핀테크 기업이 자금세탁방지(AML) 체계를 구축하는 과정에서 반드시 마주하게 되는 과제가 바로, 특정금융정보법 제5조의 2에서 규정된 CDD(Customer Due Diligence, 고객확인) 및 EDD(Enhanced Due Diligence, 고도화된 고객확인)입니다.
하지만 이를 정확히 어떻게 실무에 적용하고, 어디까지 해야 하는지에 대해서는 여전히 혼란스러워하시는 분들이 많습니다.
이번 글에서는 핀테크 기업이 반드시 알아야 할 CDD/EDD 실무 가이드라인을 정리해보았습니다. 실제 금융당국 점검 사례까지 포함하여, 지금 당장 무엇을 준비해야 하는지 명확히 알려드립니다.
1. CDD와 EDD란?
CDD는 신규 고객의 신원을 확인하고, 그 고객이 어떤 위험을 갖고 있는지 평가하는 기본 절차입니다.
EDD는 고객이나 거래가 고위험으로 판단되는 경우에 추가로 수행해야 하는 강화된 확인 절차입니다.
두 절차 모두 금융정보분석원(FIU) 및 특정금융정보법(특금법)에서 규정하고 있으며, 위반 시 상당한 제재가 따를 수 있습니다.
2. 왜 고객확인이 중요한가요?
핀테크 업계는 금융기관과 유사한 기능을 수행하고 있으며, 자금세탁의 경로로 악용될 가능성도 높습니다. 이에 따라 「특정금융거래정보의 보고 및 이용 등에 관한 법률」 제5조의 2에서는 고객확인 의무를 강제하고 있습니다.
고객확인 의무를 위반할 경우, 다음과 같은 제재를 받을 수 있습니다:
- 금융감독원 또는 FIU의 경고, 시정요구
- 과태료 및 영업정지
- 심할 경우 등록 취소
3. CDD/EDD 실무 프로세스 요약
핀테크 기업에서 CDD/EDD를 구축할 때는 다음과 같은 절차를 따라야 합니다:
- 고객 신원확인: 신분증, 법인 등기사항증명서 등 공식 문서를 기반으로 검증
- 실소유자 확인: 법인 고객의 경우, 궁극적 수익자의 정보 확인
- 거래 목적 및 자금 출처 확인
- 고객위험 평가: 고위험 여부 판단
- EDD 여부 결정 및 수행
- 기록 보관 및 내부 승인 절차 관리
4. 어떤 경우에 EDD가 필요한가요?
다음과 같은 경우에는 반드시 EDD를 수행하셔야 합니다:
- 정치적 중요 인물(PEP)
- 고위험 국가에 거주하는 고객
- 비대면 거래 고객
- 자금 출처가 불분명한 경우
- 다단계 송금 구조가 있는 거래
EDD 수행 시에는 다음 사항을 고려합니다:
- 고객과의 직접 인터뷰 또는 서면 확인 절차
- 입증 가능한 자금 출처 확인서류 요청
- 내부 결재 절차 강화 및 고위험 거래에 대한 모니터링 강화
5. 가상자산사업자에게 특별히 중요한 이유
가상자산사업자는 특금법상 CDD/EDD의 적용이 더욱 엄격하게 요구됩니다.
특히 다음과 같은 점이 차별화됩니다:
- 트래블룰 적용
- 지갑주소 추적 및 거래소 간 송금 경로 분석
- 자금 출처 파악을 위한 블록체인 분석 솔루션 활용
6. 핀테크 실무자를 위한 체크리스트
핀테크 기업 실무자분들께서는 다음 사항들을 반드시 점검하셔야 합니다:
- ✅ CDD/EDD 정책 및 지침 수립 여부
- ✅ 고객 위험 평가 체계(RBA) 수립 여부
- ✅ 고위험 고객 식별 및 내부 결재 프로세스 마련
- ✅ 외부 KYC/AML 솔루션 도입 여부 검토
- ✅ 고객확인 절차 이행 증적 자료 확보 및 보관
7. 금융당국의 실제 점검 사례
2023년 FIU 점검 결과에 따르면, 다음과 같은 사항들이 문제로 지적되었습니다:
- 고객위험 평가 기준의 부재
- 실소유자 확인 미이행
- 고위험 거래에 대한 추가확인 미수행
- 고객확인 기록 미보관
이러한 위반은 과태료 부과뿐 아니라 경영진의 직접적 책임으로 연결될 수 있으므로, 각별한 주의가 필요합니다.
8. 문서화와 기록관리, 어떻게 해야 할까요?
- 모든 고객확인 절차는 시점기록(screen capture 등) 또는 전자문서화로 보관해야 합니다.
- 고객정보와 확인 이력은 5년 이상 보관해야 합니다.
- 가능한 경우, 자동화 시스템을 통해 증적자료가 자동 저장되도록 해야 합니다.
9. 내부통제와 교육
- 연 1회 이상 고객확인 관련 직원 교육을 실시해야 하며,
- 내부지침서에는 구체적인 절차와 책임소재가 명시되어 있어야 합니다.
- 담당자 및 승인자의 역할과 책임을 명확히 규정해야 합니다.
10. 결론: 지금 당장 해야 할 일
핀테크 기업이 당장 해야 할 일은 다음과 같습니다
- 고객확인 지침(CDD/EDD Policy)을 문서화하고 현행화할 것
- 고위험 고객 식별 및 승인체계를 구축할 것
- 법률 자문을 통해 제재 가능성을 사전에 차단할 것
고객확인 절차는 단순히 규제를 피하기 위한 수단이 아니라,
고객 신뢰를 확보하고 지속 가능한 핀테크 비즈니스의 기반을 마련하는 핵심 인프라입니다.
📩 문의: AML 특화 법률 컨설팅이 필요하시다면,
아래 카카오톡 링크 또는 사무실 전화 번호(02-568-3563)로 연락 주시면 성심껏 도와드리겠습니다.
📌 다음 편 예고
👉 [금융정보분석원(FIU) STR 보고 실무: 보고 대상을 어떻게 판단할까]
광고책임 변호사 김병국