대규모 정보유출에 ESG 감점 강화…금융권 해킹, 등급 변수로 [ESGX]

한국ESG기준원, 대규모 개인정보 유출·고액 과징금 감점 강화
올해 금융권 해킹 사고, 내년 평가에 반영…지주등급 하락 가능성
매출액 최대 3% 과징금 추진…해킹, 금융권 ESG 주요 리스크로

▲(사진=AI 생성)

한국ESG기준원(KCGS)이 대규모 개인정보 유출이나 고액 과징금이 발생한 기업에 대한 ESG(환경·사회·지배구조) 감점을 강화했다. 최근 잇따른 금융권 해킹 사고는 올해 등급에 반영되지 않지만 조사 결과에 따라 내년 금융사 등급을 가를 변수가 될 전망이다.

8일 KCGS에 따르면 올해부터 업종과 관계없이 대규모 개인정보 유출이 발생하거나 고액 과징금을 부과받은 기업의 감점 폭을 키울 수 있도록 심화평가 모형이 개편됐다. 심화평가는 기업의 부정적 이슈를 수집해 등급에 반영하는 절차다. 개인정보보호법상 과징금 상한이 전체 매출액의 3%로 높아진 점을 반영한 것으로 전체 평가 대상 기업에 적용된다.

KCGS는 주요 상장사를 대상으로 ESG 등급을 평가한다. 등급은 S부터 D까지 7단계로 나뉘며 투자자의 기업 위험 평가와 한국거래소 ESG 지수 구성종목 선정에 활용된다. 정기평가 이후 발생한 사건·사고는 분기별 심의를 거쳐 등급에 반영한다. 계열사의 고객정보 유출도 금융지주의 ESG 통합등급에 영향을 줄 수 있다.

이번 평가위원회에서는 최근 금융권 해킹 사고를 안건으로 논의했지만 반영을 보류했다. 개인정보보호위원회와 금융감독원의 조사가 진행 중이어서 피해 규모를 판단하기 어렵다는 이유다. 기준원은 조사 결과가 나오면 향후 등급 조정 때 반영 여부를 다시 판단할 계획이다. 최근 미래에셋증권에서도 고객 약 3800명의 계좌번호와 퇴직자·외주직원을 포함한 임직원 3만5255명의 정보가 유출되는 등 해킹 피해는 금융권 전반에 확산한 상태다.

KCGS 관계자는 “피해 규모와 조사 결과가 명확해진 뒤 다시 판단하기로 해 이번에는 반영을 보류했다”며 “과징금과 피해 규모에 따라 내년도 평가등급 조정에 반영될 수 있다”고 말했다.

정보보호는 우선 사회(S) 부문에서 평가한다. 고객에게 유출 사실을 제때 알렸는지, 2차 피해 방지와 피해 구제를 위해 어떤 조치를 했는지가 주요 쟁점이다. 다만 보안 체계가 미흡했는데도 의사결정 과정에서 제대로 보고되지 않는 등 내부통제 부실이 확인되면 지배구조(G) 평가에도 반영될 수 있다. 계열사의 사고가 지주 평가에도 영향을 줄 수 있는 만큼 지주 이사회가 보안 위험을 보고받고 개선 조치의 이행을 점검했는지도 평가에 포함된다.

▲이찬진 금융감독원장이 10월 서울 여의도 국회에서 열린 정무위원회의 금감원 등에 대한 국정감사에서 의원 질의에 답하고 있다. (이투데이DB)

금융당국은 별도로 해킹 사고에 대한 제재 강화를 추진 중이다. 이찬진 금융감독원장은 이달 3일 기본적인 보안통제 부실로 해킹 사고가 발생한 금융회사에 매출액의 최대 3%를 과징금으로 부과할 수 있도록 전자금융거래법 개정을 지원하겠다고 밝혔다.

금융권 관계자는 “해킹 사고가 배상과 제재로 이어질 수 있는 만큼 이사회가 평소 계열사의 보안 위험을 어떻게 관리했는지가 중요하다. 취약점을 언제 보고받았고 개선 조치가 끝날 때까지 점검했는지를 보면 감독이 실제로 작동했는지 알 수 있다"고 말했다.