AML 담당자가 반드시 알아야 할 CDD 적용대상과 비대면 고객확인 절차

자금세탁방지(AML) 실무에서 고객확인의무(CDD)를 운영하다 보면 “이 고객에게 CDD가 적용되나?”, “비대면으로 받은 신분증 하나로 충분한가?”, “요주의인물 검색은 어디까지 해야 하나?” 같은 질문이 반복적으로 생깁니다. 이 글에서는 10부에서 다룬 위험기반접근법과 CDD 개념을 바탕으로, 실무에서 자주 놓치는 CDD 적용대상 기준, 비대면 고객확인 절차, 요주의인물 검색 요건, 그리고 감독당국이 반복적으로 지적하는 주요 사항을 구체적으로 짚어봅니다.

CDD 적용대상: 누가, 언제 받아야 하나

고객확인의무는 모든 금융거래에 자동으로 적용되지 않습니다. 「특정금융거래정보법」 제5조의2는 두 가지 핵심 트리거를 규정합니다. 계좌 신규 개설과 대통령령이 정하는 금액 이상의 일회성 금융거래가 그것입니다. 이미 확인이 완료된 기존 고객이더라도 확인 내용이 실제와 다르거나 유효성이 의심되면 재확인 절차를 거쳐야 합니다.

계좌 신규 개설

계좌 신규 개설 시에는 고객 유형을 불문하고 CDD가 의무적으로 적용됩니다. 개인 고객의 경우 성명·실명번호·주소·연락처를 확인하고, 법인·단체 고객은 명칭, 사업자등록번호, 본점 주소, 업종, 연락처, 대표자 신원까지 확인해야 합니다. 법인 고객의 경우 실제소유자(Ultimate Beneficial Owner, UBO) 확인이 반드시 병행되어야 하며, 지분 구조가 복잡한 경우에는 자연인 주주까지 추적해야 합니다.

일회성 금융거래 기준금액

일회성 금융거래란 금융회사에 계좌를 개설하지 않은 고객이 수행하는 무통장입금·외화송금·환전·자기앞수표 발행 및 지급·보호예수·선불카드 매매 등을 말합니다. 2024년 7월 이후 적용되는 현행 기준금액은 아래와 같습니다.

7일 연결거래 합산 기준: 동일인 명의로 7일 이내에 이루어진 일회성 금융거래 금액은 합산해서 판단합니다. 단, 카지노 거래는 거래 1건당 금액이 기준이 됩니다.

의심거래가 있는 경우

금액 기준에 미달하더라도 자금세탁 또는 테러자금조달이 의심되는 경우에는 금액과 관계없이 CDD를 이행해야 합니다. 이 경우는 거래 패턴의 이상 징후, 고객의 이상 행동 등 정성적 판단이 중요합니다.

재확인 의무

기존 고객에게도 재확인이 필요한 경우가 있습니다. 확인된 정보가 실제와 다르다는 의심이 드는 경우, 확인 내용의 유효성에 의심이 생기는 경우, 또는 금융회사 자체 내부 기준에 따라 주기적 재확인 주기가 도래한 경우입니다. 고위험 고객일수록 재확인 주기를 짧게 설정하고 정보의 최신성을 유지하는 것이 위험기반접근법의 원칙에 부합합니다.

비대면 고객확인 절차: 복수 비대면 방식 완전 정리

비대면 채널을 통한 금융거래가 일상화되면서, 비대면 고객확인 절차는 AML 실무에서 가장 빈번하게 다루는 주제 중 하나가 되었습니다. 금융위원회는 「비대면 실명확인 관련 구체적 적용방안」을 통해 복수의 비대면 방식을 제시하고, 이 중 일정 조합을 의무적으로 적용하도록 하고 있습니다.

이중확인(필수): 5가지 중 2가지 의무 적용

비대면으로 계좌를 개설하거나 접근매체를 발급할 때는 아래 5가지 방법 중 2가지 이상을 반드시 중첩 적용해야 합니다.

• ① 신분증 사본 제출: 주민등록증·운전면허증·여권·외국인등록증 등을 스캔하거나 촬영해 온라인으로 제출
• ② 영상통화: 금융회사 직원이 고객과 영상통화를 진행해 신분증 사진과 실제 얼굴 일치 여부를 직접 확인. 높은 신뢰도를 갖지만 영업시간 내에만 이용 가능
• ③ 접근매체 전달 시 확인: 현금카드·통장 등을 우편이나 택배로 전달할 때 전달 업체 직원이 대면으로 실명 확인
• ④ 기존계좌 활용: 타 금융회사의 기존 계좌에서 소액을 이체하게 해 계좌 실소유 여부를 간접 확인
• ⑤ 기타 이에 준하는 방법: 기등록된 바이오정보(지문·홍채·얼굴 등)와 비교하는 방식 등 ①~④에 상응하는 신뢰도가 인정되는 방법

다중확인(권고): 추가 보완 수단

이중확인(필수 2가지)에 더해, 보안성을 높이기 위한 추가 확인도 권고됩니다.

• ⑥ 타 기관 확인결과 활용: 휴대폰 본인 인증, PASS 인증 등 이동통신사나 공공기관이 이미 수행한 확인 결과를 활용
• ⑦ 다수의 개인정보 검증: 고객이 제출한 다수의 개인정보를 교차 검증해 일치 여부 확인

이미 선택한 필수 2가지를 제외하고 ①~⑦ 중 추가 방식을 자유롭게 조합해 적용할 수 있습니다.

실제소유자 비대면 확인

실제소유자 확인은 비대면 방식에서도 예외가 없습니다. 법인·단체 고객의 비대면 거래 시에는 신분증 사본 제출 등의 방식으로 대표자 신원을 확인하는 것에 더해, 실제소유자에 대한 별도 확인 절차를 수립·운영해야 합니다. 실제소유자가 자금세탁 위험이 높다고 판단되면 비대면 여부와 무관하게 EDD를 적용해야 합니다.

고위험 고객의 비대면 EDD

자금세탁 위험이 높다고 평가된 개인 고객에 대해서는 주소·연락처를 정부 발행 문서 등으로 검증하고, 거래 목적과 자금 원천 등 추가 정보를 확인해야 합니다. 비대면 채널로 가입한 고객이라도 위험 평가 결과에 따라 이후 단계에서 대면 확인을 요구하거나 추가 서류를 징구할 수 있으며, 이를 위한 절차를 내규에 명확히 규정해 두는 것이 중요합니다.

요주의인물 검색 요건: 누구를, 언제, 어떻게

요주의인물(Watch List) 검색은 고객확인의무의 핵심 절차 중 하나입니다. 「자금세탁방지 및 공중협박자금조달금지에 관한 업무규정」 제43조는 금융거래가 완료되기 전에 요주의인물 여부를 확인하도록 명시하고 있습니다.

검색 대상: 누구까지 확인해야 하나

요주의인물 검색은 거래 고객 본인에게만 국한되지 않습니다. 아래 대상 모두를 포함해야 합니다.

• 거래 고객 본인
• 대리인: 고객을 대신해 금융거래를 수행하는 자
• 실제소유자(UBO): 고객을 최종적으로 지배·통제하는 자연인
• 법인·단체 대표자: 법인 또는 단체 고객인 경우 그 대표자

이 네 가지 범주를 모두 검색하지 않으면, 대리인이나 실제소유자가 제재 대상자인 경우를 놓치게 됩니다. 이는 감독당국 검사에서 자주 지적되는 항목입니다.

검색 리스트: 어떤 목록과 대조해야 하나

업무규정 제43조는 아래 5가지 리스트와의 비교를 요구합니다.

• ① 금융거래제한대상자 리스트: 공중협박자금조달금지법에 따라 금융위원회가 고시하는 목록
• ② UN 제재대상자: 유엔 안전보장이사회가 지정하는 제재 대상
• ③ FATF 지정 위험국가 국적자 또는 거주자: FATF가 지정한 고위험·조치요구 대상 국가(현재 북한·이란·미얀마 등) 관련 개인·법인·단체
• ④ 해외 금융거래제한대상자 리스트: 주요 해외 지점이 소재한 국가의 정부가 발표한 목록
• ⑤ 외국의 정치적 주요인물(PEP) 리스트: 주요 공적 기능을 수행하거나 수행한 외국인 및 그 가족·측근

PEP 확인 시 취해야 할 조치

요주의인물 검색 결과 고객이 외국의 정치적 주요인물(PEP)에 해당하는 것으로 확인되면, 다음 절차가 의무적으로 적용됩니다.

• 고위 경영진 사전 승인: 최초 및 계속 거래 개시 시 고위 경영진의 승인을 받아야 함
• 자금출처 확인: 자금의 출처를 적절한 방법으로 확인해야 함
• 지속적·강화된 모니터링: 거래 모니터링을 일반 고객보다 강화하여 지속적으로 수행

PEP 해당 여부 자체는 거래 거절의 직접적 사유가 아닙니다. 강화된 고객확인(EDD)과 모니터링을 적용하면서 거래를 이어가는 것이 원칙이며, 위험이 과도하게 높거나 자금출처를 소명하지 못하는 경우에 비로소 거래 종료를 검토해야 합니다.

검색 시점: 거래 완료 전이 원칙

요주의인물 검색은 반드시 금융거래가 완료되기 전에 이루어져야 합니다. 거래 완료 후 사후 검색은 의무 위반에 해당하며, 실시간 혹은 거래 승인 전 자동화된 검색 시스템을 구축하는 것이 AML 선진화의 핵심 과제입니다.

감독당국 주요 지적사항: 실무에서 자주 틀리는 것들

금융당국은 국내 금융회사에 대한 AML 검사 결과를 통해 반복적으로 개선을 요구하고 있습니다. 아래는 고객확인 분야에서 실제로 가장 많이 지적된 항목들입니다.

지적사항 ① CDD 적용대상 누락

기준금액 이상의 일회성 거래임에도 고객확인을 이행하지 않거나, 계좌 재개설·변경 시 재확인 절차를 생략하는 사례가 지적됩니다. 특히 7일 연결거래 합산 규정을 시스템에 반영하지 않아, 건별로는 기준 미만이지만 합산하면 기준 초과임에도 CDD를 수행하지 않는 경우가 빈번합니다.

지적사항 ② 비대면 확인의 불완전 이행

복수 비대면 방식 중 1가지만 적용하거나, 적용한 방식이 업무규정에서 인정하는 방법에 해당하지 않는 경우가 있습니다. 또한 실제소유자에 대한 비대면 확인 절차를 별도로 수립하지 않은 경우도 지적 대상이 됩니다. 내규에 적용 방법 조합을 명확히 규정하고, 시스템이 해당 조합 이상을 충족했을 때만 거래를 진행할 수 있도록 통제 로직을 설계하는 것이 중요합니다.

지적사항 ③ 요주의인물 검색 대상 불완전

대리인, 실제소유자, 법인 대표자를 요주의인물 검색 대상에서 누락하는 사례가 반복적으로 지적됩니다. 고객 본인만 검색하고 나머지를 생략하거나, 법인 고객 거래 시 대표자 검색을 빠뜨리는 경우가 대표적입니다.

지적사항 ④ 검색 방식의 불균형

외국인 고객은 시스템으로 자동 검색하면서 내국인 고객은 수기로만 확인하는 방식이 대형 증권사 검사에서도 지적된 바 있습니다. 검색의 적시성과 정확성을 담보하기 위해 고객 국적이나 유형에 관계없이 시스템 기반의 일관된 검색 체계를 운영해야 합니다.

지적사항 ⑤ 거래 후 사후 검색

요주의인물 검색을 거래 완료 후 배치(batch) 방식으로만 운영하는 경우, 제재 대상자와의 거래가 이미 완료된 이후에 사실이 확인되는 문제가 발생합니다. 실시간 또는 거래 승인 전 조회 방식으로 검색 시점을 앞당겨야 합니다.

지적사항 ⑥ EDD 트리거 기준 불명확

고위험 고객으로 분류된 경우 EDD를 적용해야 한다는 규정은 있으나, 어떤 경우에 고위험으로 분류할지에 대한 내부 기준이 모호하거나 문서화되지 않은 경우가 지적됩니다. 위험기반접근법에 따라 위험 평가 기준과 EDD 트리거 조건을 내규에 구체적으로 명시하고 담당자 간 일관되게 적용되는지 정기적으로 점검해야 합니다.

실무 체크리스트

아래 항목을 통해 현재 운영 중인 CDD 프로세스의 공백을 점검해볼 수 있습니다.

• 일회성 거래 기준금액 최신화: 2024년 7월 개정 이후 변경된 기준금액(전신송금 100만 원 등)이 시스템에 정확히 반영되어 있는가
• 7일 연결거래 합산 로직: 동일인 명의 7일 이내 거래를 합산해 기준금액 초과 여부를 판단하는 로직이 시스템에 구현되어 있는가
• 비대면 이중확인 강제: 인정된 5가지 방법 중 2가지 이상이 완료되어야만 비대면 계좌가 개설되도록 시스템이 통제하는가
• 요주의인물 검색 범위: 고객 본인 외에 대리인·실제소유자·법인 대표자까지 검색 대상에 포함되어 있는가
• 검색 시점 통제: 요주의인물 검색이 거래 완료 전에 자동으로 수행되도록 설계되어 있는가
• PEP 대응 절차: PEP 확인 시 고위 경영진 사전 승인, 자금출처 확인, 강화 모니터링이 내규에 명시되어 있고 실제로 이행되는가
• 고위험 분류 기준 문서화: EDD 적용을 트리거하는 고위험 분류 기준이 내규에 구체적으로 기재되어 있는가

CDD 적용대상 판단, 비대면 고객확인, 요주의인물 검색은 각각 별도의 절차처럼 보이지만, 실무에서는 하나의 흐름으로 연결됩니다. 고객이 거래를 시작하는 순간부터 CDD 트리거 여부를 판단하고, 비대면이라면 복수 비대면 방식으로 신원을 확인하고, 그 과정에서 요주의인물 검색을 거래 전에 완료하는 일련의 체계가 갖춰져야 합니다. 감독당국이 지적하는 사항 대부분은 이 흐름 어딘가에 구멍이 생긴 경우입니다. 관련 법령 원문은 국가법령정보센터와 금융정보분석원(KoFIU) 홈페이지에서 확인할 수 있습니다.

'AML 내부통제 시리즈' 시리즈 (12부작)

1. 1부. 자금세탁행위의 3단계와 주요 수법 완전 정복
2. 2부. AML 상식: 웬치·프린스 그룹 사건으로 배우는 자금세탁방지 핵심 개념
3. 3부. 자금세탁방지 국제기구 역할 총정리: FATF, Egmont, APG, UN, Wolfsberg까지
4. 4부. 자금세탁방지법 완전 정복: 특정금융정보법부터 범죄수익은닉규제법까지
5. 5부. 금융정보분석원(FIU)이란? 주요 업무와 법집행기관과의 협력 체계 한 번에 이해하기
6. 6부. 테러자금조달 리스크란? 테러자금금지법·경제제재·세컨더리 보이콧 한 번에 이해하기
7. 7부. 금융회사 AML 내부통제 완전 가이드: 조직 역할부터 해외 자회사 관리까지
8. 8부. KYE·독립감사·신규상품 AML: 금융회사 내부통제 완성을 위한 3가지 핵심
9. 9부. 국가 AML 위험평가부터 제도이행평가까지: 금융회사가 꼭 알아야 할 3단계 위험관리 체계
10. 10부. 고객확인의무(CDD) 완전 정복: 위험기반접근법으로 보는 고객위험 평가 4대 요소
11. 11부. AML 담당자가 반드시 알아야 할 CDD 적용대상과 비대면 고객확인 절차 현재 글
12. 12부. 개인고객 KYC 실무 완전 정복: 위험평가 모델·CDD 절차·고위험 EDD 핵심 총정리

관련 글