컴플라이언스 연극: 모두가 당신의 KYC 파일을 보관하는 이유

저는 컴플라이언스를 직업으로 합니다. Eesti Firma는 인가된 신탁 및 법인 서비스 제공업체로서 의무이행주체입니다. 즉, EU 전역에 대체로 같은 방식으로 적용되는 자금세탁 방지(AML) 법률에 따라 고객을 확인하고 의심스러운 사항을 신고해야 하는 사업자 중 하나입니다. 당사를 통해 법인을 등록하는 모든 고객은 신원 확인, 제재 및 의심거래 대상 확인, 자금 출처 질문을 받으며, 저는 이를 제대로 수행해야 한다고 믿습니다. 단순한 창업자의 신원을 확인하고 제재 및 정치적 주요 인물 명단과 대조하는 데 숙련된 담당자는 약 15~20분이 걸립니다. 나머지 온보딩은 그 15분을 중심으로 구성된 서류 작업이며, 고객이 만나는 다른 모든 의무이행주체가 처음부터 다시 만듭니다.

이는 고객확인(KYC) 절차에 반대하는 주장이 아닙니다. 그것이 무엇으로 변했는지에 대한 주장입니다. 사후 결과를 두려워하기에 연쇄상의 모든 주체가 업무를 신중히 수행하고, 그 두려움은 어느 순간 목적 자체가 되었습니다. 저는 이 파일이 자금세탁을 막기보다 검사관이 왔을 때 보관 기관이 올바른 질문을 했음을 증명하기 위해 존재한다고 생각하게 되었습니다.

한 고객, 세 번 또는 네 번의 확인

에스토니아 유한책임회사(OÜ)와 사용할 수 있는 계좌를 원하는 독일, 스페인 또는 튀르키예 출신 창업자라는 전형적인 고객의 첫 몇 달을 살펴보겠습니다. 규칙은 같은 EU 지침에서 나오므로 더블린이나 리스본에서도 순서는 대체로 같을 것입니다. 에스토니아는 e-resident에게 자체 절차를 하나 더 추가합니다.

1. e-resident를 위한 국가. 에스토니아의 디지털 ID를 원하는 창업자는 e-Residency를 신청하고, 카드 발급 전 Police and Border Guard Board가 신원 조사를 수행합니다. 이는 법적 의미의 AML 확인이 아니라 다른 법률에 따른 심사이지만, 동일한 여권과 목적에 대한 동일한 설명을 요구하며 신청자는 이에 대한 국가 수수료를 납부합니다.
2. 서비스 제공업체. 당사는 창업자의 신원을 확인하고 실질 소유자를 확정하며, 제재 및 PEP 명단과 대조합니다(PEP는 공직으로 인해 뇌물 위험이 있는 정치적 주요 인물입니다). 또한 사업 내용과 초기 자금 출처를 질문하고 위험 수준을 부여합니다. 이는 설문지, 일련의 서류 및 통상 영상 통화로 이루어집니다.
3. 공증인. 에스토니아 디지털 ID가 없는 창업자는 대신 공증인을 통해 법인을 설립하며, 공증인 역시 동일한 의무를 지닌 별도의 의무이행주체입니다. 당사의 파일은 그 사무소에서 효력이 없으므로, 공증인이 직접 고객을 확인하고 소유자를 검토합니다.
4. 은행 또는 결제기관. 은행 또는 핀테크 중 계좌를 개설하는 곳은 자체 양식, 자체 서류 목록 및 자체 면담을 진행합니다. 사업계획, 예상 거래량, 주요 거래상대방 및 자금 출처를 다시 요구합니다. 당사 고객 다수가 필요한 두 번째 계좌는 동일한 절차를 한 번 더 의미합니다.

경로에 따라 창업자는 이 중 세 번 또는 네 번을 거치며, 확인은 거기서 끝나지 않습니다. 고객이 당사 청구서를 납부할 때 당사 은행은 납부자가 누구이고 자금의 용도가 무엇인지 물을 수 있습니다. 이후 회사를 맡는 회계사도 의무이행주체입니다. 또한 이들 각 기관은 관계 종료 후 최소 5년간 파일을 보관하고 최신 상태로 유지하며 개인정보로 보호하고 이를 기준으로 모니터링해야 합니다. 각 기관은 보유 정보에 대해 별도로 책임지기 때문입니다.

각 절차는 별도로 비용이 청구됩니다. 당사와 같은 제공업체는 설문지를 검토하고, 서류를 요청하며, 이름을 대조하고, 위험 평가를 작성한 뒤 수년간 파일을 유지할 인력을 고용하며, 해당 업무는 수수료로 충당됩니다. 공증인은 시간을 청구합니다. 은행의 지출이 단연 가장 큽니다. 한 업계 조사에 따르면 전 세계 금융 부문의 금융범죄 컴플라이언스 비용은 2022년에 $270 billion을 초과했습니다. 각 비용은 서로 다른 예산에 속하므로 아무도 합산하지 않지만, 고객은 수수료와 국가 수수료를 통해 모두 부담하고 각 단계의 컴플라이언스 직원은 이전 단계의 발견 사항을 보지 못합니다. 나머지 EU 규정집과 마찬가지로 이는 고정비입니다. 은행은 흡수하지만 직원이 12명인 제공업체는 전액을 부담합니다.

양식이 서류철이 된 과정

10년 전에도 확인 절차는 있었지만 서류철이 아닌 양식이었습니다. 계좌 개설에는 여권, 서명, 몇 가지 질문이 필요했고 당사 같은 제공업체는 얇은 파일을 보관했습니다. 이후 스캔들이 발생했습니다. EU는 2015년과 2018년에 자금세탁 방지 지침을 개정하며 매번 의무이행주체와 의무를 추가했습니다. 에스토니아는 2017년에 새 국가 법률을 도입했고, 2018년 Danske Bank 보고서는 탈린 지점 하나를 거친 비거주자 자금이 약 €200 billion이며 그 상당 부분이 나중에 의심스럽다고 판단되었다는 수치를 제시했습니다. 작은 국가가 세탁의 대명사가 되었습니다.

Danske의 문제는 양식 부족이 아니었습니다. 은행은 비거주 고객의 파일을 보유했지만 자체 모니터링 결과를 무시했고 감독기관은 한 기관을 충분히 면밀히 보지 않았습니다. 그럼에도 대응은 모두를 위한 더 많은 양식이었습니다. 모든 은행과 감독기관은 공개적 망신 뒤 모든 조직이 하듯 더 많이 묻고, 더 많이 보관하며, 아무도 신뢰하지 않았습니다. 제 경험상 이 순환은 한 방향으로만 진행됩니다. 감독기관은 막지 못한 스캔들 때문에 비난받지, 정직한 고객 10,000명에게 작성하게 한 설문지 때문에 비난받지 않습니다. 의무이행주체는 비워 둔 항목 때문에 벌금을 받지, 추가한 항목 때문에 받지 않습니다. 브뤼셀과 탈린에는 간소화 프로그램이 있지만 누구의 검사가 그것에 달려 있지 않아 질문은 삭제되는 속도보다 더 빠르게 쌓입니다.

법률은 공유를 허용하지만 실제로는 아무도 공유하지 않습니다

공정하게 말하면, 신원은 이미 공유되고 있습니다. e-resident 또는 에스토니아 거주자가 디지털 ID로 로그인할 때 모든 은행과 서비스 제공업체는 국가가 검증한 신원에 의존합니다. 공유되지 않는 것은 파일의 그 밖의 모든 정보, 즉 소유자가 누구인지, 사업 내용은 무엇인지, 자금의 출처는 어디인지입니다. 법률도 이를 허용합니다. 현행 EU 지침과 2027년 7월부터 적용되는 새로운 EU Anti-Money Laundering Regulation 모두 의무기관이 다른 의무기관이 이미 수행한 고객 확인에 의존할 수 있도록 하며, 새로운 EU 기관 AMLA는 그 방법에 관한 지침을 발행할 예정입니다. 그렇다면 은행은 왜 우리 고객에게 처음부터 다시 시작하라고 요구합니까?

책임이 의존하는 주체에 남기 때문입니다. 당사 파일이 틀린 것으로 드러나면 벌금은 은행에 부과되고, 은행 감독기관은 은행이 통제하지 않는 회사를 왜 신뢰했는지 당사가 아니라 은행에 물을 것입니다. 다른 회사의 절차를 평가하는 비용은 고객에게 새 양식을 보내는 비용보다 크므로, 모든 기관은 같은 합리적 선택을 합니다. 법률은 문서상 의존을 허용하고 실제로는 이를 처벌하며, 그러한 합리적 개별 선택의 합계가 제목의 연극입니다. 파일은 더 이상 도구가 아니라 상품이 되었습니다. 보유자가 보호받도록 존재하고, 완전하며, 요구 시 제출될 수 있어야 합니다.

법인 설립은 제 업무이기에 제 사례이지만, 이 패턴은 경제 전반에 걸쳐 나타납니다. EU 어느 도시에서든 아파트를 매각하면 부동산 중개인, 공증인, 대출 은행, 때로는 구매자의 저축을 이체하는 은행에 파일이 생깁니다. 한 거래의 같은 두 사람에 관한 네 개의 파일이며 어느 것도 이전 파일을 활용하지 않습니다. 에스토니아 환전소에서 현금 €1,000 초과를 환전하면 신원 확인과 기록이 이루어지고, 환전소는 수천 건의 기록과 함께 수년간 보관합니다. 회계사, 감사인, 변호사 및 귀중품 거래상도 같은 종류의 파일을 보유합니다.

파일에서 위험을 줄이는 요소

시장 전반의 은행과 제공업체가 신규 회사에서 수집하는 표준 파일은 제가 보기에 세 그룹으로 나뉩니다. 회사 악용을 어렵게 만드는 부분, 주로 보유자가 검사관을 만족시키기 위해 존재하는 부분, 순수한 의례인 부분입니다. 이 표는 법적 분류가 아닌 제 분류이며, 각 행의 기준은 간단합니다. 누군가 이 정보에 따라 실제 행동을 하는가입니다.

표에서 두 가지가 따라옵니다. 첫째, 파일은 이후 누군가 이를 기준으로 모니터링할 때에만 제값을 하며, 위 연쇄에서는 은행만 해당합니다. 둘째, 길이는 중간 그룹에서 나옵니다. 검사관은 당사가 고객을 이해했는지는 볼 수 없지만 항목 14가 작성되었는지는 볼 수 있으므로 항목은 추가되고 거의 삭제되지 않습니다.

수치가 말하는 것

제가 가장 잘 알고 있으며 Financial Intelligence Unit가 연감을 발간하기 때문에 에스토니아 수치를 사용합니다. 2024년에 해당 기관은 의무기관으로부터 14,185건의 보고를 받았습니다. 조사기관에 분석된 정보 133건을 전달했고 약 1,700건의 추가 정보도 이전했으며, 조사기관은 해당 기관이 동결한 자산 중 €5.7 million을 압수했습니다. 국가 위험 평가에 따르면, 해당 기관의 분석된 정보 전달은 2024년에 10건의 신규 형사절차로 이어졌고, 2024년까지의 5년 동안 에스토니아 법원은 자금세탁 사건에서 32건의 판결을 선고했습니다.

이제 다른 측면입니다. 에스토니아에서는 매년 25,000개 이상의 신규 에스토니아 유한책임회사(OÜ)가 등록되고, 등기소에는 모든 유형을 합쳐 약 370,000개의 법인이 있으며, e-Residency 프로그램에는 134,000명 이상의 e-resident가 있습니다. 각 신규 회사, 계좌 및 디지털 ID는 최소 하나의 완전한 KYC 파일을, 통상 여러 개를 의미합니다. 이는 제 추정임을 강조하지만, 에스토니아의 의무이행주체는 매년 100,000개를 훨씬 넘는 KYC 파일을 만들고 전체 시스템은 이를 10건의 형사절차와 수백만 유로의 압수로 전환한다고 봅니다. 고객 10,000명 중 1명에게 범죄 의도가 있다고 가정해 보십시오. 나머지 9,999명은 그 한 명을 찾기 위해 세 번 또는 네 번의 확인을 거치지만, 위 수치는 대개 그조차 찾지 못한다고 말합니다.

정당한 이의가 두 가지 있으며, 이를 밝히고자 합니다. 하나는 억지력입니다. 질문을 받게 될 것을 알기에 애초에 신청하지 않는 범죄자는 어떤 통계에도 나타나지 않습니다. 이는 사실이며, 또한 누구도 이를 증명해야 했던 적이 없는 이유이기도 합니다. 다른 하나는 규모입니다. 하나의 자금세탁 계획은 정직한 기업 1,000곳의 수익보다 더 많은 돈을 움직일 수 있고, 파일이 Danske를 막았다면 그 비용은 여러 번 충분히 회수되었을 것입니다. 그러나 파일은 Danske를 막지 못했고, FIU가 연감에서 설명한 유죄판결은 설문지가 아니라 의심거래 보고에서 시작되었습니다. 온보딩 파일은 비용이 지출되는 곳이고, 모니터링은 결과가 나오는 곳입니다. 국제적 증거도 같은 방향을 가리킵니다. Europol은 2016년에 EU 내 범죄수익 중 실제로 몰수되는 비율이 약 1%에 불과하다고 추정했으며, 비용과 회수액을 나란히 비교하려 한 연구자 로널드 폴은 준수 비용이 회수된 자금을 100배 이상 초과한다고 결론지었습니다. 에스토니아의 어떤 감독기관도 자신이 운영하는 시스템에 대해 이와 같은 비교를 공개한 적이 없습니다.

저는 균형이 개선될 것으로 기대하지 않습니다. 새 EU 규정집은 유럽 감독기관, 현금 지급 €10,000 한도, 크라우드펀딩 플랫폼부터 축구 클럽까지 여러 새 의무이행주체 범주를 추가합니다. 새 범주는 또 다른 서랍을 의미합니다. 앞으로의 모든 스캔들은 항목을 추가할 것입니다. 항목 추가가 기관이 배웠음을 보여주는 방식이기 때문입니다. 또한 단일 유럽 규정집은 규정에 적힌 질문을 쓸모없음을 알아차린 국가 의회가 삭제할 수 없으므로 어떤 철회도 더 어렵게 만듭니다.

아무도 이를 공개적으로 말하지 않는 이유

이를 저울질하는 일은 유행하지 않습니다. 공개적으로 자금세탁에 대한 유일하게 안전한 입장은 더 많은 것입니다. 더 많은 확인, 더 많은 신고, 더 많은 열의입니다. 마지막 규정이 무엇을 달성했는지 묻는 사람은 범죄자에게 더 적은 규정을 원한다는 사람으로 들릴 위험이 있으므로, 제 경험상 사적으로 이런 의문을 많이 공유하는 컴플라이언스 담당자와 변호사들은 이를 사적으로만 간직합니다. 자금세탁 방지는 정책이라기보다 명분이 되었고, 명분에는 비용 대비 편익 수치가 거의 요구되지 않습니다.

아무도 저울질하지 않을 때 이 길이 어디로 향하는지 때문에 이를 명확히 말할 가치가 있습니다. 세계에서 가장 엄격한 개인정보보호법을 만든 유럽은 다른 한편으로 수백만 민간 사업자에게 고객의 서류철을 수년간 보관하고, 의심되면 국가에 신고하며, 서류철이 부실하면 책임지도록 의무화했습니다. 이 파일 하나하나는 범죄를 막기 위해 선의로 개설되었습니다. 그러나 함께 보면 누가 무엇을 소유하고 누가 누구에게 지급했는지에 관한 상시 기록이며, 먼저 검사관에게 답하는 서랍에 보관됩니다. 누군가 이를 설계했다고 생각하지 않습니다. 또한 누군가 그 목적을 묻지 않은 채 계속 늘어나야 한다고도 생각하지 않습니다.

제가 바꾸고 싶은 것

대부분은 새 법률이 아니라 기존 법률을 적용하는 방식에 대한 다른 결정만 필요합니다. 첫 번째 항목은 새 법률이 필요합니다.

1. 고객이 휴대하는 하나의 검증 파일. 누군가 한 번 신원을 검증하고 인가, 보험 및 감사를 뒷받침으로 그 검증에 대한 책임을 지도록 하여, 이에 의존한 기관이 오류 시 처벌받지 않게 해야 합니다. 검증자는 은행, 공증인, 인가된 제공업체 또는 디지털 ID 기반 국가 서비스가 될 수 있으며, 중요한 것은 책임의 위치입니다. 오늘날 국가와 EU의 규칙은 모두 이를 의존하는 자에게 부과하므로 아무도 의존하지 않습니다. 변경에는 입법자가 필요하며 AMLA의 향후 의존 지침은 논의를 시작할 자연스러운 장소입니다.
2. 양식이 아니라 결과를 감독하십시오. 검사는 모든 양식의 모든 항목이 작성되었는지가 아니라 회사의 모니터링이 무엇을 산출했고 신고가 어디로 갔는지를 물어야 합니다.
3. 회사에 맞는 양식. 창업자 1명과 매출이 없는 신규 회사에는 20페이지가 아닌 2페이지가 필요합니다. 법률이 고위험 고객에게 유보하는 심화 질문과 더 깊은 확인은 활동이 시작되어 검토할 대상이 생기는 시점에 해야 합니다.
4. 달력이 아니라 변화에 따른 재-KYC. 새 소유자, 새 국가 또는 새 사업 분야는 다시 살필 이유입니다. 2년의 경과는 그렇지 않습니다.
5. 국가가 이미 보유한 데이터를 사용하십시오. 기존 회사의 경우 에스토니아 상업등기소(Äriregister)에 소유자, 경영진 및 연차 보고서(majandusaasta aruanne)가 있습니다. 의무이행주체는 고객에게 다시 입력하도록 요구하는 대신 등기소에서 이를 가져와야 합니다. 에스토니아 대법원도 2026년 1월 Financial Intelligence Unit가 모든 인가 서비스 제공업체에 보낸 44개 질문 양식이 국가가 먼저 보유 데이터를 사용해야 한다는 이유 등을 들어 위법이라고 판결했을 때 감독기관 자체에 같은 논리를 적용했습니다.

연극 없이 확인 절차 통과하기

Eesti Firma는 법률과 자체 위험 평가가 요구하는 자료를 요청하고 각 서류가 중요한 이유를 설명합니다. 또한 은행과 결제기관에 다시 작성 없이 제출할 수 있도록 처음부터 하나의 서류와 답변 세트를 만들도록 고객을 돕습니다. 제 경험상 온보딩을 짧게 하는 것은 더 짧은 설문지가 아니라 질문하는 모든 이에게 일관되게 설명된 사업입니다. 스스로 의무이행주체가 되는 회사에는 법률이 요구하는 정책 및 절차를 작성해 드립니다. 인정하건대 이것도 같은 연극의 일부이지만, 단지 완전한 문서가 아니라 실제로 사용할 수 있는 문서로 작성하는 차이는 만들 수 있습니다. 회사를 설립하며 보내는 자료를 실제로 읽는 사람들이 컴플라이언스 부분을 처리하기 원하시면, 법인 설립과 그 이후의 모든 과정을 도와드릴 수 있습니다.

문의 보내기