은행에서 데이터 거버넌스란 무엇인가요?

데이터 거버넌스는 보다 넓은 개념인 데이터 관리의 하위 분야로 볼 수 있습니다. 데이터 관리가 데이터를 수집, 저장, 보호 및 처리하는 일상적인 운영 업무를 포괄하는 반면, 데이터 거버넌스는 데이터의 품질, 보안 및 가용성에 중점을 둡니다. 데이터 거버넌스는 데이터 관리 방식을 이끄는 구체적인 규칙과 추진 과제를 정하고, 이를 평가하기 위한 성공 지표를 함께 제시하는 경우가 많습니다.

2020년 말 미국 규제 당국은 Citigroup에 4억 달러의 벌금을 부과했습니다. 그러나 이 벌금은 불량 거래자나 투자 실패와는 아무런 관련이 없었습니다. 오히려 이 제재는 적어도 일부는 은행의 데이터 관리 방식에 존재했던 미흡한 부분에서 비롯된 것이었습니다.

미국 통화감독청(OCC)은 위험 관리, 내부 통제 및 데이터 거버넌스의 문제를 지적했습니다. 문제점 가운데 하나는 Citibank가 자체 위험 데이터를 신뢰할 수 있는 방식으로 통합하지 못했고, 해당 문제가 통제되고 있음을 이해관계자에게 입증하지도 못했다는 점이었습니다.¹ 2020년 제재가 내려지기 불과 몇 달 전에는 Citibank가 Revlon 대출 채권자들에게 9억 달러를 잘못 송금하는 사고가 발생했으며, 은행은 이를 인적 오류에 따른 실수라고 설명했습니다.² 한편 OCC는 Citibank에 데이터 아키텍처를 "전면적으로 재설계"하고 IT 인프라를 현대화할 것을 요구했습니다.

Citigroup 사례는 규모는 이례적이었지만 유형 자체는 특별한 사례가 아니었습니다. OCC 데이터베이스를 살펴보면 2023년부터 2026년 초까지 컴플라이언스 위험 관리, 부정확한 기록, IT 문제 등 데이터 거버넌스와 관련된 사안으로 은행들을 대상으로 수십 건의 제재 조치를 취한 것으로 나타납니다.

규제 당국이 부과하는 벌금은 상당한 규모에 이를 수 있습니다. 2024년 전 세계 금융 서비스 업계에서 이러한 벌금은 총 193억 달러로 사상 최고치를 기록했습니다.³ 결국 규정을 준수하지 않았을 때의 비용은 금전적 손실에 그치지 않고 평판 훼손과 소비자 신뢰 상실로까지 이어지는 경우가 많습니다.

은행은 일반적으로 데이터 거버넌스 프레임워크를 마련하는 것부터 시작합니다. 여기에는 명확한 데이터 소유권(은행의 각 데이터 세트에 대한 책임 주체), 데이터 거버넌스 정책, 데이터 품질을 보장하기 위한 관리 방안, 그리고 문제가 발생했을 때의 대응 절차가 포함됩니다.

은행 데이터는 실제 금융 업무와 직결되며 고객의 재정적 안녕에도 영향을 미칠 수 있기 때문에 다른 많은 산업보다 그 중요성이 훨씬 큽니다. 따라서 데이터 거버넌스 프레임워크는 은행 업계에서 매우 중요한 역할을 합니다.

데이터 리니지는 데이터가 어디에서 시작되어, 어떻게 이동하고, 어디에 최종적으로 도달하는지를 나타내는 흐름을 의미합니다. 이 정보는 규제 보고를 수행하는 데 중요한 역할을 합니다. 

데이터 분류는 데이터의 민감도에 따라 레이블을 지정해 적절한 통제 조치를 적용하는 것을 의미합니다. 예를 들어 사회보장번호는 지점의 월간 방문자 수와 같은 데이터보다 훨씬 더 엄격하게 관리됩니다. 

메타데이터 관리는 업로드 시점이나 데이터 정의와 같은 '데이터에 대한 데이터'를 관리하는 것으로, 은행이 데이터를 체계적으로 관리하는 데 도움이 됩니다.

메타데이터는 일반적으로 사전 형태의 데이터 카탈로그로 관리되며, 'customer'라는 필드가 정확히 무엇을 의미하는지, 그리고 개인을 가리키는지 기업을 가리키는지 또는 둘 모두를 의미하는지를 명확하게 구분하는 데 도움이 됩니다.

이와 관련된 보다 포괄적인 개념인 데이터 품질은 데이터베이스가 신뢰할 수 있을 만큼 정확하고, 완전하며, 적시에 최신 상태로 유지되는지를 정의하고 측정하는 데 도움이 됩니다.

세계 금융 시스템은 광범위하게 연결된 국제 네트워크입니다. 그에 따라 많은 은행은 서로 중첩되는 국제 규제 요건을 준수하며 운영됩니다.

Basel Committee on Banking Supervision(BCBS)은 건전성 은행 규제를 위한 세계적인 표준을 수립하는 주요 기관이라고 설명합니다. BCBS는 세계에서 가장 오래된 국제 금융기관인 국제결제은행(Bank for International Settlements, BIS, 1930년 설립) 산하에서 운영됩니다. 45개 회원 기관에는 미국 연방준비제도(Federal Reserve), 유럽중앙은행(European Central Bank), 일본은행(Bank of Japan) 등 세계 주요 금융 규제 기관이 포함됩니다. 

2008년 금융 위기 이후 몇 년 뒤 BCBS는 데이터 거버넌스를 직접적으로 다루는 표준인 BCBS 239⁴를 발표했습니다. 이 표준은 향상된 위험 평가, 측정 가능한 데이터 품질, 위험 데이터 통합을 통해 은행의 위험 관리를 강화하는 것을 목표로 합니다. 이 표준은 처음에는 글로벌 시스템적 중요 은행(G-SIB)을, 이후에는 국내 시스템적 중요 은행(D-SIB)을 대상으로 했지만, 현재는 그 요구 사항이 은행 업계 전반에 걸쳐 채택되고 있습니다. 2024년 McKinsey의 BCBS 관련 보고서는 이 표준에 대한 "관심이 다시 높아지고 있다"며, "현지 규제 당국의 요구를 충족해야 한다는 은행들의 부담이 커지고 있다"고 분석했습니다. OCC가 Citibank에 부과한 벌금도 이러한 사례 가운데 하나입니다.⁵

이러한 국제 은행 규제 외에도 일반적인 규제와 지역별 규제가 함께 적용되며, 여기에는 은행업을 대상으로 하는 규제와 산업 전반에 적용되는 규제를 포함한 다양한 데이터 프라이버시 및 데이터 보안 규제가 포함됩니다. 예를 들어 EU의 포괄적인 일반 개인정보 보호 규정(GDPR)에서는 은행(뿐만 아니라 모든 기업)이 어떤 개인정보를 보유하고 있는지, 이를 보유하는 이유는 무엇인지, 데이터가 얼마나 정확한지, 그리고 이를 어떻게 보호하고 있는지를 파악하도록 요구합니다.

미국에서는 일부 주에서 은행과 데이터에 관한 별도의 법률을 제정해 시행하고 있습니다. 뉴욕주에서는 사이버 보안 규정(23 NYCRR Part 500)⁶에 따라 뉴욕에서 영업하는 은행과 보험회사가 엄격한 보안 조치와 위험 평가를 수행하도록 규정하고 있습니다. 또한 이 법은 액세스 제어, 데이터 소유권과 분류 정보를 포함한 자산 목록 관리, 데이터 보존 정책, 그리고 인시던트 대응 계획을 마련하도록 요구합니다. 

지역별 규제와 산업별 규제가 복잡하게 중첩되어 적용되는 경우도 있습니다. 예를 들어 캘리포니아 소비자 개인정보 보호법(CCPA)은 캘리포니아주에서 사업을 운영하는 기업이 개인정보를 처리하는 방식 전반에 영향을 미치며, 그 영향은 일부 은행에도 미칠 수 있습니다. 다만 그 적용 범위에는 일정한 제한이 있습니다. 예를 들어 이 법은 1999년 연방 Gramm-Leach-Bliley Act(GLBA)의 적용을 이미 받고 있는 일부 개인정보를 적용 대상에서 제외합니다.

요약하면, 은행의 규정을 준수하는 데이터 거버넌스는 다양한 관할권(국제, 지역)과 데이터 유형(일반 고객 데이터, 금융 데이터)에 적용되는 복잡한 규제 체계의 적용을 받습니다.

이와 관련한 법률이 10년 넘게 시행되어 왔지만, 규제 당국은 규정 준수가 더디게 이루어지고 있으며 데이터 거버넌스 관련 과제가 지속되고 있다고 보고하고 있습니다. 규제 당국은 은행이 개혁의 우선순위를 정하고 추진 체계를 마련하는 방법에 대해 점점 더 상세한 지침을 발표하고 있습니다.

예를 들어 2024년에는 유럽중앙은행(ECB)이 20페이지 분량의 "효과적인 위험 데이터 취합 및 위험 보고에 관한 가이드"를 발간했습니다.⁷ 이러한 지침은 추상적인 원칙을 제시하는 데 그치지 않고 구체적인 실행 방안까지 제시합니다.

ECB는 우선순위를 정하는 작업부터 시작할 것을 권장합니다. 효과적인 데이터 거버넌스 전략은 위험 보고서, 재무 공시 자료, 감독 기관 제출 자료와 같은 핵심 데이터를 우선적으로 관리하는 데 중점을 둡니다. 강력한 데이터 거버넌스 프레임워크는 핵심 데이터 요소마다 데이터 소유자, 품질 기준 및 통제 체계를 명확히 정의하는 것을 목표로 합니다.

BCBS와 ECB는 모두 데이터 소유권을 명확히 하고 각 데이터 세트의 책임자를 구체적으로 지정하는 것이 중요하다고 강조합니다. 이러한 역할은 일반적으로 비즈니스 부문과 IT 부문 전반에 걸쳐 배치됩니다. 많은 조직은 데이터 스튜어드 역할을 통해 이러한 체계를 공식화합니다. 데이터 스튜어드는 데이터 관리 책임과 데이터 품질 관리(데이터의 정확성, 완전성 및 데이터 무결성을 포괄하는 개념)를 담당하는 비즈니스 부서의 구성원입니다. 궁극적으로는 조직이 고품질 데이터를 확보하여 충분한 정보를 바탕으로 더 나은 의사결정을 내릴 수 있도록 하는 것이 목표입니다.

BCBS는 2026년 뉴스레터에서 데이터 리니지를 "데이터가 생성된 시점부터 최종 사용에 이르기까지의 추적 가능성"으로 정의하며, 은행이 지속적으로 어려움을 겪는 요소라고 설명했습니다. BCBS는 "레거시 시스템, 분산된 데이터 환경(데이터 사일로 등), 그리고 끊임없이 변화하는 데이터 리니지의 특성 때문에 데이터의 전체 추적 가능성을 확인하기가 어렵다"고 설명합니다. 그러면서도 데이터 리니지는 비용 절감과 운영 효율성 향상 등 본질적인 비즈니스 이점을 제공하므로 매우 중요하다고 강조합니다.⁸

통제 체계는 이러한 모든 요소를 하나로 연결합니다. 검증 규칙은 오류가 확산되기 전에 이를 발견할 수 있으며, 액세스 제어는 권한 있는 사용자만 데이터에 접근하도록 제한하여 무단 액세스를 방지합니다. 데이터 분류는 민감한 정보가 적절한 수준으로 보호되도록 하며, 데이터 보존 및 라이프사이클 관리 정책은 데이터를 얼마나 오래 보관할지와 언제 안전하게 폐기할지를 관리합니다. 마지막으로 은행에 여전히 남아 있는 수작업 워크플로의 경우, 데이터 거버넌스는 자동화가 이를 대체할 때까지 검토 절차와 감사 추적을 적용해 시간이 지남에 따라 운영을 더욱 효율화하는 데 도움을 줄 수 있습니다.

은행 데이터 거버넌스의 미래를 이끄는 두 가지 핵심 변화가 있습니다.

첫 번째는 AI와 이를 둘러싼 생태계입니다. AI와 머신 러닝은 사기 탐지부터 고객 경험 평가에 이르기까지 은행 업무 전반에서 점점 더 폭넓게 활용되고 있습니다. 이러한 환경에서는 많은 거버넌스 실패가 데이터 침해나 개인정보 피해가 아니라 고객에게 영향을 미치는 자동화된 의사결정의 형태로 나타날 가능성이 큽니다. 따라서 EU AI Act가 "고위험 AI" 활용 사례에 대해 기존 데이터 거버넌스 의무에 더해 새로운 요구 사항을 추가한 것도 놀라운 일은 아닙니다.

두 번째는 디지털 뱅킹에서 실시간 데이터 활용으로의 전환입니다. 오늘날 데이터는 그 어느 때보다 빠르게 이동합니다. 은행이 빠른 결제, 실시간 보고, 실시간 위험 모니터링으로 전환함에 따라 정기적인 배치 처리와 사후 품질 점검에 의존하는 기존 방식은 많은 경쟁력 있는 금융기관에 더 이상 충분하지 않습니다. 따라서 미래를 대비하는 데이터 전략에는 데이터가 저장된 이후뿐 아니라 이동하는 과정에서도 데이터를 검증하는 데이터 거버넌스가 포함될 수 있으며, 이를 통해 규정 준수와 운영 효율성을 모두 유지할 수 있습니다.

데이터 거버넌스를 사후 대응 중심의 규정 준수 활동으로만 여기는 은행은 문제를 해결하는 데 지속적으로 비용을 지출하게 될 수 있습니다. 반면 데이터 거버넌스를 운영 인프라의 일부로 투자하는 은행은 장기적으로 비용을 절감하고 더 빠르게 대응하며 앞으로의 변화에도 보다 유연하게 적응할 수 있습니다.