해외업체가 국내 전산센터 업그레이드…국외위탁 해당 안돼

<대한금융신문=문혜정 기자> 내년부터 ‘금융회사의 정보처리 및 전산설비 위탁에 관한 규정’(이하 IT위탁규정)에 따라 금융회사들은 제3자 및 국외 IT업무 위탁이 본격화될 전망이다.

우리나라는 지난해 6월 ‘금융회사의 정보처리 및 전산설비 위탁에 관한 규정’(이하 ‘IT위탁규정’)이 제정·시행됐으며 올해 4월에는 IT위탁규정에 따라 금융위원회에서 한국씨티은행의 전산설비 국외위탁을 승인한 첫 사례가 나왔다.

하지만 국내에서 IT위탁규정이 실행된지 얼마 되지 않아 참고할 만한 사례가 거의 없고 규정도 불분명해 IT위탁을 원하는 금융사들이 난항을 겪고 있다.

본지는 금융회사들이 아리송하게 생각하는 IT위탁규정 적용대상 및 사후보고 업무에 대해 금융당국의 답변을 정리해봤다.

우선 IT부서가 아닌 타 부서에서 처리하는 업무 위탁도 IT위탁에 해당될까.

정보처리 업무는 금융업을 영위하기 위해 IT전담부서 및 IT인력들이 처리하는 업무를 지칭한다. 때문에 타부서의 업무는 기본적으로 IT위탁에 해당되지 않는다.

단 IT인력이 처리한다고 해도 회계의 상호비교 및 대조 업무(대사업무), 수익계정 항목의 무결성 점검 및 손익 내부보고 등의 업무는 일반 업무위탁 규정이 적용될 수 있다.

반대로 IT전담부서 및 IT인력이 아닌 일반부서 직원이 IT업무를 수행하는 경우는 금감원과 사전협의가 필요하다.

전산시스템 개발을 위한 외주용역은 단순 개발업무 인력일 경우 IT위탁규정의 적용 대상이 아니다.

유지보수를 포함한 전산시스템 개발 외주용역은 통상적으로 IT위탁규정 적용 대상이지만 용역 계약이 단순히 전산시스템 개발 업무에 한정되고 전산시스템 테스트 시 실제 이용자 정보를 사용하지 않는 경우 적용되지 않는다.

한국에 위치한 전산센터의 IT시스템을 글로벌 IT업체가 업그레이드 하는 경우 또한 IT국외위탁이라고 볼 수 없다.

금융당국에 따르면 이는 전산센터가 한국에 위치해 있기 때문에 전산설비의 해외위탁이 아니다.

단 서버 업그레이드 등 IT유지보수 업무는 금융거래정보의 이관 및 저장 등 정보처리가 요구되는 사항으로 IT위탁규정 제4조에 따라 금융감독원장에게 보고해야 한다.

장외파생상품 거래확인시스템(MarkitWire), 외환거래확인시스템(FXALL), 외국환 청산업무 처리시스템 등 외국의 거래확인 시스템를 사용하는 경우도 IT위탁에 해당되지 않는다.

이는 금융회사가 인가받은 금융업을 영위하기 위해 직접 운영하는 시스템이 아니며 고객의 금융거래 정보 또한 포함돼 있지 않기 때문에 IT위탁규정의 적용 대상이 아니다.

IT위탁규정 개시일 이전에 보고했던 사항에서 계약 내용이 일부 변경되는 경우 내용의 중요도에 따라 사전승인이 아닌 사후 보고가 가능하다.

IT위탁규정에 따르면 계약 상대자나 전산설비가 변경되는 등 주요한 변경이 아닌 경우 계약내용의 경미한 변경으로 해석한 것이다.

예를 들어 해외본사에 위탁하던 기간 및 비용 변경, 파생상품 시스템 교체, 위탁 종료기간 도래에 따른 기존 계약자와 동일한 자동 갱신계약 등이다. 단 전산설비가 해외 위탁으로 변경되는 경우와 같이 중요도가 높은 사안은 금융위원회의 승인 대상이다.

또 해당 금융회사 또는 동일한 금융업을 영위하는 다른 금융회사가 금융감독원장에게 보고한 내용과 동일한 사안일 경우도 IT위탁규정 제7조 제1항에 따라 사전보고를 생략하고 반기 현황을 해당 연도 7월말 또는 이듬해 1월 말까지 보고할 수 있다.

한편 전산설비의 안전한 관리를 위해 외부 인터넷데이터센터(IDC)의 상면임차(상부면적 임차)를 하는 경우는 IT위탁규정에 적용되지 않는다.

금융당국은 “금융회사 소유의 전산설비 안전관리를 위해 외부 전문기업의 IDC에 단순히 서버공간만 임차하는 경우 IT위탁규정에 해당되지 않으며 기존 ‘금융기관의 업무위탁 등에 관한 규정’에 따라 조치하는 것이 적정하다”며 “단 외국에 있는 IDC를 임차할 때는 전산설비의 관리도 국외에 위탁해야 하기 때문에 IT위탁규정 제6조(전산설비의 국외위탁)에 따른 금융위원회의 승인이 필요하다”고 말했다.