비영리법인·상품권·불법사금융의 자금세탁 리스크와 CDD 핵심 지적사항 완전 정리

2026-08-09 22:30

자금세탁방지(AML) 실무에서 비영리법인·상품권업자·불법사금융업자는 오랫동안 규제의 사각지대였습니다. 그러나 2024~2026년을 거치며 이들 업권은 금융정보분석원(FIU)이 공식적으로 지목한 ‘자금세탁의 약한 고리(Weak Link)’ 로 규정되었고, 감독 방식도 존재 여부 확인에서 실질적 위험 통제 여부 점검으로 전환되고 있습니다.

비영리법인·상품권·불법사금융 ML 리스크와 CDD 지적사항

비영리법인(NPO)의 ML/TF 리스크

📌 학습목표

이 섹션을 통해 비영리법인의 ML(자금세탁) 및 TF(테러자금조달) 리스크의 구조적 원인을 이해하고, FATF 권고사항 8(R.8)이 요구하는 리스크 기반 접근법을 설명할 수 있습니다.

🔴 비영리법인이 고위험 업종인 이유

비영리법인(NPO: Non-Profit Organization)은 종교·자선·교육·문화 등 공익 목적으로 운영되지만, 구조적 특성상 자금세탁과 테러자금조달에 악용될 가능성이 존재합니다. FATF는 권고사항 8(R.8)에서 NPO를 테러자금조달 리스크에 특히 취약한 업종으로 별도 명시하고 있습니다.

합법적 외관을 이용한 위장: 테러단체가 자선단체·종교법인으로 위장해 자금을 모집하고, 이를 테러 활동에 전용하는 수법. 세계적으로 다수의 적발 사례가 존재
자금 도관(Conduit) 역할: 합법적 NPO를 경유지로 활용해 테러 자금을 세탁하거나 자산동결 조치를 회피하는 사례
자금 유용(Diversion): 합법적 목적으로 모집된 기부금·지원금을 테러 목적으로 비밀리에 전용하고 이를 은폐

🔹 FATF 권고사항 8(R.8)의 핵심 요구사항

FATF는 2023년 10월 총회에서 R.8을 개정해, 기존의 전체 NPO 규제 방식에서 리스크 비례 접근(Risk-Proportionate Approach) 으로 전환했습니다. 즉, 모든 NPO에 일률적 규제를 부과하는 것이 아니라 TF 위험이 확인된 NPO 부문에 집중된 비례적 조치를 적용하도록 요구합니다.

R.8이 요구하는 국가 차원의 조치는 다음과 같습니다.

NPO 범위 식별: FATF 정의에 해당하는 NPO를 특정하고 TF 위험 평가 실시
위험 이해: 어떤 NPO가 테러단체에 어떤 방식으로 악용될 수 있는지 위협 분석
비례적 조치 적용: 고위험 NPO에만 집중 감독, 합법적 NPO 활동은 부당하게 제한 금지
주기적 재검토: NPO 식별 범위와 위험 평가, 대응 조치를 정기적으로 재검토

한국의 R.8 이행 현황: 한국은 2020년 FATF 제4차 상호평가에서 R.8을 ‘부분적 이행’으로 평가받았으나, 이후 비영리단체를 활용한 TF 방지체계를 강화한 결과 2024년 10월 FATF 총회에서 ‘대체로 이행’으로 재평가되었습니다. 구체적으로 국제활동 NPO 309개, 종교활동 NPO 159개를 고위험 NPO로 식별해 관리하고 있습니다.

🔴 비영리법인의 ML 리스크 구조

TF 리스크 외에도 NPO는 자금세탁(ML)에도 활용될 수 있습니다. 주요 경로는 다음과 같습니다.

익명 기부금 세탁: 불법 자금을 익명 기부 형태로 NPO에 유입한 뒤, 합법적 지출로 처리해 자금 출처를 세탁
허위 사업비 계상: 실제로 이루어지지 않은 사업에 지출된 것처럼 장부를 조작해 범죄 수익 정상화
해외 연계 자금 이전: 국내 NPO가 해외 단체에 지원금을 송금하는 형식으로 범죄수익을 국외 이전
실질 지배구조 불투명: 이사회 구성·자금 의사결정 구조가 불명확해 실질 소유자(BO) 파악 곤란

🟢 금융회사의 NPO 고객 CDD 적용 방향

NPO 고객 신규 거래 개시 시 설립 목적, 자금 출처, 주요 자금 이전 국가, 해외 송금 현황 포함 확인
위험평가 결과 고위험 분류 시 강화된 고객확인(EDD) 적용: 실질 지배구조·이사회 구성·연간 보고서 등 추가 확인
익명·무기명 기부 수입 비중이 높은 단체, 고위험 국가와 자금 교류가 있는 단체는 지속적 모니터링 강화
단순 법인등기부·고유번호증 확인만으로 CDD를 완료 처리하지 않도록 내부 기준 정비

상품권업자·불법사금융업자에 대한 규제 시각 변화

📌 학습목표

이 섹션을 통해 상품권업자와 불법사금융업자가 자금세탁에 악용되는 구조와, 규제 당국이 이들을 바라보는 달라진 시각과 대응 방향을 이해할 수 있습니다.

🔴 상품권업자의 자금세탁 구조

상품권은 현금과 유사하게 유통되면서도 금융 규제 적용 범위 밖에 있었습니다. 이 특성 때문에 범죄 조직이 범죄수익을 상품권으로 세탁하는 수법이 확산되어 왔습니다.

전형적인 상품권 자금세탁 수법은 다음과 같습니다.

다단계 상품권 거래: 범죄수익 현금 → 상품권 대량 구매 → 다수의 위장 상품권업체 간 반복 거래 → 현금화. 각 단계를 거칠수록 자금 출처 추적 난이도 증가
온라인 상품권 거래 플랫폼 활용: 상품권 매입·매각 앱 또는 플랫폼을 통해 빠르게 현금화. 거래 당사자 실명 확인 체계 미비
불법 슬롯머신·게임머니 연계: 도박 수익을 게임머니로 전환한 뒤 상품권으로 교환, 재현금화하는 다단계 구조
보이스피싱 피해금 세탁: 피해자로부터 받은 송금액을 상품권 구매 대금 명목으로 처리해 수사기관 추적 방해

🟡 규제 당국의 달라진 시각

과거 상품권업자는 특정금융정보법 의무 적용 대상이 아니었습니다. 그러나 반복되는 대형 세탁 사건과 FATF의 지적에 따라 규제 당국의 시각이 바뀌었습니다.

고위험 업종 명시: FIU는 2025~2026년 AML 검사 방향에서 상품권 거래 관련 업종을 자금세탁의 약한 고리로 명시하고, 집중 점검 대상으로 분류
거래 모니터링 의무 강화 논의: 상품권 플랫폼·대규모 상품권업자에 대해 실명 확인, 거래 한도, 이상거래 탐지 의무를 부과하는 방향의 제도 개선이 논의 중
세무당국 연계 제도 개선 요구: 경찰청 등이 적발 후 세무당국에 제도 개선 요구서를 제출하는 사례 증가 — 단순 형사 처벌을 넘어 구조적 차단을 목표로 하는 접근

🔴 불법사금융업자의 자금세탁 구조와 규제 변화

불법사금융업자(미등록 대부업자·사채업자)는 법정 이자율을 초과한 고금리 대출로 범죄 수익을 창출하면서, 동시에 범죄 자금의 세탁 통로로 기능합니다.

현금 대출·상환 구조: 현금으로만 대출·상환이 이루어져 금융거래 기록 없이 자금 이동 가능. 대출 원금 출처와 이자 수익의 자금세탁 동시 발생
범죄조직 연계 고금리 대출: 보이스피싱 조직·마약 조직이 불법사금융을 통해 범죄 수익을 대출 원금인 것처럼 투입하고 이자 수익 형태로 합법화
피해자 양산 구조: 불법 추심·협박을 통해 피해금을 수취하고 이를 재투자해 자금 규모를 키우는 자기증식 구조
사기 대출 연계: 허위 서류로 제도권 금융에서 대출받아 불법사금융 원금으로 투입하는 방식

규제 방향 변화: 2026년 FIU 업무수행계획은 불법도박·마약·불법사금융 관련 의심계좌를 대상으로 ’중대 민생침해범죄 의심계좌 정지제도’ 도입을 명시했습니다. 수사기관 요청 시 법원 결정 없이도 FIU가 계좌 정지를 결정할 수 있는 근거를 특금법에 마련할 예정으로, 이는 불법사금융 관련 자금 흐름 차단에 직접적인 영향을 미칩니다.

CDD 관련 주요 지적사항

📌 학습목표

이 섹션을 통해 감독 검사에서 반복적으로 지적되는 CDD 이행 실패 유형을 파악하고, 형식적 CDD와 실질적 CDD의 차이를 명확히 이해할 수 있습니다.

🔹 CDD 의무의 기본 구조 복습

고객확인의무(CDD, Customer Due Diligence)는 특금법 제5조의2에 근거하며, 금융회사가 고객과 거래를 개시하거나 일회성 고액 거래를 할 때 고객의 신원·실제소유자·거래 목적을 확인하도록 한 의무입니다. 위험 수준에 따라 일반 CDD와 강화된 고객확인(EDD)으로 구분됩니다.

구분	적용 대상	주요 확인 사항
일반 CDD	모든 신규 고객	신원, 실제소유자, 거래 목적
강화 CDD (EDD)	고위험 고객, PEP, 고위험 국가	CDD 항목 + 자금 출처, 거래 배경 심층 확인
간소화 CDD	저위험 고객 (내부 기준 충족 시)	기본 신원 확인 (단, 의심 징후 시 즉시 전환)

위험기반 CDD 접근(RBA)이란 단순히 서류를 받는 것이 아니라 고객의 위험 수준을 평가하고 그에 비례하는 확인 절차를 실질적으로 이행하는 것을 의미합니다.

🔴 지적사항 유형 1 — 형식적 신분증 확인

FIU 및 금감원 검사에서 가장 빈번하게 적발되는 유형입니다.

복사본·재촬영 파일로 CDD 완료 처리: 원본 신분증이 아닌 스캔 복사본, 화면 재촬영 이미지로 제출받아 실제 위·변조 여부를 확인하지 않고 완료 처리
식별 불가 수준의 사진 수용: 얼굴이 불명확하거나 정보가 가려진 신분증 이미지를 유효한 확인 서류로 처리
운전면허증 암호일련번호 미확인: 운전면허증 진위 확인 시 경찰청 진위확인 시스템의 암호일련번호 검증 절차를 생략하고 완료 처리
주소 정보 공란 허용: 주소 정보가 비어있거나 부적정(‘미기재’, ‘N/A’ 등)한 경우에도 CDD 완료로 처리

💡 실무 포인트: eKYC 시스템을 운영하더라도 진위 확인 API 연동 여부, 결과 로그 보관, 경고 건 재처리 프로세스 등이 실질적으로 작동하는지 정기적으로 점검해야 합니다.

🔴 지적사항 유형 2 — 위험등급 관리 실패

위험등급 상향 후 EDD 미실시: 모니터링 과정에서 고객 위험등급이 저위험→고위험으로 변경되었음에도 EDD를 추가로 실시하지 않고 거래를 계속 허용
고위험 고객 분류 기준 불명확: PEP(정치적 주요인물), 고위험 국가 거래 고객, 고액 현금 거래 빈번 고객 등을 고위험으로 자동 분류하는 기준이 내부 정책에 명시되지 않거나 시스템에 반영되지 않은 경우
위험평가 결과와 모니터링 기준 미연계: 위험평가 점수가 산출되었으나, 실제 거래 모니터링 시나리오·임계값이 위험등급과 연동되지 않아 고위험 고객도 일반 기준으로만 모니터링

🔴 지적사항 유형 3 — CDD 재이행 관리 실패

재이행 기한 초과 방치: 고객 CDD 유효기간(예: 저위험 5년, 고위험 1년) 도래 시 재이행이 이루어지지 않고 기한 초과 계정에도 거래가 지속
재이행 대상 관리 시스템 부재: CDD 재이행 예정일 자동 알림, 미완료 계정 목록 관리 등 시스템적 지원 없이 담당자 수기 관리에 의존
갱신 요청 미응답 고객 처리 기준 부재: 재이행 요청에 응하지 않는 고객에 대해 거래 제한 또는 종료 절차를 명문화하지 않은 경우

🔴 지적사항 유형 4 — CDD 미완료 상태에서 거래 허용

이는 특금법이 명확히 금지하고 있는 가장 중대한 위반 유형입니다. CDD가 완료되지 않은 상태에서의 거래 허용은 위반 건수 자체가 제재 수위를 결정하는 핵심 지표가 됩니다.

CDD 완료 전 거래 허용: 신규 가입 후 CDD 서류 미제출 상태에서도 계정 활성화 및 거래 허용
거래 제한 자동화 로직 부재: CDD 미완료 계정에 대한 거래 자동 차단 로직이 시스템에 구현되지 않아 담당자 수동 처리에 의존
간소화 CDD 요건 초과 거래 처리: 간소화 CDD 적용 고객임에도 거래 패턴이 이례적으로 변하는 경우 CDD 업그레이드 없이 거래 허용

🔴 지적사항 유형 5 — 실제소유자(BO) 확인 실패

법인 고객 BO 확인 형식화: 등기상 대표이사만 BO로 등록하고, 지분 25% 이상 보유 대주주나 실질 지배자는 확인하지 않는 경우
신탁·다층 법인구조 미파악: 신탁 약정이나 복잡한 다층 법인구조를 통해 실질 지배자가 은폐된 경우 서류상 확인만으로 BO를 특정
BO 변경 사항 업데이트 미실시: 최초 BO 확인 후 지분 구조 변경이 있어도 CDD 정보를 갱신하지 않는 경우

실제 제재 사례

🟡 사례 1 — 상품권업자 활용 2,300억 원 자금세탁 (2025년 6월)

서울 구로경찰서는 2025년 6월 13일 투자 리딩사기·사이버도박 등 범죄수익 2,388억 원을 상품권 거래로 현금 세탁한 일당 21명을 검거해 범죄수익은닉규제법 위반 혐의로 검찰에 송치했습니다. 대형 상품권업체 대표 A씨가 다수의 허위 상품권업자를 연계해 다단계 거래를 통해 자금 출처를 은폐하는 수법을 사용했습니다.

위반 내용: 범죄수익은닉규제법 위반, 허위 상품권 거래 구조 조성
처분 내용: 21명 검거·검찰 송치, 세무당국에 제도 개선 요구서 제출
원문 링크: 사이버도박 수익 2300억원 세탁…상품권업체 일당 21명 검거 (뉴스1, 2025.06.13)

🟡 사례 2 — 게임머니·상품권 연계 510억 원 자금세탁 (2025년 11월)

보이스피싱 범죄 정부합동수사단은 2025년 11월 게임머니와 대포통장을 이용해 약 510억 원의 보이스피싱 피해금을 세탁한 환전업자 등 4명을 구속 기소했습니다. 피고인들은 세탁 과정에서 약 47억 원의 범죄수익을 취득했으며, 현금 4억 원이 압수되고 BMW 등 고가 자산에 추징·보전 조치가 내려졌습니다.

위반 내용: 범죄수익은닉규제법 위반, 보이스피싱 방조
처분 내용: 4명 구속 기소, 범죄수익 47억 원 추징·보전
원문 링크: ‘게임머니 510억 환전’…보이스피싱 자금세탁꾼 4명 줄줄이 구속 (파이낸셜뉴스, 2025.11.17)

🔴 사례 3 — 코인원 CDD 미이행 과태료 52억 원 (2026년 4월)

FIU는 2026년 4월 13일 코인원에 대해 영업 일부 정지 3개월(2026.4.29~7.28), 과태료 52억 원, 대표이사 문책경고 조치를 결정했습니다. 코인원의 CDD 위반 유형은 앞서 설명한 지적사항의 전형적 패턴과 정확히 일치합니다.

위반 내용: 고객확인의무 위반 약 4만 건 (식별 불가 신분증 처리, 주소 공란 허용, 재이행 기한 미이행, 위험등급 상향 후 EDD 미실시, 운전면허증 암호일련번호 미확인), 거래제한의무 위반 약 3만 건, 미신고 가상자산사업자와 거래 10,113건
처분 내용: 과태료 52억 원, 영업 일부 정지 3개월, 대표이사 문책경고
원문 링크: 주간 AML 레포트 2026/4/20 — 코인원 제재 분석 (알앤씨글로벌)

핵심 학습내용 정리

✅ 비영리법인 ML/TF 리스크 요약

TF 리스크가 핵심: FATF R.8은 NPO의 TF 위험에 집중하며, ML은 부가적 리스크
리스크 비례 접근이 원칙: 모든 NPO에 일률 규제 금지, 위험이 확인된 NPO에 집중 조치
세 가지 남용 경로: ①합법 단체 위장, ②도관 활용(자산동결 회피), ③자금 유용 은폐
금융회사 실무: NPO 고객 고위험 분류 기준 명확화, EDD 연계 절차 구체화 필요

✅ 상품권업자·불법사금융업자 규제 변화 요약

상품권업자: 과거 AML 규제 사각지대 → 2025~2026년 고위험 업종 명시, 제도 개선 논의 본격화
불법사금융업자: 현금 구조로 추적 회피 → 2026년 의심계좌 정지제도 도입으로 즉시 차단 가능해질 전망
공통 방향: 형사 처벌 + 행정 제재 + 계좌 동결의 3중 차단 구조로 전환

✅ CDD 주요 지적사항 요약

지적 유형	핵심 문제	개선 방향
형식적 신분증 확인	위변조 검증 없이 완료 처리	진위확인 API 연동, 결과 로그 보관
위험등급 관리 실패	등급 상향 후 EDD 미실시	위험등급-EDD 자동 연계 시스템 구축
CDD 재이행 누락	유효기간 초과 계정 방치	재이행 자동 알림·차단 로직 적용
CDD 미완료 거래 허용	미완료 상태에서 거래 허용	CDD 완료 전 거래 자동 차단 의무화
실제소유자 확인 형식화	등기 대표이사만 BO 등록	지분 25% 이상 전체 BO 확인 체계화

2026년부터 FIU의 검사는 “CDD 절차가 존재하는가” 가 아니라 “CDD가 실제로 위험을 차단하고 있는가” 를 묻는 방향으로 전환되었습니다. 형식 입력 중심의 AML 운영은 더 이상 감독 기관을 만족시킬 수 없으며, 실질 검증·자동 차단·데이터 기반 모니터링이 AML 내부통제의 새로운 기본 기준이 됩니다.