규제 대상 기업이라면 언젠가는 자금세탁방지(AML) 컴플라이언스를 갖춰야 한다는 말을 듣게 됩니다. 하지만 그것이 실제로 어떤 모습인지 설명을 듣는 경우는 훨씬 드물고, 바로 이 간극 때문에 많은 선의의 노력이 흐지부지되고 맙니다. “AML 규정을 준수해야 한다”는 당위를 기업이 매일 실제로 수행하는 업무로 바꿔 주는 것, 즉 법적 요건을 실제로 작동하는 현실로 만드는 것이 바로 AML 정책입니다.
이 가이드의 목적은 두 가지입니다. 먼저 AML 정책이 무엇인지, 무엇을 담아야 하는지, 그리고 더 넓은 개념인 컴플라이언스 프로그램과 어떻게 다른지 설명합니다. 이어서 그 프로그램을 구축하는 과정을 단계별로 안내하고, 프로그램이 따라야 할 전 세계 규제 체계를 살펴봅니다. 모든 내용은 특정 관할권에 치우치지 않도록 FATF(국제자금세탁방지기구)가 정한 국제 기준을 바탕으로 하며, 필요한 경우 국가별 차이를 함께 짚습니다. 끝까지 읽고 나면 AML 컴플라이언스가 무엇인지 더 잘 이해하는 데 그치지 않고, 이를 실제로 어떻게 도입할지 명확한 그림을 갖게 될 것입니다.
AML 정책이란?
AML 정책은 특정 기업이 자금세탁방지 및 테러자금조달방지(CFT) 의무를 어떻게 이행하는지 규정한 공식 문서입니다. 한편으로는 조직 구성원에게 규정을 지키며 업무를 수행하는 방법을 알려 주는 내부 플레이북이고, 다른 한편으로는 대외적인 증빙 자료입니다. 규제 당국이 점검을 나오면 대개 가장 먼저 보자고 하는 것이 바로 이 문서이기 때문입니다.
AML 정책은 기업이 위험을 평가하고, 고객을 확인하고, 고객을 스크리닝·모니터링하고, 의심 거래를 보고하고, 기록을 보관하고, 직원을 교육하고, 이 모든 활동을 관리·감독하는 방식을 한곳에 정리합니다. 다시 말해 “우리 회사가 자금세탁에 이용되지 않도록 어떻게 보장하고 있는가?”라는 질문에 대한 서면 답변입니다.
AML 정책과 AML 프로그램의 차이
두 용어는 흔히 같은 뜻으로 쓰이지만 실제로는 다른 개념이며, 둘을 구분해 둘 필요가 있습니다. AML 정책은 문서, 즉 기업이 의무를 어떻게 이행할 것인지 밝힌 서면 선언입니다. 반면 AML 프로그램은 그 의무를 준수하기 위해 기업이 실제로 하는 모든 것, 곧 사람과 시스템, 절차, 그리고 일상의 실무 전체를 가리킵니다. 정책이 의도를 정한다면, 프로그램은 실제로 실행되는 것입니다.
정책은 설계도, 프로그램은 건물이라고 생각하면 쉽습니다. 건물 없는 설계도는 종이에 불과하고, 설계도 없이 급하게 올린 건물은 무너지기 쉽습니다. 규제 당국은 둘 다 중요하게 봅니다. 정책을 보여 달라고 요구하지만, 평가는 그 뒤에 있는 프로그램이 실제로 작동하는지를 기준으로 합니다. 흔하면서도 대가가 큰 실패 유형이 바로 정책은 그럴듯한데 프로그램은 텅 빈 경우, 즉 기업이 실제로는 운영하지 않는 통제를 문서로만 약속한 경우입니다. 정책과 프로그램은 반드시 일치해야 하며, 이것이 이 글 전체를 관통하는 핵심입니다.
실무에서 AML 컴플라이언스란 무엇을 의미하는가?
전문 용어를 걷어 내면, 실무에서의 AML 컴플라이언스란 기업이 네 가지 일을 끊임없이 하는 것입니다. 고객이 누구인지 알고, 그 고객이 지닌 위험을 이해하고, 고객의 활동을 지켜보고, 의심스러운 점이 보이면 조치(보고)하는 것입니다. 정책, 책임자, 교육 등 나머지 모든 요소는 이 네 가지가 신뢰할 수 있고 검증 가능한 방식으로 실제로 이루어지도록 하기 위해 존재합니다.
구체적으로는 신규 고객을 온보딩하기 전에 신원을 확인하고, 제재 목록과 감시 목록에 대조해 점검하고, 위험 평가를 수행하고, 시간이 지나면서 그 활동을 모니터링하고, 의심스러운 사항은 적절한 담당자에게, 필요하면 당국에까지 보고하는 것을 말합니다. 그리고 이 모든 과정을 기록으로 남겨 실제로 수행했음을 입증할 수 있어야 합니다. AML 컴플라이언스는 한 번 달성하고 인증서를 받으면 끝나는 일이 아닙니다. 지속적인 운영 규율이며, 기업이 일하는 방식 그 자체의 일부입니다.
AML 정책은 왜 필요한가?
솔직히 말해 이유는 두 가지이며, 둘 다 실질적인 이유입니다. 첫째, 법적 요건입니다. 금융기관을 비롯해 점점 늘어나는 규제 대상 기업은 AML 통제를 문서화해 갖춰야 할 의무가 있으며, 이를 유지하지 못하면 중대한 제재를 받습니다. 규제 대상 기업이 AML 정책 없이 합법적으로 영업할 방법은 없습니다.
둘째, AML 정책은 단순한 서류가 아니라 실질적인 위험 통제 수단입니다. 제대로 된 AML 정책은 기업이 자금세탁의 통로로 악용되는 것을 막고, 그에 따른 사기 피해와 평판 손상, 뒤따르는 규제 제재로부터 기업을 보호합니다. 여기에 매우 현실적인 세 번째 이유도 있습니다. 문서화되어 있고 실제로 준수되는 정책이 있어야 컴플라이언스를 입증할 수 있다는 점입니다. 규제 당국이 자금세탁 위험을 어떻게 관리하느냐고 물을 때 “그냥 알고 있습니다”는 답이 될 수 없습니다. 정책이 있어야 하고, 그 정책이 실제로 적용되었음을 보여 주는 기록이 있어야 합니다.
AML 정책이 필요한 곳은? AML 컴플라이언스 적용 업종
AML 의무는 규제 당국이 흔히 규제 대상 기관 또는 의무 기관(obliged entity)이라고 부르는 곳에 부과되며, 그 범위는 대부분의 생각보다 넓고 지금도 넓어지고 있습니다. 일반적으로 적용 대상이 되는 업종은 다음과 같습니다.
- 은행, 신용협동조합 및 기타 예금 수취 기관
- 자금서비스업자, 결제 기업, 송금업자
- 투자회사, 증권 브로커·딜러, 자산운용사
- 보험회사(특히 생명보험 및 투자연계형 상품)
- 암호화폐 및 디지털 자산 사업자
- 카지노 및 기타 사행산업 사업자
- 특정 비금융사업자 및 전문직(DNFBP): 변호사, 회계사, 부동산 중개인, 고가품 거래상
마지막 그룹이 중요한 이유는 FATF가 주도하는 국제적 흐름이 AML 의무를 전통적인 금융 부문을 넘어, 범죄자가 자금을 이동하고 세탁하는 데 이용하는 전문직으로까지 확대하는 방향이기 때문입니다. 아래에서 다룰 호주의 트랜치 2(Tranche 2) 개혁이 최근의 좋은 사례입니다. 실무적으로 시사하는 바는 분명합니다. 귀사가 상당한 가치의 자산을 다루거나 다른 사람의 자산 이동을 돕고 있다면, AML 의무가 이미 적용되고 있거나 곧 적용될 것이라고 보는 것이 좋습니다.
AML 정책에는 무엇이 포함되어야 하는가?
정확한 구성은 기업과 관할권에 따라 다르지만, 완전한 AML 정책은 일정한 구성 요소를 공통적으로 다룹니다. 이 중 하나라도 빠지면 정책에 구멍이 생깁니다.
- 위험 평가. 고객, 상품, 지역, 채널별로 기업이 스스로 수행하는 자금세탁 및 테러자금조달 위험 평가입니다. 다른 모든 요소가 여기서 출발합니다.
- 고객 실사(CDD) 절차. 고객확인(KYC)을 비롯해 고객이 누구인지 확인하는 방법과, 기업 고객의 경우 실소유자를 확인하는 방법을 정합니다.
- 제재 및 스크리닝. 고객과 거래 상대방을 제재 목록, 정치적 주요 인물(PEP) 데이터, 부정적 언론 보도와 대조해 어떻게 스크리닝할지 정합니다.
- 거래 모니터링. 거래 관계가 유지되는 동안 의심스러운 패턴이 없는지 활동을 어떻게 지켜볼지 정합니다.
- 의심거래보고(SAR). 의심스러운 활동을 식별하고 내부에 보고한 뒤 관할 당국에 신고하는 절차입니다.
- 기록 보관. 컴플라이언스를 입증하기 위해 어떤 기록을 얼마 동안 보관하는지 정합니다.
- 교육. 직원에게 AML 의무에 관한 교육을 어떤 방식으로, 얼마나 자주 실시하는지 정합니다.
- 거버넌스. 누가 책임을 지는지 정합니다. 일반적으로 명확한 권한을 가진 지정 컴플라이언스 책임자 또는 보고책임자(MLRO, Money Laundering Reporting Officer)가 맡습니다.
이 구성 요소들은 느슨한 목록이 아니라 서로 맞물린 하나의 시스템입니다. 그래서 그 뒤를 받치는 프로그램도 논리적인 순서에 따라 구축해야 합니다.
AML 컴플라이언스 프로그램의 핵심 구성 요소
정책이 다뤄야 할 내용을 나열한 것이라면, 프로그램은 그 구성 요소들이 실제로 작동하는 부품이 되는 곳입니다. 핵심 역할을 하는 요소는 여섯 가지이며, 서로를 뒷받침합니다.
- 고객확인(KYC) 및 고객 실사(CDD). 고객이 누구인지 확인하고 위험을 평가하는 일로, 기업 고객의 배후에 있는 실소유자 식별도 포함됩니다. 프로그램 전체를 떠받치는 토대입니다.
- 제재 스크리닝. 금지된 상대방과 거래하지 않도록 온보딩 시점은 물론 이후에도 지속적으로 고객과 거래 상대방을 제재 목록, PEP 데이터, 감시 목록과 대조합니다.
- 거래 모니터링. 분할 거래(structuring), 비정상적인 자금 흐름, 고객 프로필과 맞지 않는 활동 등 자금세탁을 시사하는 패턴이 있는지 고객 활동을 지켜봅니다.
- 의심거래보고(SAR). 의심스러운 활동을 식별하고 내부 보고를 거쳐 관할 금융정보분석기구(FIU)에 보고하는 것으로, 대부분의 관할권에서 법적 의무입니다.
- 기록 보관 및 보고. 실사, 스크리닝, 모니터링 내역을 문서화하고 법정 기간 동안 기록을 보관해, 컴플라이언스를 입증하고 보고서를 제출할 수 있도록 합니다.
- 임직원 교육 및 인식 제고. 직원이 위험 신호(red flag)를 알아차리고 의무를 이행할 수 있도록 역량을 갖춰 줍니다. 프로그램의 수준은 결국 그것을 운영하는 사람의 수준을 넘지 못하기 때문입니다.
각 구성 요소는 서로를 뒷받침합니다. KYC가 허술하면 모니터링이 흔들리고, 교육이 부실하면 모든 것이 흔들립니다. 강한 프로그램은 선호하는 몇 가지 요소만 따로 운영하지 않고 모든 요소를 함께 운영합니다.
AML 위험 평가와 위험기반접근법
현대 AML의 중심에 있는 개념을 하나만 꼽으라면 위험기반접근법(RBA)이며, 그 출발점은 위험 평가입니다. FATF가 전 세계적으로 권고하는 위험기반접근법은 모든 고객과 거래에 똑같은 통제를 적용하는 대신, 기업이 직면한 자금세탁·테러자금조달 위험을 구체적으로 파악하고 위험이 가장 높은 곳에 역량을 집중하도록 합니다.
제대로 된 AML 위험 평가는 여러 차원에 걸친 작업입니다. 고객(누구인지, 어디 출신인지, PEP처럼 고위험 고객이 있는지), 상품과 서비스(일부는 다른 것보다 악용되기 쉽습니다), 지역(본질적으로 위험이 높은 관할권이 있습니다), 채널(비대면 원격 온보딩은 대면 온보딩과 성격이 전혀 다릅니다)을 살펴봅니다. 그 결과로 도출되는 위험 등급이 이후 모든 것의 기준이 됩니다. 고객에게 적용할 실사 수준, 모니터링 강도, 자원을 집중할 영역이 모두 여기서 결정됩니다. 합리적인 AML 체계를 구축할 때 위험 평가가 가장 먼저 오는 이유가 바로 이것입니다. 위험 평가를 건너뛰면 저위험 고객을 과도하게 통제하거나(노력을 낭비하고 불필요한 마찰을 만듭니다), 고위험 고객을 충분히 통제하지 못하게 됩니다(실제 문제는 바로 이런 틈으로 빠져나갑니다). 효과적이면서도 비례적인 컴플라이언스 체계를 가능하게 하는 것이 바로 위험기반접근법입니다.
AML 컴플라이언스 단계별 가이드
정책에 담긴 프로그램을 구축하는 실무 순서는 다음과 같습니다. 각 단계는 앞선 단계를 토대로 하므로 순서가 중요합니다.
- AML 위험 평가 실시. 먼저 고객, 상품, 지역, 제공 채널 전반에 걸쳐 귀사 고유의 위험을 평가합니다. 이것이 이후 모든 것을 조정하는 기준이 되며, 위험 평가 없이 만든 프로그램은 통제의 모양을 한 추측에 불과합니다.
- AML 컴플라이언스 책임자 지정. 흔히 보고책임자(MLRO)라 불리는, 자격과 책임을 갖춘 담당자를 지정하고 실질적인 권한과 업무 수행에 필요한 자원을 부여합니다. 명확한 책임자가 없는 컴플라이언스는 결국 아무도 챙기지 않는 일이 되기 쉽습니다.
- 고객 실사 절차 구축. 온보딩 시 고객 신원을 확인(KYC)하는 방법과, 기업 고객이라면 최종적으로 회사를 지배하는 실소유자 식별 방법을 정합니다. 고위험 사례에는 강화된 고객 실사(EDD)를 적용합니다.
- 제재, PEP, 부정적 언론 보도 스크리닝 도입. 온보딩 시점과 이후 지속적으로 고객과 거래 상대방을 제재 목록 및 감시 목록, 정치적 주요 인물 데이터, 부정적 뉴스와 대조합니다.
- 거래 모니터링 구축. 의심스러운 패턴을 감지할 수 있는 수단을 마련하되, 노이즈만 쏟아 내는 일반적인 규칙이 아니라 위험 평가에서 확인된 위험에 맞춰 조정합니다.
- 의심거래보고 체계 수립. 직원이 의심스러운 활동을 식별하고 내부에 보고하며 관할 금융정보분석기구(FIU)에 신고하는 방법을 정하고, 모든 직원이 이 절차를 숙지하도록 합니다.
- 철저한 기록 관리. 실사, 스크리닝, 모니터링, 보고 내역을 문서화하고 법정 기간 동안 기록을 보관합니다. 규제 당국의 입장에서 기록되지 않은 일은 일어나지 않은 일입니다.
- 직원 교육. 모든 직원이 위험 신호를 알아차리고 의무를 이행할 수 있도록 업무와 관련된 교육을 정기적으로 실시합니다. 정책은 그것을 적용하는 사람이 이해하고 있을 때만 제대로 작동합니다.
- 프로그램에 대한 독립적인 테스트와 감사. 프로그램 운영에 책임이 없는 사람이 독립적으로 검토하도록 해, 프로그램이 단지 존재하는 데 그치지 않고 실제로 작동하는지 확인합니다.
- 지속적인 검토와 업데이트. 사업과 고객, 규정이 바뀔 때마다 위험 평가와 정책을 다시 검토합니다. AML 컴플라이언스는 일회성 프로젝트가 아니라 살아 있는 프로세스입니다.
이 단계를 순서대로 밟으면 정책 문서가 실제로 작동하는 프로그램이 됩니다. 한 단계라도 건너뛰거나 대충 처리하면, 그 약점은 대개 가장 곤란한 순간에 드러납니다.
강력한 AML 프로그램을 떠받치는 핵심 축
이러한 단계의 밑바탕에는 흔히 AML 프로그램의 ‘핵심 축(pillar)’이라 불리는 공인된 구조가 있으며, 이는 FFIEC BSA/AML 검사 매뉴얼과 같은 자료에 자세히 정리되어 있습니다. 그 구성은 내부 통제(정책과 절차 자체), 지정된 컴플라이언스 책임자, 지속적인 직원 교육, 독립적인 테스트, 그리고 비교적 최근에 추가된 지속 모니터링을 포함한 고객 실사입니다.
핵심 축을 알아 두면 좋은 이유는 검사관이 확인하는 것이 바로 이것이기 때문입니다. 정책이 갖춰져 있고, 책임자가 임명되어 있고, 교육이 실시되었고, 테스트가 이루어졌고, 실사가 적용되고 있다는 것을 하나하나 짚어 가며 실제로 작동하는 모습을 보여 줄 수 있다면, 효과적인 프로그램의 구조를 입증한 셈입니다. 앞서 소개한 단계별 가이드도 사실상 이 핵심 축들을 구축 순서대로 배열한 것입니다.
전 세계 AML 규제 환경
AML은 국제적인 과제이며, FATF가 느슨하지만 효과적으로 조율하고 있습니다. FATF의 40개 권고사항(40 Recommendations)은 대부분 국가의 법률이 충족하도록 설계된 국제 기준입니다. 다만 단일한 국제 AML 법은 없으며, 각 관할권은 자체 법률과 규제 기관을 통해 저마다의 방식으로 FATF 기준을 이행합니다. 따라서 여러 국가에서 사업하는 기업은 여러 규제 체계를 동시에 준수해야 합니다. 주요 체계를 간단히 살펴보겠습니다.
미국
미국 체계의 근간은 은행비밀보호법(Bank Secrecy Act, BSA)입니다. 이 법은 USA PATRIOT Act(미국 애국자법)로 확대되고 Anti-Money Laundering Act 2020(2020년 자금세탁방지법)으로 개정되었으며, FinCEN(금융범죄단속네트워크)이 집행하고 제재는 OFAC(해외자산통제국)이 담당합니다. 세계에서 가장 오래되고 가장 강력하게 집행되는 체계 중 하나로, 수십억 달러에 이를 수 있는 벌금으로 악명이 높으며, ‘5대 핵심 축’ 프로그램이 대표적인 특징입니다. 실소유자 보고 규정은 최근 특히 변동이 심했으므로 현재 상황을 직접 확인해 보는 것이 좋습니다.
유럽연합(EU)
EU는 전통적으로 일련의 자금세탁방지 지침(AMLD, 현재 6차까지)을 통해 AML을 규율해 왔으며, 각 회원국이 이를 자국 법률로 전환해 시행해 왔습니다. 현재는 훨씬 더 통합된 모델로 전환하고 있습니다. 2027년부터 EU 전역에 직접 적용되는 단일한 EU 자금세탁방지규정(AMLR)과, 감독과 조율을 담당하는 EU 차원의 새 기구인 EU 자금세탁방지청(AMLA)이 그 축입니다. 나아가는 방향은 분명합니다.
영국
브렉시트 이후 영국은 2002년 범죄수익법(Proceeds of Crime Act 2002)과 2017년 자금세탁규정(Money Laundering Regulations 2017) 등을 중심으로 독자적인 체계를 운영하며, 금융회사의 주된 규제 기관은 FCA입니다(분야별로 다른 규제 기관도 있습니다). 이 체계는 FATF 기준에 충실히 부합하며, 영국이 EU 회원국 시절 형성에 참여했던 EU의 접근 방식과도 대체로 궤를 같이합니다.
호주
호주의 체계는 AML/CTF Act 2006(2006년 자금세탁·테러자금조달방지법)을 근간으로 하며, 소관 기관은 AUSTRAC(호주 거래보고분석센터)입니다. 최근 가장 중요한 변화는 트랜치 2 개혁으로, AML/CTF 의무를 전통적인 금융 부문을 넘어 다양한 전문직(변호사, 회계사, 부동산 중개인 등)으로 확대하며 새 의무는 2026년부터 시행됩니다. 규제 범위가 크게 넓어지는 것입니다.
인도
인도 체계의 중심은 2002년 자금세탁방지법(Prevention of Money Laundering Act, 2002, PMLA)입니다. 인도 금융정보분석원(FIU-IND)이 보고를 접수하고, 집행국(Enforcement Directorate)이 법 집행을 담당하며, 인도중앙은행(Reserve Bank of India)이 은행과 금융기관의 KYC 및 AML 요건을 정합니다. 세계에서 가장 빠르게 성장하는 금융 시장 중 하나인 인도는 FATF의 기대 수준에 맞춰 규제를 꾸준히 강화해 왔습니다.
공통분모는 FATF입니다. 세부 사항은 물론 다르지만 모두 같은 국제 기준을 이행하고 있으므로, 구체적인 내용은 달라도 AML 정책의 기본 요소(위험 평가, 실사, 스크리닝, 모니터링, 보고)는 어디서나 같습니다. 여러 관할권에서 사업하는 기업이라면 이 공통 핵심 덕분에 국가마다 정책을 처음부터 새로 만들기보다 잘 만든 단일 정책 하나로 운영하는 편이 훨씬 현실적입니다.
피해야 할 AML 정책의 흔한 실수
좋은 정책이 어떤 모습인지는 흔히 어디서 잘못되는지를 함께 알 때 더 잘 보입니다. 반복적으로 나타나는 실패 유형은 다음과 같습니다.
- 작성만 하고 지키지 않는 정책. 가장 흔하면서도 가장 위험한 실수입니다. 문서가 기준을 정해 두었으니, 기업이 그 기준을 지키지 못했다는 사실이 그대로 증명되기 때문입니다.
- 컴플라이언스를 일회성으로 여기는 것. 프로그램을 한 번 만들어 놓고 사업과 고객, 규정이 모두 바뀌어 가는 동안 손대지 않고 방치하는 경우입니다.
- 허술한 실소유자 확인. 회사가 존재한다는 사실만 확인하고 실제로 누가 지배하는지는 끝내 밝히지 않는 것으로, 페이퍼컴퍼니 구조가 악용하는 것이 바로 이 틈입니다.
- 수작업 프로세스에 대한 과도한 의존. 수작업으로는 도저히 감당할 수 없는 규모에서 스크리닝과 모니터링을 손으로 처리하려다 보니 놓치는 것이 생깁니다.
- 오탐(false positive)의 홍수. 제대로 조정되지 않은 스크리닝과 모니터링이 노이즈를 너무 많이 만들어, 정작 실제 위험이 그 속에 묻혀 버립니다.
이런 실수 대부분은 근본 원인이 같습니다. 정책을 운영해야 할 프로그램이 아니라 만들어 내야 할 문서로 여기는 것입니다. 해법은 감사가 아니라 실무를 위해 구축하는 것입니다.
AML 정책은 얼마나 자주 업데이트해야 하는가?
AML 정책은 한 번 만들고 끝나는 산출물이 아니라 살아 있는 문서이며, 정책을 낡은 채로 방치하는 것은 전형적인 컴플라이언스 실패입니다. 기본적으로 최소 연 1회는 검토해야 합니다. 하지만 정기 일정만이 검토의 계기는 아닙니다. 중요한 변화가 있을 때마다 정책을 다시 살펴봐야 합니다. 새로운 상품이나 서비스 출시, 새로운 시장이나 지역 진출, 고객 기반이나 위험 프로필의 변화, 적용 법규의 변경, 그리고 독립 감사나 규제 검사에서 지적 사항이 나왔을 때가 이에 해당합니다.
기본 원칙은 정책이 작성 당시의 모습이 아니라 지금 실제 사업의 모습을 반영해야 한다는 것입니다. 빠르게 성장하는 기업은 몇 달 만에 기존 AML 정책이 몸에 맞지 않게 될 수 있습니다. 매번의 검토를 형식적인 승인 절차가 아니라 진정한 재평가로 다룰 때, 정책과 그 뒤의 프로그램이 목적에 맞는 상태로 유지됩니다.
AML 제재와 규제 벌금
AML 컴플라이언스가 지금처럼 관심과 예산을 받는 이유는 실패에 따르는 제재가 무겁고, 점점 더 무거워지고 있기 때문입니다. 제재는 여러 형태로, 흔히 복합적으로 부과됩니다.
- 금전적 제재. 규제 당국이 AML 위반에 부과하는 벌금은 수억 달러·유로·파운드에 이르는 경우가 흔하고, 가장 심각한 사례에서는 수십억 단위에 달합니다. 어느 분야를 통틀어도 가장 큰 규모의 규제 제재에 속합니다.
- 형사 책임. 심각한 경우 기업뿐 아니라 컴플라이언스 책임자와 고위 경영진을 포함한 책임 있는 개인도 형사 기소될 수 있습니다.
- 인허가 또는 등록 취소. 규제 대상 기업은 영업에 필요한 인가를 잃을 수 있으며, 많은 기업에게 이는 존립 자체가 걸린 결과입니다.
- 영업 제한 및 감시인 선임. 규제 당국은 영업 제한을 부과하거나, 시정 조치를 감독할 독립 감시인(monitor)을 기업 내부에 둘 수 있습니다.
- 평판 손상. 제재 조치는 공개되며, 고객·파트너·투자자의 신뢰 상실은 어떤 벌금보다 오래 남을 수 있습니다.
관할권을 막론하고 양상은 같습니다. AML 집행은 꾸준히 강화되어 왔고, 이제 규정을 위반했을 때 치르는 비용이 제대로 준수하는 데 드는 비용을 훨씬 웃돕니다. 진지하게 사업하는 기업이라면 AML을 제대로 해야 할 이유는 이것으로 충분합니다.
AML 컴플라이언스 모범 사례
단순히 하는 것을 넘어 잘하려면 몇 가지 원칙으로 귀결됩니다. 위험기반접근법을 취해 노력을 고르게 흩어 놓기보다 실제로 위험이 가장 높은 곳에 집중해야 합니다. 확인은 일회성이 아니라 지속적으로 해야 합니다. 온보딩 때 문제가 없던 고객도 몇 달 뒤 문제가 될 수 있기 때문입니다. 신원 확인(IDV), 스크리닝, 모니터링 같은 반복 업무는 자동화해 직원들이 판단이 필요한 곳에 집중할 수 있게 해야 합니다. 컴플라이언스를 주장하는 데 그치지 않고 입증할 수 있도록 모든 것을 문서화해야 합니다. 그리고 정책을 살아 있게 유지해야 합니다. 사업과 규정이 바뀌면 검토하고 업데이트하십시오.
결국 핵심은 효과적인 AML 컴플라이언스가 보여 주기가 아니라 운영이라는 점입니다. 누구를 고객으로 받아들이고 어떻게 모니터링하는지 등 일상적인 사업 운영 속에 녹아 있어야 합니다. 최고의 AML 프로그램은 누가 지켜보든 지켜보지 않든 계속 운영할 프로그램입니다.
컴플라이언스는 비례적이라는 점도 기억해야 합니다. 비교적 단순한 저위험 고객 기반을 가진 소규모 기업에게 글로벌 은행 수준의 컴플라이언스 인프라가 필요하지는 않습니다. 다른 기업의 프로그램을 그대로 베끼는 대신 노출 수준에 맞게 노력의 규모를 조정할 수 있게 해 주는 것이 바로 위험기반접근법입니다. 구조(문서화된 정책, 책임자, 실사, 스크리닝, 모니터링, 보고, 검토)는 같더라도 그 깊이는 달라질 수 있습니다. AML 컴플라이언스의 진짜 실력은 이 균형을 맞추는 데 있습니다. 위험을 통제할 만큼 충분히 엄격하되, 사업이 사실상 멈춰 설 만큼 과도한 부담을 주지 않는 것입니다.
Beady의 역할
AML 정책이 다루는 범위는 어떤 단일 도구도 감당할 수 없을 만큼 넓습니다(거래 모니터링, 의심거래보고, 교육 등). Beady는 그중 한 요소, 그것도 앞서 살펴본 여러 단계의 토대가 되는 요소에 집중합니다. 바로 신원·법인 레이어, 즉 고객 실사(CDD), 실소유자 확인, 스크리닝이 모두 귀결되는 질문인 ‘지금 거래하는 상대는 정말 누구인가?’에 답하는 영역입니다.
구체적으로는 우선 KYC 및 KYB 자동화 기능으로 전 세계 2억 개 이상의 법인과 임원 정보를 바탕으로 고객을 확인하고, 기업 고객의 경우 그 배후의 실소유 구조를 규명합니다. 또한 이러한 고객과 거래 상대방, 그리고 이들을 지배하는 인물을 제재·감시 목록 및 부정적 언론 보도와 대조해 스크리닝하며, 모든 결과가 출처와 연결되어 있어 AML 정책에 따른 판단을 실제로 입증할 수 있습니다. 마지막으로 지속 모니터링을 통해 정책에 명시된 ‘지속적’ 관리가 구호에 그치지 않고 실제로 이루어지도록 합니다. Beady는 AML 정책을 뒷받침하는 실사·스크리닝 엔진으로, 함께 운영되는 거래 모니터링·보고·교육 요소를 대체하는 것이 아니라 보완합니다.
실제로 지키는 정책
서랍 속에 잠든 AML 정책은 아무도 보호하지 못합니다. 기업을 보호하는 것은 실제로 운영되는 정책입니다. 고객을 온보딩하는 방식, 회사 배후의 인물을 확인하는 방식, 거래 관계를 지속적으로 모니터링하는 방식, 이상 징후가 보일 때 대응하는 방식에 녹아 있는 정책입니다. 정책은 중요하지만, 실제로 운영되고 사업과 규정의 변화에 맞춰 최신 상태로 유지되는 프로그램의 운영 기준일 때만 의미가 있습니다.
그 프로그램의 상당 부분은 결국 상대가 누구인지 알고 그 확신을 계속 유지하는 일로 귀결되며, 이는 제대로 해내기가 가장 어렵고 결과에 미치는 영향도 가장 큰 부분입니다. 고객이나 거래 상대방의 배후에 실제로 누가 있는지 확인하고 온보딩 이후에도 계속 지켜보는 실사·스크리닝 레이어를 Beady가 어떻게 처리하는지 보고 싶으시다면, Beady 데모를 예약하시면 원하시는 기업을 대상으로 직접 보여 드리겠습니다.
