Recent Developments

전자지급결제대행업자(PG업자)의 정산자금 외부관리 의무화 등 관련 규제를 강화하는 내용의 「전자금융거래법」 개정안이 2025.11.27. 국회 본회의를 통과하였습니다. 지난해 7월 발생한 이른바 티메프 미정산 사태 이후, PG업자가 판매자 정산 또는 이용자 환불을 위해 일시적으로 보유하는 금원이 사실상 보호 장치 없이 운영되어 왔다는 문제의식이 확대되었고, 이에 따라 선불 충전금과 유사하게 PG업자의 정산자금 외부관리 의무화를 골자로 한 개정이 이루어진 것입니다. 그 구체적인 내용은 다음과 같습니다. I. 개정 전자금융거래법의 주요 내용     1. 대주주 변경 시 변경 허가∙등록 제도 신설(제33조의3)         개정 전자금융거래법은 부적격 대주주가 PG업자를 인수하여 시장에 우회적으로 진입하는 것을 방지하기 위해 대주주 변경 허가·등록 의무를 신설하였습니다.         이에 따라 PG업자 등 전자금융업자는 대주주가 변경되는 경우 15일 이내에 변경 허가·등록을 하여야 합니다. 변경된 대주주가 결격 사유에 해당하여 변경 허가·등록을 받지 못하였음에도 불구하고 영업을 하는 경우에는 해당 업체의 허가·등록을 취소할 수 있도록 근거도 마련되었습니다.     2. PG업자의 정산자금 외부관리 의무화(제25조의4 및 제25조의5)         PG업자로 하여금 판매자 등에게 대가를 정산하거나 이용자에게 환불하기 위해 보유하는 자금(정산자금)을 예치, 신탁, 지급보증 등의 방법으로 안전하게 운용하도록 하고, 정산자금의 양도ㆍ담보 제공과 제3자의 상계 및 압류를 금지하였습니다. 만약 PG업자가 외부 관리하는 정산자금을 다른 목적으로 사용한 경우 10년 이하의 징역 또는 1억 원 이하의 벌금에 처해질 수 있습니다.         다만 업계의 준비 부담을 고려하여 공포 후 1년의 경과 기간을 부여하고 공포 1년 후 시행 시 외부관리 비율은 60%로 시작하여 매년 20%씩 단계적으로 상향하도록 하여 실무적 대응 기간을 부여하였습니다.     3. PG업자의 정산 기한 준수 의무 명시(제36조의3)         지급 결제 안정성 강화를 위해 계약 등에서 정한 기한 내에 판매 대금을 정산·지급하도록 하는 행위 규칙을 신설하였습니다. 당초에는 위반 시 곧바로 과태료를 부과하는 방안이 논의되었으나, 정산 기한 준수는 기본적으로 사법상 의무임을 감안하여, 금융위원회가 미정산 행위에 대해 시정 명령을 내리고 시정 명령 불이행 시 과태료 부과가 가능하도록 조정되었습니다.     4. 전자금융업자의 자본금 요건 강화 및 경영 지도 기준 미준수에 대한 제재 수단 마련(제30조, 제42조제3항)         개정법은 PG업자의 분기별 결제 대행 규모가 300억 원을 초과하는 경우에는 자본금을 현행 10억 원에서 20억 원으로 상향하는 한편, 전자금융업자가 경영 지도 기준을 준수하지 않는 경우 금융위원회가 시정 조치를 요구할 수 있고, 불이행 시 영업 정지·등록 취소 등 제재를 할 수 있도록 하는 규정을 신설하였습니다. 이는 개별 사업자가 지도 기준을 준수하지 않는 경우에도 금융 당국이 이를 강제할 수 있는 조치 수단이 없다는 우려가 반영된 개정으로서, 금번 개정에서 실질적 관리·감독 수단을 마련한 것입니다.     5. PG업자에서 내부 정산 영위 업체 명시적 제외(제2조, 제3조제4항)         PG업자의 범위에서 판매 중개 등 다른 업무를 영위하는 과정에서 부수적으로 대가를 수수하여 정산을 대행하는 경우가 명시적으로 제외되었습니다.         정부는 2024.9. 「티메프 사태 재발 방지를 위한 전자 지급 결제 대행(PG)업 제도 개선안」을 통해 대규모 유통업자, 통신 판매 중개업자 등 자기 사업을 위하여 내부 정산을 영위하는 업체는 규제 대상에서 제외한다는 방침을 발표한 바 있고, 금융 감독원도 2025.9. 비조치 의견서를 통해 동일한 입장을 제시한 바 있습니다.         구체적으로, 개정 전자금융거래법 제3조제4항은 「대규모유통업법」, 「전자상거래법」, 「가맹사업법」, 「여객자동차운수사업법」 등에 따라 영위되는 업무 과정에서 부수적으로 대가 정산을 대행하는 경우를 법 적용 범위에서 제외하도록 하였습니다.         이에 따라 기존에 판매 중개 등 과정에서 내부 정산을 수행하여 PG업자로 분류되던 전자상거래업체 등은 PG업자 등록 의무가 면제될 수 있습니다.     6. 시행일         개정 전자금융거래법은 정부로 이송되어 공포된 후, 그날로부터 1년이 경과한 2026년 12월경부터 시행될 예정입니다 II. 시사점     지난 2023년 선불업 규제 강화에 이어 이번 개정을 통해 PG업자뿐 아니라 전자금융업자 전반에 대해 규제가 강화되었습니다. 전자금융업을 영위하고 있거나 전자금융업 영위를 준비하고 있는 사업자들은 이에 대한 철저한 사전 점검과 대비가 필요합니다.     특히 전자금융업자에 대해서 대주주 변경 제도가 도입됨에 따라 전자금융업에 관한 인수∙합병 시 관련 허가∙등록의 승인 가능성 및 소요 시간 등에 유의할 필요가 있습니다.     또한 PG업자에 대한 자본금 요건 강화, 정산 자금 외부 관리 의무화 등 PG업자의 건전성 감독 및 이용자 자금 보호 측면에서 상당히 높은 수준의 규제가 도입되었습니다. 따라서 PG업자로서는 변경되는 기준에 따른 의무 이행을 단계적으로 충실히 하는 한편, 그 재무적 영향과 효과 등을 사전에 점검하실 필요가 있겠습니다. 그리고 PG업자를 포함한 전자금융업자에 대해 경영 지도 기준 미준수 시 제재 수단이 마련되었으므로 경영 지도 기준을 상시 준수할 수 있도록 더욱 유의할 필요가 있습니다.     아울러 내부 정산 영위 업체의 PG업자 제외가 명문화되었으므로, 그동안 PG업자로 분류되어 규제를 받던 전자상거래업체 등 사업자들은 개정법에 따르는 경우 PG업자에서 제외되어 관련 규제를 적용받지 않게 될 것이므로 그에 따른 내부 시스템 변경 등을 점검할 필요가 있겠습니다. 법무법인(유) 광장의 디지털 금융팀은 「전자금융거래법」 관련 다양한 법률 이슈 및 쟁점에 대해 풍부한 자문 경험을 보유하고 있습니다. 위 내용과 관련하여 전문적 검토나 지원이 필요하신 경우, 언제든지 법무법인(유) 광장의 디지털 금융팀으로 문의하여 주시기 바랍니다.  

금융감독원은 2025년 9월 10일 ｢전자지급결제대행업자(PG사) 정산자금 외부 관리 가이드라인｣(본건 가이드라인)을 도입하였습니다. 이는 2024년 7월 발생한 소위 '티몬ㆍ위메프'의 대규모 정산 지연 사태를 계기로 시작된, PG사가 보유하는 정산자금 보호 체계 강화 정책의 일환입니다. 현재 국회에는 PG사의 정산자금 외부 관리 의무화 등을 골자로 하는 ｢전자금융거래법｣ 개정안(의안 번호: 2205153, 전자금융거래법 개정안)이 계류 중에 있는데, 금융감독원은 위 개정안 통과ㆍ시행 전에도 판매자 보호에 공백이 없도록 본건 가이드라인을 도입한 것입니다. 본건 가이드라인은 PG사의 정산자금에 대한 외부 관리 의무를 규정하면서, (외부 관리의 대상인) 정산자금의 산정 → 외부 관리 방법 → (유사 시) 지급 방법에 대하여 상세히 규정하고 있습니다. 그 주요 내용은 다음과 같습니다. 1. 본건 가이드라인의 주요 내용     ■ 정산자금의 범위 및 산정 방법         본건 가이드라인은 PG사가 보호해야 할 정산자금의 범위를 상세히 정하고 있는데, PG 영업 과정에서 보유하는 정산자금과 결제 취소 등으로 이용자에게 환불할 금액은 물론, 직불업, 선불업, 결제대금 예치업, 전자고지 결제업 등 정산자금 관리가 수반되는 영업에서 발생하는 금액도 그 범위에 포함시키고 있다는 점에 유의하여야 합니다. 그 구체적인 범위는 아래 표와 같습니다.     ■ 정산자금의 외부 관리 의무         본건 가이드라인은 PG사로 하여금 산정된 정산자금 총액의 60% 이상(대규모 유통업, 통신판매 중개업, 가맹사업, 여객자동차터미널사업에 부수한 PG업만 영위하는 경우 30% 이상)을 신탁 또는 지급보증보험 방식으로 외부 관리하고 부족 금액은 다음 영업일까지 보완하도록 하고 있습니다.         외부 관리 방법(신탁 또는 지급보증보험 가입)에 따라 관리 주체가 달라지며, 운용 방법은 안전한 방법으로 제한되는데, 관리 주체에 따라 안전한 방법의 수준에도 다소 차이가 있습니다. 그 개략적인 내용은 다음과 같습니다.     ■ 지급 방법 및 절차         본건 가이드라인은 PG사에 파산, 회생 절차 개시 등 ‘지급 사유’가 발생하는 경우, 정산자금의 외부 관리를 담당하는 은행, 보험사 등(정산자금 관리 기관)이 판매자의 직접적인 지급 청구에 따라 정산자금을 지급하도록 하였습니다. 또한, 판매자가 이러한 보호 절차를 충분히 인지하고 권리를 행사할 수 있도록, PG사에게는 일정한 고지 의무가 부과됩니다. 그 구체적인 내용은 다음과 같습니다.     ■ 전면 시행 일정         본건 가이드라인은 2025년 9월 10일 시행되었지만, PG사의 전산 개발, 신탁ㆍ지급보증보험 계약 체결 등을 위한 이행 준비에 필요한 기간을 고려하여 유예 기간을 두고, 2026년 1월 1일부터 전면 시행될 예정입니다. 2. 시사점 및 유의 사항     본건 가이드라인의 직접 적용 대상은 184개 PG사(2025년 9월 3일 기준)입니다.     본건 가이드라인은 은행 정지 도로 도입되었으나, 국회에 제출된 전자금융거래법의 개정 및 시행 전까지 판매자 등의 보호에 공백이 없도록 하는 취지에서도 도입된 만큼, PG사들로서는 이를 준수하기 위한 준비를 할 필요가 있습니다.     우선 PG사는 당해 PG사에 적용될 외부 관리 비율을 확인하고, PG업 외의 선불업 등 다른 영업 등에 따른 정산 금액도 확인하여 외부 관리 의무의 적용 대상인 정산자금의 총액을 산정할 필요가 있습니다. 또한 신탁 또는 지급보증보험 방식 중 어느 방식을 취하는지에 따라 수수료 등 비용, 운용 범위 등에서 차이가 있으므로, 이를 고려하여 외부 관리 방식을 선택할 필요가 있습니다.     아울러 금융 당국은 궁극적으로는 정산자금의 100%를 외부 관리하도록 하되, PG사들의 규제 준수 부담을 고려하여 단계적으로 외부 관리 비율을 상향하는 내용을 담은 정책 방향을 발표하였으므로, 지속적으로 본건 가이드라인의 개정 및 전자금융거래법 개정안의 국회 심의 과정에도 관심을 기울일 필요가 있습니다. 법무법인(유) 광장의 디지털금융팀은 디지털 자산 관련 국내외의 다양한 법률 쟁점에 대한 검토 경험을 갖춘 전문가들로 구성되어, 관련 각종 법률 이슈에 대하여 심층적인 자문을 제공해 오고 있습니다. 이와 관련하여 도움이 필요하신 경우 언제든지 법무법인(유) 광장의 디지털금융팀으로 연락 주시기 바랍니다.  

1. 미국 스테이블코인 규제 동향     미국 하원은 2025.7.17. 소위 ‘크립토 3법’이라고 불리는 「지니어스 법」(Guiding and Establishing National Innovation for U.S. Stablecoins Act), 「클래리티 법안」(Digital Asset Market Clarity Act of 2025), 「CBDC 금지 법안」(Anti-CBDC Surveillance State Act)을 통과시켰습니다.     「지니어스 법」은 상원에서 발의된 법안이므로 하원 통과로 국회 절차가 종료되었고, 트럼프 대통령이 2025.7.18. 법안에 서명함으로써 입법 절차가 완료되었습니다. 「클래리티 법안」과 CBDC(Central Bank Digital Currency) 금지 법안은 하원에서 발의된 법안으로, 상원 심의를 위해 이송되었습니다.     「지니어스 법」은 스테이블코인의 발행 및 감독을 위한 규제법으로, 미국 최초의 스테이블코인 연방 규제 체계를 구축했다는 점에서 의의가 깊습니다. 특히 이는 트럼프 행정부가 추진 중인 디지털 자산에 대한 포괄적인 규제 체계 구축을 위한 일련의 개혁 과제 중 가장 중요한 것입니다.     트럼프 행정부는 「지니어스 법」을 통해 스테이블코인에 대한 규제 체계를 갖추는 한편, 「CBDC 금지 법안」을 통해 미국 연방준비은행(Federal Reserve Bank)의 CBDC의 발행과 운영을 금지함으로써 민간 발행 스테이블코인의 활성화에 집중하겠다는 의지를 분명히 하였습니다. 또한 「클래리티 법안」은 디지털 자산의 분류 및 그 감독 기관을 명확히 하여 SEC와 CFTC의 중복 규제로 인한 혼선을 미연에 방지하고자 합니다. 2. 크립토 3법의 주요 내용     1) 「클래리티 법안」 – 상원 심의 중         「클래리티 법안」은 디지털 자산의 분류와 그에 따른 규율 체계를 명확히 하는 것에 중점을 둔 법안입니다. 특히 프로젝트 초기 단계에서 1년 내 7,500만 달러 이내의 경우, 백서 등 일정한 공시 의무 등을 준수하여 SEC 등록 없이 디지털 자산을 통한 자금 조달이 가능하며, 이후 성숙한 블록체인 시스템(Mature blockchain system) 인증을 통해 SEC 규제에서 벗어나 CFTC의 관할 범위로 완전히 포섭될 수 있도록 하였습니다.             2)「CBDC 금지 법안」 – 상원 심의 중         「CBDC 금지 법안」은 연방준비은행의 CBDC 직∙간접 발행은 물론, 연방준비제도이사회(The Board of Governors of the Federal Reserve System)의 포괄적인 CBDC 이용이나 연구∙개발 등도 금지하고 있습니다. 통상 중앙은행이 발행하는 CBDC는 민간이 발행하는 스테이블코인과 상호 경쟁 관계에 있으며, 중앙은행의 발권력과 신뢰도를 고려해볼 때, CBDC가 발행되면 민간이 발행하는 스테이블코인은 그 발행 및 이용이 크게 위축될 우려가 있습니다. 따라서 「CBDC 금지 법안」은 연방준비은행의 CBDC 발행을 금지하여, 민간 주도 스테이블코인의 발행 및 이용을 촉진하고자 마련되었습니다.             3) 「지니어스 법」 – 입법 완료         「지니어스 법」은 미국 최초로 스테이블코인에 대한 연방 규제 체계를 구축한 법입니다. 「지니어스 법」은 스테이블코인을 규제하기 위한 법이지만, 스테이블코인을 제도권으로 수용하고 이용자를 보호하기 위한 법적 기반을 마련하였다는 점에서, 스테이블코인의 발전을 위한 목적에서도 입된 것으로 인식되고 있습니다. 「지니어스 법」은 스테이블코인 발행자의 자격을 제한하고, 준비금을 미국 달러나 단기 국채 등 유동 자산으로 준비하고 그 내역을 정기적으로 공개하도록 하여 스테이블코인의 신뢰도를 높이도록 하고 있습니다. 특히 발행자의 지불불능 시, 스테이블코인 보유자를 다른 채권자보다 우선하도록 하여, 스테이블코인을 지급 수단에 준하여 보호함으로써, 스테이블코인을 활용한 지급 결제 시스템의 안정성을 보장하고 있습니다.         ​​​​​​​     ​​​​​​​        ​​​​​​​        ​​​​​​​    3. 시사점 및 사업자의 주안점     ■ 스테이블코인 시장에 미칠 영향         미국 달러화에 연동된 스테이블코인이 시장에서 대부분의 점유율을 차지하고 있는 상황에서, 미국 연방 차원의 규제 체계 수립은 전 세계 스테이블코인 시장에 상당한 변화를 가져올 것으로 예상됩니다. 특히 준비 자산의 구성 및 투명성과 관련해서, 미국 규제 당국으로부터 지적을 받은 바 있는 테더(USDT)와 관련한 사업을 영위하는 경우, 테더가 위 요건을 충족할 수 있을지 주목할 필요가 있습니다.     ■ 우리나라 규제 체계 수립에 미칠 영향         현재 국내에서는 스테이블코인의 규제 체계 수립에 대한 논의가 활발하게 이뤄지고 있습니다. 스테이블코인은 국경 간 지급 결제에의 활용 가능성도 염두에 두고 발행되므로, 각국 간 동등성 요건을 충족시키는 것이 중요하다는 점에서도, 「지니어스 법」은 국내 규제 수립 과정에서 주요한 참고자료로 활용될 것으로 예상됩니다. 특히 「지니어스 법」상 동등성 요건을 요구하는 발행자나 준비 자산 요건 등이 중요합니다. 아울러 은행 등 금융기관의 경우 직접 스테이블코인을 발행하는 대신 발행자를 자회사로 두도록 하고, 그 업무 범위를 제한하는 방식을 취한 것도 국내 규제 수립 시 참고할 수 있다는 점에서도 주목할 필요가 있습니다. 또한 「지니어스 법」의 “전통 은행 시스템의 안정 및 상환 보장을 위한 이자 지급 제한” 등의 논의 역시 한국의 관련 법령 제정에 있어서도 진지하게 고려될 수 있을 것으로 보입니다.         아울러 제도권으로 편입된 달러 연동 스테이블코인이 그 이용자의 신뢰를 기반으로 우리 일상생활이나 금융 활동 등 실물경제에 미치는 영향력이 확대될 경우, 원화 연동 스테이블코인 발행이나 해외 발행 스테이블코인 규제 체계 수립 등 국내 규제 체계 수립 속도나 수준에도 영향을 줄 수 있다고 예상됩니다.     ■ 스테이블코인 발행 준비 법인의 유의사항         스테이블코인 발행을 준비 중인 법인의 경우, 미국 시장으로의 진출 가능성도 고려하여 「지니어스 법」 외에도 (상원 논의 과정에서 수정될 가능성을 염두에 둘 필요는 있겠으나) 「클래리티 법안」상 요건 등에도 유의하여 거버넌스나 사업 구조 등을 준비할 필요가 있습니다. 특히 초기 조건부 등록 면제 발행이나 성숙한 블록체인 시스템 요건을 충족시킬 수 있을지 여부를 점검하며, 사업을 추진하시는 것이 필요합니다. 또한 아직 국내법상 스테이블코인 발행자에게 법상 자금세탁방지의무(AML/CFT) 적용이 이뤄지지는 않고 있으나, 스테이블코인 발행자에게도 자금세탁방지의무가 적용되는 것은 불가피한 글로벌 정책 방향으로 이해되므로, 글로벌 기준에 맞춘 자금세탁방지를 포함한 내부 통제 체계 구축을 준비할 필요가 있다고 판단됩니다. 또한 관련하여 특정 금융거래정보의 보고 및 이용 등에 관한 법률의 개정 가능성도 적지 않으므로, 관련 논의도 지속적으로 주목할 필요도 있어 보입니다.         그리고 「지니어스 법」으로 인하여 스테이블코인에 대한 논의가 국내외의 전체적인 지급결제에 대한 관점으로 점점 더 확장되고 있어, 자본금 기준 역시 종전 논의보다 상향되는 방향으로 논의가 진행될 수 있으므로, 이 부분 역시 지속적으로 확인할 필요가 있어 보입니다.         덧붙여 전반적인 법령의 제·개정 등 관련 제도의 정비와 신규 사업자의 인가에는 1\~3년의 시간은 소요될 수밖에 없는 것이지만, 정부 입장에서는 미국 스테이블코인의 국내 유통에 어느 정도 대응할 필요성이 있을 것이므로, 규제 샌드박스 제도 또는 시범 사업, 시범 사업자 선정 등을 통해 보다 빠른 시행을 도모할 가능성도 있다는 점도 염두에 둘 필요가 있습니다.     ■ 우리나라 외환 규제에 미칠 영향         현재 실무적으로 달러 표시 스테이블코인이 국경 간 송금이나 지급결제 등에 상당한 규모로 사용되고 있는 것으로 알려져 있습니다. 「지니어스 법」은 스테이블코인에 지급 수단에 준하는 규율 체계를 도입하고 있는 바, 향후 우리나라 외환 규제상 달러 표시 스테이블코인의 법적 성격이나 규제 체계 수립의 필요성 등에도 영향을 미칠 수 있다는 점에서, 주목할 필요가 있습니다. 이에 따라 우리나라의 외환 규제 측면에서도 관련 규제를 정비할 필요가 있어, 현재 진행되고 있는 디지털 자산 관련 법령 이외에 외국환거래법 개정도 지켜볼 필요가 있을 것으로 보입니다. 법무법인(유) 광장의 디지털금융팀은 디지털 자산 관련 국∙내외의 다양한 법률 쟁점에 대한 검토 경험을 갖춘 전문가들로 구성되어, 관련 각종 법률 이슈에 대하여 심층적인 자문을 제공해 오고 있습니다. 이와 관련하여 도움이 필요하신 경우 언제든지 법무법인(유) 광장의 디지털금융팀으로 연락 주시기 바랍니다.  

금융감독원이 마련한 「IT 감사 가이드라인」이 전 금융 권역에 배포되어 최근 시행을 개시하였습니다. 동 가이드라인은 금융감독원을 비롯한 금융협회, 저축은행중앙회, 핀테크산업협회로 구성된 TF에 의해 2025.2.13.자로 완성되었으며, 전 금융 권역에서 협회·중앙회별 내부 절차를 거쳐 2월 말에 배포 및 시행되었습니다. 「IT 감사 가이드라인」은 최근 ‘규칙 → 원칙 중심’의 규제 패러다임 전환으로 금융회사의 자율성 확대에 따라 금융회사 및 전자금융업자(이하, 금융회사 등)가 자체 IT 리스크에 상응하는 IT 내부 통제 체계 구축의 필요성이 증가하고 있는 상황에서 기준을 제시하기 위하여 마련된 것입니다. (‘규칙 → 원칙 중심’의 규제 패러다임 전환과 관련하여서는 본 뉴스레터에 첨부된 저희 법무법인의 지난 뉴스레터를 참고하여 주시기 바랍니다.) 지난 뉴스레터 바로가기: 디지털금융팀 2월 뉴스레터‘전자금융감독규정 개정 – 자율보안 토대 마련’ 「IT 감사 가이드라인」은 IT 리스크 평가에 기반한 3단계 IT 내부 통제 체계, 사각지대 없는 통제 범위 설정, IT 감사의 독립성 확보, 표준 IT 감사 방법론에 관한 내용을 포함하고 있는데, 이하에서 그 주요 내용에 관하여 살펴보겠습니다. 1. IT리스크 기반 내부통제체계의 수립     금융회사는 자체적으로 IT 리스크를 식별·분석하고 평가하여 IT 내부 통제 체계를 구성하여야 합니다. 이때 고려하여야 하는 ‘IT 리스크’는 정보통신기술과 관련한 법규의 위반, ICT 장애 및 기술의 오용, 전산사고 등으로 인한 직접적 손실, 평판 손상, 법적 청구 등 전산 시스템 및 전자금융 업무 전반에 대한 실질적·잠재적 위험으로, 금융회사 등은 전사적 리스크 관리와 연계하여 IT 리스크 평가를 수행하여야 합니다. 금융당국이 원칙적으로 예정한 IT 내부 통제 체계는 3단계로 구성되나, IT 조직이 소규모인 경우 등에 해당하면 3단계가 반드시 분리되어야 하는 것은 아닌 것으로 이해됩니다. 또한, 「IT 감사 가이드라인」에 따르면, IT 내부 통제를 외부에 위탁하여 IT 내부 통제 체계 수립·이행의 적정성을 감사하도록 하는 것도 가능합니다. 즉, 내부 인력으로 IT(자체) 감사를 수행하게 되는 경우 비용 부담 우려가 있다는 점 등을 고려하여, IT 내부 통제 업무의 외부 위탁(전문업체 등)도 가능하도록 한 것입니다. 3단계 IT 내부 통제 체계의 구체적인 내용은 다음과 같습니다. ■ 1단계 : IT 조직의 IT 내부통제 방안 수립 및 이행      T조직은 IT 업무(프로그램, 전산원장 변경 등) 전반에 걸쳐 통제 필요 사항에 대하여 법규 등에서 요구되는 IT 내부 통제 방안을 수립 및 이행하여야 합니다. ■ 2단계 : IT 조직 내 IT 자체감사인에 의한 IT자체감사     ① IT 자체 감사의 내용: 일상적 내부 통제 적정성 감사          IT 자체 감사는 IT 조직 내에서 기술적·실무적 전문성에 기반하여 소관 IT 업무의 일상적인 업무 영역에서의 IT 내부 통제 적정성을 자체 점검하는 것입니다. 즉, 금융회사 등은 IT 조직 및 환경, 규모 등을 고려하여 최고정보책임자(CIO: Chief Information Officer), 정보보호최고책임자(CISO: Chief Information Security Officer) 등 IT 부문 각 조직의 최고책임자 산하에 IT 자체 감사인을 임명하여 각 조직 소관 업무에 대한 IT 자체 감사를 실시하는 것입니다.     ② IT 자체 감사인의 지정 및 운용          IT 리스크 평가 결과에 따라 필요한 IT 조직의 경우 IT 자체 감사인을 지정·운용하여야 합니다. 이때 유의하여야 할 사항은 다음과 같습니다.          → (직무 분리 완화) 효과적인 직무 수행을 위하여 특정 인력이 IT 자체 감사 직무를 전담하는 것을 권고하나, 주기적으로 IT 자체 감사인을 순환 지정하는 등 IT 조직 내에서 유연한 운용이 가능하도록 하였습니다. 이는 IT 자체 감사 직무 수행 전후로 IT 개발·운영 업무 수행을 제한할 경우 IT 전문성 저하·경력 단절 우려에 관한 금융회사의 의견을 반영하여 IT 자체 감사인의 직무 분리 수준을 완화한 것입니다.          → (독립성 확보) IT 자체 감사 직무와 감사 대상 업무의 겸직을 금지하고, 본인이 수행한 업무에 대한 감사를 금지하는 등 IT 자체 감사인의 독립성을 확보하기 위한 조치는 취하여야 합니다. 즉, IT 자체 감사인도 원칙적으로 피감 업무 수행을 제한하여야 하나, 감사 자원이 적어 완전한 직무 분리가 어려운 경우에는 소속 조직 외 타 조직(최고책임자 책임 기준) 및 본인 업무에 대한 자체 감사를 제한하여 이해 상충을 방지하도록 한 것입니다.          → (소규모 IT 조직의 경우) IT 조직 규모가 작아서 IT 자체 감사인을 지정하기 곤란한 경우 IT 감사가 일상적 내부 통제 영역을 포함한 해당 조직의 IT 내부 통제 적정성 전반을 감사하여야 합니다. ■ 3단계 : 감사조직의 IT감사인을 통한 IT감사: 고위험 영역 내부통제 적정성 감사      내부 IT 환경에 대한 모니터링 및 IT 리스크 평가 결과에 따라 고위험 영역에 대하여 IT 내부 통제 적정성을 중점 감사하여야 합니다(일상적 영역은 IT 자체 감사에 위임하게 되는 것입니다). 이때 IT 감사인은 감사 혹은 감사위원회의 직접 지시를 받아야 하고, 감사 업무 수행 직전, 직후 IT 현업 부서에 대한 인사 이동을 제한하여 이해 상충을 방지하여야 합니다. 2. 표준 IT감사업무 방법론    「IT 감사 가이드라인」에서는 그간의 IT 검사 지적 사례 등을 참고하여 IT 감사 업무 수행 단계에 따라 준수하여야 할 주요 절차 등에 관한 업무 기준을 마련하였습니다. 구체적으로, IT 감사 업무는 ① 자체 IT 리스크 평가, ② 감사 자원 확보, ③ 감사 계획 수립, ④ 감사 실시, ⑤ 결과 보고, ⑥ 검사 결과의 환류의 단계로 구성됩니다. 감사 계획의 수립, 감사의 실시 및 보고 단계에서 유의하여야 하는 주요 사항은 다음과 같습니다.       3. 시사점     금융보안이 자율 보안 체계로 전환되는 과정에서 금융회사가 효율적인 IT 내부 통제 체계를 수립·운영하는 것은 매우 중요할 것으로 보입니다. 특히 자율 보안 체계로의 전환은 디지털 전환, IT 신기술 활용 확대 등의 상황에서 금융회사가 전사적 차원에서 IT 리스크를 대응할 수 있도록 하기 위함이라는 점을 고려하면, 그 목적과 취지에 맞게 IT 내부 통제 체계를 수립·운영할 필요가 있을 것입니다.       「IT 감사 가이드라인」은 행정지도 등 금융규제에 해당하지는 않으나 금융당국은 향후 서면 점검, IT 리스크 계량 평가 등을 통해 가이드라인 이행 여부를 관리할 예정이며 IT 실태 평가 시 기준으로 활용할 수 있습니다. 또한 이는 결국 전자금융 관련 사고 발생 시 금융회사가 관리 의무를 다하였는지의 문제로 연결되므로 자체 IT 리스크에 맞는 IT 내부 통제를 운영할 수 있도록 착실히 준비하여야 할 것입니다. 이때 각 금융회사는 협회·중앙회에서 배포하는 「IT 감사 가이드라인」 최종안과 함께, 금융감독원이 추후 발표할 예정인 우수 사례(Best-Practice) 등을 참고할 필요가 있겠습니다.       특히 각 금융회사마다 요구되는 내부 통제의 수준, 방법 등에서 차이가 있을 것이므로 IT 내부 통제의 취지, 목적, 방법론 등을 기준으로 금융회사의 자체 IT 리스크에 적합한 IT 내부 통제 체계를 확립하고 IT 운영·통제를 강화하는 것이 중요할 것으로 보입니다.   법무법인(유) 광장의 디지털 금융팀은 「전자금융거래법」, 금융 보안에 대한 업계 최고의 전문가들로 구성되어 있으며 IT 리스크 평가 등 계획 단계부터 감사 실시, 감사 결과의 환류까지 다양한 법률적 사항이나 쟁점들에 대하여 폭넓게 경험 및 자문을 해왔습니다. 위 내용과 관련하여 법률 전문가의 도움이 필요하신 경우 언제든지 법무법인(유) 광장의 디지털 금융팀으로 연락주시기 바랍니다.  

1. 들어가며     금융위원회는 지난 2월 13일 법인의 가상자산 시장 참여를 단계적으로 허용하는 정책 로드맵을 발표했습니다. 최근 「가상자산 이용자 보호법」 시행(2024. 7. 19.)으로 가상자산을 둘러싼 법적·제도적 환경이 다각도로 변화하고 있는 가운데, 이번 조치도 국내 가상자산 시장에 상당한 영향을 미칠 것으로 전망됩니다. 이번 뉴스레터에서는 해당 로드맵의 주요 내용에 대하여 안내해드리도록 하겠습니다. 2. 기존의 규제 기조 및 변화 필요성     2018년부터 법인의 가상자산 거래는 크게 제한되어왔습니다. 정부는 가상자산 투기 과열과 자금세탁 우려 등을 해소하기 위해 「가상통화 관련 자금세탁방지 가이드라인」(2018. 1. 30. 시행)을 통하여 가상자산 거래를 위해 실명계좌 발급을 필수로 요구하면서, 은행의 법인 실명계좌 발급을 제한하였습니다. 2021. 12월 위 가이드라인이 종료되었음에도, 정부는 규제 기조 변경에 관한 입장을 별도로 밝히지 않았고, 은행에서 법인의 실명계좌 발급을 허용하지 않는 관행이 지속되면서, 대내외적으로 법인의 가상자산 원화 마켓 참여를 금지하는 것이 정부의 정책 방향인 것으로 인식되어왔습니다.     그러나 해외에서 법인 위주로 가상자산 제도화 및 생태계 구축 추진이 이루어지고, 블록체인 및 가상자산 분야 신사업 진행에 법인의 가상자산 거래 제한이 장애물로 작용하고 있다는 지적이 발생하였습니다. 한편, 법인 거래 허용이 가상자산 이용자 보호법 제정에 이은 2단계 입법을 위하여 검토가 필요한 이슈(스테이블코인 규율, 가상자산 현물 ETF 도입 등)의 선결 과제로 지목되면서, 법인의 가상자산 거래를 전반적으로 허용하는 방향으로 규제 기조를 전환할 필요성이 부각되었습니다. 3. 로드맵의 주요 내용     이번 로드맵에 따르면, 가상자산위원회에서의 검토 결과를 토대로 하여, 다음과 같이 단계적·점진적으로 법인 실명계좌 발급을 허용함으로써, 관련 리스크가 낮은 부분에서부터 법인의 가상자산 시장 참여가 이루어질 예정입니다.     ■ 1단계 – 현금화 목적의 거래 허용(’24. 하반기~ ’25. 상반기)           법집행기관(검찰, 국세청, 지자체 등)의 몰수·압류한 가상자산 처분, 비영리법인 등의 기부받은 가상자산 처분, 가상자산 거래소의 수취 수수료로 받은 가상자산 처분 등 가상자산의 현금화가 시급한 영역에 대하여 우선적으로 법인 명의 실명계좌 발급이 허용됩니다.         비영리법인에 대하여는 가상자산 수령 및 현금화와 관련된 내부 통제 기준·절차를 마련할 수 있도록 지원이 이루어질 예정이며, 가상자산거래소에 대하여는 그의 가상자산 처분이 자기매매와 유사해 이용자와의 이해상충 발생이 우려가 있는 점을 고려하여, 「사업자 공동 가이드라인」(일간∙월간 매도 물량 및 자기 거래소 매매 제한 등의 내용을 포함)을 사전에 마련하도록 할 예정입니다.     ■ 2단계 – 투자∙재무 목적의 거래 시범 허용(’25. 하반기 이후)         위험감수 능력을 고려하여, 금융회사를 제외한 전문투자자(상장법인, 전문투자자 등록법인)를 대상으로, 가상자산의 매매거래부터 시범적으로 허용됩니다. 이를 통해, 그간 개인 중심으로 진행되어 온 국내 가상자산시장의 변동성이 완화되고, 시장의 건전성이 제고될 수 있을 것으로 기대되며, 블록체인 관련 사업 활성화에도 긍정적인 영향을 미칠 것으로 전망됩니다. 또한 스테이블코인의 국내 유통사업 범위와 관련 가상자산사업자 구성, 업무에 있어서도 영향을 미칠 수 있을 것으로 예상됩니다.         위와 같은 시범적 허용에 앞서, 자금세탁방지 등을 위한 보완 가이드라인 및 모니터링 방안을 마련하여 발표할 계획입니다. 예를 들어, 은행·거래소의 거래 승인 전 거래 목적 및 자금 원천 확인, 은행·거래소에 대한 제3의 보관·관리기관 활용 권고 등의 내용이 담길 것으로 예상되고 있습니다.         한편, 금융회사의 경우 금융 부문에 대한 리스크 전이 우려를 감안하여, 토큰증권(STO) 발행 지원, 블록체인 인프라 투자 확대 등의 간접적인 참여 방안을 우선적으로 추진하고, 금융회사의 가상자산 직접 매매·보유 이슈는 중장기적으로 검토하기로 하였습니다.     ■ 3단계 – 일반법인 거래 전면 허용(중장기)         일반법인의 거래 전면 허용은 2단계 입법 및 외환·세제 등 관련 제도의 정비가 선행되어야 하는 측면이 있으므로, 이러한 선결 과제의 이행을 전제로 추후 논의가 이루어질 예정입니다. 4. 시사점     법인의 가상자산 시장 참여를 허용하는 금번 정책은 국내 디지털 자산 및 블록체인 산업의 성장에 있어 중요한 전환점이 될 것으로 기대됩니다. 현재는 로드맵만 발표된 상태이므로, 향후 금융당국이 구체적으로 발표할 후속 이행방안과 가이드라인 등을 주의깊게 모니터링할 필요가 있습니다.       특히, 가상자산 매매를 고려하고 있는 전문투자자는 금년 하반기 이후에 진행될 시범적 거래 허용에 대비하여, 자금세탁방지를 위한 내부 통제 체계 구축, 관련 외환 및 세무 이슈 검토 등의 사전 준비를 할 필요가 있겠습니다.   법무법인(유) 광장의 디지털금융팀은 가상자산 이용자 보호법 등 관련 규제 및 실무에 대한 업계 최고의 전문가들로 구성되어 있으며 이와 관련한 다양한 법률적 사항이나 쟁점들에 대하여 폭넓게 자문을 해왔습니다. 위 내용과 관련하여 법률 전문가의 도움이 필요하신 경우 언제든지 법무법인(유) 광장의 디지털금융팀으로 연락주시기 바랍니다.    

금융위원회는 2024. 2. 1. 자로 규정 변경을 예고한 「전자금융감독규정」 일부 개정 규정안을 2025. 2. 5. 의결하였습니다. 이는 같은 날 시행되었고, 이에 맞추어 「전자금융감독규정 시행세칙」도 개정ㆍ시행되었습니다. 금번 개정은 금융보안 규제를 “규칙(Rule) → 원칙(Principle) 중심”으로 개선하여 금융권의 자율보안 토대를 마련하고, 금융 전산 복원력을 강화하여 재해ㆍ전자적 침해 등으로부터 금융시스템을 안정적으로 보호하는 내용을 담고 있습니다.   개정 배경, 원칙 중심으로 변경된 구체적인 사항에 관하여는 본 뉴스레터에 첨부된 저희 법무법인의 지난 뉴스레터를 참고하여 주시고, 이하에서 개정 「전자금융감독규정」의 주요 내용에 관하여 살펴보겠습니다. 1. 금융 전산 복원력 강화를 위한 규제 강화       1) 재해복구센터 구축 의무 확대(§23⑧)           개정 「전자금융감독규정」에서는 시스템 오류, 자연재해 등으로 인한 전산센터 마비에 대비하여 업무 지속성을 확보할 수 있도록 적정 규모ㆍ인력을 구비한 재해복구센터를 주 전산센터와 일정 거리 이상 떨어진 안전한 장소에 구축ㆍ운용할 의무를 다음과 같은 자에 대하여 확대하였습니다.                  다만, 해당 규정은 물적 설비 구축 기간을 감안하여 개정 「전자금융감독규정」이 시행된 후 1년이 경과한 2026. 2. 5.부터 시행됩니다.       2) 전자금융사고 책임이행 보험 한도 상향(§5①,②)            금융회사 또는 전자금융업자는 전자금융사고 책임이행을 위하여 보험 또는 공제에 가입하여야 하는데, 개정 「전자금융감독규정」에서는 보험의 최저 보상 한도를 다음과 같이 상향하였습니다. 2개 이상의 인허가를 보유하고 있는 금융회사는 보상 한도의 금액을 합하되 전자금융업자의 경우에는 15억 원을 최대로 합니다.            ■ 자산이 2조 원 이상인 금융투자업자: 5억 원 → 10억 원            ■ 여신전문금융회사(신용카드업자 제외), 보험회사, 상호저축은행 등 금융회사: 1억 원 → 2억 원            ■ 선불전자지급수단 발행 및 관리업자 등 전자금융업자(은행, 금융투자업자, 신용카드업자 등의 금융회사가 발급한 신용카드, 직불카드 등 거래지시에 사용되는 접근매체의 정보를 저장하는 전자지급결제대행업자 제외): 1억 원 → 2억 원            또한, 금융회사가 명시된 보상 한도에 대하여 보험에 가입하는 것에 그치는 것이 아니라 “전자금융거래 규모, 전자금융사고 발생 건수 등”을 고려하여 최저 보상 한도 ‘이상’으로 책임이행보험 등에 가입하도록 명확하게 규정하였습니다.   다만, 위 규정은 보험 가입 기간 등을 감안하여 개정 「전자금융감독규정」이 시행된 후 1년이 경과한 2026. 2. 5.부터 시행됩니다.       3) 침해사고, 전자금융사고 관련 보고 의무(§37-4, §37-5)            개정 「전자금융감독규정」에서는 전자적 침해 행위로 인하여 전자금융기반시설이 교란ㆍ마비되는 등의 침해사고가 발생한 사실을 안 때에는 지체 없이 보고할 의무를 부과하였으며, 이는 정당한 사유 없이 그 사실을 안 때로부터 24시간을 경과하여서는 아니 됩니다.            또한, 기존에 전자금융사고 보고에 관하여 제73조에 규정되어 있었는데, 이를 제3장(전자금융거래의 안전성 확보 및 이용자 보호)의 제37조의5로 이동하여, 사고 보고 위반 시 법률 제21조 제2항 위반으로 과태료 부과가 가능하도록 개정하였습니다.            한편, 보고 대상인 사고는 「전자금융감독규정 시행세칙」 제7조의4에서 규정하고 있는데, 주요 변경 내용은 다음과 같습니다.           2. 금융 보안 거버넌스 강화(§8-2④)     개정 「전자금융감독규정」에서는 정보보호위원회 심의·의결 사항 중 정보보호최고책임자(CISO)가 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미친다고 판단하는 심의·의결 사항에 대하여는 이사회에 보고할 의무를 규정하였습니다.     이는 금융보안을 정보보호최고책임자(CISO) 및 정보보호부서만의 일로 여기는 것이 아니라 전사적 차원에서 적극적으로 보안 역량 강화에 힘을 쏟도록 하기 위한 것으로 이해됩니다.     다만, 위 개정 규정은 금융회사의 내규 정비 등 준비 기간을 고려하여 개정 「전자금융감독규정」이 시행된 후 6개월이 경과한 2025. 8. 5.부터 시행됩니다. 3. "규칙(Rule) → 원칙(Principle) 중심"의 규제 개선 및 자율성 강화     개정 「전자금융감독규정」은 (i) 건물, 설비, 전산실 관련 규정(§9, §10, §11), (ii) 악성코드 및 공개용 웹서버 관리 대책 관련 규정(§16, §17), (iii) 직무 분리 관련 규정(§26), (iv) 사업 추진, 계약, 감리 관련 규정(§20, §21, §22), (v) 일괄 작업에 대한 통제 관련 규정(§30), (vi) 비밀번호 설정 방식 관련 규정(§32, §33) 등 관련하여, 지엽적인 내용은 삭제하고 원칙(Principle) 중심으로 각종 대책, 기준, 절차 등을 수립ㆍ운용하도록 개정하였습니다.      또한, 정보보호시스템 운영, 프로그램 통제 등 일부 규정에 관한 구체적인 내용은 「전자금융감독규정 시행세칙」에서 규정하고 있습니다. 4. 시사점 – 별도의 디지털 금융보안법제 마련 관련     금번 규정 개정은 자율보안의 기초 토대를 마련하고자 하는 것입니다. 금융당국은 과거부터 지속적으로 금융보안 규제 선진화 방안을 논의하였고, 금융회사가 리스크 기반의 자율보안체계를 구축할 수 있도록 규율 체계를 개선하고자 하였습니다. 이를 위하여 금번 「전자금융감독규정」 개정을 통하여 보안 규제를 정비하는 한편, 향후 “자율보안-결과책임”을 주요 내용으로 하는 별도의 디지털 금융보안법제를 마련하여 금융보안 패러다임을 자율보안체계로 전환해 나갈 것입니다.       한편, 금융감독원이 2024년 8월 발표한 「금융 분야 망분리 개선 로드맵」에도 3단계 추진 과제로 자율보안-결과책임 원칙에 입각한 새로운 금융보안체계를 구축하겠다는 내용이 포함되어 있습니다. 이에 따르면, 금융당국은 법령을 통해 주요 보안 원칙·목표를 제시하고 구체적·기술적 보안 통제 사항은 가이드로 모범 사례를 제시할 예정이고, 금융회사로서는 업무 환경, 인프라, 보안 역량 등에 대한 자체 리스크 평가를 통해 자율적으로 세부 보안 통제를 구성하여야 할 것입니다. 또한, 전산사고 등에 대한 금융회사의 책임을 강화할 예정이라고 밝힌 점도 유의할 필요가 있습니다.       이러한 변화는 금융회사가 규정만 준수하는 것에서 나아가 다변화되는 사이버 위협, 발전하는 IT 환경 등에 적극적으로 대응하도록 하기 위한 것으로 이해됩니다. 따라서 금융보안 규제를 준수하여야 하는 금융회사 및 전자금융업자는 자율보안체계로 전환되는 디지털 보안 법제에 관하여 규제 변화를 계속하여 지켜볼 필요가 있겠으며, 자체적인 보안체계를 수립ㆍ이행하고 점검하는 등 새로운 금융보안 패러다임에 대한 준비를 철저히 할 필요가 있을 것입니다. 법무법인(유) 광장의 디지털금융팀은 「전자금융거래법」, 금융보안에 대하여 탁월한 실력과 경험을 갖춘 전문가들로 구성되어 있으며 이와 관련한 다양한 법률적 사항이나 쟁점들에 대하여 폭넓게 자문을 해왔습니다. 위 내용과 관련하여 법률 전문가의 도움이 필요하신 경우 언제든지 법무법인(유) 광장의 디지털금융팀으로 연락주시기 바랍니다.