혁신, 아웃소싱과 운영 회복력
스위스는 은행 규제를 새로운 사업 모델에 맞추어 조정하려고 노력해 왔다. 2017년부터 「은행 시행령」(BankO)은 기업이 은행 인가 없이 100만 스위스 프랑까지 공중으로부터 예금을 수취하는 것을 허용하고 있다. 다만 그 예금을 투자하거나 이자를 지급하지 않아야 하며, 고객에게 예금이 보호되지 않는다는 사실을 알려야 한다. 샌드박스로 알려진 이 제도는 스타트업이 인가를 받아야 하기 전에 자신의 사업 모델을 시험할 수 있게 한다.1
2019년 1월 1일에는 흔히 핀테크 인가라고 불리는 새로운 인가 유형이 뒤따랐다. 이 인가는 금융기관이 1억 스위스 프랑까지 공중으로부터 예금을 수취하거나 집합 보관 방식으로 암호자산을 보관하는 것을 허용한다. 다만 그 자금을 투자하지도, 이자를 지급하지도 않아야 한다. 이러한 기관은 은행을 특징짓는 만기 변환을 수행하지 않으므로 보다 완화된 요건을 적용받는다. 이 요건은 최저 자본, 조직 및 자기자본 규정에 관한 것으로, 상당히 경감되어 있다. 그 고객은 예금 보호를 받지 못하며, 이 사실을 고지받아야 한다.2 부여된 핀테크 인가의 수는 적은 상태로 남아 있다. 여러 보유 기관이 지급결제 및 암호자산·디지털 자산 분야에서 활동하고 있으며, 이 때문에 지급수단 기관과 암호 기관에 관한 연방평의회의 2025년 제안이 이 개념을 재검토하였다.
은행이 점점 더 많은 업무를 서비스 제공업체와 클라우드 플랫폼에 위탁함에 따라, 감독기관은 그로 인해 발생하는 위험에 대응하여야 했다. 2018년에 개정된 스위스 금융시장감독청(FINMA)의 아웃소싱 회람은 은행이 위탁한 기능의 목록을 유지하고 서비스 제공업체를 신중하게 선정, 지시 및 감시하도록 요구한다. 계약은 은행, 그 감사법인 및 FINMA가 필요한 정보에 대한 접근권을 유지하도록 보장하여야 한다. 기능을 해외에 위탁하는 경우, 은행은 그 기능을 스위스에서 복구하거나 다른 제공업체로 이전할 수 있도록 보장하여야 한다.3
운영 회복력은 바젤위원회가 2021년에 이에 관한 원칙을 채택한 이후 독자적인 감독 개념이 되었다. FINMA는 이 원칙을 운영 위험 및 회복력에 관한 새로운 회람에 반영하였으며, 이 회람은 2024년 초에 시행되어 2008년의 회람을 대체하였다. 은행은 자신의 핵심 기능을 식별하고, 각 기능에 대한 중단 허용 한도를 정하며, 심각하지만 개연성 있는 시나리오에서도 그 한도 내에서 기능을 유지할 수 있음을 입증하여야 한다.4 회람은 또한 정보통신기술, 데이터 및 사이버 위험의 관리에 관한 요건을 포함하고 있다.
사이버 공격은 FINMA가 스위스 금융 중심지에 가장 중대하다고 보는 운영 위험 가운데 하나이다. 2020년부터 감독 대상 기관은 중대한 사이버 공격을 탐지한 후 짧은 기간 내에 FINMA에 보고하고, 그 후 전체 보고서를 제출하여야 한다. 2025년부터는 은행을 포함한 핵심 기반시설 운영자에 대한 일반적인 보고 의무에 따라 연방 사이버 보안 당국에도 사이버 공격을 보고하여야 한다.5 바젤의 프라이빗 뱅크 고객에게 이러한 규정은 기술적인 것으로 보일 수 있다. 그러나 이 규정은 그러한 고객에게 가장 중요한 것, 즉 데이터의 비밀성과 자산의 가용성을 보호한다.
주석
- 2017년 8월 1일부터 시행된 「은행 시행령」 제6조 제2항에 따른 100만 스위스 프랑까지의 공중 예금 수취에 관한 인가 면제 혁신 영역(샌드박스)과 결제계좌 예외의 60일로의 연장에 대해서는 SR 952.02 및 FINMA 간행물을 참조. ↩
- 2019년 1월 1일부터 시행된 「은행법」(BankA) 제1b조에 따른 기관 인가(핀테크 인가), 1억 스위스 프랑의 공중 예금 한도 및 「은행 시행령」 제14a조 이하에 따른 완화된 요건에 대해서는 SR 952.0, SR 952.02 및 FINMA의 지침을 참조. ↩
- 2018년 4월 1일부터 시행된 FINMA 회람 2018/3 “Outsourcing – banks and insurers”, 중요 기능의 위탁에 관한 요건(목록, 서비스 제공업체의 선정 및 감시, 감사권 및 접근권, 해외 위탁 포함). ↩
- 2024년 1월 1일부터 시행되어 회람 2008/21을 대체한 FINMA 회람 2023/1 “Operational risks and resilience – banks” 및 2021년 3월 바젤위원회의 Principles for Operational Resilience에 대해서는 FINMA와 국제결제은행(BIS)의 간행물을 참조. ↩
- FINMA 지침 05/2020에 따른 사이버 공격 보고 의무(24시간 이내 최초 보고, 72시간 이내 전체 보고)와 2025년 4월 1일부터 시행된 「정보보안법」에 따른 핵심 기반시설 운영자의 보고 의무에 대해서는 FINMA와 연방 사이버보안청의 간행물을 참조. ↩
일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.