◆  핵심 요약

BCBS, 16개 국가·지역 설문으로 비악의적(non-malicious) ICT 사고의 근본원인과 은행·감독당국의 ICT 리스크 관리 관행을 비교 분석

- 사고의 주요 원인은 변경관리·시스템 설계 등 내부 통제 미비에 집중

- 제3자 서비스제공자 의존 확대와 국가·지역별 사고보고 기준 편차를 국제 정합성 과제로 지목

◆ 보고서 개요

□ BCBS(바젤은행감독위원회), 2026년 6월 2일 「정보통신기술(ICT) 리스크 관리 관행 비교(Information and Communication Technology (ICT) Risk Management: Range of Practices)」 발표

• 2025~26년 업무계획의 일환으로 16개 국가·지역 감독당국 설문, 사례연구, 업계 간담회 결과를 종합

• 설문에 한국·홍콩 등 15개 국가·지역 및 EU 단일감독체계(SSM)가 참여*

* 설문 참여 국가·지역: 아르헨티나, 호주, 브라질, 캐나다, 독일, 홍콩, 인도, 일본, 한국, 멕시코, 사우디아라비아, 싱가포르, 남아프리카공화국, 영국, 미국 및 EU 단일감독체계(SSM)

• 분석 대상은 G-SIB(글로벌 시스템적 중요 은행)·D-SIB(국내 시스템적 중요 은행) 및 디지털 전업은행 등에서 발생해 핵심업무 수행에 영향을 미친 사고

□ 기존 사이버 복원력 연구와 차별화되는 '비악의적' ICT 사고 중심 분석으로, 운영복원력 논의의 연장선

• 2018년 「사이버 복원력 관행 비교」가 악의적 위협을 다룬 데 이어, 시스템 장애·설계 결함 등 비악의적 사고를 보완적으로 분석

• ICT 리스크를 운영리스크의 하위 영역이자 운영복원력(operational resilience) 달성의 기반으로 규정

• 2025년 12월 발표한 「제3자 리스크 건전관리 원칙」과 연계해, FSB 사고보고 표준양식(FIRE)* 분류체계를 사고 유형 구분에 활용

* FIRE(Format for Incident Reporting Exchange): 금융권 사고보고 정보의 국가별·금융업권별 비교가능성을 높이기 위해 FSB(금융안정위원회)가 마련한 공통 보고양식

◆ 주요 내용 상세

□ 비악의적 ICT 사고의 4대 근본원인은 변경통제·시스템 설계 등 내부 통제 미비에 집중

• 2022~24년 12개 국가·지역 사고 데이터상 증감 추이가 엇갈렸으며, 이는 사고보고의 정의·기준·기한이 국가·지역마다 다른 점이 반영된 결과

• 변경통제 미비(적절한 승인·검토 절차 없는 ICT 환경·설정 변경)를 8개 국가·지역이 지목해 최다, 시스템 설계·개발·테스트 미비 7개 국가·지역, 시스템 용량·성능 문제 및 제3자 운영장애 각 6개 국가·지역

• 사고 파급 사례: 한 국가·지역에서 시스템 이전 실패로 인구의 약 10%를 대상으로 여러 채널의 서비스가 중단, 데이터센터 냉각시스템의 변경절차 미준수에 따른 긴급 가동중단은 해당 센터를 이용하는 복수 대형은행에 동시 영향

□ 은행권 ICT 리스크 관리체계는 전반적으로 정착했으나, ICT 자산 의존관계와 하위 공급망 파악, 전문인력 확보는 과제

• 변경관리, 제3자 리스크 관리, ICT 연속성 테스트, 사고 대응·재발방지 관리, 시스템 개발 관리가 가장 많이 보고된 5대 관행이며, 16개 국가·지역 중 14곳의 은행이 ICT 리스크 선호(risk appetite)·허용한도를 설정

• 핵심 업무서비스와 이를 뒷받침하는 ICT 자산 간 의존관계를 빠짐없이 파악하기 어렵고, 은행의 직접 감독 범위 밖인 재위탁 단계의 하위 공급망은 집중리스크와 장애 확산 경로 파악에 한계

• 사이버보안·클라우드·AI 및 노후 전산시스템(레거시)* 분야의 인력 부족이 빅테크·핀테크와의 경쟁으로 심화

* 레거시 시스템: 오래전 구축되어 현재까지 운영 중인 노후 전산시스템. 변경이 어렵고 이를 다룰 수 있는 인력이 점차 감소

□ 16개 국가·지역 감독당국 모두 ICT 규제·지침 보유, 리스크 기반·비례적 감독이 공통 기조

• 다수 국가·지역에서 다른 정부기관의 국가 차원 지침이 함께 적용되나, 금융당국이 규제 제정 및 감독의 1차 주체이며 기관 규모·복잡성에 따른 비례 적용이 일반적

• COBIT·NIST·ISO 27000 시리즈 등 국제표준과 BCBS 운영리스크 관리 원칙·운영복원력 원칙을 구속력 없는 참고기준으로 활용, 감독수단은 현장검사를 중심으로 상시감시·동종기관 비교검사·설문을 병행

• 다만 사고보고 기준의 정의·기한은 국가·지역별 편차가 상당(즉시 통보~최초 통보 후 5일 내 종합보고)하고, 제3자 서비스제공자가 금융규제 대상이 아닐 경우 감독 공백 발생, 업계는 핵심 제3자를 직접 감독하는 EU DORA(디지털운영복원력법)* 체제를 긍정 평가하고, 소프트웨어 자재명세서(SBOM) 공개 의무화를 제안

* EU DORA(Digital Operational Resilience Act, 디지털운영복원력법): 금융회사의 ICT 리스크 관리 요건과 핵심 제3자 서비스제공자에 대한 직접 감독을 규율하는 EU 법률(2025년 1월 시행)

◆ 전망 및 시사점

□ ICT 환경의 복잡화와 금융생태계 상호연계 심화로 운영복원력 과제는 지속될 전망

• 노후 전산시스템 존치, 디지털화, AI·머신러닝 등 신기술 확산이 ICT 환경의 복잡성을 심화

• 제3자 서비스제공자 및 그 공급망의 복원력에 대한 가시성 부족이 여전히 은행권의 미해결 과제

• 금융서비스의 상호연계 구조상 한 기관·시스템의 장애가 금융생태계 전반으로 신속히 확산될 가능성

□ 감독당국과 은행 양측이 참고할 기준 제시

• 감독당국은 이번 보고서를 자국 감독방식 및 규제체계를 정비하는 데 활용 가능, 은행은 규모·복잡성·리스크 특성에 따라 자체 관행을 점검·평가할 것을 권고

• 규제가 모든 과제를 해소할 수는 없으나 핵심 제3자 서비스제공자에 대한 최소 기대수준을 설정하는 데서 중심 역할을 한다고 업계는 평가

• FIRE 분류체계를 활용해 사고보고 데이터의 편차를 줄이고 국가 간 비교가능성·활용도를 높일 필요

※ 본 보고서의 내용은 해외금융협력협의회의 공식 입장이나 견해를 대변하지 않습니다.