KYC, KYB, 지속 모니터링 사이의 공백을 다루기 시작했을 때, 저도 여러 공급업체의 콘텐츠에서 흔히 볼 수 있는 전제를 따랐습니다. 신원 확인 제품에서 말하는 “지속 모니터링”은 정기적인 제재 재스크리닝 정도에 그친다는 전제였습니다.
사실은 그렇지 않습니다. 지속적인 AML 모니터링 도구는 개인과 법인을 대상으로 제재 목록, 감시 목록, PEP, 부정적 언론 보도를 포괄할 수 있습니다. 수천 개의 언론 출처를 활용하고 맥락에 따라 필터링하며, 데이터 피드에 따라 몇 시간에서 한 달 주기로 갱신합니다. 중요한 업무를 수행하는 본격적인 제품이며, 주요 경쟁 제품들도 대체로 마찬가지입니다.
따라서 공백은 제가 짐작했던 곳에 있지 않습니다. 훨씬 더 흥미로운 지점에 있으며, 한 번 알아차리면 계속 눈에 들어옵니다.
공백은 커버리지에 있지 않습니다. 어떤 질문에 답하느냐에 있습니다.
KYC가 묻는 질문: 이 사람은 본인이 주장하는 그 사람인가
신분증 검증, 생체 감지, 생체정보 대조, 주소 검증에 더해 가입 시 제재 목록과 PEP 목록을 대조하는 스크리닝을 수행합니다.
이 분야의 기술은 정말 뛰어난 수준에 이르렀습니다. 잘 설계된 절차라면 1분 이내에 개인을 확인하며, 최신 생체 감지 기술은 대부분의 공격자가 가입 절차의 다른 단계로 눈을 돌릴 만큼 정교해졌습니다.
신원에 관한 질문에 제대로 답합니다. 다만 그 사람이 무엇을 하는지, 앞으로 어떤 사람이 되는지는 알려주지 않습니다. 비판하려는 뜻은 아닙니다. 업무 범위의 문제이며, 공급업체도 이를 명확히 밝힙니다.
KYB, 훨씬 더 어려운 문제
KYB는 기업이 실재하는지, 누가 실제로 소유하고 지배하는지를 묻습니다. 대부분의 설명은 이를 한 문단으로 서둘러 넘기지만, 그렇게 간단히 다룰 문제가 아닙니다.
어려움은 구조에 있습니다. 말 그대로 기업 구조가 문제입니다. 사람에게는 신원이 있습니다. 기업에는 구조가 있고, 그 구조는 사람이 만듭니다. 때로는 그 구조가 쉽게 파악되지 않기를 바라는 사람이 만들기도 합니다.
따라서 제대로 된 KYB 확인은 여러 층위를 거칩니다. 기업 등기부를 통한 법인 확인, 이사와 임원 식별, 그리고 실소유자 파악입니다. 마지막 단계에서는 법인 뒤에 실제로 어떤 사람들이 있는지 추적합니다. 일반적으로 지분 25% 이상을 보유한 사람이 대상이지만, 기준은 관할권마다 다릅니다. 솔직히 말하면 충분한 의지만 있다면 상당히 쉽게 우회할 수도 있습니다. FinCEN과 EU의 AML 지침은 이 기준선에 대해 다소 다른 입장을 취합니다.
그다음에는 소유 구조의 연결 고리를 살펴봐야 합니다. A사는 등기 정보가 빈약한 지역에 등록된 지주회사 B가 소유합니다. B는 제3국의 두 법인이 소유하고, 그중 하나는 신탁입니다. 그 구조를 끝까지 따라가면 어딘가에 사람이 있습니다. 그 사람들을 찾는 것이 해야 할 일입니다.
등기 정보의 품질에는 엄청난 차이가 있지만, 이 부분은 거의 아무도 언급하지 않습니다. 일부 관할권은 실소유 정보를 공개합니다. 일부는 법인 설립 정보만 공개합니다. 이름과 날짜만 공개하고 나머지는 영업 기밀로 취급하는 곳도 있습니다. KYB 서비스의 품질은 접근할 수 있는 등기 정보의 수준을 넘을 수 없으며, 정부가 수집하지 않은 데이터를 만들어낼 수 있는 공급업체는 없습니다. OpenCorporates를 보면 기초 정보의 편차가 실제로 얼마나 큰지 알 수 있습니다.
결국 KYB는 어렵고, 좋은 공급업체는 이를 잘 수행하며, 대부분의 구매자가 생각하는 것보다 가치가 큽니다.
하지만 제 생각에 가장 중요한 특징이 하나 있습니다. 이를 글로 명확히 짚은 경우는 아직 보지 못했습니다.
KYB 확인은 애초에 변경할 수 있도록 설계된 구조를 특정 시점에 포착한 스냅샷입니다.
기업 구조는 원래 그런 것입니다. 기업은 등록 관할권을 옮깁니다. 이사가 선임되고 사임합니다. 주식이 이전됩니다. 새로운 관할권에 자회사가 생깁니다. 어느 것도 의심스러운 행위가 아닙니다. 일상적인 기업 활동이며, 끊임없이 일어납니다.
그래서 KYB 확인 결과의 유효 기간은 KYC 확인 결과보다 훨씬 짧습니다. 개인의 신원은 비교적 안정적입니다. 기업 구조는 그렇지 않습니다. 그런데 이 두 사실을 구분해서 다루는 경우는 거의 없습니다.
지속 모니터링이 실제로 뜻하는 것
이제 혼란을 일으키는 용어를 살펴보겠습니다. 잘못 설명하면 공정하지도 않고 주장 자체의 설득력도 떨어지므로 신중하게 다루려 합니다.
신원 확인 솔루션 공급업체가 “지속 모니터링”이라고 할 때는 지속적인 AML 모니터링을 뜻합니다. 이는 단순한 마케팅 문구가 아니라 실제 제품입니다.
가장 명확한 예를 보겠습니다. 일부 소프트웨어는 전 세계 제재 목록, 감시 목록, 부정적 언론 보도의 변화를 반영해 신청자와 법인 프로필을 지속적으로 갱신합니다. 개인뿐 아니라 법인도 포함합니다. 방대한 언론 출처를 읽고 일치 결과를 유형별로 분류하며, 언어 모델을 활용해 분석가가 검토 우선순위를 정하도록 돕습니다.
결코 빈약한 기능이 아닙니다. 고객에 대해 책임을 지는 기업이라면 이런 도구를 운영해야 합니다.
알아둘 만한 운영상 세부 사항이 두 가지 있습니다. 마케팅 자료보다 문서에 나오는 내용입니다. 대체로 기본 기능이 아닌 추가 기능입니다. 또한 보통 활성화 시점부터 이후의 변화를 추적하므로, 구매 전에 승인한 법인은 재스크리닝을 거쳐야 모니터링 대상에 들어갑니다.
어느 쪽도 속임수는 아닙니다. 하지만 많은 구매자가 그렇듯 모니터링이 기본 포함되고 과거 대상에도 소급 적용된다고 생각했다면, 두 사항 모두 매우 중요합니다.
그렇다면 공백은 어디에 있는가
처음의 잘못된 판단을 바로잡고 제가 도달한 결론은 다음과 같습니다.
지속적인 AML 모니터링은 하나의 질문에 답하도록 만들어졌으며, 그 역할을 잘 수행합니다. 이 고객이 금융 범죄 리스크가 되었는가라는 질문입니다.
은행, 결제 처리업체, 거래소, 대출업체, 도박 사업자라면 정확히 필요한 질문입니다. 이들에게는 고객이 있습니다. 고객을 대신해 자금이 이들을 거쳐 이동합니다. 고객 중 누군가 자금세탁을 한다면 규제상 책임은 해당 기업의 문제가 되며, 그 고객의 리스크 프로필이 바뀌는 즉시 알아야 합니다.
이제 펀드를 생각해 보겠습니다.
펀드에는 고객 대신 포트폴리오 기업이 있습니다. 한 번 자금을 송금하고 7~8년간 지분을 보유하며, 그 기업을 대신해 자금이 펀드를 거쳐 이동하는 일은 전혀 없습니다.
알아야 할 것은 이 법인이 펀드에 금융 범죄 리스크를 초래하는지 여부가 아닙니다. 보유 지분에 영향을 미칠 방식으로 이 기업이 달라졌는지입니다.
이 질문에 대한 답은 대부분 AML 신호가 아닙니다.
AML 탐지 결과에 잡히지 않는 네 가지 상황
포트폴리오 안에서 실제로 어떤 문제가 발생하는지 살펴보고, 그중 무엇이 금융 범죄 감시용 모니터링 시스템에서 알림을 발생시킬지 생각해 보겠습니다.
포트폴리오 기업이 등록 관할권을 델라웨어에서 영국령 버진아일랜드로 옮기고 새 이사 두 명을 선임합니다. 이는 등기 변경입니다. 제재 목록 일치 결과도, PEP 일치 결과도 아닙니다. 기자가 우연히 이를 보도하지 않는 한 부정적 언론 보도에도 해당하지 않습니다. 범죄가 아니기 때문에 AML 신호는 전혀 발생하지 않습니다. 지분을 보유한 기업에 관한 하나의 사실일 뿐이지만, 이로 인해 펀드의 규제상 입장은 크게 달라졌을 수 있습니다.
포트폴리오 기업이 결제에 이용하는 거래소의 최대 주주가 제재 대상으로 지정됩니다. 이제 포트폴리오 기업은 리스크에 노출됩니다. 하지만 이 제재 지정의 대상은 펀드에 신청서를 낸 주체도, 펀드의 고객도, 펀드가 수행한 거래의 상대방도 아닙니다. 이는 두 단계 떨어진 간접적인 리스크 노출이며, 직접 관계를 중심으로 설계된 시스템의 감시 범위 밖에 있습니다.
가짜 Telegram 채널 11개가 포트폴리오 기업의 고객 지원 창구를 사칭해 이용자의 자금을 빼돌리기 시작합니다. AML 시스템은 이를 전혀 다루지 않습니다. 사칭범 감시 목록은 없습니다. 포트폴리오 기업이 저지르는 금융 범죄가 아니라 그 기업을 상대로 벌어지는 금융 범죄이며, 전체 모델은 반대 방향을 향하고 있습니다.
창업자가 개인 자격으로 민사 소송의 당사자로 지목됩니다. 해당 관할권의 법원 제출 서류는 어떤 상업용 데이터베이스에도 포함되어 있지 않습니다. 언론이 이를 다루면 언젠가 부정적 언론 보도로 드러날 수 있습니다. 끝내 드러나지 않을 수도 있습니다.
어느 것도 AML 제품의 실패가 아닙니다. 모두 그 제품이 답하도록 만들어진 질문의 범위 밖에 있습니다.
신청자 모델이 펀드에 맞지 않는 이유
이 문제의 밑바탕에는 시스템 설계상의 이유가 있습니다. 펀드가 신원 확인 플랫폼을 자기 업무에 맞추기 어려운 이유이므로 자세히 설명할 필요가 있습니다.
이 시스템들이 실제로 어떻게 구성되어 있는지 보겠습니다. 신청자가 있습니다. 신청자를 확인합니다. 신청자는 승인되거나, 거절되거나, 검토 대기 상태가 됩니다. 승인된 신청자는 이후 모니터링할 수 있습니다. 확인 수준, 워크플로 구성 도구, 승인 버튼, 거절 상태 등이 있습니다.
이는 단계별로 대상을 걸러내는 퍼널입니다. 이 제품의 고객들이 하루 종일 수행하는 일이 온보딩이므로, 온보딩을 중심으로 설계되었습니다.
펀드에는 퍼널이 없습니다. 이미 지분을 보유하고 있고 그 보유 관계를 마음대로 되돌릴 수 없는 기업 38개가 있습니다. 이들을 승인한 것이 아니라 투자한 것입니다. 신호가 발생해도 관계가 종료되지 않습니다. 지분은 유동성이 낮아 무슨 일이 있어도 수년간 보유하게 되기 때문입니다.
신청자 중심 시스템에 포트폴리오를 억지로 끼워 넣을 수는 있고, 실제로 그렇게 하는 기업도 있습니다. 하지만 보유 자산을 관리하는 데 온보딩 제품을 쓰는 셈이므로, 시종일관 모델과 씨름하게 됩니다.
세 가지 등급이 아닌 네 가지 질문
가장 흔한 오해는 이들을 검증 강도가 점점 높아지는 단계로 보는 것입니다. KYC는 기본, KYB는 정밀, 모니터링은 고급 단계라는 식입니다. 이런 구분은 잘못되었으며, 구매자가 자신이 무엇을 구매했는지 혼란스러워하는 이유이기도 합니다.
이들은 등급이 아닙니다. 서로 다른 질문이며, “최상위” 제품을 구매한다고 나머지 질문의 답까지 얻는 것은 아닙니다.
| KYC | KYB | 지속적인 AML 모니터링 | 기업 리스크 인텔리전스 | |
| 질문 | 이 사람은 실재하는가? | 이 기업은 실재하며, 누가 지배하는가? | 이 고객이 금융 범죄 리스크가 되었는가? | 이 기업에 어떤 변화가 생겼는가? |
| 감시 대상 | 개인 | 법인과 그 소유 구조의 연결 고리 | 제재, PEP, 감시 목록, 부정적 언론 보도 | 등기 정보, 임원, 거래 상대방, 소셜 채널, 언론 |
| 시점 | 온보딩 시 | 온보딩 시 | 활성화 시점부터 지속적으로 | 지분을 보유하는 동안 지속적으로 |
| 설계 대상 | 고객 | 고객 | 고객 | 직접 거래하지는 않지만 리스크에 노출되는 외부 주체 |
누구에게 무엇이 필요하며 어떻게 조합할 것인가
질문을 분리하면 답은 비교적 명확해집니다.
개인을 대규모로 온보딩하는 소비자 대상 핀테크, 거래소, 마켓플레이스라면 KYC가 필요합니다. 구매해도 좋습니다. 제 역할을 하며, 예상보다 빠르게 운영을 시작할 수 있습니다.
기업을 온보딩한다면 실제 등기 정보 커버리지와 실소유자 식별 역량을 갖추고 제대로 수행하는 KYB가 필요합니다. 보기보다 어렵고 비용을 지불할 가치가 있습니다.
고객의 금융 범죄 리스크에 대해 책임을 진다면, 이 두 가지에 더해 지속적인 AML 모니터링이 필요합니다. 관련 관할권 대부분에서 이는 선택 사항이 아닙니다. FATF 권고사항 10은 거래 관계에 대한 지속적인 실사를 요구하며, 진입 시점의 단 한 번의 확인으로 끝내지 않기 때문입니다.
반면 온보딩한 고객이 아니라 투자한 기업에 대한 리스크에 노출된다면 이야기가 다릅니다. VC 펀드, 암호화폐 펀드, 패밀리 오피스, 소수 지분을 보유한 기업 투자·개발팀 등이 여기에 해당합니다. 앞의 세 가지는 관계가 시작되는 시점만 다루며, 그 이후 7년은 어느 것도 다루지 않습니다.
그것이 네 번째 질문입니다. 별도의 제품이 필요한 영역이며, 대부분의 기업은 그런 제품이 존재한다는 사실도 모릅니다.
자주 묻는 질문
KYC는 개인이 본인이 주장하는 그 사람인지 확인합니다. 신분증 검증, 생체 감지 및 생체정보 확인, 주소 검증과 함께 제재 목록 및 PEP 목록 스크리닝을 수행합니다. KYB는 기업이 실재하는지, 누가 실제로 소유하고 지배하는지 확인합니다. 소유 구조가 여러 관할권에 걸쳐 층층이 이어져 있고 등기 정보도 서로 일치하지 않기 때문에 훨씬 어려운 문제입니다.
개인에게는 하나의 신원과 이를 증명하는 문서가 있습니다. 기업은 여러 지역에 등록되어 있고, 임원은 바뀌며, 실소유자는 소유 구조상 여러 법인 위에 있을 수 있습니다. 구조 뒤에 있는 실제 사람까지 추적하는 일이 업무의 대부분이며, 피상적인 설명에서 빠지는 부분이기도 합니다.
서로 다른 두 가지를 가리키는 데 쓰이기 때문에 가장 큰 혼란을 일으키는 용어입니다. 하나는 일정에 따라 기존 고객을 목록과 대조해 재스크리닝하는 것입니다. 다른 하나는 등기 신고, 소송, 법 집행 조치, 부정적 언론 보도처럼 어떤 목록에도 실리지 않는 현실의 변화를 감시하는 것입니다.
AML 탐지 결과에 잡히지 않는 모든 곳에 있습니다. 소유권이 조용히 이전되거나, 이사가 사임하거나, 소송이 시작되거나, 기업이 법 집행 기록에 등장하는 등 포트폴리오 안에서 실제로 발생하는 여러 문제는 스크리닝 플랫폼에서 알림을 발생시키지 않습니다. 이 플랫폼들은 이름을 목록과 대조하도록 설계되었기 때문입니다.
이 플랫폼들은 신청자 모델을 중심으로 만들어졌기 때문입니다. 대상이 등장하고, 확인을 거쳐 고객이 되면 서류 처리가 완료됩니다. 펀드의 리스크 노출은 그런 식으로 작동하지 않습니다. 자금을 송금할 때 관계가 시작되어 수년간 이어지며, 누구도 다시 신청하지 않습니다.
동일한 기능의 세 가지 등급이 아닙니다. 이것이 가장 흔한 오해입니다. 이들은 서로 다른 질문에 답합니다. 이 사람은 누구인지, 이 기업은 무엇이며 누가 지배하는지, 마지막으로 확인한 이후 무엇이 달라졌는지입니다. 그 밑에는 오늘도 같은 결정을 내릴 것인지라는 네 번째 질문이 있으며, 일반적인 도구 구성에는 이 질문에 답하는 것이 없습니다.
결론
이들은 위로 올라가는 사다리가 아닙니다. 바로잡아야 할 오해는 바로 이것이며, 많은 기업이 실제로 구매하지 않은 기능까지 구매했다고 믿는 이유이기도 합니다.
KYC는 개인을 확인합니다. KYB는 기업 구조를 확인하며, 이를 잘 수행하지만 한 번만 수행합니다. 지속적인 AML 모니터링은 품질 좋은 데이터를 사용해 고객의 금융 범죄 리스크를 포괄적으로 감시합니다.
리스크가 연결된 기업의 임원, 관할권, 거래 상대방, 대외 활동, 소유 구조에 어떤 변화가 생겼는지는 전혀 별개의 네 번째 질문입니다. 대부분의 펀드는 이를 감시하는 도구를 전혀 운영하지 않습니다.
이 공백이 생기는 이유는 여기에서 자세히 다뤘으며, 공급업체 시장의 전체 구도는 여기에 정리했습니다. 결정을 내리기 전에 각 제품의 위치부터 파악하고 싶다면 참고할 수 있습니다.
직접 확인하고 싶다면 Beady AI를 살펴보시기 바랍니다. Beady AI는 포트폴리오 기업, 창업자, 거래 상대방처럼 리스크가 연결된 주체를 대상으로 제재, 부정적 언론 보도, 기업 등기 정보, 사칭을 지속적으로 모니터링하고 모든 신호를 1차 출처에 연결합니다. 시연을 예약하면 실제 보유 자산을 대상으로 실행해 드립니다. 약 20분이 소요되며, 시작 후 1분 안에 네 번째 질문이 실제로 필요한지 알 수 있습니다.
