아웃소싱과 제3자 위험

PDF판 읽기 (4 쪽)

대부분의 디지털 지급 토큰(DPT) 라이선스 보유자는 준법 체계의 핵심 부분을 외부에 위탁합니다. 신원확인, 제재 심사, 거래 모니터링, 블록체인 분석, 트래블 룰 메시징은 모두 대개 외부 업체가 제공합니다. 2016년에 처음 발표되고 2018년에 개정된 싱가포르 통화청(MAS)의 아웃소싱 가이드라인(Guidelines on Outsourcing)은 지급서비스 제공자에게 적용됩니다. 이 가이드라인은 아웃소싱 약정의 등록부와, 계약 체결 전 및 그 후 정기적인 서비스 제공자 실사를 요구합니다. 서면 계약은 사업자와 MAS에 감사권과 접근권을 부여해야 합니다. 업무연속성 체계가 요구되며, 중요한 아웃소싱의 경우 MAS에 통지해야 합니다.¹ 가이드라인은 클라우드 서비스와 해외 아웃소싱도 다루며, 이는 준법 시스템이 스위스나 다른 곳에 호스팅될 수 있는 그룹에 중요합니다.

위탁된 기능에 대한 책임은 라이선스 보유자에게 남습니다. 검사에서 MAS는 사업자가 업체의 심사나 모니터링이 어떻게 작동하는지 이해하고 있으며 업체의 결과물을 시험했다는 점을 보여 줄 것을 요구합니다. 사업자는 업체의 규칙을 자사의 위험평가에 맞게 조정했고 업체의 장애를 감지할 수 있다는 점을 보여 주어야 합니다. 분석 업체가 왜 어떤 주소를 제재 대상 클러스터에 귀속시키는지, 또는 자사의 모니터링 규칙이 어떻게 설정되었는지 설명하지 못하는 사업자는 처리 업무뿐 아니라 판단까지 외부에 맡긴 것입니다. MAS는 이를 허용하지 않습니다.

블록체인 분석 업체의 선정과 관리

DPT 라이선스 보유자의 자금세탁방지 성과에 가장 큰 영향을 미치는 업체 선정은 블록체인 분석 제공자의 선택입니다. Chainalysis, Elliptic, TRM Labs와 몇몇 업체가 시장을 지배하며, 이들의 귀속 판단은 서로 다릅니다. 같은 주소가 한 업체에서는 고위험으로, 다른 업체에서는 등급 없음으로 평가될 수 있습니다. 귀속 판단은 각 업체의 독자적인 클러스터링과 정보에 달려 있습니다. MAS는 어떤 업체도 승인하지 않았으며 특정 업체를 요구하지도 않습니다. 다만 사업자가 자사가 지원하는 체인에 대한 업체의 커버리지와 업체의 귀속 방법론 및 오류율을 평가했을 것을 기대합니다. 갱신 지연 시간, 개인정보 보호 체계, 업체 자체의 제재 준수도 같은 평가에 포함됩니다.² 규모가 큰 사업자는 두 업체를 병행 사용하며 불일치를 조사하는데, 이는 바람직한 실무이지만 비용이 많이 듭니다. 규모가 작은 사업자라도 최소한 업체를 선택한 이유를 문서화하고, 귀속 판단의 표본을 공개 자료와 대조하여 시험해야 합니다. 위험 기준은 업체의 오탐 및 미탐 경향을 이해한 상태에서 설정해야 합니다.

주

1. MAS, Guidelines on Outsourcing, 2016년 7월 27일, 2018년 10월 5일 개정, MAS가 규제하는 모든 금융기관에 적용; MAS는 일부 업권에 대해 제3자 위험관리에 관한 후속 규범을 의견 수렴을 거쳐 발표했습니다. ↩
2. Guidelines to Notice PSN02, 고객확인(CDD) 및 거래 모니터링에서의 기술 및 제3자 도구 사용에 관한 부분; MAS Information Paper on DPT service providers' AML/CFT controls, 블록체인 분석 관리에 관한 관찰 사항. ↩

일반 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문이 아니며, 개별 사안에 대한 자문을 대신하지 않고, 변호사와 의뢰인 사이의 관계를 성립시키지 않습니다. 10월 2026 기준의 법적 상황을 반영합니다.