은행 및 금융 서비스업의 조달: 공급업체 리스크와 제3자 거버넌스

1. 서론

금융 서비스 부문은 지난 20년간 심오한 구조적 변화를 겪었습니다. 한때 운영 역량의 대부분을 사내에서 개발하고 유지하던 기관들이 이제는 클라우드 컴퓨팅, 결제 처리, 고객 알기 제도(KYC) 확인, 사이버 보안, 핵심 뱅킹 시스템 및 광범위한 부수적 서비스를 일상적으로 제3자 공급업체에 의존하고 있습니다. COVID-19 팬데믹은 이러한 궤적을 가속화하여 디지털 채널과 원격 근무 인프라의 빠른 도입을 강제했으며, 종종 제3자 공급업체를 통해 이루어졌습니다 [1].

이러한 의존은 전문 지식 활용, 확장성, 비용 효율성이라는 전략적 이점을 창출합니다. 그러나 이는 또한 전 세계 규제 당국이 점점 더 우려하게 된 운영상, 법적, 평판 및 체계적 리스크를 야기합니다. 2012년 Knight Capital의 기술 장애부터 수십 개의 금융 기관에 영향을 미친 2023년 MOVEit 공급망 침해 사고에 이르기까지, 세간의 이목을 끄는 사건들은 제3자 이벤트가 체계적 중단으로 이어질 수 있는 가능성을 강조했습니다 [2].

이러한 배경 하에, 은행 및 금융 서비스 분야의 조달은 재정의되었습니다. 가장 낮은 비용으로 상품과 서비스를 조달하는 것을 목표로 했던 전통적인 구매 기능은 규제 준수, 리스크 평가, 정보 보안 감독 및 운영 복원력 계획을 포괄하는 더 넓은 공급업체 거버넌스 권한으로 대체되고 있습니다. 본 기사는 이러한 진화의 핵심 차원을 탐구하며, 제3자 거버넌스를 형성하는 규제 아키텍처와 기관들이 준수를 위해 배치해야 하는 운영 프레임워크를 검토합니다.

2. 규제 환경

2.1 디지털 운영 복원력법(DORA)

2023년 1월 유럽 연합이 채택하고 2025년 1월부터 적용되는 DORA(규정 (EU) 2022/2554)는 금융 서비스 ICT 리스크 관리 분야에서 현재까지 가장 포괄적인 규제 개입을 나타냅니다. 그 목적은 은행, 보험사, 투자 회사 및 암호화 자산 서비스 제공업체를 포함한 금융 기관이 ICT 시스템의 디지털 운영 복원력을 관리하는 방식에 대해 EU 회원국 간의 규칙을 조화시키는 것이며, 특히 제3자 ICT 리스크에 중점을 둡니다 [3].

DORA에 따라 금융 기관은 모든 ICT 제3자 서비스 제공업체의 등록부를 유지하고 중요도별로 분류해야 합니다. 중요한 제3자 제공업체(CTPP)는 유럽 은행 감독청(EBA)을 포함한 유럽 감독 당국(ESA)이 관리하는 새로운 감독 프레임워크의 적용을 받으며, 이들은 해당 공급업체에 대한 직접적인 검사 및 감사를 수행할 수 있습니다. 이는 근본적인 변화를 나타냅니다. 규제 당국은 더 이상 금융 기관에만 책임을 묻는 것에 만족하지 않고, 이제 공급업체 자체에 대해 직접적인 감독 권한을 행사합니다 [4].

조달 기능에 대해 DORA는 의무적인 계약 요건을 부과합니다. ICT 제3자 제공업체와의 서면 계약에는 서비스 수준, 감사권, 데이터 위치 및 이식성, 사고 보고 의무, 해지 권한 및 종료 전략에 관한 조항이 포함되어야 합니다. 결정적으로, DORA는 금융 기관이 ICT 제공업체 포트폴리오로 인한 집중 리스크를 식별 및 관리하고, 운영 중단 없이 중요한 계약을 종료할 수 있는 능력을 테스트하도록 요구합니다 [5].

2.2 제3자 관계에 관한 OCC 지침

미국에서는 통화감독청(OCC)이 은행의 제3자 관계 관리에 대한 기대치를 오랫동안 확립해 왔습니다. OCC, 연방준비제도, FDIC가 공동으로 발행한 2023년 기관 간 지침은 이전의 지침을 통합하여 '중요한' 관계뿐만 아니라 모든 제3자 관계에 적용되는 통합 프레임워크를 마련했습니다 [6]. 이 지침은 계획, 지속적인 모니터링, 종료라는 관계 수명 주기의 세 단계를 식별하고, 각 관계가 야기하는 리스크 수준에 비례하여 리스크 기반의 실사를 수행해야 한다고 명시합니다.

OCC 프레임워크는 이사회와 고위 경영진에 명시적인 책임을 부여합니다. 조달 활동은 운영 기능에서 거버넌스 문제로 격상되었습니다. 이사회는 제3자 관계 관리를 위한 정책을 승인하고, 중요한 계약에 대한 주기적인 보고서를 검토하며, 감독에 충분한 자원이 할당되도록 보장해야 합니다. 이러한 거버넌스 프레임워크는 공급업체 선정을 순전히 상업적인 업무로 다루는 대신, 조달 결정을 기관의 리스크 선호도 및 전략적 목표와 일치시킵니다 [7].

2.3 FCA SYSC 8 및 영국 아웃소싱 체제

영국에서는 금융행위감독청(FCA)의 고위 경영진 배치, 시스템 및 통제 소스북(특히 8장(SYSC 8))이 인가된 기업의 아웃소싱을 규율합니다. SYSC 8은 기업이 내부 통제의 품질이나 FCA 또는 PRA의 기업 감독 능력을 실질적으로 저해하는 방식으로 활동을 아웃소싱하지 않도록 요구합니다. 이 규칙은 아웃소싱 기능에 대한 감독을 유지하고, 공급업체가 동등한 표준을 충족하도록 보장하며, 서비스 연속성을 유지할 의무를 부과합니다 [8].

EBA 아웃소싱 계약 지침(EBA/GL/2019/02)이 발표되고 브렉시트 이후 영국 규제 관행으로 온쇼어링됨에 따라, 이제 영국 금융 기관은 광범위한 아웃소싱 전 평가를 수행하고, 아웃소싱 등록부를 유지하며, 특정 계약 조항을 포함하고, 중요한 아웃소싱 계약을 규제 당국에 통지해야 합니다. 건전성 감독청(PRA)의 아웃소싱 및 제3자 리스크 관리에 관한 감독 성명 SS2/21은 하위 아웃소싱 통제 및 사업 연속성 계획 요건을 포함하여 PRA 인가 기업에 대한 기대치를 추가로 명시합니다 [9].

3. 제3자 리스크 관리 프레임워크

3.1 공급업체 리스크 수명 주기

금융 서비스 분야에서 효과적인 TPRM은 (i) 공급업체 식별 및 분류, (ii) 실사 및 계약 전 평가, (iii) 계약 협상 및 체결, (iv) 지속적인 모니터링 및 성과 관리, (v) 오프보딩 및 종료 관리라는 5단계의 공급업체 수명 주기 모델을 중심으로 구조화됩니다. 각 단계는 조달 팀이 법무, 컴플라이언스, 정보 보안 및 사업 부서와 협력하여 관리해야 하는 고유한 리스크 노출을 수반합니다 [10].

식별 및 분류 단계에서 기관은 데이터 민감도, 운영 중요도, 규제 노출, 재무 건전성 및 관할권 리스크를 포함하는 차원에 걸쳐 공급업체가 야기하는 고유 리스크별로 공급업체를 세분화합니다. Shared Assessments Program 또는 금융 서비스 정보 공유 분석 센터(FS-ISAC)에서 권장하는 모델과 같은 계층화된 리스크 모델을 사용하면 실사 자원을 비례적으로 배분할 수 있으며, 1계층의 미션 크리티컬 공급업체에 가장 집중적인 조사가 적용됩니다 [11].

3.2 실사 및 정보 보안 평가

금융 서비스의 계약 전 실사는 재무 분석 및 평판 조회를 훨씬 뛰어넘습니다. 제3자 시스템에서 발생하는 데이터 침해가 업계가 직면한 가장 중요한 위협 벡터 중 하나라는 인식에 따라 정보 보안 평가가 핵심 요소가 되었습니다. 기관은 일상적으로 공급업체가 액세스 관리, 암호화, 사고 대응 및 사업 연속성을 포함한 도메인 전반의 통제를 다루는 표준화된 정보 수집(SIG) 이니셔티브와 같은 표준화된 설문지를 작성하도록 요구합니다 [12].

SOC 2 Type II 보고서, ISO/IEC 27001 인증, 클라우드 전용 인증(CSA STAR 등)을 포함한 제3자 감사 및 인증은 공급업체 통제가 정의된 표준을 충족한다는 구조적 보증을 제공합니다. 그러나 규제 당국과 실무자들은 시점별 평가만으로는 불충분하다는 점을 점점 더 인식하고 있습니다. 공급업체의 보안 상태, 뉴스 이벤트 및 재무 건전성을 실시간으로 추적하는 지속적 모니터링 도구는 업계 표준이 되고 있으며, DORA와 같은 프레임워크 하에서 의무화되거나 강력히 권장됩니다 [13].

3.3 계약 보호 및 SLA

계약 자체는 공급업체 리스크 거버넌스의 주요 수단으로 작용합니다. 금융 서비스 조달 계약은 규제 요건에 대응하여 상당히 진화했으며, 데이터 처리 및 하위 처리(GDPR 및 동등한 체제와 일치), 감사 및 검사 권한, 사고 통지 타임라인(물질적 사고의 경우 일반적으로 24-72시간), 사업 연속성 및 재해 복구 표준, 파산, 지배구조 변경 또는 규제 당국의 이의 제기로 인한 해지 권한, 그리고 계약 종료 시 데이터 반환 및 삭제 의무에 관한 조항을 통합했습니다 [14].

규제 부문의 서비스 수준 협약(SLA)은 상업적 실용성과 규제적 방어력 사이에서 균형을 맞춰야 합니다. 규제 당국은 SLA가 희망적인 목표가 아닌 진정으로 중요한 성과 임계값을 반영하며, 위반 시 구제 조치가 기관 및 고객에게 미치는 영향에 비례할 것을 기대합니다. 영국 FCA는 실질적인 보호를 제공하지 못할 정도로 느슨한 SLA를 포함하는 관행을 명시적으로 비판한 바 있습니다 [15].

4. 공급업체 집중 리스크

금융 서비스 조달에서 구조적으로 가장 중요한 리스크 중 하나는 공급업체 집중입니다. 즉, 기관들이 개별적으로 그리고 집합적으로 핵심 기능을 위해 소수의 공급업체에 의존하는 정도를 의미합니다. 클라우드 인프라는 가장 극명한 사례를 제공합니다. 영란은행의 2023년 분석에 따르면, 영국 규제 기관의 대다수가 운영의 핵심 요소에 대해 아마존 웹 서비스(Amazon Web Services), 마이크로소프트 애저(Microsoft Azure) 또는 구글 클라우드 플랫폼(Google Cloud Platform) 중 하나에 의존하고 있는 것으로 나타났습니다 [16].

이러한 집중은 단순히 개별 기업의 문제가 아니라 체계적인 문제입니다. 지배적인 공급업체에 영향을 미치는 중단이나 보안 사고는 여러 시스템적으로 중요한 기관의 운영을 동시에 손상시켜 결제 시스템, 자본 시장 및 수신 업무 전반에 걸쳐 전염 효과를 유발할 수 있습니다. 규제 당국은 강화된 조사를 통해 대응했습니다. DORA는 금융 기관이 개별 기업 수준에서, 그리고 ESA 조정을 통해 부문 수준에서 ICT 집중 리스크를 매핑하고 평가할 것을 명시적으로 요구합니다. EBA는 EU 은행 부문의 클라우드 집중도에 대한 정기 보고서를 발행하여 해당 리스크를 우선적인 감독 사안으로 지정했습니다 [17].

조달 전략 관점에서 집중 리스크를 관리하려면 의도적인 다중 공급업체 아키텍처, 이식성 표준 및 계약 시작부터 내장된 상호운용성 요건이 필요합니다. 워크로드나 데이터를 정의된 기간 내에 대체 공급업체로 마이그레이션할 수 있는 능력을 포함한 종료 전략은 단순히 문서화되는 것이 아니라 테스트되어야 합니다. 조달 팀은 기술 및 엔터프라이즈 아키텍처 부서와 긴밀히 협력하여 상업적 결정이 운영 복원력을 저해하는 락인(lock-in) 현상을 무심코 생성하지 않도록 해야 합니다 [18].

5. 진화하는 조달의 역할

규제 요구, 사이버 리스크 및 운영 복원력 요건의 융합은 금융 서비스 분야의 조달 기능을 근본적으로 재편하고 있습니다. CPO와 그 팀은 더 이상 비용 절감과 계약 준수에 주로 초점을 맞춘 거래적 중개자로 운영될 수 없습니다. 대신 그들은 상업적으로 건전하고, 운영적으로 탄력적이며, 규제 기대치를 명확히 준수하는 공급업체 관계를 제공하기 위해 법무, 컴플라이언스, 기술 및 비즈니스 이해관계자 전반을 조정할 수 있는 리스크 인지적 오케스트레이터 역할을 해야 합니다 [19].

이를 위해서는 조달 분야에 비교적 새로운 역량에 대한 투자가 필요합니다. TPRM 기술 플랫폼(Coupa, 리스크 모듈과 통합된 Ariba, 또는 ProcessUnity 및 OneTrust와 같은 전문 도구), 데이터 기반 리스크 스코어링, 그리고 의미 있는 공급업체 대화를 수행할 수 있는 정보 보안 및 규제 프레임워크에 대한 충분한 지식을 갖춘 조달 직원이 필요합니다. 영국 조달 공급 연구소(CIPS)는 이러한 변화를 인식하고 상업적 및 규제적 차원을 모두 통합한 금융 서비스 공급망 리스크에 대한 지침을 개발했습니다 [20].

거버넌스 구조 또한 적응해야 합니다. 많은 기관이 전담 제3자 리스크 위원회를 설립하거나 '3단계 방어 모델(Three Lines of Defence model)'에 따라 TPRM을 엔터프라이즈 리스크 관리 프레임워크에 통합했습니다. 조달은 1선, 컴플라이언스 및 리스크 관리는 2선, 내부 감사는 3선을 담당합니다. 집중도, 성과 및 공급업체 생태계 내에서 발생하는 신흥 리스크를 포함하여 기관의 제3자 리스크 프로필에 대해 이사회와 고위 리스크 위원회에 정기적으로 보고하는 것은 규제 당국에 의해 점점 더 기본적인 거버넌스 기대치로 간주되고 있습니다 [21].

6. 결론

은행 및 금융 서비스의 조달은 비용 절감만을 추구하는 것이 아니라, 밀도 있고 진화하는 규제 환경 내에서 제3자 리스크를 관리해야 하는 당위에 의해 정의되는 새로운 시대에 진입했습니다. DORA, OCC 기관 간 지침, FCA SYSC 8 및 기타 관할 구역의 동등한 프레임워크는 집합적으로 제3자 거버넌스를 백오피스 업무에서 이사회 수준의 책임으로 격상시켰습니다.

도전 과제는 상당합니다. 금융 기관은 수백 또는 수천 개의 공급업체 관계에 대한 상업적 성과를 동시에 관리하고, 빠르게 변화하는 위협 환경에서 최신 리스크 평가를 유지하며, 복잡한 규제 요건을 계약 및 실사 프로세스에 내장하고, 공급업체 집중 리스크와 같은 구조적 취약성을 해결해야 합니다. 이러한 목표 중 어느 것도 조달 팀이 고립되어 작업해서는 달성할 수 없습니다.

필요한 것은 통합된 제3자 거버넌스 모델입니다. 즉, 조달, 리스크, 컴플라이언스, 법무 및 기술 기능이 적절한 기술과 감독 구조의 지원을 받아 일관된 단위로 운영되는 모델입니다. 이 모델에 투자하는 기관은 규제 기대치를 충족할 뿐만 아니라 공급업체 관계의 전략적 잠재력을 실현하여 제3자 거버넌스를 단순한 컴플라이언스 부담이 아닌 경쟁력 있는 복원력의 원천으로 만들 수 있는 더 나은 위치에 있게 될 것입니다 [22].