지난 해 11월 18일 유럽은행감독청, 유럽보험연금감독청, 유럽증권시장감독청은 디지털 운영 복원력법(DORA)에 따라 19개 ICT(정보통신기술) 제3자 서비스 제공자를 중요 제공자(CTPP)로 지정했다. 금융회사에 클라우드 컴퓨팅, 데이터 처리, 통신서비스를 제공하는 기술기업들이 감독당국의 직접 감독대상이 된 것이다.
2025년 1월 17일부터 적용된 DORA는 금융시스템에 미치는 영향, 금융회사의 핵심 기능 지원 여부, 대체가능성 등을 기준으로 중요 제공자를 지정한다. 이들은 감독당국의 자료제출 요구와 조사, 현장검사를 받는다. 요구에 불응시 전년도 전 세계 일평균 매출액의 최대 1%에 해당하는 이행강제금이 하루 단위로 최대 6개월 부과될 수 있다.
이는 2008년 금융위기 이후 '시스템적으로 중요한 금융기관(SIFI)'을 지정해 관리해 온 것과 유사하다. 다만 DORA는 금융시스템의 중요성 판단기준을 기술 인프라까지 확장했다. 금융회사들이 동일한 클라우드 사업자에 의존한다면 한 곳의 장애가 금융시장 전체의 시스템 리스크로 확산될 수 있기 때문이다.
국내도 금융회사의 기술 의존은 클라우드를 넘어 생성형 AI(인공지능), AI 에이전트, 데이터 분석 플랫폼으로 확대되고 있다. 망분리 규제 완화로 관련 기술의 활용은 더욱 늘어날 전망이다. 금융시스템의 안정성이 이제 금융회사 내부뿐 아니라 외부 기술 인프라의 안정성에도 좌우되는 것이다.
이런 점에서 금융위원회와 금융감독원이 올해 7월 발표한 '금융회사의 제3자 IT(정보기술) 리스크 관리 가이드라인'은 의미 있는 출발이다. 이사회 책임과 총괄관리체계를 마련하고 주요 제3자에 대한 차등적 리스크 관리를 제시했다.
그러나 금융회사의 자율적 위험관리 중심체계로는 주요 ICT 제공자에 대한 직접 감독과 금융권 전체의 집중위험 관리에 한계가 있다. 개별 금융회사가 정교하게 위험을 관리해도 여러 회사가 동일한 기술 인프라에 의존하는 구조적 집중위험까지 통제할 수는 없기 때문이다. 금융회사에 리스크 관리를 요구하면서 정작 위험을 만들어내는 시장 구조는 감독의 사각지대에 있는 셈이다.
이제 감독의 경계를 넓혀야 한다. 첫째, 금융시스템에 중대한 영향을 미치는 핵심 ICT 제공자를 위험에 비례해 지정하고 국내외 기업을 직접 감독할 법적 근거를 마련해야 한다. 둘째, ICT기업 직접 감독은 금융서비스의 복원력에 초점을 맞추되 금융회사의 리스크관리 책임이 경감되어서는 안된다. 셋째, 금융권 전체의 기술 의존도와 수탁구조 등을 파악해 집중위험정보를 수집·측정해야 한다. 넷째, 금융권 공동 복원력 테스트를 정례화하고, 금융권이 참여하는 실질적인 대체서비스 전환 훈련을 실시해야 한다. 넷째, 데이터 이동성과 기술적 상호운용성을 높여 사업자 대체가능성을 확보해야 한다. 마지막으로 해외 사업자에 대해서는 국제 감독협력과 국내 금융회사와의 계약상 통제수단도 확보해야 한다.
독자들의 PICK
지금 505명 읽는 중
금융의 디지털 전환은 기술 인프라에 대한 신뢰 없이는 지속될 수 없다. 디지털 금융시대의 감독은 금융회사의 건전성을 넘어 기술인프라의 복원력까지 살펴야 할 것이다.
