형식적 시스템은 갖추었지만 제대로 된 통제는 없었다
실적 압박과 내부통제의 후순위화
최근 발생하고 있는 대형 금융사고와 반복되는 위법 행위는 내부통제 시스템의 심각한 허점을 보여주고 있다. 금융권의 내부통제 부실 문제는 경영진에 대한 견제 기능 약화, 느슨한 조직문화, 그리고 준법감시 체계의 미흡 등 복합적인 요인이 작용한 결과로 분석된다. 이런 문제들이 복합적으로 작용하면서 금융사의 내부통제 부실을 심화시키고 있다. <알파경제>는 국내 주요 금융사를 대상 '과거 겪었던 내부통제 실패 사례'를 중심으로 무엇이 반복되고 있는지, 왜 문제가 되풀이 되는지 등을 구조적으로 진단하고, 해법을 제시하는 연중 기획기사를 준비하게 됐다. [편집자주]
① iM뱅크 계좌 사고가 드러낸 내부통제의 민낯
② 제한적 책임 – 제재 이후에도 남은 내부통제의 공백
③ 인가의 문턱은 충분히 높았나 – 시중은행 전환을 둘러싼 의문
④ 시중은행 iM뱅크에 요구되는 내부통제의 재건 조건
 |
| (사진=연합뉴스) |
[알파경제=김종효 기자] 시중은행 전환은 단순한 명칭 변경이나 영업 범위 확대가 아니다. 전국 단위 고객을 상대로 예금과 대출, 투자와 결제를 포괄하는 금융 인프라의 중대한 주체가 된다는 의미다.
그만큼 시중은행에 요구되는 내부통제 기준은 지방은행 시절과 질적으로 다르다.
그러나 iM뱅크(구 대구은행)는 시중은행 전환을 앞두고 가장 기본적인 통제 영역에서 심각한 의문을 남겼다.
금융감독원 검사 결과, 고객의 명시적 동의 없이 예금과 연계된 증권계좌가 개설된 사실이 확인됐기 때문이다.
해당 부당 계좌 개설은 2021년 8월부터 2023년 7월까지 약 2년에 걸쳐 발생했다.
이 사건은 단순한 실무적 착오나 일선 직원의 과실로 치부하기에는 무게가 가볍지 않다. 계좌 개설은 은행 내부통제의 첫 단추이자, 금융소비자 보호의 최소 기준이다.
그 출발점에서 허점이 확인됐다는 것은, iM뱅크 내부통제 체계 전반을 다시 점검해야 할 필요성을 강하게 제기한다. 문제는 사고 발생 자체가 아니라, 이처럼 장기간 반복된 위반이 가능했던 구조다.
 |
| 강정훈 iM뱅크 은행장. (사진=연합뉴스) |
◇ 우연이 아닌 누적…단발 사고로 보기 어려운 이유
이 계좌 사고가 더욱 심각하게 받아들여지는 이유는, 특정 시점에 우발적으로 발생한 단발성 사건으로 보기 어렵다는 점에 있다.
고객 동의 없는 계좌 개설은 내부 절차상 여러 단계의 확인과 승인, 사후 점검을 전제로 한다. 이 중 어느 하나라도 실질적으로 작동했다면, 문제가 누적되는 상황까지 이어지기는 어렵다.
그럼에도 금융당국이 확인한 부당 계좌는 총 1657건, 관련 고객은 1547명에 달했다. 해당 계좌는 56개 영업점에서 개설됐고, 관련 직원도 111명에 이르는 것으로 파악됐다.
사고가 일정 기간 지속됐다는 점은, 내부통제 장치가 부재했거나 형식적으로만 존재했을 가능성을 강하게 시사한다.
이는 개별 직원의 일탈을 넘어, 업무 프로세스 전반에서 내부통제가 실질적으로 기능하지 않았음을 의미한다.
이 문제는 2023년 6월 고객 민원으로 처음 드러났다. 대구은행은 자체감사를 진행했으나 금융당국에 즉시 보고하지 않았고, 금융감독원이 같은 해 8월 긴급 검사에 착수하면서 사고의 전모가 확인됐다.
금융위원회는 2024년 4월 17일 대구은행에 은행예금 연계 증권계좌 개설 업무 3개월 정지와 과태료 20억원을 부과했다. 관련 직원 177명에 대해서도 감봉 3개월, 견책, 주의 등 제재가 내려졌다.
이와 별도로 대구은행 229개 영업점에서는 2021년 9월부터 2023년 7월까지 고객 8만5733명에게 증권계좌를 개설하면서 계약서류인 '증권계좌개설서비스 이용약관'을 제공하지 않은 사실도 확인됐다.
은행 내부통제는 '문제가 발생한 뒤 책임을 묻는 장치'가 아니라, 애초에 문제가 발생하지 않도록 차단하는 구조여야 한다.
그런 점에서 이 사건은 사후 조치의 적절성과는 별개로, 사전 통제의 공백이라는 근본적 의문을 피할 수 없게 만든다.
 |
| (사진=연합뉴스) |
◇ 형식적 시스템은 갖추었지만 제대로 된 통제는 없었다
최근 은행의 내부통제는 상당 부분 IT 시스템에 의존한다.
계좌 개설 역시 예외가 아니다. 그러나 계좌 개설과 관련해 IT 시스템의 보조를 받아 업무가 이루어진다는 사실과, 그것이 실질적인 내부통제로 작동하는지는 전혀 다른 문제다. iM뱅크 계좌 사고는 이 간극을 분명하게 드러낸다.
금감원 검사 결과, 고객 동의 여부가 전산상 명확히 확인되지 않은 상태에서도 계좌 개설이 가능했고, 사후 점검 시스템도 갖추고 있었지만 문제를 조기에 포착하거나 자동으로 차단하지 못했다.
이는 IT 시스템이 내부통제를 대체한 것이 아니라, 통제 책임을 흐릿하게 만든 결과에 가깝다.
시스템이 있다는 이유로 사람의 확인이 약화되고, 사람이 있다는 이유로 시스템 검증이 느슨해지는 전형적인 내부통제 실패 패턴이다.
계좌 개설은 모든 금융 거래의 출발점이다. 이 단계에서의 오류는 이후 모든 통제 장치를 연쇄적으로 무력화할 수 있다.
해외 주요 금융감독 당국이 계좌 개설 단계를 '가장 엄격한 통제 구간'으로 분류하는 이유도 여기에 있다.
그런 점에서 iM뱅크 사고는 단순한 절차 위반을 넘어, 내부통제 철학 자체에 대한 질문을 던진다.
◇ 실적 압박과 내부통제의 후순위화
이 사건을 둘러싼 또 하나의 구조적 배경은 영업 관행과 성과 구조다. 예금과 증권 계좌를 연계하는 구조는 고객 편의라는 명분과 동시에 영업 실적 확대라는 강력한 유인을 내포한다.
문제는 이러한 유인이 통제보다 앞설 때 발생한다. 실적 압박이 강한 환경에서는 규정이 '지켜야 할 원칙'이 아니라, '속도를 위해 우회할 수 있는 절차'로 전락하기 쉽다.
실제로 2021년 8월 '증권계좌 다수 개설 서비스'를 도입하며 영업점 KPI에 증권계좌 개설 실적 반영 비중을 확대한 이후, 전체 부당 계좌의 대부분이 집중적으로 발생한 것으로 금융당국은 보고 있다.
내부통제는 영업 활동을 방해하기 위한 장치가 아니다. 금융회사 스스로를 보호하기 위한 최소한의 안전장치다.
그러나 이 사고는 내부통제가 영업 속도를 따라가지 못했거나, 애초에 영업을 제어할 권한과 위상을 갖지 못했음을 보여준다. 이는 단순한 관리 실패가 아니라, 조직 문화와 의사결정 구조의 문제로 이어진다.
한치호 경제평론가 겸 행정학 박사는 "실적 중심의 성과 평가 구조에서 내부통제는 영업을 방해하는 걸림돌로 인식되기 쉽다"며 "통제 실패가 발생했을 때 책임이 실무자에게만 집중되면, 조직 전체의 구조적 문제는 방치된 채 유사한 사고가 반복될 수밖에 없다"고 지적했다.
실적이 곧 성과로 평가되고, 통제는 사후 점검으로 밀려나는 구조에서는 유사한 사고의 재발 가능성을 배제하기 어렵다.
계좌 개설이라는 가장 기초적인 영역에서조차 통제가 후순위로 밀렸다면, 보다 복잡한 금융상품과 거래 영역에서는 어떤 일이 벌어지고 있을지에 대한 의문이 자연스럽게 뒤따른다.
 |
| (사진=연합뉴스) |
◇ 시중은행을 자처할 자격의 문제
그럼에도 대구은행은 이 사고 이후 불과 1개월 만인 2024년 2월 시중은행 전환 인가를 신청했고, 같은 해 5월 16일 금융위원회로부터 인가를 받았다. 6월 5일부터는 iM뱅크라는 새로운 이름으로 시중은행 업무를 시작했다.
iM뱅크는 이제 더 이상 지역 금융기관이라는 보호막 뒤에 설 수 없다. 시중은행이라는 지위는 전국 단위 고객을 상대로 신뢰의 대상이 되었다는 의미이며, 그 신뢰는 화려한 디지털 전략이나 공격적인 마케팅으로 확보되는 것이 아니다.
기본적인 소비자 보호 및 내부통제 절차가 얼마나 엄격하게 지켜지는지가 시중은행 신뢰를 가르는 기준이 된다.
한치호 박사는 “고객 동의 없는 계좌 개설 사고는 그 자체로도 중대하지만, 더 중요한 것은 이 사고가 가능했던 내부 구조”라면서 “계좌 개설이라는 가장 기본적인 통제 영역에서 허점이 드러났다면, 다른 영역에서도 유사한 문제가 잠재해 있을 가능성을 배제할 수 없다”고 설명했다.
*다음 2회차 예고
<제한적 책임 – 제재 이후에도 남은 내부통제의 공백>을 통해 사고 이후 책임 배분의 구조적 한계와 경영진 책임 회피 경로를 추적한다.
알파경제 김종효 기자(kei1000@alphabiz.co.kr)
