| 새로운 시대정신이자 미래의 침로인 'ESG'가 거대한 전환을 만들고 있다. ESG는 환경(E), 사회(S), 거버넌스(G)의 앞자를 딴 말로, 더 나은 세상을 향한 세계 시민의 분투를 대표하는 가치 담론이다. 삶에서, 현장에서 변화를 만들어내고 실천하는 사람과 조직을 만나 그들이 여는 미래를 탐방한다.[편집자말] |
▲ 지난 5월 6일 회삿돈 614억 원을 횡령한 혐의로 구속된 우리은행 직원 A씨가 서울 중구 남대문경찰서에서 서울중앙지검으로 송치되고 있다. ⓒ 연합뉴스
2022년 4월 국내 굴지의 금융회사인 우리은행에서 600억 원대 횡령 사건이 밝혀졌다. 우리은행 본점 기업개선부의 A씨는 동생과 함께 2012년 10월~2018년 6월 사이 총 세 차례에 걸쳐 은행 돈 614억 원을 빼돌린 뒤 주가지수옵션 거래 등에 쓴 혐의로 경찰에 긴급 체포됐다.[1]
빼돌린 돈은 이란의 가전업체 엔텍합이 대우일렉트로닉스 인수와 관련해 매각 주관사인 우리은행에 지급한 계약금이다. 협상 과정에서 매각이 취소돼 우리은행이 엔텍합에 계약금을 돌려줘야 했지만, 미국의 대이란 제재로 송금이 이뤄지지 못해 우리은행이 그 돈을 관리했다. 우리은행은 최근 예치금 반환을 준비하던 중 횡령 사실을 발견해 A씨를 경찰에 고소했다.[2]
이에 앞서 지난해엔 국내 1위 임플란트 업체 오스템임플란트에서 2000억 원에 육박하는 대규모 횡령 사건이 발생했다. 오스템임플란트 자기자본 2047억 원의 91.81%에 달하는 1880억 원이 횡령액으로 추정된다. 국내 상장사에서 발생한 횡령 사건 중 역대 최고액이다.[3] 회사에 따르면 조직적인 범행이 아닌 자금 담당자의 특수성을 악용한 단독 범행이었다.[4]
경제 성장과 더불어 금융회사의 업무 범위가 확대됨에 따라 금융회사가 대규모 손실을 기록하거나 금융회사 임직원의 실수로 금융소비자가 피해를 보는 사례가 늘고 있다. 감독당국은 근본 원인으로 금융회사의 내부통제 미흡을 지적하고 있다.[5]
우리은행 내부나 외부감사인인 회계법인은 지난 10년간 A씨가 위조한 서류만 믿고 실제로 돈이 보관돼 있는지를 확인하지 않았다.[6] A씨가 2012년과 2015년에 부동산 신탁 전문회사에 돈을 맡기겠다고 속이고, 2018년에는 자산관리공사가 "돈을 맡아 관리하기로 했다"는 허위 문서를 꾸며 승인을 받았을 때, 부동산 신탁회사는 물론 공사에 따로 사실관계를 확인하지 않았다.[7]
우리은행이 허술한 내부 통제와 관련하여 비판을 피할 수 없어 보인다. 오스템임플란트의 재무팀장은 1880억 원을 횡령하기 위해 출금 내역, 자금 수지, 잔액 증명서 등을 위조했다. 자금·인출·기록 등 분리돼 있어야 하는 세 가지 기능이 한 사람에게 통합돼 운영된 것은 명백한 내부통제 설계 오류에 해당한다.[8]
'내부통제'
내부통제는 미국을 중심으로 발전했는데 미국 회계부정방지위원회(COSO, Committee of Sponsoring Organization)가 내부통제의 개념을 최초로 정립한 것으로 알려져 있다. COSO의 초기 연구는 내부통제를 "회사의 운영, 보고, 법규 준수의 목적을 달성하기 위해 이사회, 경영진, 회사 임직원들이 수행하는 모든 절차"로 1992년에 정의했다. 1997년 아시아 위기와 2008년 글로벌 금융위기를 겪으면서 금융회사에 적용되는 내부통제의 개념은 컴플라이언스(준법) 관점에서 전사적 운영리스크 관점으로 진화하고 있다.[9]
컴플라이언스는 기업이 사업을 운영하면서 접하는 모든 규범과 조화를 이뤄 적정하고 건전한 사업 활동을 하기 위해 마련한 조직 또는 장치로, 컴플라이언스의 맥락에서 준수는 '조직적으로' 지켜 대응한다는 의미이다.[10] '전사적 리스크 관리(ERM, Enterprise Risk Management)'는 그동안 기업의 각 부문에서 관리한 리스크를 전사적인 차원에서 체계적으로 관리하는 새로운 관리 방식을 뜻한다.[11]
COSO는 내부통제의 구체적 적용 범위를 컴플라이언스, 소비자보호, 내부회계, 정보보호, 리스크관리, 자금세탁방지 등을 모두 포함하는 것으로 보아, 컴플라이언스 준수를 넘어선 전사적 운영리스크 관점으로 볼 것을 2013년 제안했다.
한국도 1992년 COSO의 개념을 받아들여, 내부통제를 "금융회사로 하여금 법령을 준수하고, 경영을 건전하게 하며, 주주 및 이해관계자를 보호하기 위해 금융회사의 임직원이 직무를 준수하게 할 기준 및 절차"로 정의하였다. 관련하여 주주 및 이해관계자 보호를 위해 임직원 등이 지켜야 할 절차를 명시하는 등 COSO보다 광범위하고 다소 추상적인 개념을 적용하고 있다.[12]
233년 역사 베어링스 은행의 파산
▲ 베어링스 은행 파산 소식을 전한 1995년 2월 27일 자 영국 일간지 <가디언> ⓒ 가디언
단 한 명의 직원으로 인해 파산한 베어링스은행의 사례는 내부통제의 중요성을 단적으로 보여준다. 베어링스은행은 1762년 영국에서 설립된 유서 깊은 국제 금융회사였다. 233년의 역사를 자랑하던 이 회사는 닉 리슨(Nicholas Leeson)이라는 20대 직원의 일탈을 막지 못해 파산하여, 1995년 2월 ING에 단돈 1파운드에 팔렸다.[13]
리슨은 1989년 베어링스 은행에 취직해 선물 및 옵션 거래의 전문가로 두각을 나타냈다. 회사는 1992년 급성장하는 선물 및 옵션 거래시장에 대비하기 위해 싱가포르지사 사무소장으로 닉 리슨을 임명했다.[14]
그해 부하직원이 실수로 2만 파운드를 날리면서 그의 인생은 어긋나기 시작했다. 회사의 문책을 걱정한 리슨은 88888 에러계좌에 손실을 숨겼다.[15] 당시 베어링스은행 내부에는 착오 등 실수로 인한 손실을 처리하는 계좌가 있었는데 이것이 바로 88888 에러계좌였다. 88888 에러계좌는 휴면계좌로 처리돼 본사에서는 파악치 못했다.[16]
리슨은 이익이 나면 정식 계좌에 등록하고, 손실이 나면 88888 에러계좌에 감추는 식으로 베어링스은행 전체 이익 중 5분의 1을 만들어 냈다.[17] 은행은 리슨을 금융계의 제왕으로 부르며 그의 투자 방식에 감탄하기 바빴다. 하지만 리슨은 막대한 손실을 감추고 있었고, 숨겨진 손실은 점점 쌓여 1992년 200만 파운드에서 1993년 2300만 파운드까지 증가했다.[18]
그간의 누적 손실을 일시에 만회하기 위해 그는 모험을 감행했다. 1995년 1월 16일 거래소가 큰 폭으로 오르거나 내리지 않고 밤새 안정적으로 유지될 것이라고 추측하면서 싱가포르와 도쿄 증권 거래소에서 그 방향으로(스트래들) 투기적 거래를 했다.[19]
그러나 일본 고베에서 지진이 발생하면서 니케이225 지수는 폭락했고, 리슨의 손실도 큰 폭으로 증가했다. 그는 여기서 그치지 않고 주가지수 선물을 대량 매입하는 마지막 모험을 저질렀다. 고베 지진 복구를 위한 재정지출 증가로 일본경제가 회복되고 주가도 상승할 것이라는 전망에 근거한 매입이었다.
그러나 기대와 달리 주가지수는 1995년 1~2월 중 15% 이상 하락하여, 리슨은 주가지수선물거래에서만 3억 파운드의 손실을 냈다.[20] 최종적으로 리슨이 베어링스 은행에 입힌 손실은 당시 연란은행 조사 결과 8억 3000만 파운드였다.[21] 결국 베어링스 은행은 파산에 다다랐고, 리슨은 도피 중 체포되어 6년 6개월의 징역형을 선고받았다.[22]
베어링스은행 파산의 근본 원인은 한 직원이 투자업무를 수행하는 과정에서 천문학적인 손실을 보고 있음에도, 이에 대한 보고체계나 자체 내부감사 체계가 작동하지 않은 은행 내부통제 시스템의 부재에 있다.[23] 은행이 저지른 가장 눈에 띄는 잘못은 파생 상품 거래 업무와 청산, 결제 및 회계 업무를 한 사람이 총괄하도록 한 것이다.[24]
리슨은 싱가포르 사무소의 거래 활동과, 거래의 결제 및 회계를 제공하는 시스템인 '백오피스 시스템'을 모두 감독했다. 즉 리슨의 거래를 검토 및 확인하고, 그의 거래 활동이 허용 가능한 위험 수준 내에서 유지되었는지를 감시하는 독립적인 관리가 없었다. 베어링스은행 사건과 같은 일을 방지하기 위해서 회사는 거래 기능과 분리되고 구별되는 리스크 관리 시스템을 갖추어야 하며, 최고 경영진에 이르는 독립적인 보고 권한 라인이 있어야 한다.[25]
역사상 최악의 금융사고
▲ 소시에테제네랄 은행 ⓒ 셔터스톡
2008년엔 프랑스 소시에테제네랄(SG)은행에서 베어링스은행을 능가하는 거액 선물거래 손실 사고가 발생했다. 주식선물투자 조작거래관련 손실만 49억 유로(72억 달러)에 달하는 금융사고였다. 소시에테제네랄은 1864년 설립된 프랑스의 대표적인 시중은행이다.[26]
사고는 직원인 제롬 케르비엘의 거래 조작에서 비롯됐다. 그는 회사 내에 가상의 사업체를 설립한 뒤 다른 거래인의 명의를 도용해 한도 이상의 대규모 거래를 하는 등 법규를 어기면서까지 투기적인 거래를 자행했다.[27]
자신이 초래한 거액 투자손실을 은폐하기 위해 동료의 ID를 도용하여 가상의 거래상대방과 헤지 포지션(현물 포지션의 손실을 파생상품의 포지션이 보전하거나 파생상품 포지션에서의 손실을 현물 포지션이 보전할 수 있도록 기초상품과 파생상품을 결합하는 포지션)[28]을 취한 것처럼 기록을 위조하였다.
자금결제, 리스크관리를 담당하는 거래지원부서(back office)에서 3년을 근무한 경험으로 자연스럽게 자금결제과정을 숙지하고 있었을 뿐 아니라, 관련 부서 직원과 유대관계를 유지하고 있어 손쉽게 사기 거래가 가능했다.[29]
소시에테제네랄의 금융사고 또한 거래 담당자와 결제부서, 리스크 관리 부서의 엄격한 분리를 통해 내부통제를 강화할 필요가 있다는 점을 시사한다.[30] 내부통제 시스템의 형식적 운영, 검사역의 전문성 부족으로 인한 자체 감사능력의 한계, 대내외적인 신인도 하락을 우려해 사고를 축소·은폐하기에 급급한 경영진의 의식 등은 금융사고의 주요 원인이 되고 있다.[31]
내부통제 시스템
내부통제 실패는 금융회사의 평판과 내부 조직에 악영향을 끼치는 것은 물론 금융업계 전반에 걸친 불신과 신뢰를 떨어뜨리는 요인으로 작용한다. 따라서 그 심각성을 깨닫고 사고 예방을 위한 다각도의 대책을 마련할 필요성이 있다.[32]
미국, 영국 등은 금융사고 규모 및 소비자 피해 규모에 따라 금융회사가 파산에 처할 정도로 높은 행정 과징금을 부과한다. 이에 주요국 금융회사는 사고는 물론 파산 위협에 준하는 금전적 처벌을 예방하기 위해서라도 법규 준수 등을 포함한 내부통제 역량 강화에 대규모 인적, 물적 자원을 투자하고 있다. 한국은 금융기관에 대한 금전적 제제 수준이 낮은 편이다. 따라서 장기적으로 금융회사의 내부통제 역량 강화를 유도하기 위해 내부통제 소홀시 금전 제재를 강화하는 것을 검토할 필요가 있다.[33]
유인부합적 내부통제 구축을 유도하는 방안도 있다. 유인부합적 방식이란 금융회사가 스스로 감독 기준을 충족할 수 있도록 유도하고, 이에 부합하지 않는 회사에 한해 종합검사를 실시하는 것을 말한다.[34] 미국, 영국 등의 주요국은 내부통제기준을 충실하게 마련하면, 금전 제재금을 경감해주는 인센티브를 제시하고 있다.
예컨대 2011년 골드만삭스는 헤지펀드 폴스앤코가 설계한 아바쿠스(Abacus) 부채담보부증권(CDO) 상품을 개인투자자에게 무분별하게 팔았다는 이유로 미 증권거래위원회(SEC)에 기소돼 대규모 민사 제재금을 부과 받았다. 법원은 이사회가 해당 상품의 위험을 인지하지 않았고 판매를 고의로 독려하지 않았으며, 내부통제 시스템을 갖추고 준수했다는 이유로 감독자의 포괄적 책임을 인정하지 않았다.
영국 바클리스도 2015년 외환시장 거래 담합 혐의로 3억 5000만 파운드의 과징금을 부과 받았지만, 최종 판결에서 내부통제를 잘 갖추었다는 점을 인정받아 과징금의 20%(약 2억 8000만 파운드)를 할인 받았다.[35]
반면 한국은 금융회사가 내부통제 시스템을 충실히 마련하더라도 금전 제재 또는 인적 제재를 경감받기 어렵다. 미국, 영국 등의 사례를 참조하여 금융회사가 충실한 내부통제 마련을 입증하면 인적 제재 또는 금전 제재를 경감 받을 수 있는 면책 제도를 법제화할 필요가 있다.[36]
▲ 금융회사 지배구조법 일부 개정안 ⓒ 김나현
금융은 기본적으로 리스크 관리 산업이다. '금융의 8할은 리스크 관리'라는 말이 괜히 나온 게 아니다.[37] 내부통제 실패로 파산에 이른 베어링스은행과 막대한 손실을 입은 소시에테제네랄은행의 사례가 리스크 관리의 중요성을 증명한다. 우리나라도 최근 우리은행과 오스템인플란트 횡령 사건을 거치며 다시 한번 내부통제제도 개선의 필요성을 실감했다.
윤석열 대통령이 국정과제로 '금융권 책임경영 확산을 위한 내부통제제도 개선'을 제시함에 따라 국회에 계류 중인 금융사 지배구조법 개정안 심의도 속도를 낼 전망이다. 정부가 2020년 6월 국회에 제출한 '금융회사 지배구조법 일부 개정안'은 내부통제와 관련한 금융사 최고경영자(CEO)의 책임을 강화하는 내용을 골자로 한다.
금융회사의 내부통제 미비가 국가통제 불능으로 비화하는 최악의 상황은 물론 금융 소비자를 보호하기 위해서라도 차제에 제대로 된 내부통제 제도를 마련할 필요가 있다. 내부통제 시스템을 만들지 않은 금융회사에 회사가 휘청일 정도의 금전적 제제 수단을 도입하고, 합당한 내부통제 시스템이 작동한 상태에서 발생한 사고에서는 제재를 경감하는 방안과, 내부통제 현황을 회사가 공시하도록 하면서 금융당국이 금융회사별로 내부통제 수준을 평가하도록 하는 방안을 동시에 추진해야 한다는 데 의견이 모인다.
지배구조보고서나 ESG보고서에 내부통제 제도의 현황과 운영실태를 정기적으로 보고하게 하는 방안 또한 가능하다. 금융회사와 다른 내용 다른 수준의 내부통제를 비금융회사에 강화하는 것에 관한 논의를 시작할 시점이기도 하다.
글 안치용 ESG코리아 철학대표, 김나현·이주현 바람저널리스트, 이윤진 ESG연구소 연구위원