[비즈한국] 토스뱅크가 첫 금융감독원 정기 검사에서 기관주의 통보와 2억 원대 과태료 처분을 받았다. 전자금융사고 미통지, 금융거래정보 관리 부실, 전산 작업 과정의 통제 미흡 등 위반 사항이 적발되면서다. 여기에 경영유의·개선사항도 57건에 달했다. 지난해 대규모 횡령 사고가 발생한 토스뱅크의 내부통제 시스템이 다시 주목받는 가운데, 빠르게 몸집을 키운 인터넷전문은행이 사고 예방과 리스크 관리를 강화해야 한다는 지적이 나온다.
금융감독원이 최근 토스뱅크의 첫 정기 검사 결과를 공개했다. 금감원의 제재 내용 공개 자료에 따르면 검사 대상 기간인 2021년 10월~2024년 말 사이 토스뱅크에선 8건 이상의 위반 사항이 적발됐다. 금감원은 토스뱅크에 기관주의 조치와 과태료 2억 4520만 원을 부과하고, 위반 행위를 한 임직원 11명에게도 주의·감봉 등의 처분을 내렸다.
토스뱅크가 위반한 규제는 △금융실명거래 및 비밀 보장에 관한 법률(금융실명법) △전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법(통신사기피해환급법) △은행법 △전자금융거래법 △신용정보의 이용 및 보호에 관한 법률 등이다.
구체적으로는 여·수신 금리 관련 프로그램을 개발·적용하는 과정에서 금리 산정 오류, 계좌 잔고 표시 오류 등 금융사고가 발생했지만 알리지 않아 전자금융거래법을 위반한 사례가 있었다. 2021년 10월부터 2024년 12월까지 전자금융사고 8건이 발생했는데, 토스뱅크는 이를 처리하고도 7건은 고객에게 오류 원인과 처리 결과를 통지하지 않았고, 1건은 뒤늦게 통지했다.
정보처리시스템 관련 작업 중 담당자가 감독 규정을 어겨 이체 오류가 난 사건도 있었다. 2024년 5월 27일 토스뱅크는 계정계(금융 거래를 처리하는 핵심 시스템) 저장 장치를 증설하는 과정에서 작업을 외주 인력에 맡겼는데, 당시 토스뱅크 관리책임자가 작업 내용을 확인하지 않아 이체 사고가 발생했다. 이로 인해 2024년 5월 27일 오후 11시 12분부터 28일 오전 12시 21분까지 총 8857건(약 24억 원 규모)의 이체가 처리되지 않았다.
은행은 전자금융거래 약관을 변경할 경우 시행일 하루 전에 이를 게시하고 고객에게 통지해야 하지만 이를 어긴 일도 있었다. 토스뱅크는 2022년 4월부터 2023년 10월 사이 전자금융거래 관련 약관을 바꿨지만 네 차례 통지하지 않았고, 한 번은 홈페이지에 지연 게시했다.
정보 제공 통지 관련 위반 사례도 있다. 금융실명법상 은행은 법원·국세청 등에 고객 금융거래정보를 제공하면 내용, 사용 목적, 제공받은 자, 제공일 등을 명의인에게 서면으로 통보해야 한다. 그러나 토스뱅크는 2024년 9월 말까지 1289건을 지연 통보했다. 또한 정보를 제공할 때 표준 양식에 따라 기록·관리해야 하나 2023년 2월까지 5만 건이 넘는 거래정보 내역을 기록·관리부에 남기지 않거나 잘못 기재한 것으로 나타났다.
위반 사항은 이번 제재안에 명시된 것 외에 더 있는 것으로 보인다. 금감원은 제재안에 ‘분리 처리 중인 일부 사안은 추후 공시 예정’이라고 표기했다. 금감원 관계자는 “은행에 우선 처리할 수 있는 건부터 알렸다”며 “시간이 더 소요되는 사안 몇 가지가 남은 상황”이라고 전했다.
비징계적 조치인 ‘경영유의 및 개선사항’에서도 적지 않은 건이 지적됐다. 경영유의·개선사항은 제재와는 다른 행정 지도적 조치로, 법 위반 수준은 아니지만 경영상 취약점이 있을 경우 주의하거나 자율 개선하라는 취지로 내려진다. 금감원은 이번 정기 검사에서 토스뱅크에 경영유의 사항 22건, 개선 사항 35건을 통보했다. 토스뱅크가 출범 직후 자리 잡는 시기가 포함된 것을 감안해도 개선이 필요한 사항이 60건에 가까웠던 셈이다.
토스뱅크는 첫 정기 검사 결과에 관해 대부분 조치한 상태라고 답했다. 토스뱅크는 “금융위원회의 의결을 존중하고 겸허히 받아들인다”며 “지적된 사항은 대부분 출범 초기의 절차·전산 관련 사안으로 상당수는 검사 과정에서 이미 시정을 완료했다. 앞으로도 내부통제와 소비자 보호 체계를 지속 강화하겠다”고 밝혔다.
한편 토스뱅크의 정기 검사에서 기관주의 처분과 더불어 다수의 경영유의·개선사항이 나오면서 상대적으로 안전하다고 여겨진 인터넷전문은행에서도 내부통제 강화가 필요하다는 지적이 나온다. 특히 토스뱅크는 2025년 5월 업권 최초로 대규모 횡령 사고가 발생한 이력이 있다. 당시 재무 조직 팀장이 토스뱅크 법인 계좌에서 약 27억 8600만 원을 개인 계좌로 빼돌린 사건으로, 일반 고객에는 피해가 없었으나 적지 않은 규모의 회삿돈을 개인이 이체할 수 있었다는 점에서 시스템에 문제가 있다는 지적이 제기됐다.
나머지 인터넷전문은행의 검사 결과도 주목된다. 카카오뱅크는 2021년 인터넷전문은행 중 처음으로 금융당국의 정기 검사를 받았는데, 계열사 임직원에게 수억 원을 대출하는 등 대주주 신용 공여 금지를 위반해 기관주의와 과태료·과징금 처분을 받았다. 카카오뱅크의 두 번째 정기 검사는 지난해 진행됐으며 결과는 아직 나오지 않았다. 금감원은 이전 점검에서 적발된 위반 사항의 개선, 내부통제 시스템, IT 리스크 등을 집중적으로 살핀 것으로 알려졌다. 케이뱅크의 경우 올해 금융권 정기 검사 대상에 포함됐으나 당국의 현안 관련 수시 검사가 늘어나면서 검사가 미뤄지는 상황이다.
금감원도 지난 4월 인터넷전문은행 3사와 카카오페이, 토스증권의 최고정보책임자(CIO) 등과 간담회를 열고 IT 관련 내부통제와 소비자 보호 대책을 강조했다. 이종오 금감원 디지털·IT 부문 부원장보는 “성장 규모에 걸맞은 수준의 IT 안정성, 사고 예방 체계 등을 구축해야 한다”며 “전산 사고가 기본 통제 미흡으로 발생하고 있는데 IT 부문 감사 등 자율적인 통제 활동으로 비슷한 사고가 재발하지 않도록 노력해달라”고 강조했다.