해킹사고 은행장 제재… 연임 발목 잡나

해킹사고로 고객정보가 유출된 시중은행 CEO(최고경영자)가 금융회사지배구조법의 책무구조도에 따른 첫 제재 대상에 오를 것으로 보인다. 해킹으로 297만명의 정보가 유출된 롯데카드 전 대표가 중징계를 받은 사례는 있지만 이는 책무구조도에 따른 제재는 아니었다. 은행장에 대한 징계 수위는 올 연말 차기 행장 선임 구도에도 중대 변수가 될 전망이다.

20일 금융당국 등에 따르면 지난 9월말 전후로 발생한 금융권 해킹사고가 은행장 제재 이슈로 확산하고 있다. 이찬진 금융감독원장이 지난 19일 국정감사에서 "내부통제 관리의무가 있는 사이버보안 해킹사고와 관련된, 아마 최초의 CEO에 관한 책임문제가 다뤄지는 사안이 될 것"이라는 입장을 내비쳐서다. 금감원은 해킹사고가 터진 신한은행, KB국민은행 등에 대한 현장검사를 진행 중이다.

금융당국은 지배구조법상 CEO의 '내부통제 관리의무 위반' 사항이 있는 것으로 잠정 판단하고 있다. 금융회사들은 책무구조도에 따라 주요 업무에 대해 임원별로 내부통제에 대한 책임을 명확히 배분한다. 특히 은행권은 지난해부터 책무구조도를 먼저 시행했는데 내부통제에 대한 총괄책임은 행장에게 있다.

해킹사고로 CEO가 제재를 받은 사례는 없지 않다. 금융당국은 지난 7월 조좌진 전 롯데카드 대표에 대해 문책경고를 내렸다. 3년간 금융회사 재취업이 금지되는 중징계지만 제재 근거법은 신용정보법이었다. 롯데카드 고객 297만명의 정보유출은 지난해 발생했으나 카드사의 경우 책무구조도가 올해 7월 시행돼서다. 이에 따라 조 전대표는 지배구조법이 아닌 신용정보법으로 제재를 받았다.

다만 행장이 지배구조법상의 첫 제재를 받을 수 있는지는 쟁점이 많다는 분석이 제기된다. 내부통제 관리의무가 광범위한 만큼 금융당국은 2024년 별도로 CEO의 제재 운용지침을 마련해 공개했다.

이 운용지침에 따르면 CEO 제재를 위해선 위법행위의 중대성이 인정돼야 한다. 중대성의 세부 판단 요소로 △관리의무 미이행 △지시·묵인 또는 조장·방치 △광범위 또는 조직적·집중적 위법행위 △장기간 또는 반복적 위법 △위법행위 발생 가능성에 대한 문제제기 △대규모 고객 피해 발생 △건전경영에 중대한 저해 △금융시장 신뢰·질서 훼손 8가지의 세부 요소가 있다. 이 가운데 1개 이상 해당해야 한다.

금융권 관계자는 "대규모로 고객 피해가 발생했다고 보기 어렵고 유출규모가 비교적 큰 신한은행조차도 장기간 반복적으로 벌어진 일이 아니었다"면서 "하루 수천 건의 해킹공격을 막아내면서 메인 서버가 아닌 '쪽문' 공격까지 못 막아냈다고 CEO를 제재하는 것은 과도한 측면이 있다"고 말했다. 롯데카드는 카드 비밀정보나 유효기간 등 핵심 거래정보가 유출된 반면 은행들은 계좌 비밀번호나 거래정보는 유출되지 않았다.

다만 이억원 금융위원장도 "AI(인공지능) 해킹 위협이 점증하고 있는데 (금융회사의) 대응방식은 기본적인 부분도 미흡하다"고 강도 높게 비판했다는 점에서 금융권과 인식차이는 있다.

행장 첫 제재 가능성이 언급되는 것 자체만으로 연말 차기 행장 선임에 돌발변수가 될 수 있다는 분석도 나온다.

5대 은행장의 임기가 연말 일제히 만료됨에 따라 금융지주회사들은 차기 행장 선임작업에 착수했다. 5년 만에 행장이 국감 증인으로 채택된 만큼 정보유출 사고의 파장이 작지 않다. 금융지주 사외이사들이 차기 행장 선임에 이를 고려할 수밖에 없다는 지적이다.