이찬진 금융감독원장이 금융회사 내부 전산 오류로 인한 사고를 막기 위해서는 내부통제 가이드라인만으로는 한계가 있다며 전자금융거래법 보완을 금융위원회와 협의하겠다고 밝혔다.

이 원장은 19일 국회 정무위원회의 금감원 국정감사에서 김형연 조국혁신당 의원의 관련 질의에 "시스템 장애와 관련한 취약점은 저희가 파악하고 있다"며 "내부통제가 적절하게 이뤄지는지 가이드라인을 가지고는 어려운 상황인 것 같다"고 말했다.

이어 "이번에 디지털자산기본법을 추진하면서 전자금융거래법을 보완할 때 이 부분도 함께 보완하는 방안을 금융위와 협의해 보겠다"고 했다.

김 의원은 이날 토스뱅크 사례를 들어 내부 시스템 오류도 직접적인 금전 피해로 이어질 수 있다고 지적했다. 토스뱅크는 지난 3월 엔·원 환율 고시 시스템에 오류가 생겨 276억 원 규모의 환전 거래를 일괄 취소했다. 이달 7일에는 다른 은행에서 송금 실패로 처리된 거래가 토스뱅크 계좌에는 입금된 것으로 기록되는 오류가 발생했다.

김 의원은 "최근 해킹과 개인정보 유출에 관심이 집중돼 있지만 내부 시스템 오류도 해킹 못지않게 예방과 탐지, 후속 조치가 중요하다"고 강조했다.

김 의원이 공개한 자료에 따르면 금융회사가 프로그램 오류를 발견하는 데 걸린 기간은 롯데손해보험 902일, 토스뱅크 670일, AIA생명 620일에 달했다. 사고 인지가 30일 이상 늦어진 사례는 토스뱅크가 9건으로 가장 많았고, 수협은행과 KB국민은행이 각각 7건이었다. 같은 회사에서 인지 지연이 반복된 경우도 있었다.

김 의원은 금융위가 지난 14일 발표한 금융보안 관리체계에 대해서도 "해킹 대응과 보안 취약점 관리에만 주안점을 두고 있고 내부 전산 오류를 사전에 검증하고 조기에 감지하는 방안은 빠져 있다"며 금감원에 보완을 요구했다. 인지 지연이 반복된 회사에 대해서는 원인과 개선 여부까지 점검하라고 주문했다.

사고 보고 의무를 둘러싼 제재 공백도 도마 위에 올렸다. 전자금융거래법은 외부 침해사고가 발생하면 금융회사가 24시간 이내에 금융위에 알리도록 하고 이를 어기면 1000만원 이하의 과태료를 부과할 수 있게 돼 있다. 반면 일반 전자금융사고는 법률이 아닌 전자금융감독규정에서 보고 의무를 정하고 있어 위반해도 과태료를 물릴 근거가 없다.

김 의원은 금융위가 2024년 7월 이 문제를 개선하기 위한 시행령 개정안을 입법 예고했지만, 실제 개정으로 이어지지 않았다며 그 이유를 물었다. 이 원장은 "확인해 보겠다"고 답했다.

junoo5683@news1.kr