필요한 확인을 모두 마쳤습니다. 회사는 실재했고, 소유자는 명확했으며, 서류도 모두 일치했습니다. 검토 기록에는 “승인” 표시가 붙었고 절차는 정식으로 마무리됐습니다. 거래가 끝나면 으레 그렇듯 모두 다음 업무로 넘어갔습니다. 바로 여기에 아무도 인정하고 싶어 하지 않는 사실이 있습니다. 승인에는 유효기간이 있었지만, 누구도 이를 기록하지 않았다는 점입니다.
컴플라이언스 업무의 대부분은 거래를 시작하는 단계에 집중됩니다. 신청, 서류, 스크리닝, 최종 승인까지 모두 관계가 시작되는 순간에 초점을 맞춥니다. 하지만 관계는 온보딩에서 끝나는 것이 아니라 그때 시작됩니다. 1월에 승인한 공급업체는 11월에도 여전히 공급업체이며, 그사이에 해당 업체에 일어난 변화도 거래에 영향을 미칩니다. 온보딩으로 알 수 있는 것은 처음 만난 날의 상대방 모습입니다. 그 이후 상대방이 어떻게 달라졌는지는 전혀 알 수 없습니다.
이를 이해하기 좋은 비유가 있습니다. 온보딩 확인이 사진이라면 지속 모니터링은 실시간 영상입니다. 사진은 촬영 당시의 모습을 정확하게 담지만, 그 모습은 그대로 멈춰 있습니다. 서랍에 오래 보관할수록 지금 눈앞에 있는 상대방의 모습과는 멀어집니다. 이 글에서는 사진과 실시간 영상 사이의 간극, 그 간극이 대부분의 팀이 생각하는 것보다 훨씬 중요한 이유, 그리고 실제로 그 간극을 메우는 방법을 살펴봅니다.
촬영하는 순간부터 낡기 시작하는 온보딩 평가
특정 시점의 확인 결과에는 유효기간이 있으며, 그 기간은 생각보다 짧습니다. 수집한 데이터는 수집 당일에는 정확했습니다. 문제는 그 이후에도 세상이 계속 움직였다는 점입니다. 소유구조가 바뀌고, 사람이 바뀌고, 상황이 달라집니다. 그렇다고 “이 기록을 다시 검토해 주세요”라는 친절한 이메일이 오는 것은 아닙니다.
이것이 실사를 한 번 통과하면 되는 관문으로 보는 사고방식에 숨어 있는 결함입니다. 관문은 한 번 통과하는 것이며, 여기에는 “심사를 통과했으니 안전하다”라는 전제가 따릅니다. 하지만 위험은 관문이 아닙니다. 위험은 관계가 지속되는 내내 존재하는 상태입니다. 온보딩 당시 저위험이었던 거래 상대방도 시간이 지나면서 서서히 또는 급격하게 고위험으로 바뀔 수 있습니다. 그 변화가 검토 기록에는 전혀 반영되지 않을 수도 있습니다. 애초에 그 기록은 변화를 감지하도록 만들어지지 않았습니다. 한 번 결정을 내린 뒤 보관하도록 만들어졌을 뿐입니다.
온보딩 이후 실제로 달라지는 사항
“위험은 달라질 수 있다”라는 말은 쉽게 수긍하면서도 쉽게 넘기게 되므로 구체적으로 살펴볼 필요가 있습니다. 거래가 성사된 뒤 관계의 토대에서 실제로 달라지는 사항은 다음과 같습니다.
- 소유권과 지배권. 문제가 없던 회사가 인수되거나 구조가 개편되거나 조용히 매각되면서, 배후의 새로운 주체가 실제로 검토했던 주체와 완전히 달라질 수 있습니다. 계약서에 적힌 이름은 그대로지만 회사를 지배하는 사람들은 전혀 다릅니다.
- 새로운 제재 지정. 감시 목록은 끊임없이 바뀌며, 거래 상대방이나 그 소유자 중 한 명이 갑자기 제재 목록에 오를 가능성은 충분합니다. 제재는 소유구조를 통해 기업에 적용될 수 있으므로 관련 변화를 직접 파악하지 못했더라도 제재 적용 범위에 들어갈 수 있습니다.
- 새로운 부정적 언론 보도. 사기 수사, 규제 조치, 중대한 의혹 등이 여기에 해당합니다. 온보딩 당시 알았다면 거래 자체를 시작하지 않았을 사안이 6개월 뒤에 드러날 수 있습니다. 계속 지켜보는 사람이 없다면 이런 정보는 아무런 조치로도 이어지지 않습니다.
- 인적 구성의 변화. 임원 자격이 박탈된 사람이 이사회에 합류할 수 있습니다. 문제 있는 이력을 가진 사람이 주요 소유자가 될 수도 있습니다. 회사의 신뢰도는 결국 운영하는 사람들에게 달려 있으며, 그 구성은 고정돼 있지 않습니다.
- 재무적 곤경. 도산 신청, 청산 청원, 드러나지 않게 악화되는 사업 등이 해당합니다. 파산을 향해 가는 공급업체는 계약 당시 건전했던 업체와는 전혀 다른 거래 상대방입니다.
- 새로운 소송. 반복되는 소송 양상은 문제가 발생했을 때 기업이 어떻게 행동하는지 보여줍니다. 이러한 양상은 이미 거래를 시작한 뒤에야 드러나는 경우가 많습니다.
이 중 하나만 발생해도 안심하고 유지하던 관계가 애초에 시작하지 않았을 관계로 바뀔 수 있습니다. 불편한 진실은 특정 시점에만 확인하는 방식으로는 대개 우연히, 또는 피해가 발생한 뒤에야 이런 변화를 알게 된다는 점입니다.
특정 시점 확인과 지속 모니터링의 차이
두 가지 방식의 차이가 이 논의의 핵심입니다. 특정 시점 스크리닝은 보통 온보딩 때 거래 상대방을 확인한 뒤, 다시 확인하더라도 1~3년마다 진행하는 정기 검토에서 확인합니다. 그사이에는 상황을 보지 못한 채, 많은 일이 일어나기에 충분한 기간 동안 중요한 변화가 없었으리라고 믿을 뿐입니다.
지속 모니터링은 이 방식을 근본적으로 바꿉니다. 일정에 맞춰 확인하는 대신 온보딩 때 한 번 확인한 뒤 계속 지켜봅니다. 중요한 변화가 생기면 다음 정기 검토까지 기다리지 않고 발생 시점에 알림을 받습니다. 업계에서는 이 방식이 더 발전한 형태를 상시 KYC(지속적 실사)라고 부릅니다. 고객이나 거래 상대방의 검토 기록을 사실상 “종결”하지 않는 방식입니다. 완전히 새로운 방식이라기보다는 위험이 계속 존재하므로 그 위험에 대한 모니터링도 계속돼야 한다는 사실을 받아들이는 것입니다.
실무적인 차이는 시점에 있습니다. 정기 검토 방식에서는 “이 거래 상대방의 다음 검토일은 언제인가?”를 묻습니다. 지속 모니터링에서는 답이 “항상”이므로 그 질문 자체가 사실상 사라집니다. 다가오는 날짜를 알리는 것이 아니라 사실관계가 달라졌음을 알립니다. 이것이 지속 모니터링의 핵심이며, 정기 검토 절차를 매우 잘 운영하더라도 지속 모니터링이 몇 주 또는 몇 달 먼저 변화를 포착하는 이유입니다.
이미 규제당국이 요구하는 지속 모니터링
기본 요건을 넘어서는 조치처럼 들릴 수 있지만 그렇지 않습니다. 지속 모니터링은 실사에 덧붙이는 고급 기능이 아니라 실사의 정의에 포함됩니다. 국제 기준인 FATF 권고사항 10은 거래 관계가 시작될 때뿐 아니라 관계가 지속되는 동안 지속적으로 실사를 수행하고 거래를 면밀히 검토할 것을 명시합니다. 마지막에 추가하는 사항이 아니라 기본 요건에 들어 있습니다.
각국 규정에도 같은 요구가 담겨 있습니다. 미국에서는 FinCEN의 CDD 규칙이 지속 모니터링을 핵심 요건 중 하나로 정하고 있으며, FFIEC 검사 매뉴얼도 지속 모니터링을 선택적인 부가 조치가 아닌 규제당국의 기본 요구사항으로 다룹니다. 업계 단체들도 같은 방향을 제시합니다. 예를 들어 Wolfsberg Group은 효과적인 금융범죄 통제가 거래 관계의 전체 기간에 걸쳐 이루어져야 한다고 오래전부터 설명해 왔습니다. 제재와 관련해서는 제재 대상자가 소유한 기업에 관한 OFAC 지침이 소유구조를 통해서도 제재 위험에 노출될 수 있음을 잘 보여줍니다. 이러한 변화는 적극적으로 모니터링을 계속해야만 포착할 수 있습니다. 전반적인 흐름은 동일하며, 일회성 확인에서 벗어나는 방향이 분명합니다.
모니터링 부재로 조용히 쌓이는 비용
온보딩 이후의 위험이 특히 위험한 이유는 드러나지 않기 때문입니다. 승인한 뒤 거래 관계가 나빠져도 이를 알려주는 표시가 없습니다. 청구서를 계속 발행하고, 대금을 계속 지급하고, 제품을 계속 배송하며, 상대방을 계속 신뢰합니다. 기업의 시야에서는 모든 것이 전과 똑같아 보이기 때문입니다. 기록에는 여전히 “승인”이라고 적혀 있습니다.
위험 노출은 누적됩니다. 알지 못하는 사이에 제재 대상이 되거나 지급불능 상태에 빠지거나 사기를 저지르게 된 상대방과 거래할 때마다 위험이 쌓입니다. 정작 이를 쌓고 있다는 사실은 모릅니다. 처음 나타나는 징후는 경고가 아니라 이미 발생한 여파일 때가 많습니다. 갑자기 동결된 지급금, 규제당국의 조사, 손실, 문제의 상대방 이름 바로 옆에 자사 이름이 실린 기사일 수 있습니다. 그 단계에서 질문은 “이 상대방을 온보딩했어야 했는가?”가 아닙니다. “왜 변화를 알아채지 못했는가?”입니다. “처음에 확인했다”라는 답은 규제당국이나 이사회, 기업 스스로에게도 충분한 답이 되지 못합니다.
평판에 미치는 영향은 금전적 영향보다 오래 지속될 수 있습니다. 잘못이 전혀 없더라도 부정행위자와 연관되는 것만으로 피해를 입습니다. “전혀 몰랐다”라는 말도 합리적으로 알 수 있었는지에 따라 전혀 다르게 받아들여집니다. 몇 년 전에 승인한 뒤 한 번도 다시 살펴보지 않은 관계는 정당성을 설명하기 매우 어렵습니다. 반면 적극적으로 모니터링하다가 변화가 생기자마자 조치한 관계는 통제가 제대로 작동했음을 보여줍니다. 같은 사건, 같은 거래 상대방이라도 계속 지켜봤는지에 따라 기업이 놓이는 입장은 완전히 달라집니다.
수동 재스크리닝의 확장 한계
가장 쉽게 떠오르는 답은 모든 상대방을 정기적으로 다시 확인하는 것이며, 많은 팀이 그렇게 합니다. 문제는 이를 수작업으로 수행하는 일이 매우 고되다는 점입니다. 느리고 반복적이며, 더 시급한 업무가 생기면 뒤로 밀리기 쉬운 일입니다. 재확인은 한 번 미뤄지고, 다시 미뤄지며, 확인 사이의 간격은 점점 길어집니다.
제대로 수행하더라도 정기적인 수동 검토에는 근본적인 구조적 결함이 있습니다. 다음 검토 때에야 변화를 포착하므로 실제 변화가 발생한 뒤 몇 달이 지났을 수 있다는 점입니다. 거래 상대방이 3월에 제재 대상이 됐는데 다음 검토 주기가 9월에 돌아온다면, 반년 동안 위험에 노출돼 있었던 셈입니다. 수동 재스크리닝 자체가 잘못됐다는 뜻은 아닙니다. 해결하려는 문제와 방식이 맞지 않는다는 뜻입니다. 위험은 계속 변하지만 일정에 따른 확인은 띄엄띄엄 이루어집니다. 둘은 제대로 맞물리지 않습니다.
실무에서의 지속 모니터링
대안은 수작업 확인 횟수를 늘리는 것이 아니라 모니터링의 주체를 바꾸는 것입니다. 자동화된 지속 모니터링에서는 온보딩 때 거래 상대방을 한 번 확인한 뒤 시스템이 해당 기업과 그 배후의 사람들을 계속 모니터링합니다. 다음 검토일까지 기다리지 않고 변화가 생기는 시점에 이를 표시합니다. 언제 살펴볼지를 더 이상 일정이 결정하지 않습니다.
Beady는 바로 이 지점에서 가치를 제공하도록 설계됐습니다. 전 세계 2억 개 이상의 법인 및 임원 데이터를 바탕으로 기업을 검증하고 실제 소유자를 파악한 뒤, 해당 거래 상대방을 지속적으로 모니터링합니다. 이를 위해 회사와 관련 인물을 모두 제재 및 부정적 언론 보도와 대조해 스크리닝하고, 중요한 변화가 생기면 알림을 보냅니다. 각 알림은 원출처에 연결돼 있어 무엇이 바뀌었고 왜 중요한지 정확히 확인할 수 있습니다. 온보딩은 모니터링의 끝이 아니라 시작입니다. 대규모로 거래 상대방을 확인하는 팀에 이는 한 번의 결정만 담긴 기록과 오늘도 신뢰할 수 있는 거래 관계를 가르는 차이입니다. KYB 자동화에서도 같은 엔진이 온보딩에 활용되는 모습을 확인할 수 있으며, 온보딩과 지속 모니터링은 모두 동일한 기준 데이터에 기반합니다.
이미 온보딩한 거래 상대방의 지속 모니터링에서 어떤 사항이 드러나는지 확인하려면 데모를 예약해 주세요. 함께 실제로 확인해 드립니다.
거래가 성사된 뒤에도 계속되는 위험
계약 체결은 결승선을 통과하는 것과 같습니다. 온보딩이 끝나고 결정이 내려졌다는 의미에서는 맞는 말입니다. 하지만 그 계약으로 시작된 관계는 살아 움직이며, 살아 움직이는 것은 달라집니다. 승인한 거래 상대방은 서류에 넣어 보관하면 되는 고정된 사실이 아닙니다. 기업이 관계를 맺기로 결정한, 계속 변하는 대상입니다. 그 관계를 유지해도 여전히 안전한지 알 수 있는 유일한 방법은 계속 지켜보는 것입니다.
온보딩은 한 가지 질문에 매우 잘 답합니다. “이 관계를 시작해도 되는가?” 지속 모니터링은 실제 피해를 입을지와 관련해 중요한 질문에 답합니다. “이 관계를 계속 유지해도 되는가?” 전자는 사진이고 후자는 실시간 영상입니다. 실제로 중요한 이해관계가 걸려 있다면 둘 다 필요하며, 사진을 찍은 뒤에도 실시간 영상은 오랫동안 계속돼야 합니다.
