뿡야의 IT 기록

AML, KYC, CDD와 금융 범죄 방지의 구조

상대방이 누구인지 확인했다면, 그 사람이 하는 거래도 안전하다고 볼 수 있을까?

은행 앱에서 계좌를 개설하다 보면 여러 질문을 받는다.

직업은 무엇인지, 계좌를 어떤 목적으로 사용하는지, 거래자금은 어디에서 마련했는지 확인한다. 법인 계좌를 만들 때는 회사 정보뿐 아니라 실제 소유자와 거래 담당자의 권한을 묻기도 한다.

이미 신분증을 제출했는데 왜 이런 정보까지 필요한 걸까?

신원이 확인됐다는 사실과 금융거래의 위험이 충분히 파악됐다는 사실은 다르기 때문이다.

앞선 글에서는 개인의 디지털 신원과 기업의 LEI와 vLEI를 살펴봤다. 이번에는 확인한 신원정보가 금융 범죄 방지 과정에서 어떻게 활용되는지 알아본다.

국제 기준은 FATF 권고를, 한국 제도는 금융정보분석원과 관련 법령을 기준으로 설명한다. 금액 기준과 국내 제도 설명은 2026년 10월 22일 확인한 공식 자료를 바탕으로 한다.

1. AML은 금융 범죄 방지 체계의 한 부분이다

AML은 Anti-Money Laundering, 자금세탁방지를 뜻한다.

자금세탁은 일반적으로 불법적인 자금의 출처를 숨겨 합법적인 것처럼 보이게 만드는 과정이다. AML은 이를 예방하고 발견하기 위한 법률, 제도, 내부 통제와 업무 절차를 포함한다.

금융정보분석원도 자금세탁방지제도를 사법제도, 금융제도, 국제협력이 연결되는 종합적인 관리체계로 설명한다. 금융정보분석원: 자금세탁방지제도

함께 등장하는 용어도 구분해 두면 좋다.

이 업무들은 데이터를 공유하고 함께 운영될 수 있지만, 목적과 법적 판단 기준이 모두 같지는 않다.

FATF는 자금세탁, 테러자금조달, 대량살상무기 확산금융에 대응하는 국제 기준을 제시한다. 각국은 이를 자국의 법률과 제도에 맞게 이행한다. 따라서 FATF 문서의 설명과 특정 국가에서 직접 적용되는 의무를 구분해야 한다. FATF Recommendations

2. KYC, CDD, EDD는 어떻게 다를까?

처음 접하면 가장 헷갈리는 용어들이다.

KYC와 CDD의 경계는 자료나 조직마다 겹친다. 금융정보분석원도 고객확인제도를 고객알기정책이라고 설명한다. 두 용어가 언제나 엄격하게 분리된 별도 단계라고 이해할 필요는 없다. 금융정보분석원: 고객확인제도

실무에서는 KYC를 전체 정책이나 고객확인 업무의 이름으로, CDD를 구체적인 확인 의무와 절차를 설명하는 말로 사용하는 경우가 많다.

또한 KYB를 사용한다고 해서 법적 의무가 새로운 이름으로 대체되는 것은 아니다. 기업 고객에 대한 CDD를 설명하는 실무 용어로 읽는 편이 안전하다.

3. 고객확인은 무엇을 확인하는 과정일까?

신분증 확인은 중요한 출발점이다. 하지만 고객확인에는 그보다 넓은 내용이 포함된다.

FATF 권고 10의 핵심을 정리하면 다음과 같다.

1. 고객을 식별하고 신원을 검증한다.
2. 실제 소유자를 파악하고 신원을 검증하기 위한 합리적 조치를 취한다.
3. 거래 관계의 목적과 성격을 이해한다.
4. 거래 관계 동안 지속적으로 주의를 기울이고 거래를 살핀다.

즉, 고객에 대한 이해와 실제 거래를 연결하는 과정이다. FATF 권고 10

한국의 고객확인제도도 신원 확인과 검증, 실제 소유자 확인, 필요한 거래 목적과 자금 원천 확인 등을 다룬다. 실명확인만으로 고객확인이 모두 끝나는 구조는 아니다. 금융정보분석원: 고객확인 내용

가상의 기업 고객을 예로 들면 다음 질문들이 이어진다.

어느 회사인가?
      ↓
누가 회사를 지배하거나 통제하는가?
      ↓
신청자는 회사를 대신할 권한이 있는가?
      ↓
어떤 사업과 거래를 위해 서비스를 사용하는가?
      ↓
실제 거래가 이 설명과 부합하는가?

확인 항목과 증빙의 범위는 고객 유형, 상품, 위험, 적용 법령에 따라 달라진다.

4. 실제 소유자는 대표자와 다를 수 있다

실무에서 말하는 ‘실소유자’는 국내 제도에서 실제 소유자라고 표현한다. 영어로는 Beneficial Owner다.

중심 질문은 다음과 같다.

고객을 최종적으로 소유하거나 지배·통제하는 자연인은 누구인가?

법인 등기상 대표자나 계좌를 개설하러 온 담당자가 반드시 실제 소유자인 것은 아니다.

예를 들어 다음과 같은 구조를 생각할 수 있다.

자연인 A
   ↓
해외 지주회사 B
   ↓
국내 사업회사 C

고객이 C라고 해서 B의 회사 이름을 확인하는 것으로 모든 질문이 해결되지는 않는다. 적용 기준에 따라 상위 소유 및 통제 구조와 자연인을 파악해야 한다.

FATF는 정확하고 최신인 실제 소유자 정보에 접근할 수 있도록 여러 정보원을 결합하는 접근을 강조한다. FATF: 법인의 실제 소유자 지침

지분율만 계산하면 끝날까?

지분은 중요한 판단 근거지만 통제는 다른 방식으로도 발생할 수 있다. FATF 용어집도 소유를 통한 통제 외에 다른 수단을 통한 통제를 다룬다. FATF Glossary

한국 금융정보분석원의 일반 안내는 법인·단체의 경우 25% 이상 지분 소유자 확인을 출발점으로 하고, 확인이 어려운 경우 다른 지배 기준과 대표자 확인으로 이어지는 단계적 절차를 설명한다. 구체적인 적용과 예외는 관련 법령에 따라 확인해야 한다. 금융정보분석원: 실제 소유자 확인

어떤 국가의 지분 기준 하나를 전 세계 공통의 완전한 정의로 사용해서는 안 된다.

5. 위험기반접근법: 모두에게 같은 강도의 확인이 필요할까?

RBA·Risk-Based Approach, 위험기반접근법은 위험에 비례해 조치를 설계하는 접근이다.

고객, 상품, 거래 방식, 지역 등 관련 요소를 평가하고 필요한 확인과 모니터링의 강도를 정한다.

예를 들어 일상적인 국내 거래를 위한 개인 계좌와 복잡한 소유 구조를 가진 기업의 국제 거래는 살펴봐야 할 위험이 다를 수 있다. 이것만으로 어느 한쪽이 불법이라는 뜻은 아니다.

위험이 높으면 추가 정보와 검증, 더 강한 모니터링 등이 필요할 수 있다. 낮은 위험에서는 법과 제도가 허용하는 간소화 조치를 적용할 수 있다. FATF도 비례성과 저위험 영역의 간소화 조치를 강조한다. FATF 위험기반접근법 관련 개정 안내

EDD는 서류를 많이 받는 일일까?

추가 서류의 양보다 어떤 위험을 해소하려는지가 중요하다.

확인 목적에 따라 다음과 같은 조치를 고려할 수 있다.

• 사업과 거래 목적에 대한 추가 설명
• 자금이나 재산 형성 경위에 대한 확인
• 소유 및 통제 구조의 추가 검증
• 필요한 상위 책임자의 승인
• 모니터링 강도와 검토 주기 조정

‘서류를 받았다’와 ‘위험에 관한 의문이 해소됐다’는 다른 상태다.

6. 자금의 원천과 재산의 원천도 다르다

EDD 문서에서는 Source of Funds와 Source of Wealth가 자주 등장한다.

이번 입금이 다른 은행 계좌에서 왔다는 설명만으로 경제적인 자금 원천이 충분히 밝혀졌다고 볼 수는 없다. 어느 계좌에서 이동했는지와 어떤 활동으로 만들어진 돈인지는 서로 다른 질문이다.

FATF의 PEP 지침도 자금의 원천과 재산의 원천을 구분해 다룬다. 확인 범위와 검증 강도는 적용 요건과 위험에 맞춰 정해야 한다. FATF PEP Guidance

7. 제재 대상 확인과 PEP 확인은 같은 일이 아니다

고객 이름을 명단과 비교한다고 해서 모든 스크리닝이 동일한 판단을 하는 것은 아니다.

제재 스크리닝

적용되는 제재나 거래 제한의 대상인지 확인하는 업무다.

한국에서도 특정 개인, 법인, 단체를 금융거래 등에서 제한대상자로 지정하고 관련 거래를 제한하는 제도를 운영한다. 구체적인 제한과 허가 요건은 적용 제도에 따라 판단해야 한다. 금융정보분석원: 금융거래등 제한대상자

PEP 확인

PEP는 Politically Exposed Person, 주요 공적 직무를 맡았거나 맡은 사람 등을 가리킨다.

직무와 영향력이 악용될 가능성에 대응하는 예방적 조치의 대상이지, 범죄자 명단이라는 뜻은 아니다. FATF도 PEP라는 이유만으로 범죄에 연루됐다고 해석해서는 안 된다고 명시한다. 외국, 국내, 국제기구 PEP 등에 대한 구체적 조치도 구분된다. FATF PEP 안내

이름이 같으면 바로 같은 사람일까?

동명이인, 번역과 음역, 약칭 때문에 일치 후보가 생길 수 있다.

서비스에서는 생년월일, 식별정보, 소재지 등 사용 가능한 근거를 대조해 동일인 여부를 검토하도록 설계할 수 있다.

중요한 구분은 다음과 같다.

이름 유사성 발견
        ≠
동일인 확인
        ≠
적용되는 법적 조치 결정

이름 매칭 점수 하나에 최종 판단까지 맡기면 정상 고객에게 불필요한 피해를 줄 수 있다.

8. 거래 모니터링은 고객확인과 어떻게 연결될까?

고객확인으로 거래 목적과 사업을 이해했다면 이후 거래가 그 설명과 부합하는지 살펴볼 수 있다.

예를 들어 고객이 설명한 사업 규모나 거래 상대방과 실제 활동 사이에 큰 차이가 발견됐다고 하자. 시스템은 검토할 신호를 만들 수 있지만 그 차이만으로 범죄가 확정되지는 않는다.

바젤위원회 지침은 최신 CDD 정보와 고객 프로필을 활용해 위험 변화를 파악하고, 비정상 거래 경보를 추가 평가하도록 설명한다. 바젤위원회 AML/CFT 지침

이를 서비스 흐름으로 표현하면 다음과 같다.

고객정보 + 거래정보
         ↓
탐지 규칙, 분석 모델
         ↓
검토 경보 생성
         ↓
관련 정보와 고객 맥락 조사
         ↓
추가 확인, 위험 재평가, 보고 여부 판단

이 흐름은 설명용 예시다. 실제 처리 순서와 조치는 기관 및 법적 요건에 따라 달라진다.

특히 경보, 내부 조사 사건, 외부 보고를 구분해야 한다. 경보가 생성됐다는 이유만으로 자동으로 외부 보고나 거래 제한이 결정되는 것은 아니다.

9. STR과 CTR: 의심을 보고하는가, 현금거래 사실을 보고하는가?

한국 제도에서 자주 혼동하는 두 가지가 있다.

STR: 의심거래보고

금융정보분석원은 불법재산이나 자금세탁행위 등으로 의심되는 합당한 근거가 있는 경우 보고하는 제도로 설명한다.

보고 이후에는 KoFIU가 관련 정보를 종합 및 분석하고 필요한 경우 법집행기관에 정보를 제공하는 과정이 이어진다. 보고 자체와 수사, 기소, 유죄 판단은 다른 단계다. 금융정보분석원: STR

CTR: 고액현금거래보고

공식 안내에 따르면 한국에서는 동일 금융회사에서 동일인 명의로 1거래일 동안 1천만원 이상 현금이 입금되거나 출금되는 경우가 기본적인 보고 기준이다. 실제 적용에는 법령상 합산 방식과 예외 등을 함께 확인해야 한다. 금융정보분석원: CTR

여기서 ‘현금거래’라는 범위가 중요하다. 금융위원회는 이체나 송금이 CTR의 현금거래 대상과는 다르다고 설명한다. 금융위원회 CTR 설명

CTR 기준에 해당하지 않는 거래라도 별도의 의심 근거가 있다면 STR 검토 대상이 될 수 있다. 두 제도를 같은 금액 필터로 구현하면 안 되는 이유다.

10. 고객확인은 가입 이후에도 계속된다

계좌를 개설할 때 확인한 정보가 계속 정확하리라는 보장은 없다.

기업의 실제 소유자가 바뀔 수 있고 사업 내용이나 거래 목적이 달라질 수도 있다. 또 개인 고객의 거래 양상이 변화할 수도 있다.

따라서 서비스 설계에서는 보통 두 가지 갱신 경로를 함께 고려할 수 있다.

모든 고객에게 같은 주기를 적용해야 한다는 뜻은 아니다. 중요한 변화가 생기면 예정된 검토일 이전에도 대응할 수 있어야 한다.

한국에서는 정보 제공 거부 등으로 고객확인을 할 수 없는 경우 신규 거래 거절이나 기존 거래 종료, 의심거래보고 여부 검토에 관한 규정도 있다. 다만 일시적인 시스템 오류를 곧바로 고객의 정보 제공 거부와 동일하게 처리해서는 안 된다. 특정금융정보법 제5조의2

11. 디지털 신원과 LEI, vLEI는 어디에 도움이 될까?

앞선 두 편과 연결하면 역할이 명확해진다.

FATF의 디지털 신원 지침은 디지털 ID를 고객 식별하거나 검증에 사용할 때 기술, 운영체계, 보증 수준과 위험에 대한 적합성을 평가하도록 다룬다. 또한 지속적인 고객확인을 지원할 가능성도 설명한다. FATF Digital Identity Guidance

따라서 디지털 신원 증명에 성공했다는 이유만으로 고객확인 전체가 끝났다고 처리해서는 안 된다.

기업 식별정보와 역할 자격증명을 활용할 때도 실제 소유자 자료, 상태의 최신성, 거래 목적에 대한 판단을 연결해야 한다.

12. IT 시스템으로 구현하면 무엇이 중요할까?

다음은 AML 시스템을 이해하기 위한 개념적인 구성이다.

고객, 기업, 실제 소유자 정보
                ↓
       신원 검증 및 스크리닝
                ↓
          고객 위험평가
                ↓
     거래 모니터링과 정보 갱신
                ↓
        경보 검토, 사건 관리
                ↓
     필요한 조치, 보고, 증거 보관

운영에서는 이 흐름이 반복되며, 새 정보가 이전 판단을 바꿀 수도 있다.

판단 결과와 근거를 함께 남긴다

‘고위험’이라는 결과만 저장하면 나중에 설명하기 어렵다.

설계 시 다음 정보를 함께 관리하는 것을 고려할 수 있다.

• 평가에 사용한 정보와 확인 시점
• 규칙, 모델, 정책의 버전
• 경보와 판단을 연결하는 근거
• 검토자와 승인자
• 예외 처리 및 재검토 이력

외부 솔루션의 결과 해석

이름 매칭, 신원 검증, 위험평가를 외부 사업자에게 맡길 수 있다. 그래도 결과가 무엇을 의미하고 어떤 한계가 있는지 이해해야 한다.

바젤위원회도 은행이 제3자를 활용하더라도 고객확인과 AML/CFT 준수 책임은 은행에 남는다고 설명한다. 바젤위원회 제3자 활용 지침

AI는 검토를 돕되 근거를 만들어내지 않게

활용 예시로는 자료 추출, 동명이인 검토 보조, 사건 시간순 정리, 조사 문서 초안 작성 등을 생각할 수 있다.

이때 AI가 추론한 내용과 확인된 사실을 구분하고, 원문 자료로 돌아갈 수 있어야 한다. FATF의 신기술 보고서도 효율성뿐 아니라 설명가능성, 데이터 품질과 운영상의 위험을 함께 다룬다. FATF: AML/CFT 신기술의 기회와 과제

경보 수만으로 성과를 판단하지 않는다

많은 경보가 항상 좋은 탐지를 뜻하지는 않는다. 정상 거래를 지나치게 많이 경보로 만들면 검토 역량이 소진될 수 있다.

다음은 운영 지표의 예시다.

이 지표들은 함께 봐야 한다. 보고 건수 증가만으로 범죄 탐지 성과가 높아졌다고 단정할 수도 없다.

신원정보와 거래의 맥락

개인의 신원을 확인하면 누구인지에 대한 정보를 얻는다. 기업 신원을 확인하면 어느 법적 실체이며 담당자가 어떤 역할을 하는지 이해할 수 있다.

금융 범죄 방지에서는 그다음 질문이 이어진다.

이 고객은 왜 서비스를 사용하는가? 실제 거래가 설명과 부합하는가? 새로운 정보가 기존 판단을 바꿔야 하는가?

고객확인 정보는 이런 질문을 판단하기 위한 기준점이 된다. 거래 모니터링에서 발견한 변화는 다시 고객정보와 위험평가를 갱신하는 근거가 된다.

AML 시스템을 설계한다면 신분증 검사 결과를 저장하는 기능과 함께 정보, 위험, 거래, 검토 결과가 서로 갱신되는 구조를 살펴봐야 한다.

참고 자료

• 금융정보분석원 — 자금세탁방지제도
• 금융정보분석원 — 고객확인제도
• 금융정보분석원 — 의심거래보고
• 금융정보분석원 — 고액현금거래보고
• FATF — Recommendations
• FATF — Beneficial Ownership Guidance