고객확인의무(CDD) 완전 정복: 위험기반접근법으로 보는 고객위험 평가 4대 요소

AML 담당자가 실무에서 가장 많이 마주치는 질문은 “이 고객, CDD로 끝낼까 EDD까지 가야 할까?”입니다. 그 판단의 기준이 바로 위험기반접근법(RBA, Risk-Based Approach)입니다. 이 글에서는 고객확인의무(CDD)의 개념과 법적 근거, CDD를 구성하는 3요소, 그리고 위험기반접근법에 따라 고객위험평가를 수행하는 4대 요소를 실무 기준으로 정리합니다.

고객확인의무(CDD)란 무엇인가

고객확인의무(CDD, Customer Due Diligence)는 금융회사가 고객의 신원을 확인·검증하고, 실제소유자와 거래 관계의 목적·성격을 파악해 금융거래가 자금세탁이나 테러자금조달에 이용되지 않도록 하는 제도입니다. 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」(특정금융거래정보법) 제5조의2(금융회사등의 고객 확인의무)에 법적 근거를 두고 있으며, 2006년 1월부터 국내에 도입되었습니다.

법 조문은 금융회사가 자체 기준에 따라 고객유형·금융상품·국가별로 자금세탁 위험도를 먼저 분류하도록 요구합니다. 즉 CDD는 단순한 신분증 확인 절차가 아니라, 위험을 먼저 분류하고 그 위험 수준에 맞는 확인 절차를 적용하는 체계입니다.

적용 시점: 계좌 신규 개설 시, 또는 대통령령으로 정하는 금액 이상의 일회성 거래 시 CDD를 이행해야 합니다. 이미 확인이 끝난 기존 고객이라도 확인 내용이 실제와 다르거나 유효성이 의심되는 경우에는 재확인 절차를 거쳐야 합니다.

CDD를 구성하는 3요소

고객확인은 고객의 신원과 실제소유자를 확인하는 절차를 중심으로 하며, 고객이 실제소유자인지 의심되거나 자금세탁·테러자금조달 위험이 우려되는 경우에는 거래목적, 거래자금의 원천 등 추가 정보를 확인합니다. 따라서 실무에서는 신원확인·실제소유자 확인·거래관계의 목적 및 성격 파악을 하나의 연속된 고객확인 체계로 설계하되, 추가 확인의 범위는 위험도에 비례해 정하는 것이 중요합니다.

• 신원확인: 고객의 성명·실지명의, 주소, 연락처 등을 객관적이고 신뢰할 수 있는 문서·자료·정보를 통해 확인하고 그 정확성을 검증
• 실제소유자 확인: 고객을 궁극적으로 지배하거나 지배력을 행사하는 자연인(실제소유자, UBO)을 확인. 법인 고객의 경우 여러 단계의 지분 구조를 거슬러 올라가 최종 자연인을 특정해야 함
• 거래목적 및 성격 확인: 자금세탁 우려가 있다고 판단되는 경우, 해당 거래를 하는 실제 당사자가 누구인지와 거래의 목적·자금 출처 등을 추가로 확인

세 요소 중 하나라도 고객이 정보 제공을 거부해 확인을 완료할 수 없다면, 신규 거래는 거절하고 기존 거래관계는 종료해야 합니다. 이 경우 해당 거래가 의심거래보고(STR) 대상에 해당하는지도 별도로 검토해야 합니다.

위험기반접근법(RBA)이란

위험기반접근법(RBA)은 모든 고객과 거래에 동일한 수준의 확인 절차를 적용하는 대신, 자금세탁·테러자금조달 위험이 높은 곳에 자원을 집중하는 방식입니다. 고객 업종, 금융상품, 거래 지역에 따라 위험도를 먼저 분류하고, 위험이 낮은 고객에게는 간소화된 확인을, 위험이 높은 고객에게는 강화된 확인(EDD)을 적용합니다.

실무 포인트: RBA를 도입하는 핵심 이유는 효율성입니다. 저위험 고객까지 EDD 수준으로 전부 조사하면 정작 진짜 고위험 고객을 들여다볼 인력과 시간이 부족해집니다. 위험도에 따라 확인 강도를 차등화해야 한정된 컴플라이언스 자원을 고위험 영역에 집중할 수 있습니다.

고객위험평가 4대 요소

위험기반접근법에 따른 고객위험평가는 크게 4가지 요소로 나뉩니다.

1. 국가·지리적 위험(Country/Geographic Risk)

고객의 국적뿐 아니라 거주지, 법인 설립지, 실제소유자 소재지, 거래상대방 및 자금의 출발·도착 국가를 종합 평가합니다. 단일 국적이 아닌, 자금 흐름 전반에 걸친 지리적 연결성을 기준으로 판단하는 것이 원칙입니다.

• 판단 기준: FATF 조치요구 대상 고위험 국가(High-Risk Jurisdictions subject to a Call for Action, 통상 블랙리스트), FATF 강화된 모니터링 대상 국가(Jurisdictions under Increased Monitoring, 통상 그레이리스트), UN 및 국내 제재 대상 국가, 국제투명성기구 부패인식지수 관련 리스트
• 고위험 사례: 2026년 6월 기준 FATF 조치요구 대상에는 북한(DPRK)·이란·미얀마가 포함. 다만 국가 목록은 FATF 정례 발표 때마다 변경되므로 운영 시스템에서 최신 목록을 주기적으로 반영해야 함

주의: 그레이리스트(강화된 모니터링 대상)는 모든 거래에 일률적으로 EDD나 거래 거절을 요구하는 목록이 아닙니다. 개별 위험 요인을 반영한 강화된 주의와 면밀한 위험평가가 필요한 대상으로, 다른 위험 요인과 결합해 판단해야 합니다.

2. 고객위험(Customer Risk)

고객 자체의 특성과 행동 패턴에서 비롯되는 위험입니다.

• 고객 고유위험: 실소유자를 감추기 위한 복잡한 지분 구조, 정치적 주요인물(PEP)과의 관계, 카지노·귀금속·무기판매 등 현금거래가 잦은 고위험 업종
• 거래행위 위험: 상업적 근거 없는 대량 거래, 경제적 실익이 없는 복잡한 거래 구조, 과도한 비밀유지 요구, 자금출처 입증 불가

3. 상품·서비스 위험(Product/Service Risk)

현금성·고유동성·국경 간 이전 용이성·익명성 수준을 기준으로 상품 위험을 평가합니다.

• 고위험 상품: 단기 상품, 조기 상환이 가능한 상품, 거래금액 제한이 없는 상품
• 가상자산: 익명성과 국경 간 이동의 용이성 때문에 자금세탁 위험이 높은 상품군으로 분류됨. 가상자산 관련 활동에는 위험평가에 따른 CDD 및 필요시 EDD 적용이 요구됨

4. 채널·전달경로 위험(Channel Risk)

대면 여부 자체보다 신원확인 신뢰도, 인증 수단, 대리거래 가능성, 모니터링 수준을 중심으로 평가합니다.

• 비대면 채널: 신원확인 신뢰도가 낮고 사칭·대리거래 위험이 있어 채널 위험 요인으로 판단. 다른 고위험 요소와 결합될 경우 위험 등급이 상승함
• 대면 채널: 상대적으로 위험이 낮으나, 다른 위험 요소와 결합되면 등급이 올라갈 수 있음

중첩 위험 주의: 가상자산 거래는 상품 특성상 높은 위험 요인이 되며, 비대면 채널을 이용하는 경우 채널위험이 추가로 결합될 수 있습니다. 위험 요인이 중첩될수록 고위험 평가 가능성이 커지므로 추가 정보 수집, 거래 모니터링 강화, 자금원천 확인 등 EDD 조치를 적극 검토해야 합니다. 다만 최종 적용 여부와 강도는 금융회사 위험평가 기준 및 개별 거래 정황에 따라 결정합니다.

강화된 고객확인의무(EDD)

강화된 고객확인의무(EDD, Enhanced Due Diligence)는 고객·상품·서비스·거래채널·국가 및 지리적 위험을 종합 평가한 결과 자금세탁 또는 테러자금조달 위험이 높은 고객이나 거래에 적용하는 추가 확인 절차입니다. 금융회사등은 거래목적, 예상 거래 형태, 거래자금의 원천 등 위험에 비례한 추가 정보를 확보하고, 필요하면 거래 모니터링 강화, 고위 경영진 승인 등의 통제 조치를 적용해야 합니다.

비대면 거래나 가상자산 관련 거래는 위험 요인이 될 수 있지만, 그 자체만으로 자동 EDD 대상이라고 단정할 수는 없습니다. 고객 특성, 이용 서비스, 거래 금액·빈도, 지리적 연결성, 이상거래 징후를 결합한 위험평가 결과에 따라 EDD 적용 여부와 강도를 정하는 것이 위험기반접근법의 핵심입니다.

EDD 단계에서 추가로 확인하는 정보

• 개인 고객: 직업·업종(개인사업자 포함), 거래목적, 자금출처, 기타 자금세탁 우려를 해소하기 위해 필요한 사항
• 법인 고객: 법인 기본정보(규모·상장여부·설립일 등), 자금출처와 거래목적, 예상거래량, 주요 상품·서비스, 재무정보

2025년 5월 13일 시행된 개정 「자금세탁방지 및 공중협박자금조달금지에 관한 업무규정」은 테러자금조달금지 체계 정비 내용을 반영한 개정으로, 자금세탁 위험이 높다고 평가된 고객에 대해 거래목적 등 추가 정보를 확인하도록 명시하고 있습니다. 개정의 정확한 조문별 변경 내용은 금융정보분석원 홈페이지에서 현행 업무규정 원문을 통해 직접 확인하는 것을 권장합니다.

위반 시 제재 및 실무 체크리스트

고객확인의무 이행은 선택이 아니라 법적 의무이며, 위반 시 제재 수위도 상당히 무겁습니다.

• CDD 위반: 3천만 원 이하의 과태료
• EDD 위반: 1억 원 이하의 과태료

EDD 위반의 과태료가 CDD보다 훨씬 높다는 점은, 고위험 고객에 대한 확인 소홀을 감독당국이 훨씬 중대하게 본다는 신호입니다. 실무자라면 아래 체크리스트로 현재 프로세스를 점검해볼 만합니다.

• 위험평가 기준 최신화: FATF 조치요구 대상·강화모니터링 대상 목록은 정례적으로 갱신되므로, 국가위험 평가 기준표를 최소 분기 1회 이상 업데이트
• 국가 목록 범위 확장: FATF 발표뿐 아니라 UN 제재, 금융정보분석원 지침, 금융회사 내부 고위험국가 목록까지 종합해 반영
• 위험 중첩 거래 자동 분류: 복수의 고위험 요소가 결합된 거래가 자동으로 EDD 검토 대상으로 분류되는 룰이 시스템에 반영되어 있는지 확인
• 실제소유자 확인 예외 기준 문서화: 상장법인·공공기관 등 간소화 대상 기준을 사규에 명확히 규정해 두었는지 점검
• 재확인 주기 준수: 고위험 고객은 매년, 중위험은 2~3년 주기로 정보 재확인이 이루어지고 있는지 확인

고객위험평가는 한 번 등급을 매기고 끝나는 절차가 아니라, 국가 리스트 변경이나 거래 패턴 변화에 맞춰 계속 갱신해야 하는 살아있는 체계입니다.

고객확인의무와 위험기반접근법은 국가 AML 위험평가와 제도이행평가에서 다룬 국가 단위 위험관리, 그리고 KYE·독립감사·신규상품 AML에서 다룬 직원·조직 단위 통제와 함께 금융회사 AML 내부통제의 세 축을 이룹니다. 자세한 법령 원문은 국가법령정보센터와 금융정보분석원 홈페이지에서 확인할 수 있습니다.

'AML 내부통제 시리즈' 시리즈 (21부작)

1. 1부. 자금세탁행위의 3단계와 주요 수법 완전 정복
2. 2부. AML 상식: 웬치·프린스 그룹 사건으로 배우는 자금세탁방지 핵심 개념
3. 3부. 자금세탁방지 국제기구 역할 총정리: FATF, Egmont, APG, UN, Wolfsberg까지
4. 4부. 자금세탁방지법 완전 정복: 특정금융정보법부터 범죄수익은닉규제법까지
5. 5부. 금융정보분석원(FIU)이란? 주요 업무와 법집행기관과의 협력 체계 한 번에 이해하기
6. 6부. 테러자금조달 리스크란? 테러자금금지법·경제제재·세컨더리 보이콧 한 번에 이해하기
7. 7부. 금융회사 AML 내부통제 완전 가이드: 조직 역할부터 해외 자회사 관리까지
8. 8부. KYE·독립감사·신규상품 AML: 금융회사 내부통제 완성을 위한 3가지 핵심
9. 9부. 국가 AML 위험평가부터 제도이행평가까지: 금융회사가 꼭 알아야 할 3단계 위험관리 체계
10. 10부. 고객확인의무(CDD) 완전 정복: 위험기반접근법으로 보는 고객위험 평가 4대 요소 현재 글
11. 11부. AML 담당자가 반드시 알아야 할 CDD 적용대상과 비대면 고객확인 절차
12. 12부. 개인고객 KYC 실무 완전 정복: 위험평가 모델·CDD 절차·고위험 EDD 핵심 총정리
13. 13부. 비영리법인·상품권·불법사금융의 자금세탁 리스크와 CDD 핵심 지적사항 완전 정리
14. 14부. 소액해외송금·전자금융·가상자산사업자의 자금세탁 리스크 완전 정복
15. 15부. AML 강화된 주의의무(EDD) 총정리 — 고액자산가·PEP·환거래·FATF 위험국가까지
16. 16부. 하루 1천만 원 현금거래가 자동 보고되는 이유 — CTR 제도의 원리와 보고 대상
17. 17부. CTR 보고 제외 대상 거래와 법규 핵심 정리 — 실무자가 놓치기 쉬운 지적사항까지
18. 18부. 의심거래보고(STR) 완전 정리 — 개요·CTR 연계·비밀보장·보고현황 한눈에
19. 19부. 이 거래, 보고해야 할까? — STR 의심 기준·추출 룰·작성 원칙 한눈에
20. 20부. AML 규제당국 검사·감독 완전 정리 — STR·CTR·내부통제 지적사항과 제재 사례
21. 21부. 자금세탁방지 2026 업데이트 총정리 — 개정사항·교육 방향·리스크·규제 중점과제까지

관련 글