고객확인의무(CDD) 완전 정복: 위험기반접근법으로 보는 고객위험 평가 4대 요소

AML 담당자가 실무에서 가장 많이 마주치는 질문은 “이 고객, CDD로 끝낼까 EDD까지 가야 할까?”입니다. 그 판단의 기준이 바로 위험기반접근법(RBA, Risk-Based Approach)입니다. 이 글에서는 고객확인의무(CDD)의 개념과 법적 근거, CDD를 구성하는 3요소, 그리고 위험기반접근법에 따라 고객위험평가를 수행하는 4대 요소를 실무 기준으로 정리합니다.

고객확인의무(CDD)란 무엇인가

고객확인의무(CDD, Customer Due Diligence)는 금융회사가 고객의 신원을 확인·검증하고, 실제소유자와 거래목적을 파악해 금융거래가 자금세탁이나 테러자금조달에 이용되지 않도록 하는 제도입니다. 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」(특정금융거래정보법) 제5조의2(금융회사등의 고객 확인의무)에 법적 근거를 두고 있으며, 2006년 1월부터 국내에 도입되었습니다.

법 조문은 금융회사가 자체 기준에 따라 고객유형·금융상품·국가별로 자금세탁 위험도를 먼저 분류하도록 요구합니다. 즉 CDD는 단순한 신분증 확인 절차가 아니라, 위험을 먼저 분류하고 그 위험 수준에 맞는 확인 절차를 적용하는 체계입니다.

적용 시점: 계좌 신규 개설 시, 또는 대통령령으로 정하는 금액 이상의 일회성 거래 시 CDD를 이행해야 합니다. 이미 확인이 끝난 기존 고객이라도 확인 내용이 실제와 다르거나 유효성이 의심되는 경우에는 재확인 절차를 거쳐야 합니다.

CDD를 구성하는 3요소

고객확인의무는 다음 세 가지 확인 절차로 구성됩니다.

• 신원확인: 고객의 성명·실지명의, 주소, 연락처 등을 객관적이고 신뢰할 수 있는 문서·자료·정보를 통해 확인하고 그 정확성을 검증
• 실제소유자 확인: 고객을 궁극적으로 지배하거나 지배력을 행사하는 자연인(실제소유자, UBO)을 확인. 법인 고객의 경우 여러 단계의 지분 구조를 거슬러 올라가 최종 자연인을 특정해야 함
• 거래목적 확인: 자금세탁 우려가 있다고 판단되는 경우, 해당 거래를 하는 실제 당사자가 누구인지와 그 거래의 목적을 확인

세 요소 중 하나라도 고객이 정보 제공을 거부해 확인을 완료할 수 없다면, 신규 거래는 거절하고 기존 거래관계는 종료해야 합니다.

위험기반접근법(RBA)이란

위험기반접근법(RBA)은 모든 고객과 거래에 동일한 수준의 확인 절차를 적용하는 대신, 자금세탁·테러자금조달 위험이 높은 곳에 자원을 집중하는 방식입니다. 고객 업종, 금융상품, 거래 지역에 따라 위험도를 먼저 분류하고, 위험이 낮은 고객에게는 간소화된 확인을, 위험이 높은 고객에게는 강화된 확인(EDD)을 적용합니다.

실무 포인트: RBA를 도입하는 핵심 이유는 효율성입니다. 저위험 고객까지 EDD 수준으로 전부 조사하면 정작 진짜 고위험 고객을 들여다볼 인력과 시간이 부족해집니다. 위험도에 따라 확인 강도를 차등화해야 한정된 컴플라이언스 자원을 고위험 영역에 집중할 수 있습니다.

고객위험평가 4대 요소

위험기반접근법에 따른 고객위험평가는 크게 4가지 요소로 나뉩니다.

1. 국가위험(Country Risk)

자금세탁·테러자금조달 위험이 높은 국가의 국적을 가진 개인, 또는 해당 국가에 소재한 법인과의 거래를 위험 요소로 판단합니다.

• 판단 기준: FATF 비협조국가리스트(블랙리스트), FATF 이행 취약국가리스트(그레이리스트), UN·국제기구 제재 대상 국가리스트, 국제투명성기구 부패 관련 리스트
• 고위험 사례: 이란, 북한처럼 여러 리스트에 중복 등재된 국가는 최고 위험 등급으로 분류

2. 고객위험(Customer Risk)

고객 자체의 특성과 행동 패턴에서 비롯되는 위험입니다.

• 고객 고유위험: 실소유자를 감추기 위한 복잡한 지분 구조, 정치적 주요인물(PEP)과의 관계, 카지노·귀금속·무기판매 등 현금거래가 잦은 고위험 업종
• 거래행위 위험: 상업적 근거 없는 대량 거래, 경제적 실익이 없는 복잡한 거래 구조, 과도한 비밀유지 요구, 자금출처 입증 불가

3. 상품·서비스 위험(Product Risk)

• 고위험 상품: 단기 상품, 조기 상환이 가능한 상품, 거래금액 제한이 없는 상품
• 가상자산: 익명성과 국경 간 이동의 용이성 때문에 자금세탁 위험이 가장 높은 상품군으로 분류

4. 채널·전달경로 위험(Channel Risk)

• 비대면 채널: 대면 거래보다 신원 확인의 신뢰도가 낮아 자금세탁 위험이 높은 것으로 간주
• 대면 채널: 상대적으로 위험이 낮으나, 다른 위험 요소와 결합되면 등급이 올라갈 수 있음

중첩 위험 주의: 가상자산 거래는 상품위험과 채널위험(비대면)이 동시에 겹치는 경우가 대부분입니다. 두 위험이 중첩되면 저위험 등급으로 평가되기 어려워, 사실상 대부분의 가상자산 거래에 강화된 고객확인이 적용됩니다.

강화된 고객확인의무(EDD)

강화된 고객확인의무(EDD, Enhanced Due Diligence)는 위험평가 결과 고위험으로 분류된 고객에게 적용하는 절차로, 2008년 12월부터 시행되고 있습니다. CDD가 위험도에 따라 선택적으로 적용되는 것과 달리, 비대면 채널과 가상자산 거래에서는 대부분의 거래에 EDD가 적용됩니다.

EDD 단계에서 추가로 확인하는 정보

• 개인 고객: 직업·업종(개인사업자 포함), 거래목적, 자금출처, 기타 자금세탁 우려를 해소하기 위해 필요한 사항
• 법인 고객: 법인 기본정보(규모·상장여부·설립일 등), 자금출처와 거래목적, 예상거래량, 주요 상품·서비스, 재무정보

2025년 5월 13일 시행된 개정 「자금세탁방지 및 공중협박자금조달금지에 관한 업무규정」은 테러자금조달금지법 개정 내용을 반영해 EDD 적용 대상을 확대했습니다. 자금세탁 위험이 높다고 평가된 고객에 대해서는 거래목적 등 추가 정보를 반드시 확인하도록 명시했습니다.

위반 시 제재 및 실무 체크리스트

고객확인의무 이행은 선택이 아니라 법적 의무이며, 위반 시 제재 수위도 상당히 무겁습니다.

• CDD 위반: 3천만 원 이하의 과태료
• EDD 위반: 1억 원 이하의 과태료

EDD 위반의 과태료가 CDD보다 훨씬 높다는 점은, 고위험 고객에 대한 확인 소홀을 감독당국이 훨씬 중대하게 본다는 신호입니다. 실무자라면 아래 체크리스트로 현재 프로세스를 점검해볼 만합니다.

• 위험평가 기준 최신화: FATF 블랙·그레이리스트는 주기적으로 갱신되므로, 국가위험 평가 기준표를 최소 분기 1회 이상 업데이트
• 가상자산·비대면 채널 이중위험 반영: 두 위험이 겹치는 거래는 자동으로 EDD 대상으로 분류되는 룰이 시스템에 반영되어 있는지 확인
• 실제소유자 확인 예외 기준 문서화: 상장법인·공공기관 등 간소화 대상 기준을 사규에 명확히 규정해 두었는지 점검
• 재확인 주기 준수: 고위험 고객은 매년, 중위험은 2~3년 주기로 정보 재확인이 이루어지고 있는지 확인

고객위험평가는 한 번 등급을 매기고 끝나는 절차가 아니라, 국가 리스트 변경이나 거래 패턴 변화에 맞춰 계속 갱신해야 하는 살아있는 체계입니다.

고객확인의무와 위험기반접근법은 국가 AML 위험평가와 제도이행평가에서 다룬 국가 단위 위험관리, 그리고 KYE·독립감사·신규상품 AML에서 다룬 직원·조직 단위 통제와 함께 금융회사 AML 내부통제의 세 축을 이룹니다. 자세한 법령 원문은 국가법령정보센터와 금융정보분석원 홈페이지에서 확인할 수 있습니다.

'AML 내부통제 시리즈' 시리즈 (10부작)

1. 1부. 자금세탁행위의 3단계와 주요 수법 완전 정복
2. 2부. AML 상식: 웬치·프린스 그룹 사건으로 배우는 자금세탁방지 핵심 개념
3. 3부. 자금세탁방지 국제기구 역할 총정리: FATF, Egmont, APG, UN, Wolfsberg까지
4. 4부. 자금세탁방지법 완전 정복: 특정금융정보법부터 범죄수익은닉규제법까지
5. 5부. 금융정보분석원(FIU)이란? 주요 업무와 법집행기관과의 협력 체계 한 번에 이해하기
6. 6부. 테러자금조달 리스크란? 테러자금금지법·경제제재·세컨더리 보이콧 한 번에 이해하기
7. 7부. 금융회사 AML 내부통제 완전 가이드: 조직 역할부터 해외 자회사 관리까지
8. 8부. KYE·독립감사·신규상품 AML: 금융회사 내부통제 완성을 위한 3가지 핵심
9. 9부. 국가 AML 위험평가부터 제도이행평가까지: 금융회사가 꼭 알아야 할 3단계 위험관리 체계
10. 10부. 고객확인의무(CDD) 완전 정복: 위험기반접근법으로 보는 고객위험 평가 4대 요소 현재 글

관련 글