이찬진, 해킹 사고 'CEO 책임론' 파장…은행 연말 인사 최대 변수로

[아이뉴스24 임우섭 기자] 은행권 해킹사고 파장이 최고경영자(CEO)의 책임 문제를 넘어 연말 인사로 번질 조짐이다. 이찬진 금융감독원장이 책무구조도에 따른 CEO의 내부통제 관리책임을 본격적으로 따져보겠다고 밝히면서다. 올해 말 5대 은행장의 임기가 일제히 만료되는 만큼 실제 제재 여부와 관계없이 보안사고 대응과 관리책임이 연임 심사의 새로운 변수로 떠올랐다.

20일 금융권에 따르면 이 원장은 전날 국회 정무위원회 국정감사에서 은행권 해킹사고와 관련해 "내부통제 기준 관리의무와 관련해 사이버보안 해킹 사건에서 최초로 CEO의 책임 문제가 다뤄지는 사안이 될 것"이라고 밝혔다. 이를 두고 일각에서는 중징계를 예고한 것이 아니냐는 해석이 나온다.

이 원장은 금융회사 보안 취약점에 대한 점검도 확대하겠다고 했다. 금감원은 취약 부문을 중심으로 표본조사를 진행한 데 이어 전수조사에 준하는 수준으로 점검을 확대할 방침이다. 해킹사고의 원인 규명과 함께 경영진의 내부통제 관리의무 이행 여부가 주요 쟁점이 될 전망이다.

최근 신한은행에서는 대출모집인 관련 조회시스템을 통해 약 2만5000명의 개인정보가 유출됐다. KB국민은행과 하나은행에서도 개인정보 유출 사고가 발생하면서 외부 시스템의 접근권한 관리와 사고 대응체계에 대한 문제가 제기됐다.

책무구조도는 임원별 내부통제와 위험관리 책무를 명확히 하고 대표이사에게 총괄 관리의무를 부여하는 제도다. 은행장이 보안 업무를 직접 담당하지 않더라도 정보보호최고책임자(CISO) 등 담당 임원의 책무 이행을 적절히 관리했는지가 책임 판단의 대상이 될 수 있다.

실제 제재 여부는 사고 발생 이전의 관리체계와 경영진의 대응에 달려 있다. 보안 취약점을 사전에 보고받았는지, 예방조치와 개선 지시가 이뤄졌는지, 필요한 인력과 예산을 배정했는지 등이 판단 기준이 될 수 있다. 은행장이 관리의무를 이행하기 위해 상당한 주의를 기울였는지도 확인해야 한다.

법조계에서는 단일 해킹사고를 은행장의 책무 위반으로 직접 연결하기는 쉽지 않다는 평가가 나온다. 사고가 발생했다는 사실만으로 관리의무 위반이 성립하는 것은 아니며 기존 위험에 대한 대응과 내부통제체계의 운영 실태를 종합적으로 따져봐야 한다는 것이다.

김시목 법무법인 화우 변호사는 "해킹이나 개인정보 유출 등 금융사고가 발생했다고 해서 이를 곧바로 은행장의 책무 위반으로 연결하기는 어렵다"며 "과거와 유사한 사고가 반복됐는데도 개선이나 보완이 이뤄지지 않았다면 CEO의 내부통제 관리책임을 문제 삼을 여지가 커진다"고 말했다.

제재 결과가 나오기 까지는 상당 기간이 걸릴 것으로 보인다. 해킹 사고 조사만 수개월이 소요될 것으로 예상되기 때문이다.

다만 금융지주들은 차기 은행장 후보의 경영성과와 내부통제 관리 역량 등을 종합적으로 평가하는 만큼 공식 제재가 확정되지 않더라도 보안사고 대응 실적이 후보 검증에 반영될 가능성이 있다.

이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장 등 5대 은행장의 임기는 모두 오는 12월 31일 만료된다.

한 시중은행 관계자는 "책무구조도에 따라 은행장 개인에 대한 제재가 이뤄지지 않더라도 금감원장이 직접 경영진의 관리책임을 지적한 만큼 금융지주 임원후보추천위원회나 이사회에서도 이를 가볍게 보지는 않을 것"이라며 "해킹사고에 대한 관리책임과 대응 실적이 연임 심사의 감점 요인으로 작용할 가능성이 있다"고 말했다.