개인고객 KYC 실무 완전 정복: 위험평가 모델·CDD 절차·고위험 EDD 핵심 총정리

실무 포인트: 위험등급은 최초 산정 후 고정이 아닙니다. 거래 패턴 변화, 정보 갱신, STR 모니터링 결과에 따라 주기적으로 재평가해야 하며, 이 재평가 주기 미준수가 현장검사의 단골 지적사항입니다.

개인고객 고객확인(CDD) 절차 5단계 가이드

🔹 1단계: 고객확인 의무 발생 시점 파악

특정금융정보법 제5조의2에 따라 개인고객 CDD 의무가 발생하는 시점은 다음과 같습니다.

• 계좌 신규 개설 시: 가장 기본적인 CDD 발생 시점
• 1천만 원 이상 일회성 금융거래 시: 기존 거래 관계 없는 고객 포함
• 전신송금 시: 금액 무관, 100만 원 이상은 강화 확인 대상
• 자금세탁 등 의심 시: 금액·관계 불문하고 CDD 수행
• 기존 고객정보 진실성 의심 시: 재확인 의무 발생

🔹 2단계: 확인해야 할 필수 정보

개인고객에 대해 확인해야 하는 기본 정보는 법령상 명확히 규정되어 있습니다.

• 성명: 실명확인증표와 동일한 법적 성명
• 실명번호: 주민등록번호 (외국인의 경우 외국인등록번호·여권번호 등)
• 주소: 실제 거주지 주소 (우편물 수령지와 다를 수 있음 주의)
• 연락처: 본인 확인 가능한 직접 연락처
• 직업·거래목적: 위험등급 산정 및 EDD 판단 기초 자료

🔹 3단계: 실명확인 방법

대면 확인의 경우 주민등록증, 운전면허증, 여권 등 실명확인증표를 직접 확인하고 원본 대조합니다. 비대면 확인의 경우는 아래 방법 중 2가지 이상을 복합 활용해야 합니다.

• 실명확인증표 사본 제출: 스캔 또는 촬영본 징구
• 영상통화: 실시간 얼굴 및 증표 확인
• 접근매체 전달 시 확인: 카드·OTP 수령 시 본인 확인
• 기존 계좌 활용: 이미 개설된 계좌를 통한 송금으로 본인 확인
• 생체정보 인증: 지문·안면인식 등 바이오 인증 수단

🔹 4단계: 실제 소유자(Beneficial Owner) 확인

개인고객의 경우에도 타인 명의 거래나 대리인 거래 여부를 반드시 확인해야 합니다. 특히 대리인이 거래를 진행하는 경우, 대리인과 실제 고객 모두에 대한 확인이 필요합니다.

• 본인 직접 거래 여부 확인: 대리인 거래 시 위임장·본인 확인
• 실제 수혜자 파악: 자금의 실질적 수혜자가 명의인과 다른지 확인
• PEP(정치적 주요인물) 해당 여부: 본인 및 가족·측근 포함

🔹 5단계: 거래금지·거래제한 및 거래거절/종료 조치

고객확인 절차의 마지막 단계는 확인 결과에 따른 거래 허용/제한/거절 판단입니다. 금융회사는 법령에 따라 아래 대상에 대하여 엄격한 통제 조치를 이행해야 합니다.

🚫 1. 거래금지 대상 고객 (Prohibited Customers)

법률 및 국제 제재에 따라 금융거래 자체가 전면 금지되는 대상입니다.

• 금융거래등제한대상자 (제재대상자 Sanctions List): UN 안보리 결의, 미국 OFAC, 한국 정부(금융위원회 고시)가 지정한 자산동결 대상자 ➡️ 신규/기존 거래 즉시 전면 차단, 자산 동결 및 FIU·관계당국 즉시 보고.
• 미신고/불법 사업자: 특정금융정보법상 신고 의무를 미이행한 가상자산사업자, 불법 도박·사금융 연계 계좌 ➡️ 영리 목적 금융거래 및 자금이체 전면 금지.

🛑 2. 거래제한 및 거래거절/종료 고객 (Refusal & Termination)

특정금융정보법 제5조의2 제4항에 따라 고객이 필수 확인 정보를 제공하지 않을 때 적용되는 거부 의무 조치입니다.

• 신규 거래 거절 (Refusal): 고객이 실명확인증표, 직업, 거래목적, 자금출처 소명 서류 등 요구 정보 제출을 거부하거나 허위 수록한 경우 ➡️ 계좌 개설 등 신규 거래 관계 개시 금지.
• 기존 거래관계 종료 (Termination): 기존 거래 고객이 정기 재확인이나 EDD 정보 요청에 정당한 사유 없이 응하지 않거나 거짓 정보를 제공한 경우 ➡️ 기존 거래관계 의무적 해지 및 종료.

📋 3. 의심거래보고(STR) 연계 검토 의무

• 고객확인 정보 미제공으로 인해 거래가 거절되거나 종료된 경우, 금융회사는 해당 행위 자체가 자금세탁을 은닉하기 위한 의도인지 검토하고, 자금세탁 의심 정황이 인정되면 FIU에 의심거래보고(STR)를 의무적으로 수립·제출해야 합니다.

개인 고위험 고객에 대한 강화된 수용절차(EDD)

🔹 1. 고위험 고객 해당 유형

특정금융정보법 제5조의2 제1항 제2호 및 각 금융회사 내규에 따라 다음 유형의 개인은 고위험 고객으로 분류되어 EDD 대상이 됩니다.

• PEP (Politically Exposed Person): 국내외 정치적 주요인물 — 현직·퇴직 공직자(대통령, 국회의원, 고위 공무원), 그 가족 및 밀접 관계인
• FATF 고위험·고주의 국가 거주자: 블랙리스트(이란, 북한 등) 및 그레이리스트 국가 국적자 또는 거주자
• 자금출처 불명확 고객: 소득·자산 대비 고액 거래, 출처 설명 불충분
• 비대면 고위험 고객: 비대면 개설 후 단기간 고액 거래 패턴 발생
• STR·CTR 다수 발생 고객: 의심거래 또는 고액현금거래 보고 빈번

🔹 2. EDD에서 추가로 확인해야 할 사항

일반 CDD 확인 항목에 더해, EDD에서는 다음 심층 정보를 추가로 징구합니다.

• 거래목적의 구체적 확인: 단순 ‘투자’ 수준이 아닌 구체적 사업 목적·거래 배경 기술
• 자금의 출처(Source of Funds): 급여명세서, 재산세 납부확인서, 사업자등록증 등 객관적 증빙
• 자산의 출처(Source of Wealth): 해당 재산이 어떻게 형성되었는지 (상속, 매각, 사업 등)
• 실제 거래 관계의 성격: 장기 관계인지, 일회성인지, 제3자와의 연관성
• 예상 거래 규모·빈도: 향후 예상 거래 패턴 파악으로 이상 모니터링 기준선 설정

🔹 3. 강화된 수용절차 운영 원칙

고위험 고객에 대한 강화된 수용절차는 단순히 서류를 더 받는 것이 아닙니다. 실질적인 위험 판단이 핵심입니다.

• 경영진 또는 준법감시인 승인: 고위험 고객 신규 수용 시 일반 직원 단독 결정 불가, 상위 결재 필요
• 수용 여부 문서화: 위험 판단 근거, 수집 정보, 승인자 기록 보관
• 지속적 모니터링 강화: 수용 이후에도 거래 모니터링 주기·임계값을 일반 고객보다 엄격하게 설정
• 정기 재검토: 고위험 고객은 최소 연 1회 이상 위험평가 및 확인정보 갱신
• 수용 거절 및 관계 종료: EDD 요청 정보 미제공, 허위 제공, 도저히 수용 불가한 위험 수준 시 CDD 5단계 절차에 따라 거절 또는 관계 종료 (특정금융정보법 제5조의2 제4항 근거)

개인 고객확인 관련 주요 지적사항

18년간 금융권 IT·컴플라이언스 실무를 경험하며, 그리고 금융감독원 검사 사례를 분석하며 정리한 현장에서 실제로 반복되는 지적사항입니다.

🔴 지적사항 1: 고객확인 갱신 주기 미준수

가장 빈번한 지적 유형입니다. 최초 CDD는 수행했지만 위험등급별 갱신 주기를 초과한 채 방치된 고객 계정이 다수 발견되는 경우입니다.

• 고위험 고객임에도 3년 이상 정보 미갱신
• 고객 연락처 변경 후 업데이트 안 된 상태로 거래 지속
• 시스템 오류로 갱신 대상 고객 미통지 → 갱신 누락

대응 방안: 갱신 대상 고객을 자동으로 추출·통보하는 시스템 구축, 갱신 미완료 고객에 대한 거래 제한 로직 연계

🔴 지적사항 2: 비대면 고객확인 수단 단일 적용

비대면 채널에서 단일 확인수단만 사용하고 복합 확인 요건을 충족하지 않은 사례입니다. 예를 들어 실명확인증표 사본 1가지만 수집하고 추가 확인 없이 계좌를 개설한 경우가 해당합니다.

• 모바일 앱에서 신분증 OCR 단독 처리 후 개설 완료 처리
• 영상통화·기존 계좌 활용 등 2차 확인 절차 미적용
• 비대면 고객의 위험등급을 자동 저위험으로 설정하는 잘못된 로직

대응 방안: 비대면 채널에서 2개 이상 확인수단 의무 적용, 확인수단 로그 저장

🔴 지적사항 3: PEP 여부 확인 체계 미흡

PEP 해당 여부를 고객 자기신고에만 의존하고, 별도의 스크리닝 시스템을 갖추지 않은 경우입니다.

• PEP 리스트 DB 미구축 또는 갱신 주기 불규칙
• 가족·측근(Relative/Close Associate) 범위 미정의
• 외국 PEP에 대한 국내 PEP와 동일 수준의 처리 절차 부재

대응 방안: 상용 PEP/제재 DB(Refinitiv, Dow Jones 등) 도입 또는 FIU 제공 자료 활용, 정기 스크리닝 자동화

🔴 지적사항 4: 고위험 고객 수용 시 승인 절차 미문서화

고위험 고객을 수용했으나 내부 승인 이력이 기록되지 않은 경우입니다. 담당자가 구두로 결재를 받았더라도 시스템에 남지 않으면 검사 시 무효 처리됩니다.

• 수용 판단 근거 메모 없음
• 승인자 정보 미기재
• EDD 추가 확인 서류와 승인 기록의 연계 미흡

대응 방안: CDD 시스템 내 고위험 고객 수용 승인 워크플로우 구축, 전자결재 이력 연동

🔴 지적사항 5: 자금출처 확인의 형식적 운영

고위험 고객에게 자금출처 확인서를 징구했지만 검증 없이 수락한 경우입니다. “사업소득”이라고만 기재된 확인서를 별도 증빙 없이 수용하거나, 신고 소득과 거래 규모의 불일치를 묵과하는 사례입니다.

• 자금출처 확인서 양식만 제출받고 실질 검증 없음
• 소득·자산 규모와 거래 규모 불일치 미검토
• 제출 서류 유효기간 초과분 수용

대응 방안: 자금출처 검증 체크리스트 운영, 이상 불일치 시 추가 소명 요청 프로세스 명문화

관련 법령 및 근거 조문

이 글에서 다룬 내용의 주요 법령 근거를 정리합니다. 실무에서 규정 해석 이슈가 발생할 때 직접 조문을 확인하는 습관이 중요합니다.

• 특정금융정보법 제5조의2: 고객확인의무 전반 — CDD·EDD 적용 대상, 확인 사항, 거래 거절 및 종료 요건 (제4항)
• 특정금융정보법 시행령 제10조의4~10조의6: 확인 방법, 위험평가 세부 기준
• 금융정보분석원 고객확인제도 해설서: 실무 Q&A 및 사례 포함, FIU 공식 사이트에서 확인 가능
• FATF 권고사항 10·12: CDD 및 PEP에 대한 국제 기준
• 서울중앙지법 2026.2.19. 한빗코 판결: EDD는 법적 요건 충족 시에만 적용 — 무분별한 EDD 적용도 위법 소지 있음을 명시

개인고객 KYC 내부통제의 핵심 요약

개인고객에 대한 KYC와 CDD/EDD 절차는 단순히 창구나 모바일 앱에서 신분증을 확인하는 일회성 서류 행정이 아닙니다. 금융회사가 자금세탁 및 범죄수익 유입의 통로로 악용되지 않도록 막아서는 첫 번째 핵심 방어선(1st Line of Defense)입니다.

성공적인 개인고객 AML 내부통제를 위해서는 ① 위험기반접근법(RBA)에 입각한 객관적 평가 모델, ② 5단계 고객확인 및 거래금지·거절의 단호한 집행, ③ 고위험 EDD 승인 문서화 및 주기적인 현행화라는 3가지 톱니바퀴가 촘촘히 맞아떨어져야 합니다. 형식적 서류 징구를 넘어 실질적 위험 판단 중심으로 절차를 고도화할 때, 비로소 금융당국 검사에서도 당당할 수 있는 강건한 내부통제 체계가 완성됩니다.