고객이 온보딩 과정에서 KYC를 통과합니다. 신원이 확인되고 제재 목록에도 없으며 관련 기록에도 문제가 없어 계좌를 개설합니다. 그 시점의 판단은 모두 정확합니다.
18개월 후, 같은 고객이 제재 목록에 추가됩니다. 정치적 주요 인물이 되거나, 현지 언론이 대대적으로 보도하는 사기 수사에 이름이 오를 수도 있습니다. 그런데 이 고객의 다음 정기 KYC 검토까지는 아직 1년이 남아 있습니다. 그 기간 내내 지금이라면 거래를 거절할 고객에게 서비스를 제공하지만, 현재 절차에는 이를 알려 줄 장치가 없습니다.
이는 예외적인 사례가 아닙니다. 정기 KYC 자체가 이렇게 작동하도록 설계되어 있습니다. 12개월 검토 주기 중 3개월째에 고객이 의심스러운 패턴으로 자금을 이동하기 시작했다고 가정해 보겠습니다. 일정에 따른 검토 방식에서는 검토 사이에 아무도 적극적으로 살피지 않으므로, 이 행동은 12개월째가 되어서야 포착됩니다. 결국 제출하는 의심거래보고도 9개월 지난 정보에 근거하게 됩니다. 조치를 취할 때는 이미 피해를 막을 기회가 지나갔고, 남은 일은 이를 기록하는 것뿐입니다.
문제는 누군가 KYC를 제대로 수행하지 않았다는 데 있지 않습니다. KYC를 한 번만 수행해서는 정작 필요한 질문에 답할 수 없다는 데 있습니다. 온보딩 시점에 고객을 검증하면 첫날의 고객이 누구인지 알 수 있습니다. 하지만 그 이후 매일 알아야 하는 것은 여전히 안심하고 거래할 수 있는 상대인지입니다. 이는 한 시점의 검증에서 지속적으로 신뢰를 확보하는 상태로의 전환이며, 형식적 확인과 실제 위험 관리를 가르는 기준입니다. 앞으로 더욱 분명해지겠지만, 규제상 의무를 이행하는 것과 이행하는 것처럼 보이는 것의 차이이기도 합니다.
KYC 확인은 한순간, 위험 변화는 계속
KYC 온보딩 절차는 본질적으로 특정 시점의 기록입니다. 확인 당일 고객이 누구인지, 배경이 무엇인지, 알려진 위험이 있는지를 기록합니다. 이러한 기록은 필요하며, 대부분 법적 의무이기도 합니다. 그러나 법에서 요구한다고 해서 실제로 충분하다는 뜻은 아닙니다. KYC가 바로 그런 경우입니다. 온보딩 다음 날부터 법적 요건 충족과 실질적인 충분성 사이에 점차 간극이 생깁니다. 고객은 검증 당시의 모습 그대로 머물러 있지 않으므로, 기록은 만들어지는 순간부터 낡기 시작합니다.
투자 대상 기업과 포트폴리오 기업에 대해서도 ‘온보딩을 넘어’에서 비슷한 논지를 다뤘습니다. 여기서는 고객에 초점을 맞추지만 논리는 같습니다. 한 번 수행한 실사는 과거만 다루지만, 위험은 현재에 존재합니다. 목표는 더 나은 시점별 기록이 아니라 현재 상태를 반영하는 기록입니다. 온보딩이 답하는 “이 고객은 누구인가”라는 질문은 장기간 안전한 거래를 위해 필요한 질문과 다릅니다. 필요한 질문은 고객이 여전히 처음 파악한 그 상대이며, 계속 서비스를 제공해도 안전한지입니다.
온보딩 이후 실제로 달라지는 것
“위험은 변한다”는 말은 쉽게 수긍하면서도 그 의미를 과소평가하기 쉽습니다. 따라서 일회성 확인으로 무엇을 볼 수 없는지 구체적으로 살펴볼 필요가 있습니다.
고객이 새로운 직책에 임명되어 정치적 주요 인물이 될 수 있습니다. 직접 제재 목록에 오르거나, 지배하는 법인을 통해 제재 대상이 될 수도 있습니다. 최초 온보딩 당시에는 없었던 부정적 언론 보도, 수사, 기소 또는 사기 혐의가 발생할 수도 있습니다. 법인 고객의 실소유자가 바뀌면 이전에 문제가 없다고 확인한 사람들이 더 이상 지배권을 갖고 있지 않을 수 있습니다. 사업이 더 위험한 활동이나 관할권으로 옮겨갈 수도 있습니다. 거래 내역이 온보딩 당시 제시한 프로필과 다른 양상을 보이기 시작할 수도 있습니다. 한 번 확인한 뒤 보관해 둔 기록으로는 이 모든 상황을 볼 수 없습니다. 어느 하나만으로도 받아들이는 것이 타당했던 고객이 이제는 거절해야 할 고객으로 바뀔 수 있습니다. 흔하면서도 타격이 큰 사례는 일반 개인으로 온보딩한 고객이 나중에 공직에 임명되어 단번에 정치적 주요 인물이 되는 경우입니다. 그런데 내부 기록에는 여전히 2년 전 개설한 저위험 계좌로 남아 있습니다.
시간에 따라 드러나는 사각지대
이러한 공백이 피해로 이어지는 과정을 순서대로 살펴보면 도움이 됩니다. 문제가 발생하는 순간에는 대개 극적으로 드러나지 않기 때문입니다. 예를 들어 결제 회사가 법인 고객을 받습니다. 임원을 확인한 결과 문제가 없고, 실소유자에게도 문제가 없으며, 제재 일치 결과도 없습니다. 계좌는 중위험으로 분류하고 검토 주기를 2년으로 정합니다. 필요한 모든 절차를 올바르게 수행했습니다.
4개월째, 실소유자 중 한 명의 본국에 새로운 제재 체제가 적용되면서 그 사람이 조용히 제재 목록에 추가됩니다. 회사 절차에는 이를 감시하는 장치가 없어 계좌는 평소처럼 운영됩니다. 결제는 계속 이루어지고, 나중에 밝혀지지만 그중 일부는 제재 대상자와 관련되어 있습니다. 회사가 경고를 무시한 것이 아닙니다. 검토 사이에 살피지 않았기 때문에 경고 자체를 받지 못했습니다.
18개월 후 예정된 검토가 이루어지고, 그제야 제재가 적용됩니다. 이때 회사는 이미 처리해서는 안 됐던 16개월 치 거래를 처리한 상태입니다. 시정 프로그램을 이행하고 과거 거래에 대한 의심거래보고를 처리해야 하며, 며칠 만에 알려진 사실을 파악하는 데 거의 2년이 걸린 이유를 규제 당국에 설명해야 합니다. 개별 조치 하나하나는 정당화할 수 있었을지 모릅니다. 그러나 결과는 심각한 실패였습니다. 유일한 결함은 검토 사이에 상황을 지켜보는 사람이 없었다는 점입니다. 검토 일정이 있다는 이유로 지속적인 감독도 이미 이루어지고 있다고 믿었기 때문에, 회사는 바로 그 감독을 마련하지 않았습니다.
정기 검토는 처음부터 타협안
일회성 KYC만으로 충분하지 않다는 점이 분명해지면, 일반적으로 정기 검토를 보완책으로 삼습니다. 모든 고객을 1~5년마다 다시 확인하고, 고위험 고객은 더 자주 확인하는 방식입니다. 아무것도 하지 않는 것보다는 낫습니다. 모든 확인을 수작업으로 해야 했고 모든 고객을 상시 확인하는 것은 불가능했기 때문에, 오랫동안 유일하게 현실적인 선택이기도 했습니다.
그러나 정기 검토 방식은 설계 자체에 사각지대를 안고 있습니다. 이 방식에서는 검토 사이에 아무도 살피지 않으므로, 검토 다음 달에 생긴 변화는 다음 검토까지 발견되지 않습니다. 그 간격은 수년일 수도 있습니다. 검토 자체도 컴플라이언스 업무 중 수작업 부담과 비용이 가장 큰 업무에 속합니다. 또한 일괄적인 서류 재제출 요청이 한꺼번에 몰리는 경향이 있어, 가장 불편을 주고 싶지 않은 장기 저위험 고객에게 불만을 일으킵니다. 느리고 비용이 많이 들며 고객의 번거로움도 큰 데다, 상황을 볼 수 없는 긴 공백까지 남기는 절차를 오늘날 처음부터 설계할 사람은 없을 것입니다. 이 방식은 컴플라이언스 팀을 난처한 입장에 놓기도 합니다. 매번 검토할 때마다 지난 검토 이후 실제로 살펴보지 않은 고객에 대해 적정성을 확인해야 하기 때문입니다.
규제 당국이 이미 요구하는 형식적 확인 이상의 관리
이 논점을 분명히 하는 사실이 있습니다. 지속 모니터링은 선도적인 기업이 먼저 도입하는 선택 사항이 아닙니다. 이미 요구되는 사항입니다. FATF 권고사항 10은 온보딩 시 확인하는 데 그치지 않고 지속적인 실사를 수행하며 고객 실사 정보를 최신 상태로 유지하도록 요구합니다. 영국에서는 2017년 자금세탁규정(Money Laundering Regulations 2017)의 규정 28(11)이 거래 관계의 지속 모니터링과 고객 실사(CDD) 기록의 최신 상태 유지를 요구합니다. FCA도 지속 모니터링을 온보딩과 구별되는 별도의 실질적 의무로 봅니다. 미국 규제 당국의 입장도 같습니다. FinCEN의 고객 실사 규칙에는 지속 모니터링 요소가 포함되어 있습니다. 시행을 앞둔 EU의 자금세탁방지규정(AMLR)은 한층 더 나아갑니다. 2027년부터 적용되는 통일된 체계는 정적인 기록보다 지속적으로 갱신되는 고객 위험 프로필에 큰 비중을 둡니다.
이 문제를 다루는 글 중에는 표현이 부정확한 경우가 많으므로, 한 가지를 분명히 해야 합니다. 업계에서 지속적이고 사건 발생에 따라 이루어지는 재스크리닝을 가리키는 “상시 KYC”라는 용어 자체를 요구하는 규정은 없습니다. 규정에 포함된 것은 고객 실사를 최신 상태로 유지할 의무입니다. 지속적 또는 상시 KYC는 기업이 그 의무를 실제로 이행하는 방식입니다. 따라서 핵심은 고객을 지속적으로 모니터링할지 여부가 아니라 어떤 방법을 사용할지였습니다. 이렇게 보면 지속적 KYC는 조기 도입 기업을 위한 개선책이 아니라, 이미 시행 중인 규정을 그대로 해석한 방식이 됩니다.
검증에서 신뢰 확보로: 지속적 KYC의 실제 모습
지속적 KYC는 일정 대신 사건을 기준으로 삼습니다. 모든 사람의 변화를 주기적으로 확인하는 대신, 중요한 변화를 모니터링하고 해당 변화가 발생할 때 재평가합니다.
실제로는 여러 조치가 함께 작동합니다. 고객과 관련 인물을 제재 목록, PEP 목록, 부정적 언론 보도 및 감시 목록과 지속적으로 대조하여 새로운 일치 결과가 발생하는 즉시 탐지합니다. 실소유자 변화를 살펴 지배권을 가진 사람이 바뀌면 이를 파악합니다. 위험에 비례하는 수준으로 확인하므로, 저위험 고객은 백그라운드에서 정기적으로 확인하고 고위험 고객에게 중대한 변화가 생기면 즉시 상위 검토로 넘깁니다. 또한 고객에게 문제가 없다고 판단하거나, 정보를 갱신하거나, 사안을 상위 검토로 넘기는 모든 결정은 출처와 연결되고 감사할 수 있는 증거에 근거해야 하며, 검사 담당자가 검토할 수 있도록 준비되어 있어야 합니다. 그 결과 고객 위험 등급은 특정 시점의 추정에 머물지 않고 변화에 따라 갱신되는 기록에 가까워집니다.
“상시”라는 말이 잘못된 인상을 줄 수 있으므로, 무엇을 뜻하지 않는지도 분명히 해야 합니다. 모든 고객에게 모든 확인을 매일 수행하거나 팀에 끊임없이 알림을 쏟아붓는다는 뜻이 아닙니다. 일정이 아니라 실제 사건이 시스템을 작동시킨다는 뜻입니다. 이를 제대로 구현하면 변화가 없는 고객을 검토하는 데 더 이상 시간을 쓰지 않으므로 업무는 늘지 않고 줄어듭니다. 일정은 변화가 드문 고객을 위한 보완 수단으로 사용해야 하며, 모든 고객을 관리하는 주된 방식이 되어서는 안 됩니다.
효과적인 트리거 구성
지속적 KYC의 성패는 전적으로 트리거에 달려 있습니다. 트리거란 시스템이 고객을 추가로 살펴봐야 한다고 판단하게 만드는 사건입니다. 트리거를 올바르게 설정하면 전체 시스템이 백그라운드에서 원활하게 작동합니다. 잘못 설정하면 아무것도 탐지하지 못하거나 처리할 수 없는 양의 알림이 발생합니다. 특히 중요한 범주는 다음과 같습니다.
가장 명확한 것은 스크리닝 트리거입니다. 새로운 제재 또는 PEP 일치 결과, 고객이나 그 배후 인물이 언급된 새로운 부정적 언론 보도가 여기에 해당합니다. 소유구조 트리거는 법인 고객의 실소유자나 지배자가 바뀔 때 작동합니다. 문제가 없다고 확인한 사람이 더 이상 회사를 지배하지 않을 수 있기 때문입니다. 행동 트리거는 고객 자신의 활동에서 나옵니다. 온보딩 당시 프로필에 맞지 않는 거래, 거래량의 갑작스러운 변화, 예상하지 못한 지역에서 나타나는 거래 상대방 등이 해당합니다. 지역 및 지위 트리거는 고객이나 사업이 더 위험한 관할권 또는 업종으로 이동하는 것을 포착합니다. 관계 트리거는 임원 변경, 합병, 새로운 수권 서명권자 추가와 같은 구조적 사건에 반응합니다.
중요한 것은 각 트리거가 어떤 조치로 이어지느냐입니다. 모든 사건이 전면 재검토로 이어질 필요는 없습니다. 효과적인 시스템은 사소한 변화는 백그라운드에서 조용히 갱신하고, 중요한 변화는 해당 항목에 대한 확인으로 연결하며, 현재 유효한 제재 일치 결과처럼 심각한 사안은 관련 증거를 첨부해 담당 검토자에게 바로 전달합니다. 대응 수준을 심각도에 맞춰야 지속적 KYC가 끊임없는 잡음으로 변하는 것을 막을 수 있습니다. 대응을 결정하는 기준은 단순히 무언가 발생했다는 사실이 아니라 사안의 심각도여야 합니다.
변하는 것은 계좌 명의자만이 아님
정기 검토와 일회성 확인 모두 충분히 다루지 못하는 대상이 있습니다. 바로 고객 주변의 모든 관계자입니다. 법인 계좌는 법인 자체만을 의미하지 않습니다. 그 배후의 실소유자, 임원, 수권 서명권자, 때로는 연결된 기업망까지 포함합니다. 온보딩 이후 이들 중 누구든 위험 요인이 될 수 있습니다. 그러면 법인 자체가 어떤 행동을 했는지와 관계없이 그 위험이 계좌로 이어집니다.
실소유자가 정치적 주요 인물이 되면 그 사람이 지배하는 모든 기업의 위험이 달라집니다. 임원이 사기 사건에 연루되면 이사회도 해당 위험에 노출됩니다. 온보딩 과정에서 별도로 눈에 띄지 않게 추가된 서명권자는 최초 스크리닝에서 누락되었을 수 있습니다. 지속적인 신뢰 확보는 계좌 명의에 그치지 않고 이러한 인물까지 포괄해야 합니다. 변화가 주로 발생하는 지점이 바로 이들이며, 법인을 1년에 한 번 검토하는 방식으로는 가장 포착하기 어려운 변화이기 때문입니다.
규제 준수를 넘어서는 효과
이 모든 것을 형식적 확인을 더 자주 해야 하는 일로 이해하기 쉽습니다. 실제로 정기 KYC에서 지속적 KYC로 전환하는 것은 여러 측면을 동시에 개선하는 드문 변화 중 하나입니다.
위험을 실시간으로 파악할 수 있습니다. 고객이 3개월째에 거래를 분할하는 등의 방식으로 활동을 조정하기 시작하면 다음 검토까지 기다리지 않고 같은 달에 포착합니다. 제출하는 의심거래보고(SAR)도 오래된 보관 기록이 아니라 최신 정보에 근거합니다. 만족하며 서비스를 이용하는 고객에게 서류를 일괄적으로 다시 제출하도록 요구하지 않아도 되므로, 고객 경험과 유지율이 실제로 눈에 띄게 개선됩니다. 비용도 늘지 않고 줄어듭니다. 지속적이고 사건에 따라 작동하는 KYC로 전환한 기업은 대체로 기존 정기 검토 업무의 대부분을 줄일 수 있음을 확인합니다. 수작업의 초점이 정해진 기간마다 변화가 없는 수천 명의 고객을 다시 살피는 일에서 실제로 주의가 필요한 예외 사례로 옮겨가기 때문입니다. 안전성이 높아지고 비용과 번거로움이 동시에 줄어드는 조합은 컴플라이언스 분야에서 이전에는 제시되지 않았던 것입니다. 일반적인 직관과 어긋나는 만큼 그 이유를 이해할 필요가 있습니다. 실제로 변화가 없는 수많은 고객에게 변화가 없음을 확인하기 위해 가장 비용이 높은 자원인 숙련된 분석가를 투입하지 않아도 되기 때문에 비용이 절감됩니다. 대부분의 컴플라이언스 책임자는 경력 내내 안전성을 높이려면 언제나 비용이 더 든다는 말을 들어왔습니다. 이는 그 공식이 성립하지 않는 드문 경우 중 하나입니다.
감당하기 어려운 알림 발생 가능성
사람들이 가장 먼저 제기하는 우려이며, 타당한 우려입니다. 컴플라이언스 팀은 이미 업무가 과중하고, “지속 모니터링”이라는 말은 끊임없는 잡음을 예고하는 것처럼 들립니다. 지속적 KYC가 모든 고객에게 모든 확인을 계속 반복하고 그 결과를 전부 사람에게 전달한다는 뜻이라면, 이러한 우려는 실제로 타당합니다.
잘 설계된 지속적 KYC는 그렇게 작동하지 않으며, 바로 이것이 핵심입니다. 사건을 기준으로 작동하므로 대부분의 고객에게 변화가 없는 대부분의 날에는 새로운 항목이 발생하지 않습니다. 위험 기반 접근을 사용하므로 저위험 고객의 일상적인 갱신은 백그라운드에서 조용히 처리하고 중요한 변화만 드러냅니다. 또한 동일인 여부를 정확히 판별하므로 목록에 있는 사람과 우연히 이름이 같다는 이유로 모든 고객에게 경고를 표시하지 않습니다. 따라서 지속적 KYC는 일반적으로 광범위한 검토를 수행하는 정기 방식보다 사람이 살펴봐야 할 항목이 더 적으며, 드러나는 항목은 실제 위험과 관련된 것입니다.
진짜 문제는 알림의 양이 아닙니다. 잘못 구축된 시스템이 대량의 오탐을 내는 것이 문제입니다. 이는 분명한 실패이며, 동일 인물·법인 식별, 위험 등급 분류, 출처에 근거한 문제없음 판정을 통해 방지해야 합니다. 제대로 다룰 가치가 있는 과제입니다. 그러나 이는 지속적 KYC 시스템을 구축해야 한다는 근거이지, 검토 사이에 무슨 일이 일어나는지 볼 수 없는 정기 방식에 머물러야 할 이유가 아닙니다. 쉽게 말해 알림 수에 대한 우려는 결국 시스템을 얼마나 잘 구축했느냐의 문제입니다.
전환 방법
정기 방식에서 지속적 방식으로 전환하려면 주로 몇 가지를 명확히 결정해야 합니다.
- 트리거 사건을 정의합니다. 제재 또는 PEP 일치 결과, 부정적 언론 보도, 소유구조 변경, 거래 행동 변화 등 재평가가 필요한 변화를 정합니다.
- 온보딩 시점과 정해진 일정에만 확인하지 말고, 적절한 출처를 대상으로 지속적으로 스크리닝합니다.
- 전체 고객을 동일하게 다루지 않고 각 고객의 위험에 맞는 강도로 모니터링하도록 위험 등급을 구분합니다.
- 변화가 없는 저위험 사례는 자동으로 문제가 없는 것으로 처리하고, 실제 변화가 있는 사례만 담당자에게 전달하여 팀이 중요한 사안에 시간을 쓸 수 있도록 합니다.
- 프로그램을 감사하고 모든 결정을 설명할 수 있도록 각 재평가 기록을 관련 출처 정보와 함께 보관합니다.
- 문서화된 절차가 실제 운영 방식을 반영하도록 합니다. 지속 모니터링을 수행하면서 정책에는 여전히 정기 검토 일정이 명시되어 있다면, 실제 수행하는 절차와 다른 절차를 문서화하고 있는 셈입니다.
온보딩 절차를 전면 개편할 필요는 없습니다. 온보딩 검증은 계속 제 역할을 합니다. 지속적 KYC 절차는 고객 관계가 유지되는 동안 그 검증의 유효성을 지켜 줍니다. 온보딩 팀이 처음 들어온 고객이 누구인지 확인했다면, 지속적 KYC는 오늘도 그 고객을 승인할 수 있는지 확인합니다.
작동 여부를 확인하는 방법
전환했다면 성과를 측정해야 합니다. 개선은 원칙에만 머무르지 않고 수치로 나타나야 하기 때문입니다. 살펴볼 만한 지표가 몇 가지 있습니다.
가장 중요한 지표는 변화 탐지에 걸리는 시간입니다. 고객의 상태가 바뀐 시점부터 회사가 이를 인지할 때까지 평균 얼마나 걸리는지 측정합니다. 정기 방식에서는 이 간격을 개월 단위로 측정합니다. 지속적 KYC의 핵심은 이를 일 단위로 줄이는 것입니다. 검토 적체량도 살펴봐야 합니다. 예정된 일괄 검토가 사건에 따른 확인으로 대체되면 적체량은 줄어들어야 합니다. 변화가 발견되지 않은 정기 검토의 비율도 있습니다. 이 수치가 높다면 그동안 투입한 노력이 낭비되고 있었다는 직접적인 신호입니다. 마지막은 의심거래보고에 사용된 정보의 최신성입니다. 다음 검토까지 기다리지 않고 행동이 발생할 때 탐지하므로 최신성이 높아져야 합니다. 이 네 가지 수치를 함께 보면 단순한 일정 운영에서 실제 시스템 운영으로 전환했는지 알 수 있습니다.
공급업체의 대시보드가 무엇을 보여 주든, 수치가 달라지지 않는다면 실제 전환은 이루어지지 않은 것입니다.
자주 묻는 질문
검증의 유효성 유지
온보딩 단계에서 문제가 없었던 KYC 결과는 첫날에는 고객에게 안전하게 서비스를 제공할 수 있었다는 뜻입니다. 500일째에 대해서는 아무 정보도 주지 않습니다. 나중에 어려움을 겪는 기업은 대개 온보딩 당시 심각한 문제가 있었던 것이 아닙니다. 모니터링을 중단했고 그사이 고객이 달라졌을 뿐입니다. 지속적으로 신뢰를 확보하는 목적은 바로 그 공백을 메우는 데 있습니다. 첫 주에 변화를 탐지하는 편이 2년째에 이를 처리하는 것보다 비용이 적게 듭니다.
Beady는 이러한 관리 체계를 제공하도록 설계되었습니다. 제재 목록, PEP 지정 정보, 부정적 언론 보도, 법률 및 규제 정보를 활용하여 고객과 관련 인물을 지속적으로 모니터링합니다. 다음 정기 검토까지 기다리지 않고 고객 위험의 변화가 발생하는 즉시 이를 파악할 수 있습니다. 모든 탐지 결과는 원출처까지 추적할 수 있으므로, 내용을 검증하고 언제 무엇을 알고 있었는지 검사 담당자에게 정확히 제시할 수 있습니다. 온보딩 절차가 고객이 누구인지 알려 준다면, Beady는 그 고객이 이후 어떻게 달라졌는지 계속 알려 줍니다.
현재 고객군에 지속적인 신뢰 확보 체계를 적용했을 때 무엇을 확인할 수 있는지 알아보려면 데모를 예약해 주십시오. 함께 확인해 드리겠습니다.
