금융결제원 운영 소액결제시스템
한국은행은 금융결제원이 운영하는 소액결제시스템 중 중요지급결제시스템으로 지정된 어음교환시스템, 타행환공동망, 전자금융공동망 등 3개 시스템에 대해서도 정기평가를 실시하였다.
평가기준으로는 PFMI 24개 중 상기 지급결제시스템에 적용 가능한 17개 원칙과 「FMI 사이버 복원력 지침」,「FMI 손실복구 지침」 등의 추가지침을 활용하였다.
평가결과 PFMI를 대부분 충족하고 있으나 종합적인 리스크관리 체계, 운영리스크 등의 관리 측면에서는 일부 개선이 필요한 것으로 나타났다.
향후 금융결제원은 한국은행이 제시한 개선권고에 따라 관련 규정 및 절차를 개선할 계획이다.
(리스크관리 지배구조 개선)
금융결제원은 업무전반에서 발생할 수 있는 리스크를 식별, 측정, 모니터링, 관리할 수 있도록 리스크관리 업무와 관련한 규정을 제정하고, 리스크관리위원회를 설치·운영하고 있다.
아울러 내부통제 3중 방어체계 모델(3 lines of defence model)에 따라 영업부서(1단계), 리스크 관리부서(2단계) 및 감사(3단계) 등의 내부통제체계도 갖추고 있다.
다만, 리스크 관리위원회의 구성, 이사회 앞 보고체계 등의 측면에서 일부 개선이 필요한 것으로 나타났다.
구체적으로는 리스크관리의 독립성 강화 및 리스크관리 업무의 안정적 수행을 위하여 리스크관리 관련 지배구조를 개선할 필요가 있다.
또한 리스크관리 업무 전반에 대한 독립적이고 충분한 감사업무가 수행될 수 있도록 감사결과의 의사결정기구 앞 보고 체계도 정비할 필요가 있다.
(참가기관과의 연계테스트 체계 강화)
금융결제원은 참가기관이 전자금융공동망 관련 시스템을 변경할 경우 금융결제원과 연계테스트를 실시하도록 규정하고 있다.
그러나 참가기관 내부 시스템 등의 변경 시에는 참가기관의 요청이 있는 경우에 한해 연계테스트를 실시하고 있다.
이에 따라 참가기관이 전산시스템 업그레이드 등으로 하드웨어 및 소프트웨어를 대폭 변경하는 경우 연계테스트가 충분하게 이루어지지 않아 시스템 불안정 등으로 관련 리스크가 금융결제원 운영 소액결제시스템으로 파급될 개연성이 있다.
그러므로 금융결제원은 참가기관 전산시스템의 대규모 변경 시에는 참가기관과 협의하여 연계테스트를 주도적으로 실시할 필요가 있다.
(사이버 복원력 관리체계 강화)
금융결제원은 지급결제업무와 관련하여 발생 가능한 사이버 리스크를 별도로 구분하여 대응 방안을 마련하는 등 사이버 복원력 제고를 위해 사이버 운영리스크에 특화된 관리체계를 구축·운영하고 있다.
금융결제원은 해킹 및 디도스 등 사이버 공격에 대비하여 대부분의 중요지급결제시스템을 대상으로 정기적으로 훈련을 실시하고 있으나, 일부 시스템의 경우 훈련체계가 미흡한 것으로 나타나 사이버 공격에 대비한 모의훈련을 보다 강화할 필요가 있다.