험료가 통상적인 보험상품보다 크고 납입기간

이 전기납인 점 등을 감안하여 계약자 및 피보험자의 계약 유지능력을 면밀하게 심사 해야 하는데도

재정 언더라이팅 기준상 재정심사 대상을 사망보장금액 한정하여 2020.7.1.~

2025.2.24. 기간 중 전체 청약의 일부에 대해서만 심사하였으며 재정심사를 실시한 청 약 건 중에서도 연환산 보험료가 계약자인 법인의 직전년도 당기순이익을 초과하는 등 납입 능력에 비해서 보험료가 과다하여 이상 계약으로 의심되는 청약 건을 인수한 사례도 있음

㈐ 설계사 교육자료 관련 관리 미흡

보험회사는 설계사를 대상으로 하는 보험상품에 대한 교육자료 제작에 객관적인

기준이 없는 과장 표현을 금지하고, 보험차익 비과세 설명 시에는 ‘관련 세법 요건 충 족하는 경우’라는 조건을 반드시 포함하도록 하여야 함에도

회사는 법인세 절감 효과와 관련한 유의사항을 제대로 설명하지 않고, 경영인정

기보험의 납입보험료를 100% 손금처리할 수 있다는 등의 법인세 절감 효과를 과장하 여 설명하는 교육자료를 제작하여 배포하면서도, 교육자료에 대한 사전 내부심의 과 정에서는 이상이 없다고 심의하였음

(5) 보장금액 한도관리 강화 필요

㈎ 보장금액 한도 상향 시 내부통제 절차 미흡

보험회사는 ｢보험업감독업무시행세칙｣ [별표18]에 따라 보장하는 위험에 부합하는

보장금액 한도를 설정해야 함에도

회사는 2023.7월 이후 매월 특정상품이나 특약의 보장금액 한도를 1~2개월씩 일

시적으로 상향조정하며 판매하면서 확대한 보장금액 한도가 보장 위험에 적정한 규모 인지 여부 등 적정성을 객관적으로 검토하는 절차 없어 언더라이팅팀 내부의 결정만 으로 상향하였고

또한 모집조직에게 매월 ‘상품소식지’ 및 ‘언더라이팅 활용 포인트’를 통해 ‘신상

품 출시기념 보장금액 한도 일시적 상향’, ‘특정상품·특약의 보장금액 한도 일시적 상 향’, ‘인수조건 완화’ 등의 내용을 전달하면서 모집업무에 적극 활용하도록 하였음

㈏ 계단식의료비 보장금액 한도관리 미흡

회사는 계단식 의료비 특약에 가입하기 위해서는 의무적으로 정액 의료비 보장

특약도 가입하도록 하여, 계단식 의료비 특약 가입 시 일반적인 치료비보다 더 많은 보험금이 지급되도록 상품을 설계하였는데

이에 따라, 2024.7월~2024.11월 기간 동안 계단식 의료비 특약을 정액 의료비 보

장 특약과 함께 판매하면서 치료비를 초과하여 보험금 수령이 가능하다는 내용을 포 함한 상품안내장 등을 이용하여 영업하였음

(6) 대체투자 심사 강화 필요

회사는 대체투자 유형별로 심사등급 산출을 위한 평점표를 마련하고 있으며 동

심사등급은 투자 여부 결정 및 자산건전성 분류 기준으로 사용하고 있어 투자 중인 모든 대체투자 유형에 대해 심사등급 산출을 위한 평점표가 필요함에도

회사가 투자 중인 대체투자 유형 중 ‘인수금융*’ 및 ‘운영기간 중 프로젝트금융’에

대해서는 평점표가 없어, ‘인수금융’에 대해서는 피인수회사를 기준으로 일반신용평가 모델을 사용하여 평가하고 ‘운영기간 중 프로젝트금융’에 대해서는 착공 전 프로젝트 금융모델**을 사용하여 평가하고 있어 정확한 심사등급을 산출하지 못할 우려가 있음

* 인수자(일반적으로 SPC)가 기업인수 자금을 차입 등으로 조달하는 것

** 프로젝트금융의 경우 건설기간 전·후로 투자대상이 갖는 주요 리스크가 크게 변화하므로 건설 기간 중과 운영기간 중을 달리 평가할 필요가 있음

회사는 대체투자 중 블라인드펀드에 대해 본격적인 심사 이전에 사전적격성 평가

를 시행하여 투자 여부를 판단하고 있으나 사전적격성 평가가 시행된 2022.11월 이후 투자된 블라인드펀드에서 평가 오류가 발견되었고

또한, 사전적격성 평가의 평가기준표는 기본 항목(100점 만점) 외에 가점 항목을 두

고 있는데 4개 유형 중 3개 유형은 가점 항목이 5점인 반면, Equity프로젝트 유형의 경우에만 15점의 가점 항목을 두고 있어 동 유형에 대해서만 평가기준이 완화되는 효 과가 우려됨

회사는 내규 ｢심사세칙｣에 따라 대체투자에 관한 ‘투자심사체계와 심사평가기준

의 적정성’을 매년 점검해야 하나, 실제 점검하는 내용은 심사체계 및 평가기준 자체 의 적정성이 아니라 투자과정에서 이를 준수하였는지 여부에 대해서만 점검하고 있고

또한, 내규 ｢심사규정｣에 따라 ETF의 기초자산이 ‘대체투자’ 또는 ‘자금집행 관련

신용위험’에 노출되어 있는 경우 심사 대상에 포함해야 하는데도 CLO 등에 투자하여 대체투자 수익증권으로 볼 수 있거나 하이일드 채권 등의 투기등급 자산에 투자하여 ‘자금집행 관련 신용위험’에 노출되어 있는 경우로 볼 수 있는 ETF를 심사 대상에서 배제하고 있음

(7) 해외 대체투자자산 사후관리 강화 필요

회사는 내규 ｢대체투자 리스크관리기준｣에 따라 각 투자자산의 상태를 정기적으

로 모니터링하고, 일정규모 이상의 손실, 순자산가치의 급락 등 문제상황이 발생하면 해당 상품의 매각 필요성 등 대응방안을 마련하여야 함에도

회사는 해외 운용사를 통해 직접 투자한 일부 대체투자자산의 경우 평가시점에서

상당기간 이전 시점의 순자산가치에 근거하여 장부금액을 산출하는 등 대체투자 자산 의 가치를 적시성 있게 파악하고 있지 않아 일정 규모 이상의 손실발생, 펀드 순자산 가치의 갑작스러운 하락 등 대체투자 자산에서 발생하는 문제상황을 적기에 인지하지 못할 가능성이 있음

(8) 일임계약 내 수익증권 투자절차 강화 필요

회사는 내규 ｢국내금융투자상품 위탁운용사 선정 및 관리지침｣* 등에 따라 ‘자산 운용협의회’ 심의를 통하여 A사와 일임계약을 맺고 대부분의 자산운용을 위탁하면서 일임계약 내 자산 중 일부를 A사가 운용하는 수익증권에 재위탁하고 있는데

* 일반계정(국내금융투자상품, 해외금융투자상품, 대체투자), 퇴직계정(대체투자, 대체투자外), 변액 계정으로 구분하여 6개의 ｢위탁운용사 선정 및 관리지침｣을 마련

회사가 이미 A사와 일임계약을 맺고 수수료를 지급하면서 A사가 운용하는 수익

증권에 재위탁하는 것은 수수료의 중복 지급에 해당하므로, 해당 수익증권의 투자전 략 및 투자대상의 특화 여부 등에 비추어 재위탁이 반드시 필요한 것인지 충분히 검 토할 필요가 있는데, 일임계약 내 재위탁에 대하여는 ‘자산운용협의회’ 심의 대상에서 제외함에 따라 A가 자신이 운용하는 수익증권에 재위탁하는 경우에 대해서 충분한 심의가 이루어지지 못하고 있음

(9) 변액보험 초기투자자금 관리 미흡

회사는 일반계정에서 변액보험 펀드의 초기투자자금을 투자하고 있는데, 이는 회

사가 해당 펀드에 장기간 투자하는 것과 동일하므로 통상의 자산운용에 준하는 검토 등이 필요함에도

2025.3월말 변액보험 펀드 보유하고 있는 상황에서 일반계정 투자 담당부서가 전

체 보유 규모의 적정성이나 신규 투자 여부 및 투자가능 금액 등에 대하여 검토하고 있지 않고

또한 수익률이 저조하거나 판매 부진으로 사실상 일반계약자 비중이 거의 없는

펀드들에 대한 회수 필요성 여부를 검토하지 않고 있으며, 투자대상이 대체투자에 해당하 거나 신용위험이 존재하는 경우 등*에도 이에 대한 심사절차 등을 수행하지 않고 있음

* 하이일드채권, 인프라펀드, 메자닌채권 및 글로벌부동산 등에 투자

(10) 자산운용사 평가기준 설정·운영 절차 미흡

회사는 A사의 성과를 평가하는 기준을 정량평가, 정성평가로 구성하면서 정량평

가 항목 중 ‘전략’ 항목에 대해 A사가 제시한 투자 아이디어를 채택하는 경우 1점, 채 택된 투자 아이디어를 실행하는 경우 2점으로 평가하고 있는데

투자 아이디어 채택 여부를 ‘효과성, 적정성, 정합성, 기타’ 등 정성적인 기준에

따라 판단하고 있을 뿐만 아니라 투자 아이디어 실행 여부는 회사가 자금집행여력, 시장 상황에 따라 결정하는 것으로 A사의 성과라고 인정할 만한 사유가 없는 데도 성과평가 기준으로 채택하고 있으며

또한 회사는 전략 항목의 성과로 인정한 투자 아이디어와 관련하여, 해당 투자

아이디어가 A가 제시하여 회사가 채택하고 실행한 것인지를 확인할 수 있는 증빙을 갖추고 있지 않음

(11) 지급여력비율(K-ICS) 산출·검증 절차 미흡

회사는 시장위험액 중 주식위험액을 산출할 때에 ‘주식형 레버리지 펀드 또는 레

버리지 전략을 사용하는 헤지펀드’에 대해서는 별도로 정해진 산식*에 따른 충격수준 을 적용해야 하고 약관상 최대 레버리지 비율 확인이 불가능한 경우에는 100%의 충 격수준을 적용하여 시장위험액을 산출해야 함에도

* ｢보험업감독업무시행세칙｣ [별표22] MAX[MIN(약관상 최대 레버리지 비율×35%, 100%), 49%] 또는 100%

회사는 약관상의 최대 레버리지 비율을 확인하지 않고 기타 주식에 해당하는 충

격수준을 적용하여 시장위험액을 과소산출하였고

레버리지를 활용하는 간접투자기구를 통해 간접적으로 보유하고 있는 자산을 직

접 보유하고 있는 것으로 재구성하는 경우는 약관 또는 운용보고서 등에서 정의하고 있는 레버리지 속성을 최대한 반영하여 익스포져 금액을 설정하고 이를 기초로 리스 크를 측정해야 함에도

회사는 약관 또는 운용보고서 등에서 정하고 있는 최대 레버리지 비율 등을 확인

하지 아니하여 실제 레버리지가 가능한 간접투자기구인데도 레버리지 속성을 반영하 지 아니하는 등 레버리지 속성을 과소 반영*한 익스포져 금액을 설정한 결과 시장·신 용위험액을 과소산출하였음

* 편입자산분해 시 외부평가기관을 통해 약관상의 레버리지 정보 등을 확인하고 있으나, 동 외부 평가기관 의견에만 의존하여 실제 레버리지가 가능한 간접투자기구인데도 레버리지 속성을 반영하지 아니함

한편, 편입자산분해는 간접투자기구가 편입한 자산(또는 부채)의 공정가치 및 위험

측정을 위한 정보 등이 객관적인 자료로 확인되는 경우에만 분해가능자산(또는 부채)으 로 분류해야 함에도

그러나 회사는 간접투자기구가 편입한 해외 부동산의 차입 금액을 객관적인 자료

로 확인하지 않고서도 편입자산분해를 적용하여 시장위험액을 과소산출하였음

(12) IT부문 내부통제 강화 미흡

회사는 COE부문장 아래에 IT관련 부서를 두고 내규 ｢전결규정｣ 및 ｢책무기술서｣

에 따라 COE부문장에게 IT부문 책무를 부여하고 있는데,

COE부문장이 IT부문 책무수행과 관련된 중요 업무*의 의사결정과정에 실질적으

로 관여하고 있지 않으며 IT 전 부문에 대한 업무를 총괄하여 수행하고 있지 않아

* IT부문 관련 내규의 제․개정, IT중장기 사업계획 수립, IT서비스 성능 및 가용성에 대한 정책 결정, 재해발생시 복구 관련 중요사항, 재해복구훈련 결과 보고 등

전사적 관점에서 실시하고 개선사항 등을 검토해야 하는 재해복구훈련을 분리하여 실시*하고, IT자체감사시 대상 부서에 IT관련 일부 부서가 포함되지 않는** 등 문제점 이 발생하고 있으며

* 클라우드 관련 재해복구훈련을 디지털프로덕트팀에서 별도 실시(’22년, ’24년)

** IT업무수행부서 5개 중 3개(디지털프로덕팀, WP팀, AI실) 부서에 대해 IT자체감사 미실시

아울러, IT부문업무(개발, 운영 등)와 IT보안업무는 상호 견제를 통해 운영되어야 하

나 IT부문 책무를 수행하는 COE부문장(CIO역할)이 CISO에 대한 평가에 관여**하고 있 어 적정한 내부통제가 어려운 상태임

* 내규상 COE부문장이 CISO에 대한 1차 임원평가를 실시

(13) IT감사업무 강화 필요

회사는 ｢IT내부감사지침｣에 따라 IT자체감사인(COE부문장 산하 COE추진팀 소속)을 지

정하고 3개*부서에 대하여 자체감사(수시감사, 일상감사)를 실시하고 있으나

* IT운영팀, IT개발팀, IT보안팀

COE부문장 산하에 있는 IT업무 수행부서 중 3개(디지털프로덕팀, WP팀, AI실) 부서에

대해서는 자체감사를 실시하지 않았고

또한, COE부문장(CIO 책무 담당) 산하 IT자체감사인이 책무구조상 CISO(정보보호 및

개인신용정보 책무 담당) 산하인 IT보안팀에 대하여 자체감사를 수행하고 있어 이해상충 (보안업무와 IT업무간)의 문제*가 있으며

* IT자체감사인이 매월 일상감사를 수행하면서 보안서비스 운용상태점검, 침입탐지모니터링 점검 등 정보보호파트 소관사항 7항목에 대하여 점검하여 책무구조 운영에 위배됨

IT자체감사인은 소속 최고책임자에게 본인 소관업무를 직접 보고하고 평가를 받

아야 하는데 COE추진팀장에게 보고하고 평가를 받고 있어 자체감사의 독립성 보장이 필요하고

아울러, 감사실은 내규 ｢감사위원회규정｣, ｢감사위원회직무규정｣ 및 ｢일상감사시

행세칙｣에 따라 일상감사업무를 수행하면서, IT부문의 경우 ‘10억원 이상의 IT투자(용 역 및 물품) 계약건’으로 대상을 협소하게 운영하고 있어 IT부서에 대한 내부통제가 미 흡해질 우려가 있음

(14) 오픈소스 소프트웨어 관리 강화 필요

회사는 정보처리시스템의 개발·운영 시 생산성 향상과 비용 절감 등을 위해 오픈

소스 소프트웨어*(이하 ‘오픈소스SW’)를 도입**하여 일부 시스템에 활용하고 있는데

* 오픈소스 소프트웨어 : 저작권이 존재하지만, 저작권자가 소스코드를 공개하여 누구나 자유롭게 사용, 복제, 배포, 수정, 활용할 수 있는 소프트웨어

** 소프트웨어 개발도구, 데이터베이스 등

이러한 오픈소스SW는 저작권 및 라이선스 정보의 고지, 소스코드 공개 등 라이

선스 의무사항을 준수해야 하고 이를 위반하는 경우 법적 분쟁이 발생할 수 있으며, 적시 보안패치 등 보안관리가 취약할 경우 해킹 등 사이버공격의 주요 대상이 될 수 있으므로

소프트웨어 구성요소 분석(SCA, Software Composition Analysis) 등을 통해 오픈소스

SW의 라이선스를 식별하여 의무사항을 준수하고, 보안취약점을 주기적으로 점검 및 조치하는 등 활용주기*에 따라 오픈소스SW를 체계적으로 관리하는 것이 중요한데

* 오픈소스SW 식별 → 라이선스 및 보안 관련 이슈 파악·해결 → 승인 → 사용·관리

회사는 오픈소스SW 관리와 관련한 업무분장을 ｢업무분장 규정｣ 등 관련 내규에

반영하지 않아 관리주체(부서)가 명확하지 않게 운영되고 있으며, 시스템 및 애플리케 이션에 적용·활용 중인 오픈소스SW 종류·버전·라이선스 정보를 식별·관리하지 않고 있어 현황관리가 미흡하고

라이선스 고지, 소스코드 공개 등 라이선스 의무사항을 준수하지 않고 보안패치

를 적용하지 않을 뿐만 아니라 공식적인 승인 절차 없이 사용하는 등 오픈소스SW 관 리가 미흡하여 라이선스 위반이나 보안취약점 등으로 인한 법률·보안 리스크가 큰 상 태임

(15) 노후화된 정보처리시스템 관리 강화 필요

회사는 내규 ｢IT업무 규정｣, ｢IT보안 표준 지침｣에 따라 정보처리시스템의 노후화

로 인한 기능 저하 등의 사유가 발생하는 경우 관련 유지보수를 수행하고, 보안취약 점을 보완할 수 있는 권고안이나 패치 정보를 확인하여 필요한 경우 보안패치를 적용 하고 있으나

회사는 운영 중인 서버, 데이터베이스서버 일부에 대해 제조사의 기술지원이 종

료된 소프트웨어(운영체제, 데이터베이스관리시스템)를 사용하고 있어 적시에 업그레이드, 보안패치 등의 기술지원을 받지 못해 전산장애가 발생하면 신속·정확한 대응이 어렵 고, 보안취약점을 이용한 침해사고의 우려가 있음

나. 개선사항

(1) 자회사GA 위탁교육비용 부담 불합리

용역 거래와 관련한 발행한 비용 중 부담 주체가 명확한 직접비용은 그 부담 주

체가 부담해야 하고, 부담 주체가 불명확한 간접비용은 정상적인 거래 관행에 따라 합리적으로 배분하여 거래 당사자가 각각 부담하여야 하므로

회사는 2022년부터 자회사GA의 임직원 및 FP를 대상으로 교육을 실시하면서, 교

육의 목적이 회사의 보험상품 판매수익 증대, 회사 보험상품 판매와 관련한 불완전판 매 방지 등인 경우에는 숙박비, 강의장 대관료, 강사료 등 교육 관련 비용을 모두 회 사가 부담하되, 교육의 목적이 회사와 자회사GA 업무가 혼재되어 있는 경우는 교육 관련 비용을 자회사GA와 나누어 부담하기로 약정하였음에도

회사는 자회사GA와 비용을 분담하기로 한 교육과정 중 회사 소유 연수원에서 숙

박 및 장소가 제공되는 경우 업계 관행 등을 명분으로 자회사GA에 숙박비 및 강의실 대관료에 대한 비용을 청구하지 않았고

또한, 전체 교육과정 중 자회사GA의 필요에 의해 실시한 교육과정의 외부 강사

료는 자회사GA가 전액 부담하는 것이 타당한데도, 외부강사료를 총 교육비용에 반영 하여 분담하여 자회사GA가 부담해야 할 강사료 일부를 회사가 부담하였으며

세일즈 프로세스, 세일즈 마케팅 등 일부 일반영업 관련 강의 등 회사가 비용을

부담해야 할 교육으로 보기 어려운 교육과정에 대해서도 비용을 부담하였음

(2) 자회사 리스크관리 미흡

회사는 경영상 발생할 수 있는 제반 위험을 적시에 인식·측정·통제하는 등 위험

을 적절히 관리해야 하므로 자회사들의 재무적 위기 등이 회사에 발생시킬 수 있는 위험도 적정하게 예측하여 관리해야 함에도

회사는 위기상황 평가 시 해외 자회사의 경우 초기 영업 수행 등을 이유로 영업

손실 및 자본잠식 관리지표 적용 대상에서 제외하고 있는데 영업손실 및 자본잠식 상 태라서 관리가 필요한 해외 자회사에 대한 대응방안 마련 등 별도의 조치를 수행하지 않고 있어 위기상황 발생 시 적시에 대응하지 못할 우려가 있고

또한, 해외 자회사에 대한 리스크분석보고서에 리스크정의와 무관한 단순 모니터

링 결과와 재무현황만 기술하여 보고하고 있어 리스크분석 및 관리의 실효성이 낮음

(3) 휴면 금융재산 등 발생 예방을 위한 절차 미흡

회사는 보험계약 만기 후 보험계약자 등에게 발생하는 불이익 등을 사전에 방지

하기 위해 ｢휴면 및 장기 미청구보험금 발생 예방 및 감축을 위한 가이드라인｣을 마 련하여 휴면 및 장기 미청구 금융재산 관련 대고객 안내 등을 실시하고 있는데

회사는 동 가이드라인을 업무수행 시 반드시 준수해야 하는 지침이 아닌 선택적

으로 적용할 수 있는 단순 참고사항으로 운영하여 만기보험금 지급 전 안내, 휴면보 험금 출연 전 안내 등을 적절하게 실시하지 않았고, 휴면 및 장기 미청구보험금 발생 예방 업무에 대하여 자체적인 점검 및 개선 등을 하지 않았음

(4) 보험계약 사전심사 관련 업무절차 미흡

회사는 보험계약 인수 가능 여부를 사전에 심사하기 위해 모집인 등이 가입설계

를 하는 시점에 계약자의 동의를 받아 한국신용정보원으로부터 피보험자의 질병, 상 해 정보 등 개인신용정보를 수집하여 저장하고 있다.

그러나 개인신용정보를 사전심사 단계 이전인 가입설계 시점에 수집함에 따라 계

약자 등의 가입의사 철회 등 사정 변화로 수집한 개인신용정보를 실제로 활용하지 않 거나, 사전심사 시에는 주로 알릴의무 기간의 질병, 상해 등 발생 여부 정보가 필요한 데도 지속적인 관리가 필요한 일부 질병에 대해서는 알릴의무 기간 이전의 정보까지 도 수집한 경우가 있으며, 사전심사 결과 보험계약 청약 가능 여부를 모집인에게만 알리고 계약자에게는 알리지 않는 등 사전심사와 관련된 업무절차가 미흡하였음

(5) 사업비 가정 산출 미흡

회사는 미래현금흐름 추정에 사용되는 가정 중 사업비 가정 산출 시 경험통계를

기반으로 모집수당규정 등 관련 규정에 따라 미래에 실제 집행될 금액 기준으로 산출 하는 것이 합리적임에도

회사는 영업제규정(수수료기준)을 기준으로 통계데이터를 이용해 보험계약 연도별

모집수당 가정을 산출하는 과정에서 2024년 영업제규정을 적용해야하는 보험계약에 2023년 영업제규정을 적용하였고, 2023년 영업제규정을 적용해야하는 보험계약에 2022년 영업제규정을 적용하여 가정을 산출하였고

영업제규정은 연중 개정이 가능하고 적용기간이 매년 달라질 수 있음에도 모집수

당 가정은 연단위로만 산출하고 있으며, 영업제규정과 모집수당 가정의 상품구분도 상이하여 미래현금흐름 산출 시 실제 지급될 금액과 부합하지 않을 우려가 있음

또한 시책비와 관련하여 회사는 매월 상품별로 지급기준을 수립하고 동 기준에

따라 시책비를 지급하고 있으나

시책비 가정 산출 시 주력상품*은 매월 수립된 지급기준을 적용하는 반면, 非주력

상품은 차년도 사업계획상 목표 시책비 금액을 추정 총환산월초로 나누어 산출하고 있어 주력상품과 非주력상품 간의 가정 산출방법의 일관성이 없고, 非주력상품의 미 래현금흐름이 실제 지급될 금액과 부합하지 않을 우려가 있음

* 기본 시책 외 프로모션 기준이 수립되는 상품

(6) IT부문 사업타당성 검토 미흡

회사는 정보화사업추진시 ｢전산운영협의회 지침｣ 및 ｢전산실무협의회 지침｣에 따

라 사업타당성 검토 및 심의·의결하고 있으나, 아래 (가) 및 (나)와 같이 사업추진 타 당성 검토 관련 미흡한 사항이 있으므로 이를 개선할 필요가 있음

(가) 정보화사업 추진시 중요 계약사항 변경에 대한 타당성 검토절차 개선 필요

정보화사업을 추진하는 과정에서 개발기간 연장 및 계약금액 증액 등의 중요 계

약사항이 변경될 경우 해당 변경사유에 대한 타당성 검토를 실시하여 계약변경에 따 른 사업 리스크를 통제하여야 하는데

회사는 ｢전산실무협의회 지침｣에 ‘이미 시행중인 IT사업에 대한 추가적인 시스템

개발 및 전산기기 도입, 유지보수 등은 생략할 수 있다’고 정하고 있음에 따라 ‘전산 실무협의회’를 통한 계약사항 변경에 대한 타당성 검토를 실시하지 않았음*

* 검사대상 기간 중 전산실무협의회 미실시한 계약변경건 6건(업무지원플랫폼 사업 등)

(나) 정보화사업 추진시 비용대비 효과 분석 검토절차 개선 필요

정보화사업 추진시 내규에 의거 ‘전산운영협의회’ 및 ‘전산실무협의회’의 협의기구

의결 절차에 따라 사업타당성 검토를 실시하고 있으나

회사는 정보화사업 추진에 대한 타당성 검토를 형식적으로 수행하고 있어, ‘OO

구축 사업*’의 경우 사업추진 이전에 비용대비 효과 분석을 실시하지 않았고 시스템구 축완료 후 10개월 만에 운영중단을 결정하면서 구체적인 시스템 중단 필요성을 검토 하지 않는 등 정보화사업 추진시 중요 의사결정이 부실하게 이루어지고 있음

* OO 구축 사업 추진 미흡사항

- 최초 계약 : 비용대비 효과 분석 미실시 - 계약 변경 : 실무협/운영위 미실시

- 구축 완료 : 일상감사 미실시

- 운영 중지 : 중단사유 검토 미실시, 일상감사 미실시

(7) IT부문 내규 관리 미흡

회사는 IT부문 업무를 효율적으로 수행하기 위하여 내규관리부서*를 정하여 사규

및 매뉴얼(가이드라인 포함)을 운영하고 있는데

내규 ｢내규관리규정｣에 따르면 내규 제 ․ 개정시 내규 내용이 다른 부서의 업무를

포함하는 경우 해당 부서와의 협의를 거치도록 되어있으나

장애관리지침, 변경관리지침 등 IT 여러 부서에 공통 적용되는 내규를 개정하면

서 개정의 필요성 및 이해상충 여부 등에 대해 검토 시 IT부서간 협의과정을 거치지 않았고

현행 내규에 직제상 운영하지 않는 ‘CIO’(정보최고책임자)가 기술되어 있거나 중요

항목에 대한 정의가 명확하지 않은 경우*가 있음

* (예) 내규 ｢품질 관리 지침｣ : '품질관리활동내역을 주기적으로 전산담당부서장에게 보고'하도록

되어있으나 전산담당부서장 정의 없음

(8) 업무지속성 확보 방안 마련 미흡

회사는 내규 ｢재해복구 지침｣에 따라 핵심업무를 기반으로 재해복구시스템을 구

축하고 재해복구훈련을 주기적으로 수행하고 있으나

핵심업무 선정 시 관련 현업부서와 업무 영향도, 목표 복구시간 등을 협의하는

과정이 없었고, IT부서가 현업부서와의 협의 과정 없이 재해복구시스템을 구축한 결 과 일부 핵심업무시스템에 대해서는 재해복구시스템을 구축하지 않았고

한편, 재해복구시스템 구축 시 수용가능 이용자수, 업무별 정상처리 가능 여부 등

에 대한 상세분석을 감안하지 않아 주전산센터 대비 크게 저조한 수준*으로 운영되고 있어 비상시 주전산센터의 사용률을 대체하지 못할 우려가 있으며

* 신계약모니터링(주전산센터 대비 13%), 융자(주전산센터 대비 17%) 수준 등

제3자 서비스(대외 연계서비스* 및 클라우드컴퓨팅서비스)를 이용하면서 핵심업무와 관련 된 서비스 중 일부에 대한 재해복구훈련을 수행하지 않아 재해 및 재난 발생 시 신속 하게 복구하지 못할 우려가 있음

* 본인인증, 가상계좌입금서비스, 방카슈랑스, 즉시이체 등 대외 연계서비스

(9) 프로그램 통제절차 미흡

회사는 내규 ｢변경관리 지침｣에 따라 프로그램 개발 계획을 수립하고 내부통제담

당자 등의 승인 후 운영시스템에 적용하고 있으나

개발자가 임의로 개발 소요시간에 따라 개발 유형을 분류‧적용하는 등 프로그램

통제절차가 미흡하게 운영되어 프로그램 오류로 인한 전산장애 발생이 우려되며

내규에 인수 테스트(업무 담당자 수행 등), 대고객 서비스 관련 사전 영향도 분석 및

운영시스템 반영 절차*가 마련되어 있지 않고 전체 업무 중 약 13.6%는 형상관리시스 템과 연동되지 않아 프로그램 변경통제 절차에서 누락될 우려가 있음

* 고객 접속이 적은 시간대(또는 야간)에 수행하고, 작업 전에 고객 접속 여부 등을 점검 수행

(10) 일괄작업 통제·운용 미흡

회사는 내규 ｢변경관리 지침｣에 일괄작업 오류 발생 시 원인을 파악하여 책임자

확인 후 일괄작업을 재 적용하는 등 관련 통제절차를 준수하도록 정하고 있으나

일괄작업 수행과정에서 오류 발생 시 관련 프로그램에 대한 분석‧수정 등의 조치

를 하지 않고, 선‧후행 일괄작업에 대한 영향도 분석업무를 수행하지 않아 전산장애사 고가 발생하였고

또한, 대규모 이용자 증가가 예상되는 이벤트 등 일괄작업의 지연‧부하 등으로

인해 고객 서비스가 영향 받을 수 있음에도 내규에 일괄작업 관련 영향도 분석 절차 가 부재하고, 일괄작업 자동화 솔루션 2가지를 통해 작업을 등록‧관리하고 있어 중복 실행에 따른 전산사고 및 장애 발생시 원인 추적이 어려워지는 등 운영상 중요한 위 험이 발생할 우려가 있음

(11) 정보처리시스템 성능관리 및 모니터링 체계 미흡

회사는 내규 ｢성능관리 지침｣에 따라 정보처리시스템의 장애 예방을 위한 대형이

벤트 및 성능관리 기준을 마련하고 있으나

｢전산시스템 성능관리 가이드라인｣에서 정한 전산자원별 임계치 기준을 크게 상

회하는 수준으로 설정하여 부적정하게 운영하고 기간계 데이터베이스(DB)의 전산자원 (CPU)의 사용량이 임계치를 초과*하였는데도 분석‧조치를 수행하지 않았으며 전산자원 (DISK) 한계 도달로 인해 전산장애사고가 발생**하였고

* ’24.12월∼’25.1월 기간계 DB CPU 최고 사용률이 95%이상 초과

** ’23.4.27. 백업 저장공간(Disk)이 한계에 도달(100%)하여 보험금 지급 심사 업무 처리가 지연되는 사고 발생

또한, 시스템 모니터링 운영자(OP, Operator)는 모니터링 대상을 제한적으로 운용하

고 있어 시스템에 특이사항*이 발생하였음에도 담당자에게 보고하지 않는 등 모니터 링 체계를 미흡하게 운영하고 있으며 대형이벤트 운영 시 고객 수요 예측, 가용성 테 스트 등을 누락하였고 예상하지 못한 사용량 증가에 대비하기 위한 성능관리 조직 및 긴급증설 절차를 내규에 마련하지 않았음

* ’25.4.4. 디스크 입‧출력 처리율 95%이상 3회 발생 등

(12) 전산장애 관리체계 미흡

회사는 내규 ｢장애관리 지침｣ ｢침해사고대응 지침｣등에 따라 전산장애·금융사고

및 전자적 침해사고 발생시 금융감독원에 보고하고 장애상황기록부를 작성하여 관리 토록 정하고 있으나

장애상황기록부를 수기로 관리하고 있어 관련 프로그램 변경내역 등을 즉시 연계‧

파악하기 어렵고 피해자 수, 결재자 정보 누락 등 전산장애 관리가 미흡하며, 내규에 따른 장애 등급 및 관리‧보고 대상이 명확하지 않아 고객 피해 없음 등의 사유로 사 고보고를 누락한 사례가 일부 있음

(13) 중요단말기 보호대책 미흡

회사는 내규 ｢PC 보안 지침｣에 따라 중요단말기*를 대상으로 외부 반출금지, 인

터넷 접속금지 등 강화된 보호대책을 적용하고 있으나

* 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 관리용 단말기

내규에 중요단말기 지정을 위한 기준 및 절차, 점검 방법 등이 부재하고, 매월 정

보보호 점검 시 전체 중요단말기 중 가상단말기(VDI, Virtual Desktop Infrastructure)만 점 검하였으며, 중요단말기에 대한 관리가 미흡*하여 해킹 등 보안 위협에 노출될 우려가 있음

* 자산번호 미현행화, USB 포트 미봉인, 잠금장치 미설치 등

(14) 전산센터 관리·운영 미흡

회사는 내규 ｢전산센터 운영관리 지침｣에 따라 전산센터 및 서버룸의 출입 구역

에 적절한 출입 통제 장치를 설치하여 비인가자의 출입을 제한하고, 주요 구역에는 무인감시장치(CCTV)를 통해 서버랙, 내화금고 보관장소 등에서 이루어지는 작업상황을 감시하도록 구성하여 운영하면서

전산센터 내 전산시스템은 상시 운영이 가능하도록 무정전 전원장치(UPS,

Uninterruptible Power Supply), 누수감지기, 소화설비, 항온항습기 등 부대설비를 운영하 고 있으나

주전산센터 내 전산설비 및 기반설비 운영에 대한 환경 관리가 일부 미흡하여 개

선이 필요하고

전산설비 및 기반설비의 미흡사항

주전산센터의 관리·운영을 A사에 일임하였으나 전력·소방·공조 등 안전과 직결된

주요 기반설비(무정전 전원장치, 누수감지기, 화재감지기, 항온항습기 등)의 세부 점검내역에 대 한 적정성을 직접 확인하지 않아 안전사고 또는 전산장애에 대한 시기적절한 예방이 어려울 수 있으며, 사고 발생 시 책임 소재가 불분명해지는 문제가 발생할 우려가 있음

(15) 시스템 보안 취약점 관리 미흡

회사는 내규 ｢위험관리 지침｣에 따라 전자금융거래의 안전성과 신뢰성을 확보하

기 위해 전자금융기반시설에 대해 관리적·물리적·기술적 위험(보안취약점) 평가를 정기 적*으로 수행하고 있으나

* 전자금융기반시설 연 1회, 홈페이지(공개용 웹서버) 반기 1회

위험 평가를 통해 확인된 보안취약점을 조치하지 않고 위험수용하면서 ‘현재 운

영환경에 의존하는 버전으로 최신 패치 불가’, ’감사 로그 발생 시 DB 부하 발생’ 등 불합리한 사유로 조치하지 않은 보안취약점이 다수 확인되었으며 이로 인해 전산장애 또는 침해사고가 발생할 우려가 있고

또한 전자금융기반시설과 같은 통신망에 위치한 비전자금융기반시설 중 핵심업무

와 관련이 있는 일부 시스템에 대한 위험을 평가하지 않아 동 시스템의 보안취약점으 로 인한 침해사고 발생 시 전자금융기반시설로 피해가 전이될 우려가 있음

(16) 정보보호 점검 미흡

회사는 내규 ｢정보보호 규정｣에 각종 위협으로부터 정보를 보호하기 위한 임직원

의 책임과 의무를 규정하고, 임직원이 정보보호 규정 및 관련 지침을 준수하는지 확 인하기 위해 정보보호 점검 등의 활동을 수행하고 있으며

내규 ｢개인정보보호 규정｣에 따라 개인신용정보를 체계적으로 관리하여 개인신용

정보가 분실·도난·누출·오남용 등이 되지 않도록 보호하고, 개인신용정보보호 관련 법 령 및 규정 준수 여부를 정기적으로 점검하고 있으나

매월 정보보호 점검을 수행하면서 각 소관부서의 자체 점검 내용 및 결과의 적정

성을 주관부서인 IT보안부서가 형식적으로 검토하는 등 미흡한 사례*가 다수 존재함

* (사례 1) 점검항목별 소관부서의 자체 보안점검 결과에 대한 IT보안부서의 검토 미흡

(자체 보안점검 결과에 대한 증적이 미흡하였지만 이에 대한 보완 조치 미요구)

(사례 2) 개선이 필요한 미흡사항에 대해 후속 조치 여부 및 관련 내역 미확인 (사례 3) 거래 종료 고객의 개인신용정보를 파기 시 관련 부서에서 자체 파기하는 경우 파기

대상에 대한 현황 관리가 미흡하며, 파기 여부 등을 미점검

(사례 4) 개인신용정보 이상·과다 조회 점검과 관련하여 조회자가 조회 사유를 직접 입력하지

않고 조회할 수 있는 일부 화면 점검 누락

(17) 클라우드 서비스 이용 절차 및 보안관리 미흡

회사는 내규 ｢클라우드 보안 지침｣에 따라 클라우드컴퓨팅서비스(이하 ‘클라우드’)

도입 시 이용 대상 정보처리업무 중요도 평가, 제공자의 건전성·안전성 평가, 정보보 호위원회 심의·의결 등의 절차를 거치고 있으며

내규 ｢IT보안 표준 지침｣에 따라 암호키의 생애주기별(신청, 생성, 저장, 등록, 보관, 분

배, 배포, 파기) 관리방안을 마련하고, 암호키 관리대장에 사용 내역 등을 기록하여 별도 의 내화금고에 보관한 후 정기적으로 점검하고 있으나

클라우드 이용 시 정보보호위원회 심의·의결 절차는 정보처리업무 중요도 평가

결과와 상관없이 필요함에도 모니터링 알림 시스템은 정보처리업무 중요도 평가 결과 비중요시스템이라는 사유로 정보보호위원회 승인을 받지 않고 운영하였고, 클라우드 에서 사용 중인 암호키는 암호키 관리대장에 등록하지 않고 사용하고 있어 키관리시 스템 장애나 키 분실 등 비상 상황이 발생하면 암호키 복구가 지연되어 신속한 대응 이 어려울 수 있음