사업보고서 이행 논란···임영록 회장 징계 '새국면'

KB금융이 2011년 국민카드를 분사하면서 허위 사업계획서를 제출했다는 논란이 불거졌다. KB금융 임영록 회장 제재안이 지금까지 금융당국의 승인없이 고객 정보를 이관했느냐 여부가 쟁점이었지만 새로운 문제가 추가된 셈이다. 그러나 KB금융은 사업계획서에 따라 은행 고객의 고유정보를 제거했다고 해명했다. 당국이 문제를 삼은 개인식별번호는 사업보고서상 제거 대상이 아니라는 입장이다.

27일 금융권에 따르면 민관 합동으로 구성된 제재심의위원회가 KB금융에 대한 제재 여부를 검토하고 있는 가운데 KB금융이 2011년 국민카드 분사 시 금융당국에 제출한 사업계획서에 담은 3줄짜리 문구가 새로운 이슈로 부상했다. 앞서 KB금융은 2011년 사업보고서에서 전산시스템상 어려움으로 "은행·카드 공동운영시스템은 (은행에서 카드사) 분리 시 애플리케이 션, 프로세스, 데이터를 그대로 이관한 후 은행 부분을 제거(분리후 은행시스템은 카드영역을 제거)하겠다"고 약속했다.

◇금융당국 "KB금융, 카드분사시 사업보고서 이행 않아...'보고서 허위 제출' 해당"

금융당국은 KB금융이 이같은 사업보고서를 제대로 이행하지 않았다고 문제를 제기했다. 분사 후 국민카드가 은행 고객 정보를 삭제하지 않았고 고객정보 유출 때 이 정보들이 모두 외부로 빠져 나갔다는 지적이다. 당시 '국민카드를 만든 적이 없는 은행 고객 정보가 유출됐다'는 점이 논란이 됐고 금융감독원은 검사를 통해 2011년 분사 당시 신용정보법상 승인을 받지 않고 은행 고객 정보까지 이관한 사실을 밝혀냈다. 이에 대해 KB금융은 "금융지주회사는 계열사에 영업상 이용하게 할 목적으로 개인신용정보를 제공할 수 있다"는 '금융지주회사법 48조2'를 들어 국민카드에 은행 고객 정보를 제공한 것은 문제가 없다고 주장해 왔다.

하지만 금융당국은 지난 24일 열린 제재심의위원회에선 '국민카드에 은행 고객 정보를 제공할 수 있다'는 KB금융의 주장은 결과적으로 '분사후 삭제하겠다'는 사업계획서가 허위였음을 인정한 것이라고 지적한다. 애초부터 영업상 이용할 목적이었으면서 사업계획서에는 삭제하겠다고 보고했다는 논리다.

이에 따라 제재심은 금융당국의 주장대로 KB금융이 사업보고서를 허위 제출했는지 여부를 집중 검토키로 한 것으로 알려져, KB금융에 대한 제재안이 수정될지 주목된다. 금융당국 관계자는 "금융당국은 그동안 금융회사의 허위보가나 보고누락에 대해선 금융질서 확립차원에서 강하게 대응해 왔다"며 "KB금융이 금융당국에 허위로 사업계획서를 제출했다면 매우 심각한 문제"라고 지적했다.

◇ KB금융 "제거해야할 정보 대상 잘못 이해한 것"···금융권 "당국 주장 맞다면 사업계획서 승인한 당국도 문제"

그러나 KB금융은 입장은 크게 다르다. KB금융 측은 "(금융당국이 문제 삼은)이름·주민번호·전화번호 등은 제거해야 할 은행 정보의 대상에서 제외된다"는 입장이다.

KB금융 관계자는 "사업계획서에 기재된 '은행 정보 제거'의 대상은 카드사에서 전혀 필요하지 않은 순수한 은행 정보, 가령 수신액·평잔·급여이체등록내역·면제수수료·PB고객여부 등에 대한 것일 뿐 주민번호·전화번호·성별 등 카드사에서 활용할 수 있는 개인식별번호는 애초부터 제거해야 할 정보가 아니었다"고 말했다. 그는 또 "'사업계획서 내용을 이행하지 않았다'는 당국의 주장은 제거해야 할 정보의 대상을 잘못 이해한 것"이라며 "제거해야 할 순수 은행 관련 정보는 이미 제거가 완료됐다"고 강조했다.

임 회장 역시 국민은행 고객정보 유출에 직접적인 책임이 없다는 게 KB금융의 설명이다. 카드 분사 시점은 2011년 3월 2일이었는데 임 회장(당시 사장)은 같은 해 3월 25일에 고객정보관리인으로 임명돼 시차가 있다는 것. 임 회장 전 고객정보 관리인은 어윤대 전 KB금융그룹 회장이었다.한 금융권 관계자는 "고객정보관리인은 계열사 간의 정보 공유를 관리하는 역할"이라면서 "임 회장이 고객정보관리인 임명 이후 정보 삭제를 진행하지 않은 것이 아니라 기술적인 이유로 미뤄져 의도적인 것이 아닌 것 같다"고 말했다.

특히 금융당국의 주장대로 고객식별번호까지 분리의 대상이라고 가정한다 해도 당국도 '책임론'에서 빠져나갈 수 없다는 주장이 제기된다. 은행 또는 카드사 중 한 곳에서만 유출사고가 발생해도 두 회사의 고객정보가 모두 유출될 수 있는 위험이 큰데도, 애초에 '고객정보 완전 분리' 내용이 담기지 않은 사업계획서를 당국이 승인해 줬기 때문이다.

여기에 금융감독원은 국민카드 분사 후 3년이 지나기까지 수차례 점검을 진행했는데도, 사업계획서의 '은행 정보 제거' 의무를 이행하지 않은 점을 적발·처벌하지 않았다.