국가 AML 위험평가부터 제도이행평가까지: 금융회사가 꼭 알아야 할 3단계 위험관리 체계

2026-08-08 12:21

자금세탁방지(AML) 위험관리는 금융회사 혼자 움직이는 것이 아닙니다. 국가 수준의 위험평가(NRA)가 토대를 제시하고, 각 금융회사의 전사적 위험평가가 그 위험을 내재화하며, FIU의 제도이행평가가 이행 수준을 검증하는 3단계 구조로 작동합니다. 이 세 단계를 이해해야 비로소 규제 대응이 아닌 실질적인 AML 위험관리가 가능합니다.

한국의 국가위험평가(NRA)란

NRA의 정의와 법적 근거

국가위험평가(NRA: National Risk Assessment)는 국가 전체의 자금세탁·테러자금조달·확산금융 위험을 체계적으로 식별·분석·평가하는 정부 차원의 절차입니다. FATF 권고기준 제1항이 모든 회원국에 NRA 실시를 의무화하고 있으며, 한국은 특정금융거래정보법 및 관련 규정에 따라 관계부처 합동으로 NRA를 수행합니다.

금융위원회, 금융정보분석원(FIU), 법무부, 국세청, 외교부 등 주요 기관이 협력하여 평가를 수행하며, 그 결과는 국무회의에 보고됩니다. 한국은 2018년 이후 약 6년 만에 2024~2025년 사이 새롭게 NRA를 완료했으며, 2026년 3월 범정부 FATF 대응단 출범 회의에서 그 결과가 공식 공유되었습니다.

2025년 NRA 주요 결과

2025년에 완료된 최신 국가위험평가에서 한국의 주요 자금세탁 위험 현황이 구체적으로 드러났습니다.

최고 위험 범죄 유형: 사기(보이스피싱 등), 마약 범죄, 조세포탈(관세포탈 포함) — 발생 빈도와 피해 규모 모두 높음
고위험 수단: 현금 거래 및 가상자산을 통한 자금세탁 위험이 가장 높게 평가
업권별 위험 수준: 전자금융업·은행·금융투자업의 자금세탁 위험도가 중간 이상
테러자금조달 위험: 외국인 국내 체류자 증가, 가상자산 등 新수단 부상으로 위험 요소 상존
확산금융 위험: 북한의 가상자산 탈취·세탁 사례가 핵심 취약 요인으로 확인

실무 시사점: FATF는 2024년 10월 한국의 국제기준 이행 등급을 ‘강화된 후속점검’에서 ‘정규 후속점검(최고 등급)‘으로 상향했습니다. 그러나 FATF 5차 상호평가가 본격 진행되는 만큼, NRA에서 확인된 고위험 분야—특히 가상자산과 전자금융—에 대한 금융회사의 내부 대응 수준이 그 어느 때보다 중요해졌습니다.

NRA 결과가 금융회사에 미치는 영향

NRA는 단순한 정부 보고서가 아닙니다. 금융회사는 NRA 결과를 자사 전사적 위험평가의 출발점으로 활용해야 합니다.

업권 위험 반영: 자사가 속한 업권이 NRA에서 중간 이상 위험으로 분류되면, 전사위험평가에서 해당 위험을 반드시 반영
고위험 상품·채널 재점검: NRA에서 지목된 가상자산 연계 서비스, 비대면 채널 관련 내부통제 강화
고객 위험 재평가: NRA에서 확인된 고위험 범죄 유형(사기·마약 등) 연루 가능 고객군에 대한 EDD 기준 정비

금융회사의 전사적 위험평가(위험관리수준평가)

전사적 위험평가의 개념

전사적 위험평가(Enterprise-wide Risk Assessment)는 금융회사가 자사의 자금세탁·테러자금조달 위험을 전 영역에 걸쳐 식별·분석·평가하고, 위험 수준에 따라 통제 자원을 차등 배분하는 RBA(위험기반접근법)의 핵심 실행 도구입니다. FIU는 이를 ‘위험관리수준평가’라 부르며 위험평가시스템(rba.kofiu.go.kr)을 통해 금융회사별 평가 데이터를 수집·관리합니다.

고유위험과 운영위험(위험관리도)

전사적 위험평가는 크게 두 축으로 구성됩니다.

구분	고유위험 (Inherent Risk)	운영위험·위험관리도
정의	상품·고객·채널에 내재된 자금세탁 위험	내부통제 수준으로 위험을 얼마나 줄이는지
지표 수	약 50여 개	약 100여 개
예시 지표	고위험국가 거래 비중, PEP 고객 수	고객확인 이행률, 의심거래 탐지율

잔여위험(Residual Risk): 고유위험에서 운영위험(통제 효과)을 차감한 실질 위험 수준
위험평가 단위: 고객군별·상품별·채널별·부서별로 세분화하여 평가
평가 주기: 원칙적으로 연 1회 이상 실시, 중요한 환경 변화 시 수시 재평가

전사적 위험평가 절차

실무에서 전사적 위험평가는 다음 단계로 진행됩니다.

1단계 — 위험 식별: NRA 결과, 업권 특성, 자사 영업 포트폴리오를 바탕으로 ML/TF 위험 요소 파악
2단계 — 위험 분석: 정량(거래 데이터) + 정성(전문가 판단) 지표를 결합해 위험 발생 가능성 및 영향도 분석
3단계 — 위험 평가: 평가단위별 위험 수준(저·중·고) 결정 및 잔여위험 산출
4단계 — 위험 완화 계획: 고위험 영역에 집중된 통제 자원 배분 계획 수립
5단계 — 모니터링 및 피드백: 주기적 재평가와 경영진·이사회 보고, 독립감사 연계

형식적 RBA를 넘어선 ‘설명 가능한’ 위험평가

최근 금융감독 당국과 전문가들은 단순한 지표 충족을 넘어 설명 가능한(explainable) 위험평가를 강조합니다. 이를 위해서는 ① 전사적으로 일관된 데이터 항목 정의, ② 원천 데이터와 평가 결과 간 정합성 검증, ③ 시스템 산출 로직이 설계 의도대로 작동하는지 확인하는 검증 체계 구축이 필요합니다. 금감원 현장 검사 시 위험평가 산출 근거를 입증하지 못하면 내부통제 미흡으로 지적될 수 있습니다.

FIU 제도이행평가 제도

제도이행평가란

제도이행평가는 금융정보분석원(FIU)이 특정금융거래정보법에 따라 자금세탁방지 의무 이행 수준을 전 업권 금융회사를 대상으로 연 1회 종합 평가하는 제도입니다. 단순한 점수 매기기가 아니라, 업권 간 횡단 비교를 통해 상대적인 이행 수준을 측정하며 그 결과는 감독 자원 배분과 현장점검 우선순위에도 직접 영향을 줍니다.

위험관리수준평가(업권 내 비교)와 달리 제도이행평가는 전 업권 공통 항목으로 구성되어 은행·증권·보험·여신전문·핀테크·가상자산 등 모든 업권이 동일한 잣대로 비교됩니다.

평가 구조 및 배점

2025년 개편 기준 제도이행평가의 총점은 800점이며, 운영위험(위험관리도) 지표 중 75개를 선정해 구성됩니다.

전사통제정책 11개: 배점 100점 — 이사회·경영진의 AML 정책 수립·승인 여부
내부통제 13개: 배점 200점 — KYE, 독립적 감사, 교육·연수 이행 수준
고객확인 27개: 배점 200점 — CDD/EDD 이행률, 실소유자 확인, PEP 관리
위험관리 12개: 배점 100점 — 전사 위험평가 실시, 신규상품 위험평가 절차
모니터링 및 보고관리 12개: 배점 200점 — STR·CTR 보고 품질, 모니터링 기준 적정성

평가 일정

(3~4월) 금융회사, 위험평가시스템에 평가값 입력
(4월 중순) FIU, 이상값 통보 및 수정 기간
(5~6월) FIU, 증빙 요청·입력값 검토
(7~9월) FIU, 현장점검 실시
(10월 초) FIU, 평가결과 확정 및 통보

2026년 주요 개편 내용

FIU는 2025년 12월 AML 유관기관 협의회를 통해 2026년부터 적용될 제도이행평가 개편안을 발표했습니다. 핵심 방향은 ‘형식 점검’에서 ‘위험·전문성 중심’으로의 전환입니다.

전문성 가점 신설: AML 보고책임자·독립감사 책임자가 CAMS 등 전문 자격증 보유 시 가점 부여
자발적 관리 가점: 내부 자율 통제 강화 사례(자발적 발견·개선)에 가점, 우수사례 업권 공유
위험연계 차등 감점: 위험 노출이 높음에도 관리 수준이 미흡한 회사에 차등 감점 적용
지표 중요도 차등화: FATF 권고사항 및 의심거래 분석 반영, 지표별 중요도 4단계 구분·배점 차등
해외송금 모니터링 추가: 외환거래·해외송금 관련 의심거래 모니터링 기준을 별도 평가 항목으로 반영
정성평가 항목 신설: 기존 정량 위주에서 벗어나 AML 문화·자율 개선 활동 반영

실무 포인트: 2025년 기준 금융기관 10곳 중 약 2곳만이 자발적으로 AML 문제를 발견·개선한 것으로 나타났습니다. 2026년부터 자발적 개선 활동이 직접 가점에 반영되는 만큼, ‘감독 대응형’에서 ‘선제적 자율관리형’으로 AML 전략을 전환하는 것이 점수 최적화에도 실질적으로 유리합니다.

3단계 위험관리 체계의 유기적 연결

세 가지 평가 체계는 독립적이지 않고 서로 긴밀하게 연결됩니다.

NRA → 전사적 위험평가: NRA에서 확인된 국가·업권 위험이 전사 위험평가의 고유위험 지표로 반영되어야 합니다. NRA를 반영하지 않은 전사위험평가는 실질적 RBA라 볼 수 없습니다.
전사적 위험평가 → 제도이행평가: 전사위험평가를 제대로 실시한 회사는 제도이행평가의 위험관리 영역(배점 100점)에서 유리한 평가를 받습니다. 반대로 위험평가를 형식적으로만 수행하면 감점 요인이 됩니다.
제도이행평가 → NRA 업데이트: FIU는 제도이행평가에서 수집한 전 금융회사의 집계 데이터를 차기 NRA 업데이트와 감독 정책 수립에 활용합니다.

구분	주체	주기	활용
NRA	정부(FIU·금융위 등)	수년 주기	국가 AML 전략 수립
전사적 위험평가	금융회사 자체	연 1회 이상	내부통제 자원 배분
제도이행평가	FIU	연 1회 종합	감독 우선순위·현장검사

이 세 단계가 일관되게 연결되는 구조를 갖출 때, 금융회사의 AML 내부통제는 규정 준수를 넘어 실질적 위험 감축이라는 본래 목적을 달성할 수 있습니다. 앞서 다룬 조직 역할·해외자회사 관리와 KYE·독립감사·신규상품 절차가 이 3단계 구조와 결합될 때 비로소 AML 내부통제 체계가 완성됩니다.