농협은행주식회사 금감원 경영유의사항 · 2026-10-26

경영유의사항 등 공개안

1. 금융기관명 : 농협은행

2. 조치일 : 2026. 10. 26.

3. 조치내용

4. 조치대상사실

가. 개선사항

(1) 고액 현금거래 보고 업무 미흡

회사는「특정 금융거래정보의 보고 및 이용 등에 관한 법률」제4조의2 제1항에 따른

고액 현금거래 보고를 위해 거래 모니터링 시스템을 구축·운영하고 있으며, 시스템에 따라 추출된 고액 현금거래를 관련 법규에 따라 금융정보분석원에 보고하고 있다.

하지만 고액 현금거래 추출을 위한 전산 설계가 일부 미흡하여 앞으로 고액 현금

거래 보고 대상이 누락되거나 보고 금액이 잘못 집계될 가능성이 있고

금융정보분석원에 고액 현금거래 보고시 고객의 국적정보가 필요하나 국적 정보를

고객관계관리(CRM)에 등록된 내용만으로 보고하고 있어 일부 고객에 대해서는 국적 정보를 ’확인안됨‘으로 보고하는 등 고액 현금거래 보고 업무를 미흡하게 운영하고 있다.

<조치할 사항>

따라서 회사는 고액 현금거래 보고를 위한 시스템이 적정한지 전반적으로 점검하여

고액 현금거래 보고 대상 현금거래의 누락 가능성 및 보고 대상 현금 집계의 오류 가능성 등을 검토하고 보완하시기 바랍니다.

또한 고액 현금거래 보고 시 고객의 국적정보가 누락 되지 않도록 시스템을 보완

하는 등 관련 업무를 개선하시기 바랍니다.

(2) 의심스러운 거래 보고 업무 미흡

회사는「특정 금융거래정보의 보고 및 이용 등에 관한 법률」제4조에 따른 의심

스러운 거래 보고를 위해 거래 모니터링 시스템을 구축·운영하고 있으며, 분기별로 의심 스러운 거래 추출기준의 정합성을 점검하고 있다.

하지만 자금세탁방지시스템에 등록된 의심스러운 거래 추출 기준 정의를 실제

시스템 설계(쿼리문) 내용에 부정확하게 반영하거나, 의심스러운 거래 추출 기준 정의의 일부 내용을 쿼리문에 누락한 채 거래 모니터링 시스템을 운영하는 등 의심스러운 거래 보고 업무가 일부 미흡하게 운영된 사실이 있다.

<조치할 사항>

따라서 회사는 의심스러운 거래 추출 기준 정의가 시스템에 정확하게 반영되어

운영되고 있는지 전반적으로 점검하고 미흡한 부분을 개선하시기 바랍니다.

(3) 고객확인 업무체계 불합리

㈎ 비대면 고객확인 업무 미흡

회사는 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」 제5조의2 제1항

제1호 및 제2호 등에 따라 계좌를 신규로 개설하거나 일회성 금융거래등을 하는 고객에 대해서 고객의 신원정보를 확인 및 검증하고 있으며

자금세탁행위 등의 위험이 높은 것으로 평가된 고위험 고객에 대해 금융거래등의

목적과 거래자금의 원천 등의 추가정보를 확인하는 강화된 고객확인을 하고 있다.

하지만 회사는 비대면 고객확인 시스템 설계 시 내국인만 비대면 거래가 가능하도록

그 대상을 제한하고 그에 따라 고객의 ‘국적’ 확인 절차를 마련하지 않았음에도

외국인 고객이 우회적*으로 비대면 거래를 실시할 수 있는 가능성을 시스템 설계

당시 고려하지 못했고, 비대면 채널을 통한 고객확인 이행 내역의 적정성에 대한 점검도 부실하게 수행함에 따라

* 회사는 비대면 거래 시 사용할 수 있는 실명확인증표를 ①주민등록증, ②국내 발급 운전면허증,

③여권(주민등록초본 첨부 필수)으로 한정하였으나, 실명번호 뒷자리 검증 절차 등 시스템상 외국인 여부를 식별할 수 있는 통제 절차를 마련하지 않아 외국인 고객이 ‘국내 발급 운전면허증’으로 고객확인을 수행하는 경우 외국인임에도 비대면 거래가 가능

국내 발급 운전면허증을 소지하고 있는 외국인 고객들과 비대면 채널을 통해 고객확인

대상 금융거래등을 하면서 해당 고객들의 국적을 확인하지 않는 결과가 발생한 바 있고

비대면 채널을 통한 개인 고객과의 강화된 고객확인 시 ‘거래의 목적’ 또는 ‘거래

자금의 원천’ 등의 추가정보를 ‘기타’ 항목으로 선택하는 경우 세부 내용을 고객이 직접 입력할 수 있도록 하면서도 입력값을 통제하지 않아 비정상적인 값*을 입력한 사례가 있다.

* 예) 거래목적 : ‘.’, ‘ㅡ’, ‘알’, ‘ㅇ’ 등, 자금원천 : ‘.’, ‘ㄴ’, ‘그냥’, ‘K’ 등

<조치할 사항>

따라서 회사는 비대면 채널을 통한 고객확인 시 내·외국인을 식별하고 그에 따라

고객의 국적을 정확하게 확인할 수 있도록 시스템상 미비점을 보완하고

강화된 고객확인 시 고객이 ‘기타’ 항목을 선택하는 경우 구체적인 선택지를 제공

하거나 숫자·특수문자, 동어 반복, 글자 수 등 입력값을 통제하는 등 추가정보를 보다 실효성 있게 확인할 수 있도록 시스템을 개선하시기 바랍니다.

㈏ ◎◎을 통한 제3자 고객확인 및 점검 절차 미흡

회사는 ｢자금세탁방지 및 공중협박자금조달금지에 관한 업무규정｣ 제52조 등에

따라 ◎◎을 통한 카드발급 거래 시 고객확인(이하 ‘제3자 고객확인’) 업무 수행을 하고 있으나, 아래와 같이 미흡한 점이 있으므로 이를 보완할 필요가 있다.

1) 제3자 고객확인 절차 미흡

회사는 ◎◎을 통한 카드발급 거래 시 제3자 고객확인 업무 수행을 위해 ‘카드 발급용

고객확인서’를 제정하였으나, 동 고객확인서상 ‘거래목적’을 확인하는 항목을 ‘카드발급 및 기타 카드관련 업무’ 1개로만 고정하였고,

시스템상 거래목적 입력란도 위 고객확인서와 동일하게 ‘카드발급 및 기타 카드관련

업무’로 고정하는 등 카드발급 관련 제3자 고객확인 시 강화된 고객확인 절차를 미흡 하게 마련함에 따라

◎◎을 통한 카드발급 거래 과정에서 자금세탁 등의 위험이 높은 고위험군 고객에

대한 강화된 고객확인 시 금융거래 목적을 부실하게 확인하였다.

2) 제3자 고객확인 업무에 대한 점검 미흡

카드발급 및 외환 송금 관련 금융거래등에 대한 고객확인 업무를 ◎◎에 위탁

하면서도 제3자 고객확인을 수행한 개인 고객에 대한 사전·사후 점검을 미흡하게 수행 하고 있으며

◎◎을 통한 카드 발급 시 사용하는 카드발급용 고객확인서에 거래목적을 ‘카드발급

및 기타 카드관련 업무’로 고정하여 금융거래 목적을 구체적으로 확인하기 어려움에도 고객확인서의 적정성 등 고객확인 위탁업무에 대한 점검을 장기간 미흡하게 운영하였다.

<조치할 사항>

따라서 회사는 제3자 고객확인 및 점검 절차와 관련하여 아래와 같이 시스템 및

관련 절차를 개선하시기 바랍니다.

1) 회사는 ◎◎을 통한 카드발급 거래 시 고위험 고객군에 대한 강화된 고객확인이

실효성 있게 수행될 수 있도록 카드 발급용 고객확인서 및 관련 시스템 미비점을 개선 하시기 바랍니다.

2) 제3자 고객확인 업무에 대한 사전·사후 점검 절차를 적정하게 마련하여 운영

하시기 바랍니다.

㈐ 고객확인 업무 운영 불합리

회사는 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」 제5조의2 등에 따라

계좌를 신규로 개설하거나 일회성 금융거래등을 하는 고객에 대하여 고객확인을 수행

하고 있다.

하지만 대부업자·환전영업자·고가의 귀금속 판매상 등 고위험군 법인 고객에 대해

영업점 직원이 사업자등록증·법인등기부 등본 등을 통해 업종을 확인하면서 중·저위험 업종으로 전산에 잘못 입력한 사례가 확인되고, 국적을 오입력하여도 시스템이 제어 하지 못하여 영업점 직원이 외국인 실명번호를 입력하고도 내·외국인 여부를 잘못 구분한 사례가 있다.

또한 법인 고객확인시 ‘설립목적’을 입력하는 경우 확인내용이 아닌 확인방법을 입력 하도록 자금세탁방지시스템을 설계하여 영업점 직원이 비영리법인 그 밖의 단체에 대해 법인등기부 등본, 정관, 회칙 등 서류를 통해 설립목적을 확인하고도 그 내용을 미흡 하게 입력한 사례가 있다.

<조치할 사항>

따라서 회사는 법인 고객의 업종을 전산시스템에 입력하는 경우 고위험군 해당

업종이 누락되지 않도록 확인 절차를 추가하는 등 업종 확인을 강화하고, 실명번호 뒷자리를 검증하여 내·외국인을 구별하고 국적을 정확하게 입력할 수 있는 절차를 마련 하는 한편, 법인의 설립목적이 적정하게 입력될 수 있도록 자금세탁방지시스템을 개선 하시기 바랍니다.

㈑ 고객확인 업무에 대한 점검 절차 미흡

회사의 고객확인 업무에 대한 점검 절차와 관련하여 아래와 같이 미흡한 점이

있으므로 이를 보완할 필요가 있다.

1) 대리인에 의한 고객확인 업무 점검

대리인 정보가 본인 고객정보와 연계되지 않아 해당 거래가 대리인 거래인지 여부를

확인할 수 없어 대리인에 의한 고객확인 업무에 대한 점검이 효과적으로 이루어지고 있지 않다.

2) 비대면 카드발급 시 신원검증 서류 점검

고객이 비대면 채널을 통해 카드발급을 하는 경우 금융결제원이 운영하는 ‘신분증 진위확인 시스템’을 통해 신분증 진위확인을 하는 방법으로 고객 신원정보를 확인하면서도

실명확인증표 사본 또는 금융결제원의 비대면 신분증 진위 조회 결과를 AML 시스템에 적재하지 않고, 관련 ■■부서에서만 해당 정보에 대한 열람이 가능하여 △△부서에서 고객확인 시 적정하게 실명확인증표를 징구하였는지 여부 등에 대한 점검이 수행되지 않고 있다.

3) 고객확인 정보 변경 절차

회사는 영업점 직원이 수행하거나 비대면 채널 통해 고객이 직접 입력한 고객확인 정보를 △△부서 직원들이 영업점 직원 또는 고객의 별도 확인 없이도 직접 변경할 수 있도록 AML 시스템을 설계·운용하고 있음에도 고객확인 내역에 대한 점검 관련 세부 업무지침이나 구체적인 업무절차가 미비하고

△△부서 직원에 의한 고객확인 정보 변경 시 변경 사유에 대한 검토, 내부 승인

절차 등 고객확인 정보 임의 변경을 통제할 수 있는 절차도 마련하고 있지 않아 AML 시스템상 고객확인 메뉴에 대한 접근권한만 부여받으면 누구든지 고객확인 정보를 임의로 변경*할 수 있으며

* 고객확인 내역을 조회하여 수정하고자 하는 항목 내용을 변경하고 ‘저장’ 버튼을 누르면 별도 승인 절차 없이 실시간으로 변경 완료 처리됨 고객확인 정보 변경 이력도 AML 시스템상 보관하고 있지 않아* 고객확인 정보가 변경되더라도 변경 여부 및 변경 내역의 적절성을 제3자가 사후적으로도 확인 및 검토할 수 없으며

* AML 시스템상 고객확인 정보 변경 여부 및 변경 이력 확인 불가

거래목적 및 자금원천 등 강화된 고객확인 정보는 고객이 직접 해당 정보를 제공

해야만 알 수 있음에도 △△부서 직원들이 이러한 정보들을 임의로 수정할 수 있도록 시스템을 설계·운용하고 있는 등 고객확인 정보 변경 관련 AML 시스템상 절차를 전반적으로 부적절하게 마련·운용하고 있다.

<조치할 사항>

따라서 회사는 고객확인 업무 점검과 관련하여 아래와 같이 시스템 및 관련 절차를

개선하시기 바랍니다.

1) 고객확인 의무 수행 시 대리인 정보가 연계될 수 있도록 AML 시스템을 개선

하여 대리인에 의한 고객확인 업무 점검의 실효성을 제고하시기 바랍니다.

2) 비대면 채널을 통한 카드발급 시 실명확인증표 사본 이미지 및 비대면 신분증

진위 조회 결과를 AML 시스템에 적재하여 조회할 수 있도록 관련 업무를 개선하시기 바랍니다.

①대면 및 비대면 채널을 통해 수행된 고객확인 내역에 대한 구체적인 점검 절차

3)

③AML

및 세부 업무 지침 마련, ②고객확인 정보 변경 시 검토 및 승인 절차 마련, 시스템상 구체적인 고객확인 정보 변경 이력 관리 절차 마련 등 고객확인 정보 변경을 포함한 회사의 고객확인 업무 점검 관련 절차를 전반적으로 개선하시기 바랍니다.

㈒ ㉮ 관련 고객확인 절차 미비

회사는 ㉮ 업무를 수행하고 있음에도 불구하고 이에 대한 고객확인 절차 및 업무

지침 등이 마련되어 있지 않아 ★★★이 ｢특정 금융거래정보의 보고 및 이용 등에 관한 법률 시행령｣ 제10조의4에 따른 1천만원 이상의 고객확인 대상 일회성 금융거래에 해당 함에도 장기간 고객확인 의무를 이행하지 않은 사례가 있다.

<조치할 사항>

따라서 회사는 ㉮ 업무 시 ｢특정 금융거래정보의 보고 및 이용 등에 관한 법률｣

제5조의2에 따라 고객확인 의무가 이행될 수 있도록 관련 절차를 개선하시기 바랍니다.

(4) 자금세탁방지 업무에 대한 독립적 감사 미흡

회사는 자금세탁방지 업무에 대한 독립적 감사체계를 구축하고 ●●부서에서 자금

세탁방지 업무에 대해 주기적으로 감사를 실시하고 있으나, 독립적 감사 업무와 관련 하여 다음과 같이 미흡한 점이 있으므로 이를 보완할 필요가 있다.

㈎ 독립적 감사 수행의 실효성 미흡

●●부서는 △△부서 소관 전산시스템의 부서내 사용자 권한이 승인 등의 절차를

거치지 않고 부여되는 등 시스템 권한 관리가 부적정하게 운영되고 있는데도 이를 양호한 것으로 평가하고 개선 조치를 취하지 않았다.

또한 2023년 하반기 전사 위험평가체계를 대폭 변경하였는데도 2024년 감사

보고서에 이를 반영하지 않았고, 위험평가의 적정성을 판단하는 기준이 마련되어 있지 않고, 일부 항목은 증빙자료가 없는 등 미흡하게 운영되고 있는데도 평가체계가 적정한지 여부를 확인하지 않는 등 형식적으로 점검하였다.

한편 독립적 감사 체크리스트 등에 금융정보분석원 제도이행평가 지표 보고의

적정성에 대한 내용이 반영되어 있지 않아 제도이행평가 지표가 장기간 부적정하게 산출되어 금융정보분석원에 보고되고 있음에도 이를 점검하지 못하였다.

㈏ 독립적 감사 결과 이사회 보고 미흡

자금세탁방지 업무에 대한 감사 결과를 일반감사 결과 등과 통합하여 일부 지적

사항만을 이사회에 요약하여 보고하고 있으며, 지적 사항에 대한 후속 조치 등을 이사회에 보고하지 않고 있어 자금세탁방지 관련 내부통제 정책에 대한 이사회의 감독 기능이 적절하게 수행되지 못할 우려가 있다.

<조치할 사항>

따라서 회사는 자금세탁방지 업무에 대한 독립적 감사 계획을 일반감사와 별도로

수립하여 실시하고, 감사 체크리스트에 제도이행평가 관련 사항 등 미흡 사항을 반영 하는 한편, 이를 문서화하여 독립적 감사의 실효성을 제고하시기 바랍니다. 또한 독립적 감사 결과에 대해서는 전체 지적사항 및 개선사항, 사후 정리현황을 모두 포함하여 이사회에 보고하는 등 관련 업무를 개선하시기 바랍니다.

(5) 신규 상품 및 서비스 위험평가 절차 미흡

회사는 신규 금융상품 및 서비스(이하 ‘신상품등’) 등을 이용한 자금세탁행위등의

위험을 평가하기 위한 절차를 수립하고 있다.

하지만 회사 내규에 신상품 등 평가대상이 제한적으로 기술되어 있고 유사상품을

넓게 인정하고 있어 ◔◔부서 등이 사전 위험평가 대상 신상품 등의 범위를 소극적으로 판단할 우려가 있으며, 위험평가를 실시하지 않은 경우 신상품등의 출시가 불가능 하도록 제한하는 절차가 마련되어 있지 않아 사전 위험평가가 누락될 우려가 있다.

또한 위험평가 이행 실태를 모니터링할 때 ◔◔부서가 제출한 출시예정일을 기준

으로 관리하고 실제 출시일을 관리하지 않고 있어 사전평가 여부를 명확하게 점검하지 못할 우려가 있고, 담당자가 모니터링 대상을 매월 수기*로 추출하고 있어 모니터링의

실효성이 저하될 우려가 있다.

* 서비스의 경우 출시 이후에도 서비스코드가 생성되지 않으며, 상품코드는 생성되기는 하나 담당자가 출시 공문을 검색하여 모니터링 대상을 추출하고 있는 상황

아울러 ◔◔부서에 대한 위험평가 결과에 대한 회신(위험완화 요청 등 포함)이 팀장

전결로 완료되고 있고, 신상품 출시 이후 사후관리 등록 여부 등에 대한 관리 절차 및 보고책임자 보고 절차 등도 미흡하여 상품 출시 이후 사후조치가 소홀*한 상황이다.

* 내규상 ◔◔부서가 상품군, 상품명, 평가등급, 시스템 보완조치 여부 등을 입력하고, △△부서는 사후관리 내용 등을 최종 확인하고 상품위험에 반영하도록 되어 있으나, 실제 이에 대한 입력 및 관리가 미흡함

<조치할 사항>

따라서 회사는 신상품등 출시 전 사전평가 대상 및 유사상품 판단 기준 등을 명확

하게 정비하여 내규에 반영하고, 위험평가를 실시하지 않은 경우 신상품 출시가 불가능 하도록 전산 등으로 통제하시기 바랍니다.

또한 신상품등의 실제 출시일을 전산에 등록하고 모니터링 대상을 실효성 있게

추출하는 등 위험평가에 대한 모니터링을 적정하게 수행하는 한편, 위험평가에 대한 전결권을 상향하고 보고책임자에게 평가내역 및 그 결과를 정기적으로 보고하는 등 신상품 등에 대한 위험평가 업무를 개선하시기 바랍니다.

(6) 위험관리수준에 대한 금융정보분석원 보고업무 부적정

회사는 금융정보분석원의 위험평가시스템을 통해 주기적으로 제도이행평가지표를

보고하고 있다.

하지만 회사는 금융정보분석원이 배포하는 제도이행평가 지표정의서*와 상이하게

평가지표값을 산출하거나 필수 증빙자료가 미흡한 경우에도 지표값 산출이 적정한 것 으로 일괄 결재**하는 등 지표값 산출 절차를 부실하게 운영하였다.

* 금융정보분석원이 고유/운영위험 지표별로 구체적 산정기준을 작성하여 배포

** 담당팀장이 다수의 소관 지표값들에 대하여 일괄하여 한번에 결재하면 지표값이 확정 처리되는 방식으로 운영중

또한 보고책임자의 사전 결재를 누락하여 금융정보분석원 위험평가시스템에 지표 값을 입력하는 등* 평가지표 보고 관련 내부절차를 미흡하게 운영하였다.

* 2024년말 기준 지표값을 금융정보분석원 위험평가 시스템에 최종 입력･보고(2025.4.11.)한 이후인

2025.6.5. 보고책임자로부터 사후결재를 받음

※ 제도이행평가 지표를 부적정하게 입력한 사례

<조치할 사항>

따라서 회사는 제도이행평가 지표값 검증을 강화하고 근거자료 보관을 의무화하는

한편, 지표값 산출에 대한 전결권을 상향하고 보고책임자의 결재 절차를 내규에 포함 하는 등 금융정보분석원의 제도이행평가 지표 산출 및 보고가 적정하게 수행될 수 있도록 관련 업무를 개선하시기 바랍니다.

(7) 고객위험평가 업무 미흡

회사는 ｢특정 금융거래정보의 보고 및 이용 등에 관한 법률｣ 제5조의2 제1항 각 호에

따른 고객 확인을 위해 고객위험평가 관련 업무지침(｢고객위험평가 모델 관리(안)｣)을 마련하였으나

AML 시스템 설계 시 이러한 업무지침에서 정한 고객위험평가의 내용을 일부

부정확하게 반영*함으로써 고객위험 평가 업무를 미흡하게 수행한 사실이 있다.

* (예) 1)고객위험 평가 시 ♣♣ 가중치를 ♤♤은 ##%, ♠♠은 ##%로 설정하도록 업무지침을 마련 하였으나 AML 시스템 설계 오류로 ♠♠ ♣♣ 가중치를 ♤♤ 가중치인 ##%로 잘못 반영함에 따라 ♠♠ 고객의 위험평가 점수를 부정확하게 산출(고객 위험도를 상향 평가) 2)♠♠ 고객의 위험평가 요소 중 ♠♠ 유형을 ①▨▨(##점), ②◍◍(##점), ③◈◈(##점), ④☆☆(##점)

으로 구분하여 위험점수를 달리 부여하도록 업무지침을 마련하였으나 AML 시스템 설계 오류로 영업점 직원이 고객구분코드를 ‘◍◍’, ‘☆☆’으로 입력하여도 모두 ‘▨▨’으로 잘못 분류됨에 따라 고객 위험평가 점수를 부정확하게 산출(고객 위험도를 상향 평가) 3)고객이 영업점을 방문하여 카드 상품거래를 하거나 영업점 직원이 특정 화면(‘고객확인의무 당연 EDD수행’ 화면)을 통해 고객확인 수행 시, 해당 거래는 대면 거래임에도 AML 시스템 설계 오류로 인하여 ▩▩(##점)이 아닌 ◪◪(##점)로 반영되어 고객 위험평가 점수를 부정확하게 산출(고객 위험도를 상향 평가)

<조치할 사항>

따라서 회사는 AML 시스템에 잘못 반영된 위험평가 요소들을 즉시 수정하고,

고객위험평가 모델에 대한 주기적 점검 시 고객위험평가 관련 업무지침과 AML 시스템간 정합성을 전반적으로 검토하여 위험평가 모델의 실효성을 제고하시기 바랍니다.

(8) AML 시스템 권한 부여 절차 미비

AML 시스템은 자금세탁방지 업무를 수행하기 위한 중요 정보가 보관되어 있으

므로 동 시스템 내 세부 메뉴에 대한 접근권한(조회, 수정 등)은 해당 직원의 담당업무에 따라 차등적으로 부여 및 관리해야 한다.

하지만 회사는 이에 대한 세부 기준* 및 절차를 마련하고 있지 않으며 △△부서 내 권한 부여는 대부분 실무자(1명)의 자체 판단하에 이루어지고 있어**

* △△부서 내 담당업무에 따라 접근이 필요한 세부 메뉴 범위 및 읽기(조회만 가능), 쓰기(조회･ 수정 가능) 권한 각각에 대한 부여 기준 등 부재

** ◑◑팀 팀장 및 팀원(1명)이 AML 시스템 권한 부여 업무를 하고 있으나 실무적으로는 해당 팀원이 대부분 권한 부여 업무를 수행하고 있고, 동 직원이 특정 인원에게 권한 부여 시 별도의 승인 절차 없이 자동으로 시스템에 반영됨

△△부 정규 직원 대부분이 담당업무에 따른 구분 없이 고객확인, 고액현금거래보고,

혐의거래보고 등 AML 시스템 주요 메뉴에 대한 읽기 및 쓰기 권한을 보유하고 있으며

부여된 권한이 담당업무 등을 고려할 때 적정한지에 대한 사후 점검 절차도 마련 되어 있지 않고, 권한 부여 이력도 관리되지 않는* 등 AML 시스템 접근권한 부여 및 이에 대한 관리 절차가 미흡하다.

* 검사종료일 현재, AML 시스템에서는 인원별로 부여된 최종 권한 내역만 확인할 수 있고 권한 부여 시점 및 권한 부여 이력 등은 조회할 수 없음

<조치할 사항>

따라서 회사는 △△부서 내 담당업무별로 AML 시스템 권한을 차등적으로 부여

하기 위한 세부 기준과 시스템상 권한 부여 시 상급자에 의한 승인 절차를 마련하고,

권한 부여 적정성의 사후 점검을 위해 권한 부여 이력을 AML 시스템상 관리할

수 있도록 시스템을 개선하시기 바랍니다.

(9) 전사적 자금세탁위험 평가 업무 미흡

회사는 ｢특정 금융거래정보의 보고 및 이용 등에 관한 법률｣ 제5조 제3항 등에

따라 연 1회 이상 전사적 자금세탁 위험 평가를 실시하고 위험평가 결과 등을 은행장 및 이사회 등에 보고하고 있다.

하지만 전사적 위험평가의 세부적인 평가방법, 평가등급 부여대상 및 평가주기

등을 변경하는 경우 변경내용의 적정성을 검토하는 업무절차*가 규정화되어 있지 않아, 회사는 2023년 하반기에 세부 평가방법 등을 대폭 간소화**하였음에도 불구하고 은행장 및 이사회 등의 보고 절차를 사전에 거치지 않는 등 위험관리 정책 변경 과정이 미흡***하였다.

* (예) 변경 사항 중요도에 따른 승인권자, 외부 검토 필요 대상 등

** 기존에 RBA 위험평가시스템을 기반으로 전산화하여 수행하던 위험평가 정책을 폐지한 후, 금융 정보분석원의 제도이행 평가 결과 등으로 대체하여 수기 평가하는 방식으로 대폭 간소화

*** 경영진이 승인한 위험관리 정책에 따른 위험평가 결과를 경영진에게 보고하는 역할을 부여받은 ◉◉◉(▤▤▤)이 위험관리 정책의 전면 축소를 자체 결정하였고, 위험관리 정책 변경 사항을 은행장 및 이사회에 사후보고함

또한 전사적 위험평가 방법 등 변경하면서 평가항목별 평가기준 등을 미흡하게

마련하여 2023년 하반기부터 위험평가 업무가 불합리*하게 운영되고 있다.

* (예) 내부통제 운영위험을 평가하기 위해 자금세탁 통제활동을 점검하면서 구체적인 근거 없이 모두

‘적정’ 수행한 것으로 매년 평가

<조치할 사항>

따라서 회사는 전사적 자금세탁위험의 평가항목, 평가절차, 평가방법 등을 변경시

이에 대한 검토절차 등을 구체적으로 수립하여 내규 또는 업무매뉴얼 등에 명확히 규정 하고, 전사적 위험평가 항목별 평가기준 등을 구체화하는 등 전사적 위험평가 관련

업무절차를 전반적으로 개선하시기 바랍니다.