Summary
이 장은 제도의 존재, 운영, 조치 기록이 각각 무엇을 말하고 무엇을 말하지 않는지를 묻는다. 내부통제 기록을 세 층으로 나누어 제도의 존재가 말하는 것과 준법감시인의 임면 구조를 놓고, 모티브의 경보 기록이 어느 층에 놓이는지를 분석한다. 조치 기록이 비어 있을 때의 자리를 확인하고 다음 물음으로 맺는다.
10.1내부통제기준의 법정 자리
조문이 요구하는 수준을 확인한 뒤 남는 질문은, 회사가 갖춘 준법감시 매뉴얼이 그 요구와 어떤 자리에서 만나느냐이다. 금융회사의 지배구조에 관한 법률 제24조는 내부통제기준의 법정 자리를 다음과 같이 정한다. "금융회사는 법령을 준수하고, 경영을 건전하게 하며, 주주 및 이해관계자 등을 보호하기 위하여 금융회사의 임직원이 직무를 수행할 때 준수하여야 할 기준 및 절차(이하 “내부통제기준”이라 한다)를 마련하여야 한다"(금융회사의 지배구조에 관한 법률 제24조). 이 문장은 마련의 의무를 다루며, 마련된 기준이 실제로 지켜졌는지까지 다루지 않는다.
제24조는 대상과 목적을 함께 적는다. 법령 준수, 건전한 경영, 주주와 이해관계자 보호라는 목적은 임직원이 직무를 수행할 때 준수할 기준과 절차의 마련으로 이어진다. E증권이 비치한 준법감시 매뉴얼이 임직원의 주문 처리를 규율하는 기준과 절차를 담는다면 그 매뉴얼은 제1항이 말하는 내부통제기준에 놓인다. 다만 주문 내역과 경보 기록만으로는 매뉴얼의 내용이 제1항의 목적에 부응하는 기준과 절차를 갖췄는지까지 확정할 수 없다. 그 범위는 미정으로 남는다.
제1항의 의무에는 예외가 붙는다. 예외가 성립하는 경우를 확인하기 위하여 조문의 단서를 함께 읽는다. "제1항에도 불구하고 금융지주회사가 금융회사인 자회사등의 내부통제기준을 마련하는 경우 그 자회사등은 내부통제기준을 마련하지 아니할 수 있다"(금융회사의 지배구조에 관한 법률 제24조). 단서가 요구하는 것은 금융지주회사의 마련이며, 자회사 자신의 마련은 그 경우 생략될 수 있다. E증권의 지배 구조나 모회사의 대응이 어떠한지는 확인된 사실에 없으므로 단서의 적용 여부는 여기에서 판단하지 않는다.
내부통제기준의 내용은 법률이 직접 정하지 않는다. 제24조는 세부 사항의 위임을 명시한다. "내부통제기준에서 정하여야 할 세부적인 사항과 그 밖에 필요한 사항은 대통령령으로 정한다"(금융회사의 지배구조에 관한 법률 제24조). 위임된 사항의 구체적 내용은 이 자리에서 다루지 않으며, 매뉴얼의 조항 하나 하나가 위임 범위에 드는지도 확정하지 않는다. 확인할 수 있는 것은 법률이 기준과 절차의 마련을 의무로 두되 그 내용의 틀을 하위 규범에 맡긴다는 점이다.
정리하면, 제24조가 법정 자리에 놓는 것은 내부통제기준의 마련이다. E증권이 준법감시 매뉴얼을 비치한 사실은 그 마련의 층에 관한 기록으로서 의미를 갖는다. 경의 시세조종 주문과 그 기간의 경보는 마련된 기준이 직무 수행 가운데 어떻게 작동했는지의 문제를 따로 열며, 그 질문은 마련의 의무와 겹치지 않는다. 제24조의 문언이 마련 이후의 운영이나 결과까지 의무로 구성하지 않으므로, 매뉴얼 비치만으로 법인의 책임이 생기거나 면해진다고 보지 않는다.
10.2제도의 존재가 말하는 것
내부통제기준의 법정 자리가 제24조의 문면에서 확인된 데에서 나아가, 이제 사례의 기록이 무엇을 보여주는지 살필 차례다. 준법감시 매뉴얼 비치, 연 2회 교육 실시와 이수 명단 보관, 그리고 열한 차례의 경보 발동이 남긴 기록은 각각 다른 층위의 사실을 담는다. 그 층위를 구분하지 않으면 제도의 존재를 곧바로 위반의 부재로 읽는 오류에 빠진다.
제도의 존재 층에서 먼저 확인되는 것은 매뉴얼 비치와 교육 이수 명단 보관의 사실이다. 금융회사의 지배구조에 관한 법률 제24조 제1항은 "금융회사는 법령을 준수하고, 경영을 건전하게 하며, 주주 및 이해관계자 등을 보호하기 위하여 금융회사의 임직원이 직무를 수행할 때 준수하여야 할 기준 및 절차(이하 “내부통제기준”이라 한다)를 마련하여야 한다."고 정한다. 회사가 준법감시 매뉴얼을 비치하고 교육을 실시한 기록은 이 조항이 요구하는 기준 및 절차의 마련이 있었다는 사실을 보여준다. 다만 그 문언은 마련의 의무를 규정할 뿐이고, 비치와 교육의 형식적 사실이 실제 운영의 충실함까지 입증하는 것은 아니다.
교육 이수 명단의 보관은 누가 교육을 받았는지를 남긴 기록이다. 그러나 이수 명단이 그대로 위반의 부재를 뜻하지는 않는다. 경은 교육을 이수했을지라도 같은 기간 시세조종 주문을 낸 사실이 확인되었다. 이수 명단은 교육의 시행과 참여를 보여줄 뿐이고, 교육 이후의 직무 수행이 기준에 맞았는지는 별도의 문제로 남는다. 따라서 기록의 존재 층과 준수의 실질 층을 나누어 읽어야 한다.
울린 경보는 세 층 가운데 운영의 층을 가리킨다. 이상 거래 탐지 시스템이 같은 기간 열한 차례 경보를 냈으나, 그 경보에 대해 조치한 기록은 발견되지 않았다. 이 사실은 시스템이 작동했음을 보여주면서도, 경보가 실제로 처리되지 않았을 가능성을 남긴다. 경의 주문이 어떤 내부 절차를 거쳐 처리되었는지, 준법감시인이 경보를 보고받았는지, 회사가 경보 이후 어떤 내부 점검을 했는지는 미정이다. 이 사실들이 모여도 곧 법인의 확정 손해나 경의 고의로 이어지는 것은 아니다.
결국 제도의 존재가 말하는 것은 기준과 절차가 마련되어 있었고, 그 운영을 남길 기록이 일부 존재한다는 점이다. 반면 제도의 존재는 그 기준이 실제 준수되었는지, 경보가 의미 있게 처리되었는지, 그리고 그 사이에 손해가 발생했는지를 말하지 않는다. 사례에서 확인된 기록의 층을 이처럼 나누어 읽을 때, 제24조의 문언이 정한 마련 의무와 운영의 실질 사이의 거리가 드러난다.
10.3준법감시인의 임면 구조
앞 단위가 매뉴얼과 교육 기록이 보여주는 한계를 가리켰으므로, 이제는 그 기록을 둔 준법감시인이라는 자리가 무엇인지 묻는다. 준법감시인의 임면 구조는 제25조에 규정되어 있다.
금융회사의 지배구조에 관한 법률 제25조는 준법감시인의 업무 범위를 먼저 밝힌다. 동법 제25조 제1항은 "금융회사(자산규모 등을 고려하여 대통령령으로 정하는 투자자문업자 및 투자일임업자는 제외한다)는 내부통제기준의 준수 여부를 점검하고 내부통제기준을 위반하는 경우 이를 조사하는 등 내부통제 관련 업무를 총괄하는 사람(이하 “준법감시인”이라 한다)을 1명 이상 두어야 하며, 준법감시인은 필요하다고 판단하는 경우 조사결과를 감사위원회 또는 감사에게 보고할 수 있다"라고 규정한다. 즉 준법감시인은 준수 여부를 점검하고 위반을 조사하는 업무를 총괄하며, 조사결과를 감사위원회 또는 감사에게 보고할 수 있다. 여기서는 보고를 할 '수' 있다는 것이지 반드시 보고해야 한다는 뜻은 아니다.
준법감시인은 누구나 맡을 수 있는 자리는 아니다. 동법 제25조 제2항은 "금융회사는 사내이사 또는 업무집행책임자 중에서 준법감시인을 선임하여야 한다. 다만, 자산규모, 영위하는 금융업무 등을 고려하여 대통령령으로 정하는 금융회사 또는 외국금융회사의 국내지점은 사내이사 또는 업무집행책임자가 아닌 직원 중에서 준법감시인을 선임할 수 있다"라고 선임 범위를 정한다(금융회사의 지배구조에 관한 법률 제25조). 원칙적으로 사내이사 또는 업무집행책임자 가운데서 뽑되, 대통령령이 정하는 금융회사나 외국금융회사의 국내지점에 한해 직원 중에서 뽑을 수 있다. E증권이 어느 쪽에 해당하는지, 그리고 경이 그런 범위 밖에서 어떤 절차로 뽑힌 사람인지는 자료로 확인되지 않았다.
임면 절차는 별도로 보호된다. 동법 제25조 제3항은 "금융회사(외국금융회사의 국내지점은 제외한다)가 준법감시인을 임면하려는 경우에는 이사회의 의결을 거쳐야 하며, 해임할 경우에는 이사 총수의 3분의 2 이상의 찬성으로 의결한다"라고 정한다. 임면은 이사회 의결을 거치고, 해임은 이사 총수의 3분의 2 이상 찬성이 필요하다. 해임 요건이 더 두터운 것은 준법감시인이 회사 내부에서 자기 자리를 지키며 점검을 계속할 수 있게 하려는 취지다. 임기는 동법 제25조 제4항에서 "준법감시인의 임기는 2년 이상으로 한다"라고 정한다.
이 구조가 준법감시인의 지위에 무엇을 보태는지 살핀다. 임면을 이사회에 맡기고 해임 요건을 높인 것은 준법감시인이 회사의 일상적 지시에 흔들리지 않도록 한 장치다. 또 동법 제25조 제6항은 "금융회사는 준법감시인에 대하여 회사의 재무적 경영성과와 연동하지 아니하는 별도의 보수지급 및 평가 기준을 마련하여 운영하여야 한다"라고 정하여 보수와 평가를 경영성과와 분리한다. 그러나 이 구조가 준법감시인이 실제로 어떤 보고 경로로 움직였는지까지 정하지는 않는다.
사례에서 경보 열한 차례가 울렸고 조치 기록이 없다는 사실을 앞에 두고, 준법감시인이 그 경보를 보고받았는지, 또 어떤 내부 점검을 이어갔는지는 정해져 있지 않다. 제25조 제1항은 조사결과를 감사위원회 또는 감사에게 보고할 수 있다고만 하여 보고가 의무라고 말하지 않고, 경보가 준법감시인에게 먼저 닿았는지도 말하지 않는다. 따라서 지금 확인된 것은 회사가 제도를 두었다는 사실과 경보가 울렸다는 사실뿐이며, 준법감시인의 실제 보고와 점검은 기록으로 이어지지 않았다.
10.4운영 층에 놓인 경보 기록
임면 구조가 지위를 가렸다면, 이제 경보 열한 차례가 어느 층에 놓이는지를 묻는다. 이상 거래 탐지 시스템이 같은 기간 열한 차례 경보를 낸 것은 준법감시인의 자격이나 임면 절차와는 다른 차원의 사실이다. 이 기록을 읽기 전에 먼저 그것이 무엇에 관한 기록인지 가려내야 한다.
제도의 운영에 관한 기준은 법령이 따로 정하고 있다. 금융회사의 지배구조에 관한 법률 제24조 제1항은 내부통제기준의 마련 의무를 두고, 그 취지를 "금융회사는 법령을 준수하고, 경영을 건전하게 하며, 주주 및 이해관계자 등을 보호하기 위하여 금융회사의 임직원이 직무를 수행할 때 준수하여야 할 기준 및 절차(이하 “내부통제기준”이라 한다)를 마련하여야 한다"고 밝힌다. 이 조문은 임직원이 지켜야 할 기준과 절차를 회사가 마련할 것을 요구할 뿐이다. 경보 하나하나를 임직원의 위반으로 확정하는 문장은 들어 있지 않다. 조문이 지키라고 내세운 목표는 법령 준수와 경영의 건전성, 주주 및 이해관계자 보호다. 목표를 달성하는 수단은 기준과 절차의 마련이며, 경보 기록은 그 수단이 가동된 자리에 남는다.
경보의 의미는 조문의 체계 안에서 한정된다. 금융회사의 지배구조에 관한 법률 제24조 제3항은 "내부통제기준에서 정하여야 할 세부적인 사항과 그 밖에 필요한 사항은 대통령령으로 정한다"고 하여 세부 사항의 정함을 아래에 맡긴다. 같은 조 제2항은 "제1항에도 불구하고 금융지주회사가 금융회사인 자회사등의 내부통제기준을 마련하는 경우 그 자회사등은 내부통제기준을 마련하지 아니할 수 있다"(금융회사의 지배구조에 관한 법률 제24조)고 단서를 둔다. 이 단서가 마련 의무를 면하는 자의 범위를 정한다는 뜻이다. E증권이 이 단서에 해당하는지 여부는 확인되지 않았으므로 그대로 미정으로 남는다. 회사가 마련한 준법감시 매뉴얼과 이수 명단은 제1항이 말하는 기준과 절차의 마련에 해당하는 자료다. 열한 차례 경보는 그 기준과 절차가 작동한 흔적이다.
그 흔적이 곧 법인의 귀책으로 이어지지는 않는다. 경보는 시스템이 이상 징후를 표시한 사실만 가리킨다. 회사가 그 경보를 어떻게 처리했는지, 준법감시인이 경보를 보고받았는지, 회사가 이후 어떤 내부 점검을 했는지는 아직 미정이다. 경의 주문이 어떤 내부 절차를 거쳐 처리되었는지도 확인되지 않았다. 조치한 기록이 발견되지 않았다는 사실과 조치가 없었다는 사실은 서로 다른 두 가지다. 전자는 기록의 부재를, 후자는 행위의 부재를 말한다. 제24조 제1항은 기준과 절차의 마련을 요구할 뿐 그 이행 기록의 보관 방식까지 밝히지 않으므로, 기록의 부재를 곧바로 이행의 부재로 읽을 수는 없다. 이 사실들이 모여도 확정 손해나 경의 고의로 바로 이어지지 않는 것은 확인되어야 할 대목이다.
경보 기록을 세 층에 놓아보면 그 자리는 분명하다. 제도의 문구가 정해 놓은 요건은 제1항의 기준과 절차다. 그 요건을 회사가 채웠는지는 매뉴얼과 이수 명단이 놓인 자리다. 경보 열한 차례는 그 채움이 실제 상황에서 움직였다는 표시다. 따라서 경보 기록은 기준과 절차의 운영에 관한 자료로 분류된다. 위반의 확정이나 귀책의 판단은 그 기록만으로는 내려지지 않는다. 미정으로 남은 사실이 확인되어야 비로소 이 기록의 의미가 달라질 수 있다.
10.5조치 기록이 비어 있을 때
경보가 열한 차례 울렸고 그 뒤의 조치가 남아 있지 않다는 사실을 확인했으므로, 이제 그 빈자리가 세 층 가운데 어디에 생겼는지를 묻는다. 경의 시세조종 주문은 2024년 3월부터 6월 사이에 있었고, 같은 기간 탐지 시스템은 경보를 반복해 냈다. 회사는 준법감시 매뉴얼을 비치하고 연 2회 교육을 실시했으며 이수 명단을 보관했다. 그러나 경보에 대해 조치한 기록은 발견되지 않았다.
제도의 존재 층은 앞서 확인한 바와 같이 매뉴얼과 교육의 비치로 채워져 있다. 금융회사의 지배구조에 관한 법률 제24조는 내부통제기준의 마련 의무를 두고, 그 의무의 내용을 이렇게 정한다. "금융회사는 법령을 준수하고, 경영을 건전하게 하며, 주주 및 이해관계자 등을 보호하기 위하여 금융회사의 임직원이 직무를 수행할 때 준수하여야 할 기준 및 절차(이하 “내부통제기준”이라 한다)를 마련하여야 한다." (금융회사의 지배구조에 관한 법률 제24조) 이 조문은 기준과 절차의 마련을 요구할 뿐, 마련된 기준이 실제로 작동했는지는 다루지 않는다. 따라서 매뉴얼 비치와 교육 실시는 이 층에서 무너지지 않는다.
운영 층은 경보 기록으로 일부 채워져 있었다. 시스템이 경보를 냈다는 사실은 탐지 장치가 그 기간에 가동되고 있었다는 뜻이다. 다만 그 경보가 어떤 경로로 흘러갔고 누가 받았는지는 미정이다. 경의 주문이 어떤 내부 절차를 거쳐 처리되었는지, 준법감시인이 경보를 보고받았는지, 회사가 경보 이후 어떤 내부 점검을 했는지는 미정이다. 이 미정 사실은 지어낼 수 없다.
조치 층에서 비어 있는 것은 경보에 응답한 행위의 기록이다. 금융회사의 지배구조에 관한 법률 제25조는 준법감시인의 임무를 이렇게 정한다. "금융회사(자산규모 등을 고려하여 대통령령으로 정하는 투자자문업자 및 투자일임업자는 제외한다)는 내부통제기준의 준수 여부를 점검하고 내부통제기준을 위반하는 경우 이를 조사하는 등 내부통제 관련 업무를 총괄하는 사람(이하 “준법감시인”이라 한다)을 1명 이상 두어야 하며, 준법감시인은 필요하다고 판단하는 경우 조사결과를 감사위원회 또는 감사에게 보고할 수 있다." (금융회사의 지배구조에 관한 법률 제25조) 이 조문은 점검과 조사를 임무로 부과하고, 보고는 준법감시인의 판단에 맡긴다. 조치 기록이 없다는 사정은 이 임무가 이 사례에서 어떻게 이행되었는지를 보여주지 못한다. 지배구조법상 대표자의 책임에 관한 세부 규율이 이 사례에 어떻게 겹쳐지는지는 확정되어 있지 않다.
조치 기록의 공백은 법인의 책임을 확정하는 징표로 곧바로 읽을 수 없다. 경보의 미조치 사실만으로 회사가 손해를 입혔거나 경이 고의로 위반했다는 결론이 따라 나오지 않는다. 회사가 경보 이후 어떤 내부 점검을 했는지가 미정인 채로 남아 있는 한, 그 공백은 확인되지 않은 영역으로 남는다. 다만 세 층 가운데 조치 층이 비어 있다는 사실 자체는 분명하다. 기록이 남지 않았다는 것은 임무 이행이 없었다는 뜻과 같지 않으나, 이행을 뒷받침할 자료도 없다는 뜻이다.
10.6세 층이 남긴 다음 물음
조치 기록이 비어 있다는 확인에서 출발하면, 남는 물음은 이 공백이 세 층 가운데 어느 층의 증명력을 얼마나 제한하는가이다. 경보 이후 어떤 내부 점검이 있었는지 확정되지 않았으므로, 그 사실을 채워 넣지 않은 채 제도의 존재와 운영 기록이 각각 무엇을 보여주는지만 분리해서 살핀다.
제도의 존재는 우선 조문이 요구하는 출발점에 해당한다. 「금융회사의 지배구조에 관한 법률」 제24조 제1항은 금융회사의 내부통제기준 마련 의무를 "제24조(내부통제기준) ① 금융회사는 법령을 준수하고, 경영을 건전하게 하며, 주주 및 이해관계자 등을 보호하기 위하여 금융회사의 임직원이 직무를 수행할 때 준수하여야 할 기준 및 절차(이하 “내부통제기준”이라 한다)를 마련하여야 한다."고 규정하고, 같은 법 제24조 제3항은 그 세부 사항의 정함에 관하여 "③ 내부통제기준에서 정하여야 할 세부적인 사항과 그 밖에 필요한 사항은 대통령령으로 정한다."고 둔다. 준법감시 매뉴얼의 비치는 이 마련 의무가 지면으로 갖춰졌음을 보여주지만, 그 내용이 경의 시세조종 주문을 막기에 충분했는지는 별개의 문제로 남는다.
운영 기록은 제도가 실제로 돌아갔음을 겨냥한다. 같은 법 제25조 제1항은 준법감시인의 지위와 업무에 관하여 "① 금융회사(자산규모 등을 고려하여 대통령령으로 정하는 투자자문업자 및 투자일임업자는 제외한다)는 내부통제기준의 준수 여부를 점검하고 내부통제기준을 위반하는 경우 이를 조사하는 등 내부통제 관련 업무를 총괄하는 사람(이하 “준법감시인”이라 한다)을 1명 이상 두어야 하며, 준법감시인은 필요하다고 판단하는 경우 조사결과를 감사위원회 또는 감사에게 보고할 수 있다."고 규정한다. 연 2회 교육과 이수 명단 보관은 이 점검·조사 체계가 가동됐다는 흔적이나, 그것만으로 경의 주문이 어떤 내부 절차를 거쳐 처리되었는지는 설명되지 않는다.
조치 기록은 앞의 두 층이 실제 위험에 반응했는지를 묻는다. 열한 차례 경보에도 조치 기록이 발견되지 않았으므로, 경보가 내부통제기준의 점검 대상에 닿았는지, 준법감시인이 경보를 보고받았는지는 미정의 상태로 남는다. 제25조 제1항이 보고를 준법감시인의 판단에 맡긴 "준법감시인은 필요하다고 판단하는 경우 조사결과를 감사위원회 또는 감사에게 보고할 수 있다."는 데에 비추어 보면, 보고가 없었다는 사실만으로 어느 층의 결함이 확정된다고 보기는 어렵다.
세 층의 기록이 함께 놓여도 법인의 확정 손해나 경의 고의가 곧 인정되는 것은 아니다. 다만 제도의 마련과 운영이 확인된다고 해서 조치의 공백이 덮이는 것은 아닌 바, 대표자가 법인의 면책을 내세울 수 있는지에 대한 물음은 남는다. 그 물음은 벌칙 규정의 문언에서 다시 열린다.