금융투자협회 법규정보시스템 | 금융투자업 정보기술부문 프로그램 통제 가이드라인

제1조(목적)

이 가이드라인은 금융회사 및 전자금융업자의 프로그램 등록·변경·폐기 절차 등에 관한 세부 기준을 제시하여 전자금융거래의 안전성 제고를 목적으로 한다.

제2조(적용대상 및 범위)

①	이 가이드라인은 전자금융거래법 제2조 제3호에 따른 금융회사 및 동법 제2조 제4호에 따른 전자금융업자를 대상으로 한다.

②	이 가이드라인은 전자금융감독규정 제29조의 적용을 받는 프로그램을 대상으로 한다.

제3조(프로그램 통제 절차 및 조직)

①	금융회사 및 전자금융업자는 개발 및 운용중인 모든 프로그램에 대하여 등록·변경·폐기하는 절차 일체를 내규에 반영하여야 하고, 프로그램 긴급 변경 절차 및 대상 등 긴급 상황 관련 절차도 모두 내규에 반영한 후 운영하여야 한다.

②	금융회사 및 전자금융업자는 프로그램 등록ㆍ변경ㆍ폐기 내용의 정당성에 대해 검증하는 절차를 내규에 반영하여야 한다.

③	금융회사 및 전자금융업자는 프로그램 등록ㆍ변경ㆍ폐기 내용의 정당성에 대해 검증하는 검증 담당 조직을 구성하고, 등록·변경·폐기 수행시에는 건별로 검증 담당 조직이 검증 절차를 수행하여야 한다.

④	금융회사 및 전자금융업자는 검증 담당 조직을 IT개발 경력 10년차 이상인 자로 구성하여야 한다. 다만, IT개발 경험 인력이 부족한 경우 최고정보책임자(CIO) 등 개발 담당 임원의 승인하에 검증 담당 조직 구성을 변경할 수 있다.

⑤	금융회사 및 전자금융업자는 프로그램 등록ㆍ변경ㆍ폐기 내용의 정당성에 대해 검증하는 제3자(전자금융감독규정 제29조 제3호의 제3자를 말한다.)의 범위에서 해당 프로그램의 개발자·책임자·관리자, 프로그램의 업무 담당자(현업), 프로그램의 인수 담당자·책임자를 제외하여야 한다.

제4조(테스트 시스템)

①	금융회사 및 전자금융업자는 테스트 실효성 향상을 위하여 운영체제, 네트워크, 데이터베이스, 라이브러리 등을 포함하여 실제 운영시스템 환경과 유사한 환경의 테스트 시스템을 구축하여야 한다.

②	금융회사 및 전자금융업자는 충분한 가용성 테스트 수행이 가능하도록 테스트 시스템을 구축하여야 한다.

*	운영시스템과 동일한 자원(CPU, 메모리, 스토리지 등) 환경이 아닐 경우, 테스트 자원 환경을 감안한 비례적인 구성(예)운영 100, 테스트 50) 등으로 구축

제5조(테스트 절차)

①	금융회사 및 전자금융업자가 수행하는 모든 프로그램 테스트 수행 절차(긴급 수행 테스트 절차 등 긴급 사항도 포함한다.)를 내규에 반영하여야 한다.

②	금융회사 및 전자금융업자는 테스트 담당 조직을 구성하여야 하고, 충분한 테스트 수행을 위하여 테스트 자동화 솔루션을 도입*하여야 한다.

*	단, 테스트 자동화 솔루션의 종류, 범위, 적용대상, 적용방법 등은 금융회사 상황에 맞게 자율적으로 검토하여 운영

③	금융회사 및 전자금융업자는 대고객 영향도가 큰 프로그램 개발 계획 수립시에는 테스트 데이터 및 시스템 확보 등 테스트 환경 구축, 테스트 인력 확보, 테스트 케이스 및 시나리오 작성 관련 기간, 예산 및 인력 등을 반드시 고려하여야 한다.

④	프로그램 테스트 실효성 확보를 위하여 프로그램의 업무 담당 책임자(현업)가 인수 테스트를 반드시 실시하여야 하며, 인수 테스트 관련 업무처리 기준과 절차는 내규에 마련되어야 한다。

⑤	금융회사 및 전자금융업자는 프로그램 테스트시 테스트 시나리오 및 결과서를 작성하여야 하며, 해당 프로그램의 개발자에 의해 테스트 시나리오가 임의로 변경·축소되지 않도록 조치하여야 한다.

⑥	금융회사 및 전자금융업자는 대고객서비스 관련 프로그램 개발 및 테스트시 운영시스템 및 서비스 관련 사전 영향도 분석을 실시하고 영향도 분석 결과에 따른 리스크 등을 프로그램 테스트시 반영하여야 한다.

⑦	금융회사 및 전자금융업자는 대고객서비스 관련 신규 인프라 구축 및 교체가 동반되는 프로그램 변경 시에는 동시 최대 사용량(접속 고객수, 거래 횟수 등)을 반영하여 가용성 테스트를 수행하여야 하며, 최대 사용량에 영향을 미치는 대고객서비스 신규 개발 시 가용성 검토를 반드시 수행하여야 한다.

제6조(운영시스템 적용·배포)

①	금융회사 및 전자금융업자는 운영시스템 적용 승인 관련 책임자(전자금융감독규정 제29조 제6호의 책임자를 말한다.)의 범위를 내규에서 정의하여야 하고 운영시스템 적용 건별로 책임자를 사전에 지정·관리하여야 한다.

②	제1항에도 불구하고, 운영시스템 적용 승인 관련 책임자의 범위에서 직무전결규정 등을 고려하여 운영시스템에 적용하고자 하는 프로그램의 개발자와 동일한 조직에 속하고 있으면서 동일한 권한 또는 지위를 가진 인력은 제외하여야 한다.

③	운영시스템 적용 승인 관련 절차(운영시스템 긴급 적용, 비상대책 등 긴급 사항 관련 절차도 포함한다.) 및 책임자 권한의 위임 가능 여부는 내규에서 사전에 정의하여야 한다.

④	금융회사 및 전자금융업자는 사전에 지정된 운영시스템 적용 승인 관련 책임자를 프로그램 개발자, 책임자 또는 업무 담당자(현업) 등이 임의로 변경하지 못하도록 조치하여야 하며, 책임자 긴급 변경이 필요한 경우에는 IT감사자 또는 내부 감사자, IT개발 담당 임원 등의 승인을 득하는 절차를 수립·운영하여야 한다.

⑤	개발 및 테스트가 완료된 프로그램의 운영시스템 적용은 장애로 인한 고객 피해 감소를 위하여 고객 접속이 적은 시간대(또는 야간)에 수행하여야 한다. 단, 고객 피해가 예상되는 등 긴급한 적용이 필요하거나, 대고객 영향이 없는 운영시스템 적용 방식의 경우(단, 구체적 사례, 상황, 또는 적용 방식이 내규에 사전 정의된 경우에 한한다)에는 책임자 사전 승인 하에 즉시 수행할 수 있다.

⑥	프로그램의 운영시스템 적용시에는 IT감사자, 내부 감사자, 내부통제 담당자, IT개발 담당 임원 중 최소 한명이 테스트 및 승인 절차가 모두 수행되고 있는지 확인하여야 한다.

제7조(프로그램 통제 관리 및 점검)

①	금융회사 및 전자금융업자는 프로그램 등록ㆍ변경ㆍ폐기 내용의 정당성에 대한 검증 수행 여부에 대해 사후에 검증할 수 있도록 관련 데이터와 승인내역을 5년 이상 보관해야 한다.

②	금융회사 및 전자금융업자는 분기 1회 이상 내규에서 정한 프로그램 등록ㆍ변경ㆍ폐기 절차가 준수되었는지 여부, 프로그램 등록ㆍ변경ㆍ폐기 내용의 정당성에 대해 검증되었는지 여부, 프로그램 테스트 수행 절차가 준수되었는지 여부 및 운영시스템 적용·배포 절차가 준수되었는지 여부를 IT감사자 또는 내부 감사자 등을 통해 점검하여야 한다.

③	최고정보책임자(CIO) 등 IT개발 담당 임원은 제2항의 점검 결과를 지체없이 확인하여야 하고, 절차를 준수하지 않은 사례가 확인되면 직원 교육, 업무처리 절차 개선 등 개선 방안을 수립·시행하여야 한다.

제8조(프로그램 통제 교육)

금융회사 및 전자금융업자는 프로그램 등록·변경·폐기 절차, 프로그램 테스트 절차, 운영시스템 적용·배포 절차 등을 연 1회 이상 프로그램 통제 절차 미준수자, 신입 직원 등 에게 교육하여야 한다.