은행장 제재시 지배구조법 상의 첫 기관장 제재될 가능성
다만 중대한 위반행위로 보기 어렵다는 반론..연말 은행장 선임에 변수로 등장
금융회사 CEO 내부통제 관리의무 위반 제재 판단 위한 중대한 위법 세부 기준 8가지/그래픽=이지혜해킹 사고로 고객 정보가 유출된 시중은행 CEO(최고경영자)가 금융회사 지배구조법의 책무구조도에 따른 첫 제재 대상에 오를 것으로 보인다. 해킹으로 297만명의 정보가 유출된 롯데카드 전 대표가 중징계를 받은 사례는 있지만 이는 책무구조도에 따른 제재는 아니었다. 은행장에 대한 예상 징계 수위는 올 연말 차기 은행장 선임 구도에도 중대 변수가 될 전망이다.
20일 금융당국 등에 따르면 지난 9월말 전후로 발생한 금융권 해킹 사고가 은행장 제재 이슈로 확산하고 있다. 이찬진 금융감독원장이 19일 국정감사에서 "내부통제 관리 의무가 있는 사이버보안 해킹 사고와 관련된, 아마 최초의 CEO에 관한 책임 문제가 다루어지는 사안이 될 것"이라는 입장을 내비쳐서다. 금감원은 해킹사고가 터진 신한은행, KB국민은행 등에 대한 현장 검사를 진행 중이다.
금융당국은 지배구조법상 CEO의 '내부통제 관리의무 위반' 사항이 있는 것으로 잠정 판단하고 있다. 금융회사들은 책무구조도에 따라 주요 업무에 대해 임원 별로 내부통제에 대한 책임을 명확히 배분한다. 특히 은행권은 지난해부터 책무구조도를 먼저 시행했는데, 내부통제에 대한 총괄 책임은 은행장에 있다.
해킹 사고로 CEO가 제재를 받은 사례는 없지 않다. 금융당국은 지난 7월 조좌진 전 롯데카드 대표에 대해 문책경고를 내렸다. 향후 3년간 금융회사 재취업이 금지되는 중징계지만 제재 근거법은 신용정보법이었다. 롯데카드 고객 297만명의 정보 유출은 지난해 발생했으나 카드사의 경우 책무구조도가 올해 7월 시행돼서다. 이에 따라 조 전 대표는 지배구조법이 아닌 신정법으로 제재를 받았다.
다만 은행장이 지배구조법상의 첫 제재를 받을 수 있는지는 쟁점이 많다는 분석이 제기된다. 내부통제 관리의무가 광범위한 만큼 금융당국은 지난 2024년 별도로 CEO의 제재 운용지침을 마련해 공개했다. 이 운용지침에 따르면 CEO 제재를 위해선 위법행위의 중대성이 인정돼야 한다. 중대성의 세부 판단 요소로 △관리의무 미이행 △지시·묵인 또는 조장·방치 △광범위 또는 조직적·집중적 위법행위 △장기간 또는 반복적 위법 △위법행위 발생 가능성에 대한 문제제기 △대규모 고객 피해 발생 △건전경영에 중대한 저해 △금융시장 신뢰·질서 훼손 등 8가지 세부요소가 있다. 이 가운데 1개 이상 해당돼야 한다.
해킹 사고로 인한 금융회사 CEO 제재/그래픽=이지혜금융권 관계자는 "대규모로 고객 피해가 발생했다고 보기 어렵고, 유출 규모가 비교적 큰 신한은행 조차도 장기간 반복적으로 벌어진 일이아니었다"면서 "하루 수천건의 해킹 공격을 막아내면서 메인 서버가 아닌 '쪽문' 공격까지 못 막아 냈다고 CEO를 제재하는 것은 과도한 측면이 있다"고 말했다. 롯데카드는 카드 비밀정보나 유효기간 등 핵심 거래정보가 유출된 반면 은행들은 계좌 비밀번호나 거래정보는 유출되지 않았다.
다만 이억원 금융위원장도 "AI 해킹 위협이 점증하고 있는데 (금융회사의) 대응 방식은 기본적인 부분도 미흡하다"고 강도 높게 비판했다는 점에서 금융권과 인식차이는 있다.
은행장 첫 제재 가능성이 언급되는 것 자체 만으로 연말 차기 은행장 선임에 돌발 변수가 될 수 있다는 분석도 나온다. 5대 은행장의 임기가 연말 일제히 만료됨에 따라 금융지주회사들은 차기 은행장 선임 작업에 착수한 상태다. 5년만에 은행장이 국감 증인으로 채택된 만큼 정보유출 사고의 파장이 작지 않다. 금융지주 사외이사들이 차기 행장 선임에 이를 고려를 할 수밖에 없다는 지적이다.