VASP 자체 규율 확대에도 외부업체 관리는 자율규제 의존
EU는 가상자산사업자 제3자 의존도 공동점검⋯국내 감독체계 구체화 과제
금융회사가 외부 정보기술(IT) 업체를 선정할 때부터 계약을 끝낼 때까지 위험을 관리하도록 하는 금융당국의 가이드라인이 마련됐다. 하지만 같은 외부 인프라를 활용하는 가상자산사업자(VASP)는 가이드라인 적용 대상에서 빠졌다. 가상자산사업자 자체를 향한 규제는 강화되는 가운데 지갑·클라우드 등 위탁 인프라로 넘어가면 금융감독의 연결고리가 약해진다는 지적이 나온다.
3일 금융투자업계에 따르면 금융감독원은 7월 말 ‘제3자 IT 리스크 관리 가이드라인’을 마련했다. 금융위원회 고시인 ‘금융회사의 정보처리 업무 위탁에 관한 규정’의 적용을 받는 은행·금융투자업자·보험회사·전자금융업자 등이 대상이다. 클라우드와 전산센터, 서비스형 소프트웨어(SaaS), 보안관제 등 외부 서비스 의존이 늘자 계약 전후 위험관리 절차를 체계화하기 위한 것이다.
가이드라인은 이사회와 경영진에 제3자 IT 리스크 관리의 최종 책임을 부여한다. 외부 서비스의 중요도와 대체 가능성을 따져 ‘주요 제3자’를 지정하고 계약 전 실사와 정기평가를 진행하도록 했다. 계약서에는 감사·자료접근권과 재위탁 관리, 사고 통보를 반영하고 업무복구와 대체업체 전환 등 출구전략도 마련해야 한다.
가상자산사업자 역시 자산 보관과 이전, 거래 승인, 입출금, 네트워크 접속 과정에서 지갑·키 관리와 클라우드, 노드 등 외부 IT 인프라를 폭넓게 활용한다. 그런데도 가상자산 매매·교환업자뿐 아니라 이전, 보관·관리, 중개·알선업자 등 신고 사업자는 이번 가이드라인의 적용 대상에서 제외됐다. 금융감독원 관계자는 “가상자산사업자는 현행 정보처리 업무위탁 규정의 적용 대상이 아니다”며 “가상자산 2단계 법제도 아직 마련되지 않아 이번 가이드라인은 가상자산 업자를 염두에 두지 않았다”고 말했다.
외부 인프라를 직접 겨냥한 가상자산업권의 감독체계가 마련되지 않은 것과 달리 VASP 자체에 대한 규율은 지속해서 강화됐다. 특정금융정보법은 신고와 자금세탁방지 의무를, 가상자산이용자보호법은 이용자 자산 보호와 불공정거래 규제를 부과한다. 지난달 20일부터는 대주주가 범죄경력·건전성 심사 대상에 포함됐고 사업자의 재무상태와 사회적 신용도도 신고 불수리 요건에 추가됐다.
가상자산사업자와 관련한 외부업체 관리 기준이 전혀 없는 것은 아니다. 디지털자산거래소 공동협의체(DAXA)는 제3자 위험 식별과 계약상 책임, 데이터 백업·기록 보존, 장애·해킹 대응 등을 담은 모범규준을 마련했다. 다만 법령이 아닌 자율규제여서 금융권과 같은 공적 점검·집행 수단은 제한적이다.
해외에서는 가상자산사업자의 제3자 의존도를 실제 감독 과정에서 점검하기 시작했다. 유럽증권시장감독청(ESMA)은 7월 가상자산서비스제공자(CASP)의 디지털 운영복원력을 살피는 공동감독조치(CSA)를 발표했다. 유럽연합(EU) 회원국 감독당국은 올해 하반기부터 내년 상반기까지 인가받은 제3자 가운데 위험 기반으로 표본을 선정한다. 가상자산 보관 서비스를 중심으로 분산원장기술(DLT) 지배구조와 개인키·저장 수단 관리, 거래 통제, 사고 탐지·대응, 스마트계약 위험 등을 점검한다. 클라우드나 지갑 솔루션 등 제3자 업체에 대한 의존과 관리체계도 점검 대상이다. 외부업체에 핵심 기능을 맡겨도 CASP의 관리 책임과 사고 대응 능력이 유지되는지를 살피는 것이다.
가상자산 업계 관계자는 “디지털자산기본법(2단계법)에 가상자산사업자의 외부업체 관리 의무와 감독 근거를 먼저 마련하고, 이후 관련 가이드라인을 제정·정비할 때 가상자산업권을 적용 대상에 포함하거나 관리 대상 위탁업무를 폭넓게 제시해야 한다”고 지적했다.
