◆…사진=조세일보 DB
금융감독원은 13일 'IT감사 가이드라인'과 관련해 주요 내용을 질의 및 답변(FAQ) 형식으로 안내했다.
Q) 'IT감사 가이드라인'의 법적 성격은?
A) 동 가이드라인은 국제 표준 및 IT검사 지적사례 등을 참고하고 각 금융협회·중앙회와 업계 의견을 수렴하여 마련한 것으로 행정지도 등 금융 규제에 해당하지 않는다.
다만 동 가이드라인은 금융회사가 자체 IT리스크에 적합한 IT내부통제체계를 확립하고 IT운영·통제를 강화하여 전자금융 안전성을 제고하고자 하는 취지로 향후 서면 점검, IT리스크 계량평가 등을 통해 가이드라인 이행 여부를 관리할 예정이며 IT실태평가시 기준으로 활용할 수 있다.
Q) 업무 전반에 대한 리스크 평가시 IT부문을 포함하여 운영 중인 경우 이를 동 가이드라인의 IT리스크평가로 갈음할 수 있는지?
A) IT리스크평가는 금융회사가 각자 적합한 내부통제체계 수립․이행에 필요한 감사자원을 산정하기 위한 수단이자 IT감사계획의 적정성·당위성을 판단하기 위한 근거로써 세부적인 평가방법과 운영방식 등은 상기 취지를 고려하여 금융회사가 자율적으로 선택 가능하다.
Q) IT자체감사인은 모든 IT부문 조직에 대하여 각각 지정하고 반드시 IT자체감사 직무를 전담해야 하는지?
A) IT자체감사인은 IT리스크평가 결과에 따라 필요한 IT조직에 지정·운용할 수 있고 효과적인 직무수행을 위하여 특정 인력이 IT자체감사 직무를 전담하는 것을 권고하나 주기적으로 IT자체감사인을 순환 지정하는 등 IT조직 내에서 유연한 운용이 가능하다.
IT조직 규모가 작아서 IT자체감사인을 지정하기 곤란한 경우 IT감사가 일상적 내부통제 영역을 포함한 해당 조직의 IT내부통제 적정성 전반을 감사해야한다.
Q) IT내부통제체계와 전사 내부통제(준법감시인 소관)의 관계는?
A) IT내부통제는 CIO, CISO 등 IT부문 담당임원의 책무이고, IT내부통제 적정성에 대한 감사는 감사 혹은 감사위원회의 책무로써 책무구조의 혼선을 방지하기 위하여 준법감시인의 일반적인 내부통제 책무와는 별개의 영역으로 분리되어야 한다.
Q) IT리스크평가, IT내부통제 인력 운용 등에 대한 기준은 반드시 전사 차원에서 마련되어야 하는지?
A) 자체 IT리스크에 대한 종합적인 평가 및 그에 따른 자원의 확보라는 취지를 달성하려면 유관조직 간 협의 및 경영진의 의사결정이 필요하다.
예를 들어 IT리스크평가 기준에 대해서는 IT조직 및 감사조직 외 리스크관리조직 등이 협업하고 IT감사인력 운용 기준에 대해서는 조직관리 혹은 인사조직이 협업하는 등 전사적 관점에서의 기준 마련·운영이 필요하다.
Q) IT자체감사인의 업무범위 및 독립성 확보 수준은?
A) IT자체감사는 IT부문 임원(최고책임자)이 산하 IT자체감사인을 지정하여 소관업무에 대한 자체적인 감사를 명령하는 것으로 소관업무 외에 타 IT부문 임원 업무에 대한 '자체'감사는 원칙적으로 성립할 수 없으며 효과적인 직무 수행과 이해상충 방지를 위하여 IT자체감사 직무와 감사대상업무의 겸직 및 본인이 수행한 업무에 대한 감사를 금지하는 등 독립성을 확보하여야 한다.
Q) IT감사계획의 마련 주체는? IT감사계획에 IT자체감사계획을 포함해야 하는지?
A) 가이드라인 제1절 제7조에서 규정하는 IT감사계획은 감사조직에서 마련하여 감사 혹은 감사위원회에 보고하여야 하고 IT자체감사계획은 필요시 IT조직에서 마련하여 감사명령권자에 보고하여야 한다.
Q) 감독규정상 CISO의 정보보안 점검 의무 등을 IT자체감사에 갈음할 수 있는지?
A) IT자체감사의 취지는 소속 조직에 한정하여 일상적 내부통제 적정성을 점검하는 것으로 점검대상, 범위 등이 감독규정과 차이가 있으므로 갈음할 수 없다.
Q) 동 가이드라인 제정 이후 세부 매뉴얼을 추가 배포할 계획이 있는지?
A) 동 가이드라인은 각 금융회사가 적정한 IT내부통체체계를 수립할 수 있도록 일반적․공통적인 표준을 제시하려는 취지로 제정되었고 지나치게 개별적·세부적인 기준 제시는 자칫 '그림자 규제'로 작용할 소지가 있으므로 세부 매뉴얼 배포 등은 계획되어 있지 않으나 향후 동 가이드라인 운영과정에서 우수사례(Best-Practice)를 발굴하여 금융권에 공유하는 등으로 지원할 예정이다.
◆…자료=금융감독원 제공
