법무법인(유) 화우

금융감독원은 2026년 7월 29일, 업권별 금융협회·중앙회와 공동으로 「금융회사의 제3자 IT 리스크 관리 가이드라인」(이하 ‘가이드라인’)을 발표하였습니다. 클라우드·SaaS 등 외부 IT 서비스 활용이 금융권 전반에 보편화되는 가운데, 기존의 일반적인 업무위탁 리스크 관리 체계가 사이버 보안·정보보호 등 IT 업무의 특수성을 충분히 반영하지 못한다는 문제의식에서 비롯된 것입니다. 본 가이드라인은 이사회·경영진의 역할 및 책임 명확화에서부터 계약 전 단계의 현장 실사, 계약 중 이행 점검, 계약 종료 후의 정보 파기까지 정보처리 업무 위탁의 전(全) 주기에 걸쳐 체계적인 리스크 관리 기준을 제시하며, 업권별 협회의 모범규준 제정 등을 거쳐 2026년 11월 이후 순차적으로 시행될 예정입니다.

1. 배경

2. 사전예방적 디지털 리스크 감독 방안과의 연계

3. 가이드라인 주요 내용

4. 향후 계획

5. 시사점

1. 배경

금융의 디지털 전환이 급속히 진행되면서, 국내 금융회사들이 클라우드·SaaS와 같은 외부 IT 서비스를 활용하거나 IT 업무를 외부 제3자에게 위탁하는 사례가 보편화되었습니다. 이에 따라 제3자 서비스에 장애가 발생하거나, IT 서비스를 제공하는 수탁회사에서 해킹 등 침해사고나 정보 유출이 발생할 경우, 금융회사는 물론 금융소비자에게까지 막대한 피해를 초래할 수 있는 구조적 위험이 대두되었습니다.

기존에는 판매·결제 등 일반적인 업무위탁에 수반되는 제3자 리스크를 관리하기 위한 가이드라인(자율규제)이 업권별로 마련되어 있었습니다. 그러나 사이버 보안·정보보호가 핵심 요소인 IT 업무의 특수성이 충분히 반영되지 못하였고, 법적 규제 역시 일반 업무위탁에 적용되는 「금융기관의 업무 위탁 등에 관한 규정」과 정보처리 업무 위탁에 적용되는 「금융회사의 정보처리 업무 위탁에 관한 규정」이 각각 운용되는 상황이었습니다. 이에 금융감독원은 은행연합회·금융투자협회·생명보험협회·손해보험협회·여신금융협회·저축은행중앙회·한국핀테크산업협회 등 7개 업권별 협회·중앙회와 공동으로 「금융회사의 제3자 IT 리스크 관리 가이드라인」을 마련하게 되었습니다.

2. 사전예방적 디지털 리스크 감독 방안과의 연계

금번 가이드라인은 금융감독원이 추진해 온 ‘사전예방적 디지털 리스크 감독 방안’의 큰 흐름 속에서 이해하여야 합니다.

금융감독원은 2026년 4월 7일, 국회·금융협회·국내외 보안업계 등과 함께 ‘금융보안 패러다임 전환 간담회’를 개최하고, 금융회사가 IT 리스크를 조기 인식하여 적시에 대응하는 ‘선제적 위험관리’를 확립하도록 하는 데 초점을 맞춘 감독 재설계 방안을 발표하였습니다. 주요 추진전략은 다음과 같이 5개 축으로 구성됩니다.

① 금융보안 인식 전환: 패러다임 전환을 공식화하고, 경영진 간담회·실무자 워크숍 등 맞춤형 소통을 통해 금융회사 임직원의 보안 의식 및 역량을 지속적으로 제고

② 선제적 위험관리 정착: IT자산 식별·관리 강화, 취약점 분석·평가 내실화, 자율 시정 활성화 등을 통해 금융회사 스스로 위험요인을 조기 파악·대응하도록 유도

③ 사전예방적 감독 전환: 보안 취약점 감독 내실화, 高위험사 선별·집중관리 등을 통해 사고 예방 장치가 제대로 작동하도록 감독하고, 2026년 2월 본격 가동한 ‘금융보안 통합관제 시스템(FIRST)’을 통해 상시 감시·환류 체계를 고도화

④ 사고 대응 체계 확립: 합동 재해복구 전환훈련, 블라인드 모의해킹, 버그바운티 등 비상 대응 훈련을 통해 취약점을 발굴·보완하고 디지털 복원력 강화

⑤ 제도 개선: 「전자금융거래법」 개정 지원 등을 통해 선제적 리스크 관리 및 사전예방적 감독을 제도적으로 뒷받침

금번 가이드라인은 위 감독 방안과 유기적으로 연계하여 금융 부문의 디지털 리스크 관리 체계를 실질적으로 고도화하기 위한 조치입니다.

3. 가이드라인 주요 내용

가이드라인의 핵심 내용은 ① 이사회·경영진의 역할과 책임 명확화, ② 제3자 IT 리스크 식별·평가·관리의 구체화, ③ 계약 단계별 리스크 관리 절차의 체계화, ④ 유연한 적용 원칙의 네 가지로 구성됩니다.

가. 이사회·경영진 역할과 책임의 명확화

가이드라인은 이사회가 제3자 IT 리스크 관리의 최종 책임을 지도록 명시하고, 위험관리 정책과 감독 관련 주요 사항을 이사회의 심의·의결 사항으로 규정합니다. 경영진에게는 제3자 IT 리스크 관리 체계를 구축·시행·유지할 주체로서의 의무를 부여하고, 이를 실무적으로 총괄하는 ‘총괄관리부서’의 지정·운영을 요구합니다. 총괄관리부서는 ▲실효성 높은 안전성 확보 조치 수립·실행, ▲각 사업부서의 정보처리 업무 위탁 현황 총괄, ▲제3자 IT 리스크 현황 및 위탁 계약의 적정성 평가 등의 책무를 수행합니다.

안전성 확보 조치는 다음의 다섯 가지 영역을 포괄합니다:

1. 접근 매체 위·변조, 해킹, 개인정보 유출·오남용 등에 대비한 보안 대책

2. 금융회사와 제3자 간 전용회선 등 안전한 통신 구간 보안 대책

3. 정보처리 시스템 장애 등 서비스 중단에 대비한 비상 대책

4. 업무 지속성 확보를 위한 중요 자료 백업 및 백업 설비 확보 등 백업 대책

5. 보안 취약점 최소화 등 보안 유지를 위한 내부통제 체계

나아가 금융회사는 ‘총괄관리부서 – 리스크관리부서 – 내부감사부서’로 구성되는 3단계 통제 체계를 구축·운영함으로써 제3자 IT 리스크를 관리해야 합니다.

나. 제3자 IT 리스크의 식별·평가·관리 구체화

가이드라인은 제3자 IT 리스크를 효과적으로 관리하기 위해 위탁계약 상대방인 제3자의 재무 건전성과 업무 관련 주요 정보(제공 서비스, 처리 정보 종류·건수, 암호화 및 통신 방식, 사고 대응 체계, 전산 설비 등)를 식별하도록 요구하고, 반기 1회 이상 주기적인 점검을 통해 관련 정보를 최신 상태로 유지하도록 규정합니다.

특히, 금융회사 업무 또는 금융소비자에 중대한 영향을 미치는 ‘주요 제3자’는 별도로 지정하여 강화된 리스크 관리를 적용합니다.

또한, 제3자별로 IT 리스크를 실효성 있게 평가할 수 있도록 평가 항목과 체크리스트를 구체적으로 제시하고, 식별된 위험에 대해 보완 조치를 수행하되, 통제·경감·이전이 불가능할 경우 계약을 중단하거나 이사회가 유지 여부를 결정하는 절차도 마련하고 있습니다.

다. 계약 단계별 리스크 관리 절차의 체계화

가이드라인은 정보처리 위탁 계약의 시작부터 종료까지 전 과정에서 발생 가능한 제3자 IT 리스크를 선제적으로 식별·대처할 수 있도록 단계별 관리 절차를 제시합니다.

라. 업무 중요도 및 위험성에 따른 유연한 적용 원칙

본 가이드라인은 제3자 IT 리스크를 체계적으로 관리하기 위한 최소한의 기준과 원칙을 Soft Rule 형태로 제시한 것으로서, 금융회사들이 위탁한 정보처리 업무의 중요도와 위험성 등에 따라 일부 내용을 자사에 맞게 강화·완화하는 등 유연하게 적용할 수 있습니다.

4. 향후 계획

업권별 협회·중앙회는 금번 가이드라인을 기초로 모범규준 제정 등을 거쳐 2026년 11월 이후 시행할 계획입니다. 다만, 업권별 모범규준 제정, 금융회사 내규 반영 및 조직·인력 개편 등 시행 준비 기간을 고려하여 실제 적용 시기는 일부 조정될 수 있습니다.

금융감독원은 업권별 협회 등과 함께 가이드라인 이행 실태를 점검·평가하고, 미비점을 개선·보완하는 등 지속적으로 고도화할 예정이며, 「사전예방적 디지털 리스크 감독 방안」을 함께 추진함으로써 금융 부문의 디지털 혁신이 철저한 위험관리를 기반으로 건전하게 이루어질 수 있도록 지원할 계획입니다.

5. 시사점

금번 가이드라인은 단순한 행정지도를 넘어, 이사회-경영진-총괄관리부서로 이어지는 거버넌스 구조를 통해 IT 리스크 관리 책임을 조직의 최상위 의사결정 기구에 명시적으로 귀속시켰다는 점에서 중요한 의의를 가집니다.

금융회사 법무팀 및 담당자께서는 다음의 사항들을 우선적으로 점검하시기 바랍니다.

• 거버넌스 체계 재검토: 이사회 심의·의결 사항에 제3자 IT 리스크 관리 관련 사항이 포함되어 있는지, 총괄관리부서가 지정·운영되고 있는지 내부 규정 및 조직도를 확인

• 주요 제3자 지정 현황 파악: 클라우드·SaaS를 포함하여 현재 이용 중인 IT 서비스 제공업체 중 ‘주요 제3자’에 해당하는 업체를 조기에 선별하고, 강화된 리스크 관리 절차 적용을 준비

• 기존 계약 일제 점검: 현재 체결되어 있는 정보처리 위탁 계약서에 역할 분담, 사고 발생 시 책임 관계, 출구 전략, 계약 종료 후 정보 파기 등의 필수 사항이 반영되어 있는지 검토하고 필요시 계약 개정을 추진

• 내규 및 절차 정비: 업권별 모범규준이 확정되기 이전이라도 내부 IT 리스크 관리 규정과 절차를 가이드라인에 부합하도록 선제적으로 정비하여, 2026년 11월 시행에 대비

• 비상 대응·백업 체계 점검: 서비스 중단, 침해사고 등에 대비한 비상 대책과 백업 관리 체계가 실질적으로 작동하는지 확인하고, 주요 제3자를 포함하는 재해 복구 훈련 계획을 수립

사이버 보안은 이제 IT 부서만의 과제가 아니라, 이사회와 경영진이 직접 책임지고 관리해야 하는 경영 핵심 리스크로 자리매김하고 있습니다. 금번 가이드라인의 11월 시행을 기점으로, 금융회사들은 IT 리스크 관리 역량을 전사적으로 강화하고, 외부 IT 서비스 의존도 증가에 따른 공급망 리스크에 대한 선제적 대응 체계를 갖출 것을 요구받게 됩니다.

화우 디지털금융센터는 금융회사, 플랫폼, 핀테크 기업 등에 대한 다양한 자문을 통해 축적한 경험과 노하우를 기반으로 고객을 위한 최적의 법률 자문 서비스를 제공하고 있습니다. 관련하여 궁금하신 사항이 있으실 경우 언제든지 문의하여 주시기 바랍니다.