법무법인[유] 지평 || [금융규제] 「금융회사의 제3자 IT 리스크 관리 가이드라인」 마련

법률정보|Issue Briefing

[금융규제] 「금융회사의 제3자 IT 리스크 관리 가이드라인」 마련 — 이사회 최종 책임과 ‘주요 제3자’ 관리

2026.09.03

<div style="text-align: justify;">금융회사가 클라우드ㆍSaaS 등 외부 서비스를 이용하거나 IT 업무를 외부에 위탁하는 사례가 보편화되면서, 수탁회사의 장애나 해킹ㆍ정보유출이 금융회사는 물론 금융소비자의 피해로 이어질 우려가 커졌습니다.  그러나 기존 업권별 제3자 리스크 관리 가이드라인ㆍ모범규준은 판매ㆍ결제 등 일반 업무위탁을 전제로 한 것이어서, 사이버보안과 정보보호가 핵심인 정보처리 업무위탁의 특성을 충분히 반영하지 못하였다는 지적이 있었습니다.<br />
<br />
이에 금융감독원은 2026년 7월 29일 은행연합회ㆍ금융투자협회ㆍ생명보험협회ㆍ손해보험협회ㆍ여신금융협회ㆍ저축은행중앙회ㆍ한국핀테크산업협회와 함께 「금융회사의 제3자 IT 리스크 관리 가이드라인」을 마련하였습니다.  가이드라인은 정보처리 업무를 위탁하는 금융회사가 지켜야 할 최소한의 기준과 원칙을 제시하는 것으로서, 위탁 업무의 중요도와 위험성에 따라 강화하거나 완화하여 적용할 수 있습니다.<br />
 </div>

<div style="text-indent: -20px; margin-left: 24px; text-align: justify;">① <strong>이사회ㆍ경영진의 역할과 책임 명확화</strong>: 이사회는 제3자 IT 리스크 관리의 최종 책임을 지고 관리정책과 감독에 관한 주요 사항을 심의ㆍ의결합니다.  경영진은 관리체계를 구축ㆍ시행ㆍ유지하는 주체로서 총괄관리부서를 지정ㆍ운영하고, 보안ㆍ비상ㆍ백업 대책 등 안전성 확보조치를 수립ㆍ실행하며, 각 사업부서의 위탁 현황과 제3자 IT 리스크ㆍ위탁계약의 적정성을 평가할 책무를 집니다.  아울러 총괄관리부서, 리스크관리부서, 내부감사부서로 구성되는 3단계 통제체계를 구축ㆍ운영하도록 하였습니다.</div>

<div style="text-indent: -20px; margin-left: 24px; text-align: justify;">② <strong>제3자 IT 리스크 식별ㆍ평가ㆍ관리 구체화</strong>: 금융회사는 정보처리 업무를 위탁한 제3자별로 재무건전성과 제공 서비스, 처리 정보의 종류ㆍ건수, 암호화ㆍ통신 방식, 사고대응 체계, 전산설비 등 주요 정보를 식별하고 반기 1회 이상 점검하여 최신 상태로 유지하여야 하며, 금융회사 업무나 금융소비자에게 중대한 영향을 미치는 제3자는 ‘주요 제3자’로 별도 지정하여 강화된 리스크 관리를 적용합니다.  제3자별 IT 리스크는 가이드라인이 제시하는 평가 항목과 체크리스트(IT 보안 정책ㆍ조직, 정보보안 관리, IT 안정성ㆍ연속성, 개인(신용)정보 관리체계, 평판 위험 등)에 따라 평가하고, 식별된 위험에는 보완조치를 하되 통제ㆍ경감ㆍ이전이 불가능한 경우에는 계약을 중단하거나 이사회가 유지 여부를 결정합니다.</div>

<table style="border-collapse:collapse; border:1pt solid #bbbbbb; width:95%; margin-left:24px;">
	<tbody>
		<tr>
			<td style="width:30%; border-bottom:1pt solid #bbbbbb; border-top:2pt solid #cc0000; background-color:#f2f2f2; border-left:none; border-right:1pt solid #bbbbbb; text-align:center; padding:8px 15px;" valign="middle"><span style="font-size:18px;"><strong>단계</strong></span></td>
			<td style="width:70%; border-bottom:1pt solid #bbbbbb; border-top:2pt solid #cc0000; background-color:#f2f2f2; border-left:none; border-right:1pt solid #bbbbbb; text-align:center; padding:8px 15px;" valign="middle"><span style="font-size:18px;"><strong>주요 내용</strong></span></td>
		</tr>
		<tr>
			<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:center; vertical-align:middle;"><span style="font-size:18px;">계약 전</span></td>
			<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:left; vertical-align:top;"><span style="font-size:18px;">현장실사 등을 통해 서비스 역량과 정보보호 관리체계를 검증하고, 위ㆍ수탁사 간 역할분담과 사고 발생 시 책임관계 등 필수 사항을 계약서에 반영</span></td>
		</tr>
		<tr>
			<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:center; vertical-align:middle;"><span style="font-size:18px;">계약 중</span></td>
			<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:left; vertical-align:top;"><span style="font-size:18px;">계약 이행 현황을 연 1회 이상 정기 점검하고, 시스템 중단 등에 대비한 비상대책, 업무연속성 유지를 위한 백업관리 체계, 계약 종료에 대비한 출구전략을 마련.  주요 제3자에 대해서는 반기 1회 이상의 IT 리스크 정기 평가, 비상대응ㆍ재해복구훈련 포함, 백업관리 적정성 연 1회 이상 점검, 대체가능 수단의 사전 검토ㆍ정기 점검을 추가</span></td>
		</tr>
		<tr>
			<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:center; vertical-align:middle;"><span style="font-size:18px;">종료 후</span></td>
			<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:left; vertical-align:top;"><span style="font-size:18px;">정보자산 반납, 접근권한 말소, 정보의 완전한 파기 등을 수행</span></td>
		</tr>
	</tbody>
</table>

<div style="text-align: justify;"><br />
가이드라인은 업권별 협회 등이 이를 기초로 모범규준을 제정하는 등의 방식으로 2026년 11월 이후 시행될 예정이며, 모범규준 제정과 금융회사 내규 반영, 조직ㆍ인력 개편 등 준비기간을 고려하여 실제 적용시기는 일부 조정될 수 있습니다.  이 과정에서 세부 내용과 시행 시기는 업권별로 달라지거나 수정될 수 있으므로, 금융회사는 소속 업권 협회의 모범규준 제정 동향을 함께 확인할 필요가 있습니다.<br />
<br />
금융감독원은 업권별 협회 등과 함께 가이드라인 이행 실태를 점검ㆍ평가할 계획입니다.  금융회사는 정보처리 업무위탁 현황을 전수 파악하여 총괄관리부서를 지정하고, 관리정책의 이사회 의결과 주요 제3자 지정 기준, 평가 체크리스트 운영 방안을 마련할 필요가 있습니다.  특히 기존 위ㆍ수탁계약에 역할분담ㆍ책임관계 등 필수 사항을 누락하지 않았는지를 점검하고 갱신 시 이를 반영할 필요가 있습니다.<br />
<br />
※ 참고 보도자료: <a href="https://www.fss.or.kr/fss/bbs/B0000188/view.do?nttId=219833&menuNo=200218" target="_blank"><span style="color:#2980b9;">금융감독원, 「금융회사의 제3자 IT 리스크 관리 가이드라인」 마련(2026. 7. 29.)</span></a></div>

Issue Briefing [금융규제] 「펀드 핵심위험 표준안」 도입 — 고위험 펀드의 핵심 투자위험 · 과거 손실내역 공시 2026.09.03

Issue Briefing [금융규제] 「특정금융정보법 시행령」 개정 — 가상자산사업자 신고제 강화 2026.09.03

목록으로

JIPYONG 법무법인[유] 지평

관련 업무분야

관련 구성원

관련 업무분야

관련 구성원

SHARE

면책공고

유한책임