AML 규제당국 검사·감독 완전 정리 — STR·CTR·내부통제 지적사항과 제재 사례

금융회사 AML 담당자라면 “FIU가 현장에 오면 무엇을 주로 보는가?”라는 질문이 가장 현실적인 관심사일 겁니다. 내부 규정집이 아무리 두꺼워도, 실제 검사에서 지적을 받으면 수억 원의 과태료와 기관경고로 이어질 수 있기 때문입니다. 이 글은 FIU 규제당국의 검사·감독 근거 법규를 명확히 짚고, STR·CTR·내부통제 세 영역에서 실제로 반복되는 주요 지적사항을 체계적으로 정리합니다.

규제당국 검사·감독 근거 법규

📌 특금법 제15조 — 검사권 및 제재 조치 체계

FIU의 검사·감독 권한은 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」(이하 특금법) 제15조에 직접 근거합니다.

특금법 제15조 제1항 금융정보분석원장은 금융회사등의 자금세탁방지 의무 이행 여부를 확인하기 위하여 금융회사등에 대하여 검사를 할 수 있다. 이 경우 금융정보분석원장은 대통령령으로 정하는 바에 따라 검사업무를 관계 행정기관의 장에게 위탁할 수 있다.

특금법 제15조 제2항 금융정보분석원장은 제1항에 따른 검사 결과 이 법 또는 이 법에 따른 명령 또는 지시를 위반한 사실을 발견하였을 때에는 해당 금융회사등에 대하여 다음 각 호의 어느 하나에 해당하는 조치를 할 수 있다.

1. 위반 행위의 시정명령
2. 기관경고
3. 기관주의

특금법 제15조 제3항 금융정보분석원장은 검사 결과 위반 행위에 관련된 임직원에 대하여 다음의 조치를 해당 금융회사등의 장에게 요구할 수 있다.

• 임원: 해임권고, 6개월 이내의 직무정지, 문책경고, 주의적 경고, 주의
• 직원: 면직, 6개월 이내의 정직, 감봉, 견책

특금법 제15조 제4항 금융정보분석원장은 다음 각 호의 어느 하나에 해당하는 경우에는 해당 금융회사등의 영업에 관한 행정제재처분의 권한을 가진 관계 행정기관의 장에게 6개월의 범위에서 그 영업의 전부 또는 일부의 정지를 요구할 수 있다.

1. 제2항제1호에 따른 시정명령을 이행하지 아니한 경우
2. 제2항제2호에 따른 기관경고를 3회 이상 받은 경우
3. 그 밖에 고의 또는 중대한 과실로 자금세탁방지에 필요한 조치를 하지 아니한 경우로서 대통령령으로 정하는 경우

이 조항의 핵심은 제재 수위가 단계적으로 설계되어 있다는 점입니다. 기관주의 → 기관경고 → 시정명령 → 영업정지 순으로 중해지며, 기관경고 3회 누적은 영업정지 요구의 직접적인 트리거가 됩니다.

📌 검사 위탁 체계 — 11개 수탁기관

FIU는 모든 금융회사를 직접 검사하지 않습니다. 특금법 제15조 제1항의 위임을 받아 실제 검사는 금융감독원, 행정안전부, 새마을금고중앙회 등 11개 검사수탁기관이 수행합니다. FIU는 연 2회 검사수탁기관 협의회를 통해 검사 실적을 점검하고, 다음 연도 감독 방향을 공표합니다.

제재심의위원회는 FIU 원장의 자문기구로서 과태료·시정명령 등 제재 사항을 심의하며, 금융회사에는 의견 진술 기회가 보장됩니다.

🔹 특금법 제15조의2 — 질문·검사 및 자료 제출 의무

FIU 검사관은 검사 과정에서 금융회사등에 업무 관련 자료 제출, 관계자 질문, 장부·서류 조사를 요구할 수 있습니다. 금융회사가 정당한 사유 없이 이를 거부하거나 허위 자료를 제출하면 별도의 제재 대상이 됩니다. 실제 검사에서 자료 미제출이나 지연 제출은 그 자체로 불성실한 내부통제의 증거로 해석됩니다.

의심거래보고(STR) 관련 주요 지적사항

1. STR 추출 기준 유효성 검증 미흡

FIU 제도이행평가에서 전문성이 요구되는 고난도 영역으로 분류된 대표적 지적사항입니다. 2025년 평가 결과, 기초적인 AML 관리체계(내규 마련, CTR 보고 등)는 전반적으로 우수한 반면, 의심거래 추출 기준의 유효성 점검은 다소 미흡한 것으로 확인됐습니다.

구체적으로 지적되는 내용은 다음과 같습니다.

• 룰(시나리오)의 형식적 보유: 의심거래 추출 룰은 있으나 실제로 작동하는지, 거짓음성(False Negative)·거짓양성(False Positive)률이 적정한지 정기 검증이 이루어지지 않음
• 유효성 점검 주기·방법론 부재: 추출 기준을 최초 설계 후 수년간 수정하지 않거나, 업권의 신규 취급 상품·서비스에 대한 룰 업데이트 미흡
• 미보고 사례 발생: 추출 시스템의 결함 또는 임직원 판단 오류로 의심거래임에도 보고하지 않은 사례

특금법 제4조 제1항 (의심거래보고 의무) 금융회사등은 금융거래등과 관련하여 수수한 재산이 불법재산이라고 의심되는 합당한 근거가 있거나 금융거래등의 상대방이 자금세탁행위를 하고 있다고 의심되는 합당한 근거가 있는 경우에는 다음 각 호의 사항을 금융정보분석원장에게 보고하여야 한다.

특정 금융거래정보 보고 및 감독규정 제6조 (의심거래 유형별 기준 수립 의무) 금융회사등은 자금세탁행위 등의 의심스러운 거래를 적절하게 보고할 수 있도록 거래 유형별 의심거래 적출 기준을 수립·유지하여야 하며, 그 적정성을 정기적으로 점검하여야 한다.

2. STR 미보고 또는 지연보고

STR 의무 자체를 이행하지 않거나 기한(의심 인지일로부터 3영업일 이내)을 넘기는 경우입니다.

• 3영업일 기산점 오해: 보고책임자가 최종 결정한 날이 아닌, 임직원이 의심 정황을 인지한 날부터 기산한다는 점을 현장에서 혼동하는 사례
• 내부 결재 지연: 3영업일 기한 내 보고를 위한 신속 결재 프로세스 미구축으로 기한 초과
• 특이유형거래(ATA) 혼동: 시스템에서 적출된 거래가 STR 대상인지 ATA(특이유형거래) 분류인지 구분이 모호하여 보고 없이 내부 종결 처리

3. STR 보고서 품질 미흡

보고서는 제출했으나 FIU 분석에 실제로 활용되기 어려운 수준의 내용을 담는 경우입니다.

• 의심 근거 미기재: 단순히 “거래 패턴이 이상함” 수준의 서술, 구체적 사실·금액·일시·상대방 정보 누락
• 복사·붙여넣기 보고: 동일한 문구를 반복 사용하거나 템플릿을 채우는 데 급급한 형식적 보고
• 자료 보존 미이행: 특금법 제5조의2에 따른 보고 관련 자료의 5년간 보존 의무 위반

특금법 제5조의2 (보존 의무) 금융회사등은 제4조 및 제4조의2에 따른 보고에 관한 자료를 보고일로부터 5년간 보존하여야 한다.

고액현금거래보고(CTR) 관련 주요 지적사항

고액현금거래보고(CTR)는 1거래일 동안 동일인 기준 1천만 원 이상의 현금을 지급받거나 지급한 경우에 거래일로부터 30일 이내에 FIU에 보고하는 의무입니다. CTR은 STR에 비해 기계적·정량적 보고 의무이기 때문에 “기초 점수”로 평가되어 왔으나, 최근 FIU 검사에서는 형식적 이행 너머의 실질 오류를 집중 점검합니다.

특금법 제4조의2 제1항 (고액현금거래보고 의무) 금융회사등은 동일인으로부터 1거래일 동안 합계액이 1천만원 이상의 현금(외국통화를 포함한다)을 지급받거나 지급한 경우에는 그 사실을 금융정보분석원장에게 보고하여야 한다.

특금법 제4조의2 제2항 제1항에 따른 보고는 그 대상이 되는 금융거래를 한 날부터 30일 이내에 하여야 한다.

1. CTR 지연 보고

30일 이내 보고 기한을 초과하는 것이 가장 빈번한 지적사항입니다.

• 영업점 미인식: 현금거래 접수 창구 직원이 CTR 대상 여부를 즉시 식별하지 못하고 후선 부서 전달이 지연되는 경우
• 시스템 오류: CTR 자동추출 시스템의 예외 처리 오류로 일부 거래가 보고 큐에서 누락
• 분기·월말 집중 처리: 건별 즉시 보고 대신 월말 일괄 처리하다 기한 초과

2. 분할거래 식별 및 합산 오류

동일인이 CTR 기준금액(1천만 원)을 의도적으로 분할하여 여러 차례 입출금하는 경우, 금융회사는 합산하여 보고해야 합니다.

• 동일인 합산 미흡: 고객이 같은 날 여러 영업점 또는 여러 계좌를 통해 분할거래 시 시스템이 이를 하나의 동일인으로 연결하지 못하는 경우
• 가족·관련인 명의 분산 식별 한계: 실질적으로 동일인으로 볼 수 있는 가족 명의 분산거래에 대한 판단 기준 미비
• 분할거래 ≠ STR 연계 누락: CTR 회피 목적이 의심됨에도 STR 연계 검토 없이 CTR만 처리하고 종결

3. CTR 면제·제외 기준 적용 오류

특금법 시행령상 국가·지방자치단체, 금융회사 등에 대해서는 CTR이 면제되는데, 이 기준을 잘못 적용해 보고 대상을 무단으로 제외하는 사례가 지적됩니다.

• 면제 대상 오해: 공공기관이나 상장법인 임직원 개인 거래에 CTR 면제를 적용
• 면제 등록 관리 미흡: 면제 대상 목록의 정기 검토 없이 폐업·변경된 기관이 면제 목록에 잔존

AML 내부통제 관련 주요 지적사항

FIU의 2024년 검사 결과에서 내부통제 관련 지적건수는 304건으로 전년(237건) 대비 28% 급증했으며, 제재 조치인 문책·주의 건수도 53건에서 87건으로 64%나 늘었습니다. 내부통제는 이제 AML 검사의 핵심 축이며, FIU 제도이행평가 전체 배점의 절반 이상(555점/1,000점 이상)이 내부통제 항목에 배정될 정도로 비중이 큽니다.

1. 위험평가 체계 미흡

• 고위험 고객 선별 기준 불충분: 위험평가 항목·기준이 업권 특성을 반영하지 못하거나, 외부 리스트(PEP, 제재 명단) 업데이트가 불규칙
• 신규 서비스 위험평가 미실시: 신규 금융상품·서비스 출시 전 ML/TF 위험 영향 평가를 수행하지 않는 사례
• 위험 수준 대비 관리 불균형: 고위험으로 평가된 고객임에도 EDD(강화된 고객확인)가 실질적으로 이루어지지 않음

특금법 제5조 (강화된 고객확인 의무) 금융회사등은 자금세탁행위의 위험이 높은 것으로 평가되는 고객에 대하여는 대통령령으로 정하는 바에 따라 강화된 고객확인을 하여야 한다.

2. 준법감시인·보고책임자 역량 및 독립성 부족

• 겸직 문제: 보고책임자가 영업 부서장을 겸하거나 AML 전담 인력이 다른 업무를 함께 수행하여 독립성 훼손
• 전문성 미흡: AML 관련 자격증 보유자가 없거나, 보고책임자 교육 이수 실적이 저조
• 경영진 보고 체계 부재: AML 활동 현황이 이사회 또는 경영진에게 정기적으로 보고되지 않음

2025년 FIU 제도이행평가 및 2026년 평가 개편 방향에 따르면, 앞으로는 보고책임자와 독립적 감사 책임자의 전문 자격증 보유 여부가 가점 항목으로 반영됩니다. 이는 기관 전체의 AML 역량을 책임자급에서부터 검증하겠다는 취지입니다.

3. 독립적 내부감사 미실시

2025년 FIU 평가에서 전체의 78%에 달하는 금융회사가 자체적인 AML 개선이 미흡한 것으로 나타났습니다. 내부감사를 통해 스스로 미비점을 발견하고 개선한 기관은 겨우 22%에 그쳤습니다.

• AML 전용 감사 부재: 연간 내부감사 계획에 AML 업무가 별도 항목으로 설정되지 않고, 일반 준법감사에 포함되어 형식적으로 처리
• 감사 독립성 결여: AML 담당 부서가 스스로 감사를 수행하거나, 감사 결과가 이사회에 독립적으로 보고되지 않음
• 지적사항 미개선 반복: 이전 검사나 내부감사에서 지적된 사항이 시스템·내규에 실질적으로 반영되지 않고 동일 유형 위반 반복

4. AML 업무지침 형식화

• 현업 미반영 내규: AML 업무지침이 현장 업무 흐름과 괴리되어 있어 직원들이 실제 활용하지 않는 ‘선반 위의 문서’로 존재
• 업무지침 미갱신: 법령·감독규정 개정 이후 내부 규정을 적시에 업데이트하지 않는 사례
• 직원 교육 실효성 부족: AML 교육을 이수율 충족을 위해 형식적으로 진행하고, 실제 업무 적용 능력 검증 없이 종결

실제 제재 사례와 과태료 기준

🔴 과태료 법적 근거

특금법 제17조 제1항 (과태료) 다음 각 호의 어느 하나에 해당하는 자에게는 건당 1천만원 이하의 과태료를 부과한다.

1. 제4조에 따른 의심거래 보고를 하지 아니한 자
2. 제4조의2에 따른 고액현금거래 보고를 하지 아니하거나 거짓으로 보고한 자
3. 제5조에 따른 고객확인 의무를 이행하지 아니한 자

과태료는 위반 건수에 건별로 적용되므로, 미보고 건수가 수백만 건에 달하면 과태료 총액이 수백억 원 규모에 이를 수 있습니다. 실제 아래 사례가 그 현실을 보여줍니다.

🟡 주요 제재 사례

두나무(업비트) — 352억 원 과태료 (2025년 11월)

FIU는 2025년 11월, 업비트를 운영하는 두나무에 총 352억 원의 과태료를 부과했습니다. 적발된 특금법 위반 건수는 860만 건에 달했으며, 이 중 STR 미보고 15건이 포함되었습니다. 자금세탁 가능성이 있음에도 의심거래를 보고하지 않은 사례가 다수 확인된 것입니다.

주요 위반 유형:

• 의심거래 미보고(특금법 제4조): 15건
• 고객확인 의무 위반: 다수
• 거래 제한 의무 위반 등

빗썸 — 368억 원 과태료 + 영업 일부정지 6개월 (2026년 3월)

FIU는 2026년 3월 제재심의위원회를 통해 빗썸에 영업 일부정지 6개월 및 과태료 368억 원을 결정했습니다. 가상자산 거래소 역사상 최고 수준의 중징계로, AML 의무 위반의 규모와 반복성이 중징계의 근거가 됐습니다.

코인원 — 52억 원 과태료 + 영업 일부정지 3개월 (2026년 4월)

2026년 4월, FIU는 코인원에 영업 일부정지 3개월 및 과태료 52억 원을 부과했습니다. 미신고 해외 가상자산사업자와의 거래 금지 의무를 수차례 위반한 것이 결정적이었습니다. 대표이사에게는 문책경고 신분 제재가 내려졌습니다.

코빗 — 27.3억 원 과태료 + 기관경고 (2025년 12월)

FIU는 2025년 12월 코빗에 기관경고 및 과태료 27억 3천만 원을 부과했습니다. 고객확인 미흡과 거래제한 의무 위반, 미신고 해외 가상자산사업자와의 거래, 신규 서비스에 대한 위험평가 누락 등이 주요 위반 내용으로 적발됐습니다. 신규 서비스 위험평가 누락이 직접적인 제재 사유가 된 점은 내부통제 지적사항의 실제 귀결을 보여주는 사례입니다.

가상자산 업권에 집중된 것처럼 보이지만, FIU는 은행·증권·상호금융 등 전통 금융권에 대해서도 CTR 지연·내부통제 미비를 이유로 과태료와 기관경고를 지속 부과하고 있습니다.

2026년 FIU 감독 강화 방향 — 무엇을 더 볼 것인가

2026년 FIU 감독의 핵심 키워드는 ‘약한 고리(Weak Link) 차단’과 ‘실효성 검증’입니다. 단순히 시스템의 존재 여부가 아니라, 그 시스템이 실제로 작동하는지를 입증할 것을 요구합니다.

• 제도이행평가 미흡 기관 집중 검사: AML 제도이행평가에서 미흡 판정을 받거나 전년 대비 점수가 큰 폭으로 하락한 기관은 2026년 검사 대상으로 우선 선정
• 초국경 자금세탁 리스크 검사 항목 포함: 해외 지점·자회사의 AML 관리체계 및 본점과의 보고·통제 구조 점검
• 민생범죄 대응반 취약점 공유: ‘민생범죄 AML 공동대응반’에서 발굴된 취약 업권을 검사 계획에 반영
• STR 참고유형 사례집 전면 개정: 금융회사의 STR 추출 및 보고서 품질 향상을 위해 의심거래 참고유형 사례집을 완전히 재편
• 동일 지적사항 반복 시 기관경고 이상 중징계: 과거 지적사항이 실질적으로 개선되지 않은 경우 가중 제재 적용

결국 FIU 검사를 대비하는 가장 효과적인 방법은 내부감사를 통해 스스로 문제를 발견하고 개선한 증거를 문서화하는 것입니다. 현재 금융회사 22%만이 이를 실천하고 있다는 사실은, 나머지 78%에게 여전히 개선 기회가 열려 있음을 의미합니다.

'AML 내부통제 시리즈' 시리즈 (21부작)

1. 1부. 자금세탁행위의 3단계와 주요 수법 완전 정복
2. 2부. AML 상식: 웬치·프린스 그룹 사건으로 배우는 자금세탁방지 핵심 개념
3. 3부. 자금세탁방지 국제기구 역할 총정리: FATF, Egmont, APG, UN, Wolfsberg까지
4. 4부. 자금세탁방지법 완전 정복: 특정금융정보법부터 범죄수익은닉규제법까지
5. 5부. 금융정보분석원(FIU)이란? 주요 업무와 법집행기관과의 협력 체계 한 번에 이해하기
6. 6부. 테러자금조달 리스크란? 테러자금금지법·경제제재·세컨더리 보이콧 한 번에 이해하기
7. 7부. 금융회사 AML 내부통제 완전 가이드: 조직 역할부터 해외 자회사 관리까지
8. 8부. KYE·독립감사·신규상품 AML: 금융회사 내부통제 완성을 위한 3가지 핵심
9. 9부. 국가 AML 위험평가부터 제도이행평가까지: 금융회사가 꼭 알아야 할 3단계 위험관리 체계
10. 10부. 고객확인의무(CDD) 완전 정복: 위험기반접근법으로 보는 고객위험 평가 4대 요소
11. 11부. AML 담당자가 반드시 알아야 할 CDD 적용대상과 비대면 고객확인 절차
12. 12부. 개인고객 KYC 실무 완전 정복: 위험평가 모델·CDD 절차·고위험 EDD 핵심 총정리
13. 13부. 비영리법인·상품권·불법사금융의 자금세탁 리스크와 CDD 핵심 지적사항 완전 정리
14. 14부. 소액해외송금·전자금융·가상자산사업자의 자금세탁 리스크 완전 정복
15. 15부. AML 강화된 주의의무(EDD) 총정리 — 고액자산가·PEP·환거래·FATF 위험국가까지
16. 16부. 하루 1천만 원 현금거래가 자동 보고되는 이유 — CTR 제도의 원리와 보고 대상
17. 17부. CTR 보고 제외 대상 거래와 법규 핵심 정리 — 실무자가 놓치기 쉬운 지적사항까지
18. 18부. 의심거래보고(STR) 완전 정리 — 개요·CTR 연계·비밀보장·보고현황 한눈에
19. 19부. 이 거래, 보고해야 할까? — STR 의심 기준·추출 룰·작성 원칙 한눈에
20. 20부. AML 규제당국 검사·감독 완전 정리 — STR·CTR·내부통제 지적사항과 제재 사례 현재 글
21. 21부. 자금세탁방지 2026 업데이트 총정리 — 개정사항·교육 방향·리스크·규제 중점과제까지

관련 글