은행 네 곳이 하루에 490억원짜리 사고를 털어놓았다. 국민·신한·우리·기업은행이 지난 12일 오후 나란히 낸 금융사고 공시를 두고 하는 말이다. 액수도 액수지만 더 눈여겨볼 대목은 은행들이 그 사실을 알게 된 경위다. 우리은행과 기업은행은 수사기관이 자료를 내놓으라고 요구하는 과정에서 사고를 인지했고 신한은행도 경찰이 수사에 착수하면서 알았다. 대출이 나간 지 1년이 넘도록 은행 내부에서는 아무 신호도 잡히지 않았다. 은행권이 내부통제를 다시 세우겠다며 책무구조도를 도입한 지 2년째 되는 해에 벌어진 일이다.

은행 내부통제를 설명할 때 흔히 삼선 방어 모델을 든다. 영업 현장이 1선에서 위험을 걸러내고, 리스크관리와 준법감시가 2선에서 다시 들여다보며, 내부감사가 3선에서 앞의 두 겹이 제대로 작동했는지 점검하는 구조다. 국제 감독기구가 권고한 틀이고 우리 은행들도 조직도상으로는 모두 갖추고 있다. 그런데 이번 사고들은 세 겹을 차례로 통과해 집행됐고 집행된 뒤에도 3선이 잡아내지 못했다. 방어선이 뚫렸다기보다 방어선이 그 자리에 없었다고 보는 편이 사실에 가깝다.

2년 전 은행권은 대규모 횡령과 사모펀드 불완전판매를 겪은 뒤 책무구조도라는 답을 내놓았다. 임원별로 어떤 내부통제를 책임지는지 미리 문서로 정해두고, 사고가 나면 해당 임원이 관리의무를 다했는지 따져 제재하는 제도다. 사고가 터진 뒤 책임자를 거슬러 올라가 찾는 대신 사고 전에 최종 책임자를 지정해두자는 발상이라 금융판 중대재해처벌법으로 불리기도 했다. 2024년 7월 개정 지배구조법 시행과 함께 도입돼 은행과 금융지주는 이듬해 1월 2일까지 제출을 마쳤다.

제도 설계와 현실이 어긋나는 곳이 여기다. 책무구조도가 상정한 위험은 임직원의 일탈이었다. 누가 돈을 빼돌렸는지, 누가 상품을 잘못 팔았는지를 사후에 추적하는 대신 사전에 책임자를 지정해두자는 것이었다. 그런데 올해 은행권에서 터진 사고는 대부분 외부인이 서류를 위조해 대출을 받아간 건이다. 직원이 저지른 잘못이 아니라 직원이 걸러내지 못한 잘못이다. 이런 실패도 특정 임원의 관리의무 위반으로 귀속되는지, 귀속된다면 여신 심사를 맡은 임원인지 사고 예방 체계를 총괄하는 임원인지가 명확하지 않다.

금융감독원이 지난해 12월 지주와 은행 40곳을 상대로 책무구조도 운영 실태를 점검한 결과도 이런 사정과 무관하지 않다. 회사별 편차가 크고 아직 초기 단계에 머물러 있다는 것이 총평이었다. 대표이사의 총괄 관리의무가 소관 임원에게 사실상 재위임되면서 임원이 자기가 한 조치를 스스로 점검하는 구조가 나타난다는 지적도 함께 나왔다. 3선에서 앞의 방어선을 검증해야 할 기능이 1선과 뒤섞였다는 뜻이다. 이번 사고들이 세 겹을 그대로 통과한 결과와 따로 놓고 보기 어렵다.

책무구조도의 원형은 영국이 2016년 도입한 SMCR이다. 고위 임원 개개인에게 책임 영역을 배분하고 규제당국이 사전 승인하는 제도로, 우리 책무구조도가 사실상 이 틀을 옮겨온 것이다. 그런데 영국은 도입 10년이 되도록 이 제도를 손보는 중이다. 2023년 3월 감독당국이 제도 성과를 묻는 논의보고서를 내면서 시작된 검토가 2025년 7월 재무부와 건전성감독청, 금융행위감독청의 동시 개편안 발표로 이어졌고 올해 4월 1단계 개편이 확정됐다. 건전성감독청은 임원 심사에 걸리는 기간을 지난해 초 중앙값 62일에서 올해 초 28일로 줄였다. 재무부는 인증 제도 자체를 법률에서 떼어내 감독당국 규정으로 옮기는 2단계 개편까지 검토하고 있다.

주목할 것은 개편의 방향이 아니라 개편이 이뤄지고 있다는 사실이다. 영국은 제도를 만든 뒤 10년 동안 무엇이 작동하고 무엇이 헛돌았는지를 계속 확인해왔다. 우리는 제출 기한을 맞추는 데 행정력을 쏟았고 제출한 문서가 실제 사고를 막았는지 검증하는 절차는 아직 자리 잡지 못했다. 저축은행과 여신전문금융회사, 중소형 보험사가 지난달 2일까지 책무구조도를 내면서 전 금융권 도입이 마무리됐는데, 먼저 도입한 은행권에서 사고가 이어지고 있다면 다음 단계 논의는 확산이 아니라 점검이어야 한다.

기준 하나를 제안하고 싶다. 은행이 사고를 스스로 발견했는지, 아니면 외부에서 통보받았는지를 감독 지표로 삼는 방안이다. 자체 감사나 이상거래탐지로 잡아낸 사고와 검찰이 알려준 사고는 통제 체계의 상태를 전혀 다르게 보여준다. 이번 네 건 가운데 은행이 자기 힘으로 찾아낸 것은 국민은행 한 건뿐이다. 사고 금액을 얼마나 줄였느냐가 아니라 얼마나 빨리 알아챘느냐를 물어야 통제 체계가 실제로 돌아가기 시작한다.

미국 연방준비제도는 2016년 웰스파고 유령계좌 사건 이후 벌금 대신 자산 성장을 막는 제재를 택했다. 통제 체계를 고치기 전까지 1조 9500억달러 이상으로 몸집을 키우지 못하게 한 조치로, 이 상한은 지난해 6월에야 풀렸다. 7년이 걸렸다. 사고를 낸 대가가 영업 확장의 제약으로 돌아온다면 계산이 달라진다. 지금처럼 수백억원 사고가 반기 순이익 수조원 앞에서 반올림 오차로 처리되는 한, 심사를 촘촘히 하자는 결의는 사고가 날 때마다 되풀이될 뿐이다.