AI 시대, 금융회사 내부통제의 기준 재설계 필요해 [안진 클로즈업]

이 기사는 09월 10일 07:48 마켓인사이트에 게재된 기사입니다.

AI가 금융회사 업무 전반에 도입되면서 내부통제가 관리해야 할 대상도 달라지고 있다. 과거 내부통제는 사람이 수행한 업무의 결과를 사후적으로 점검하거나 사전에 정의된 규칙에 따라 예외거래를 탐지하는 방식이 중심이었다. 그러나 AI가 업무 판단 과정에 직접 개입하기 시작하면서 내부통제의 초점 역시 결과 중심의 통제에서 의사결정 과정에 대한 통제로 이동하고 있다.

금융감독원은 지난 6월 말 은행권 내부통제 워크숍에서 내부통제 관련 주요 이슈를 공유하는 한편, ‘AI 시대의 내부통제’를 주제로 외부전문가 특강과 은행 사례발표를 진행했다. 이처럼 AI 시대의 내부통제는 감독당국에서도 주요 과제로 부상하고 있다. 이제 금융회사의 내부통제 경쟁력은 ‘AI를 얼마나 많이 도입했는가’가 아니라 ‘AI를 얼마나 책임 있는 구조 안에서 운영하고 통제할 수 있는가’에 달려 있다고 해도 과언이 아니다.

AI는 금융회사의 내부통제 효율성과 정교성을 높일 수 있다. 거래 데이터와 업무 로그, 상담 기록, 민원 데이터 등 방대한 정보를 실시간으로 분석해 기존 표본감사 방식으로는 발견하기 어려웠던 이상 징후를 조기에 식별하고, 규정 변경사항과 내부규정의 정합성 점검이나 반복적인 통제업무를 자동화할 수 있다.

반면 AI 활용이 확대될수록 기존 내부통제 체계가 충분히 다루지 못했던 새로운 리스크도 동반한다. 만약 AI가 특정 거래를 이상거래로 분류하거나 고객을 고위험군으로 판단했을 때 그 근거를 설명할 수 없다면 감독당국 검사나 내부감사, 고객 민원 대응에 어려움이 발생할 수 있다.
데이터 편향 역시 중요한 위험이다. 학습 데이터에 특정 고객군이나 거래 유형에 대한 편향이 존재하면 AI의 판단에도 그대로 반영될 수 있다. 신용평가나 투자권유, 보험심사처럼 고객의 권리와 의무에 직접 영향을 미치는 업무에서는 이러한 편향이 금융소비자 보호와 평판 리스크로 이어질 수 있다.

생성형 AI의 환각(Hallucination)과 정보유출 위험도 기존 IT 통제만으로는 관리하기 어렵다. 사실과 다른 정보를 그럴듯하게 제시하거나, 임직원이 외부 AI 서비스에 고객정보나 내부 문서를 입력하는 경우 새로운 통제 공백이 발생할 수 있다.

AI가 통제활동을 수행한다고 해서 통제 책임까지 AI에 이전되는 것은 아니다. AI의 산출물은 최종 판단이 아니라 위험신호(Risk Indicator)이며, 최종 의사결정과 내부통제의 책임은 여전히 금융회사와 담당 임직원에게 있다.

또한 AI는 시간이 지나도 동일한 성능을 유지한다고 보기 어렵다. 시장 환경과 규제 변화에 따라 성능이 달라질 수 있는 만큼, AI 내부통제는 도입 시점의 검증보다 운영 과정에서의 지속적인 관리가 핵심이다.

결국 AI 리스크는 데이터, 모델, 업무 프로세스, 운영 환경, 책임 구조가 결합된 복합 리스크이며, AI 내부통제 역시 이러한 요소를 함께 관리하는 체계로 발전해야 한다. 별도의 AI 규정을 만드는 것만으로는 충분하지 않으며, 핵심은 기존 내부통제 체계 안에 AI를 하나의 통제 대상으로 편입하는 것이다. 이를 위해서는 다섯 가지 관리 축이 유기적으로 연결되어야 한다.

첫째, 거버넌스(Governance)이다. AI 활용 목적과 허용 범위, 승인 절차, 책임 주체를 명확히 정의하고, 고객 의사결정이나 핵심 통제활동에 활용되는 AI는 사업부서뿐 아니라 준법감시, 리스크 관리, 정보보호, 내부감사가 함께 참여하는 위험기반 의사결정 구조에서 관리해야 한다.

둘째, 업무·리스크 연계(Business Process Risk Alignment)다. AI 내부통제는 기술 유형이 아니라 AI가 활용되는 업무의 중요도와 위험 수준을 기준으로 설계되어야 한다. 따라서 금융회사는 AI 활용 사례를 개별 기술이 아닌 업무 프로세스 단위로 식별하고, 해당 업무에 적용되는 기존 내부통제 기준과 연결해야 한다.

셋째, 데이터·모델 관리(Data Modeling)이다. 데이터의 적법성, 품질, 대표성, 최신성, 편향 여부를 지속적으로 점검하고, AI 모델은 개발부터 검증, 배포, 운영, 변경, 폐기에 이르는 전 생애주기(Lifecycle) 관점에서 관리해야 한다. 특히 고객에게 직접 영향을 미치는 AI는 독립적인 모델 검증과 변경 승인 절차를 갖출 필요가 있다.

넷째, 운영·사후관리(Operational Detective Control)이다. AI는 구축보다 운영이 중요하다. 정확도뿐 아니라 오탐·미탐, 사용자 수정률, 민원 발생률 등을 지속적으로 관리해야 하며 성능 저하, 오류, 장애, 사고 징후가 확인되는 경우에는 모델 변경, 재학습, 사용 제한, 사용 중단, 수동 절차 전환 기준이 작동해야 한다.

마지막으로, 설명가능성(Explainability)이다. AI 내부통제에서 ‘설명가능성’이란 알고리즘을 설명하는 것이 아니라 어떤 데이터를 사용했고, 누가 결과를 검토했으며, 최종 판단이 어떻게 이루어졌는지를 추적하고 재현할 수 있는 능력을 의미한다. 앞으로 감독당국의 관심도 AI 모델 자체보다 AI 활용 과정의 책임성과 기록관리 수준에 집중될 가능성이 크다.

AI 내부통제의 핵심은 AI 자체를 관리하는 것이 아니라 AI가 포함된 업무 프로세스를 통제하는 데 있다. AI는 더 이상 IT 부서의 기술이 아니라 금융회사의 의사결정 체계 일부가 되고 있다. 책임 있는 AI 활용을 위한 내부통제는 이제 선택이 아니라 금융회사의 지속가능성을 결정하는 핵심 경영 인프라가 되어야 한다.