금감원 제3자 IT 리스크 관리 가이드라인 정리

금융감독원이 2026년 7월 30일 「금융회사의 제3자 IT 리스크 관리 가이드라인」을 제정했습니다. 부칙 제1조에 따라 2026년 11월 2일부터 시행됩니다. 은행연합회, 금융투자협회, 생명보험협회, 손해보험협회, 여신금융협회, 저축은행중앙회, 한국핀테크산업협회 등 업권별 협회·중앙회 7곳이 함께 만들었습니다.

이 문서는 금융회사를 대상으로 하지만, 실제로 자료를 만들어 제출하는 쪽은 금융회사에 서비스를 제공하는 수탁업체입니다. 이 글은 수탁업체 입장에서 무엇이 달라지는지 정리한 것입니다.

왜 새로 만들어졌나

업권별 제3자 리스크 관리 가이드라인은 이미 있었습니다. 보험이 2025년 12월 1일, 여신전문이 2025년 12월 29일, 금융투자가 2026년 2월 18일, 은행이 2026년 4월 1일 시행이었습니다.

다만 이 가이드라인들은 판매·결제 같은 일반 업무 위탁을 전제로 만들어져서, 사이버보안과 정보보호가 핵심인 정보처리 업무 위탁의 특성을 충분히 담지 못했다는 지적이 있었습니다. 이번 가이드라인은 그 공백을 메우는 문서입니다.

언제부터 적용되나

가이드라인 부칙 제1조는 2026년 11월 2일 시행으로 못 박고 있습니다.

다만 부칙 제2조가 "동 가이드라인 시행에 필요한 세부사항은 금융회사가 별도로 정할 수 있다"고 두었고, 업권별 협회·중앙회의 모범규준 제정과 금융회사 내규 반영 일정에 따라 실제 평가가 시작되는 시점은 거래처마다 다를 수 있습니다. 날짜보다 중요한 것은 평가표를 받았을 때 답할 자료가 있는지입니다.

수탁업체 입장에서 현실적인 시점은 이렇습니다. 금융회사가 내규를 고치고 총괄관리부서를 세운 뒤에야 위탁업체 전수 조사가 시작되므로, 실제 요청이 밀려오는 것은 그보다 몇 달 뒤일 가능성이 큽니다.

성격 — Soft Rule

가이드라인은 최소한의 기준과 원칙을 제시하는 형태입니다. 금융회사가 위탁 업무의 중요도와 위험성에 따라 강화하거나 완화해 유연하게 적용할 수 있습니다.

다만 금융감독원이 업권별 협회와 함께 이행 실태를 점검·평가할 계획이라고 밝혔습니다. 강제 규정은 아니지만 점검 대상이라는 뜻입니다.

누가 무엇을 요구받나

금융회사는 수탁업체별로 12개 항목을 파악하고 정기적으로 최신화해야 합니다. 회사명과 사업자번호, 제공 서비스·기능, 위탁업무 목적, 위탁업무 중요도, 데이터 종류·건수, 암호화 대상 및 방식, 통신 방식, 데이터 보유·이용기간, 정보처리시스템 소재지, 정보자산 현황, 사고대응 조직·연락체계, 그리고 회사별 추가 항목입니다.

마지막 항목이 수탁업체에게는 가장 부담입니다. 금융회사마다 항목을 더 붙일 수 있다는 뜻이고, 납품처가 여러 곳이면 서로 다른 양식을 받게 됩니다.

계약 단계별로 요구되는 것

• 계약 전 — 현장 실사 등을 통한 서비스 역량·정보보호 관리체계 검증. 위·수탁사 간 역할 분담과 사고 시 책임 관계 등 필수 사항의 계약서 반영.
• 계약 중 — 계약 이행 현황 정기 점검(연 1회 이상), 비상 대책, 백업 관리 체계, 출구 전략 마련.
• 종료 후 — 정보 자산 반납, 접근권한 말소, 정보의 완전한 파기.

ISMS 인증이 있으면 되나

도움은 되지만 대체되지 않습니다. 별표 47개 평가항목 중 상당수는 ISMS 통제 항목과 겹치므로 인증을 보유한 회사는 증적을 재사용할 수 있습니다. 다만 계약 종료 시 데이터 파기, 재수탁 업체 보안점검처럼 위탁 관계 고유의 항목은 인증으로 대체되지 않습니다.

다만 평판 위험 영역(침해·장애사고 이력, 보안 관련 제재 이력, 재무건전성)은 ISMS에 없는 항목이고, 재위탁 사전 승인과 데이터 종류·건수 집계도 인증 심사에서 요구되는 수준과 다릅니다. 그리고 ISMS 의무 대상이 아닌 회사도 이 체크리스트는 받습니다.

다음 단계

• 별표 47항목 평가 체크리스트 전문
• 실사 요청을 받았을 때 준비 순서
• 자가진단으로 현재 상태 확인하기