PADK OJK No. 1/2026 — 은행 IT 운영

누구에게 적용되나

이 규정은 POJK No. 11/POJK.03/2022(이하 POJK PTI)를 시행하려고 만들었다.¹ 전문(前文)은 POJK PTI의 15개 조를 위임 근거로 든다. 본문은 다섯 조뿐이고 정의 조항이 없다. 적용 대상인 「은행」의 범위는 모법의 정의를 따르는 구조다.

본문 Pasal 3은 보고 경로를 두 갈래로 적는다. 전통형 일반은행의 보고 규정, 그리고 이슬람 일반은행·이슬람사업부의 보고 규정이다. 별표 I 제2장 B.3은 외국은행 지점(KCBLN)을 따로 언급한다.² 두 규정은 이슬람 은행과 외국은행 지점이 이 지침의 대상이라는 것을 전제로 한다.

적용 제외 규정은 본문 Pasal 1~5에 없다. 사이버 복원력·보안과 디지털 성숙도 평가는 지침 범위에 들어 있지만, 세부 지침은 별도 회람에 맡긴다. 별표 I 제1장이 두 분야를 각각 SEOJK Siber·SEOJK DMAB에 맡긴다.³ 제명은 대상을 일반은행(Bank Umum)으로 적는다. 원문 전체에 농촌은행(BPR)을 가리키는 문언은 없다.

핵심 조문

SEOJK 21/SEOJK.03/2017의 대체 여부는 Pasal 4 문언으로 확인된다.⁴ 폐지 시점은 이 규정의 시행일인 2026년 3월 1일이다. 폐지 조항은 이 회람 하나만 든다. 원문 전체에서 「dicabut」는 Pasal 4에만 나온다. 서명면의 제정일은 2026년 1월 23일이고, 서명자는 은행감독 상임위원 Dian Ediana Rae다.⁵ 원문에는 공포일과 관보 번호가 없다. 금융감독청 FAQ는 시행 전에 진행 중이던 허가 절차는 폐지된 회람을 계속 따른다고 답한다.¹³ FAQ는 이 해석의 근거 조문을 들지 않는다.

금융감독청 FAQ는 2017년 회람과 비교한 변경 요지를 다섯 항목으로 든다.¹⁵ 첫째는 정보기술 서비스 제공자(PPJTI) 이용이다. 국외 제공자 이용과 중요도 재평가가 여기에 들어간다. 은행의 정보기술 서비스 제공 정책, 정보기술 운영의 내부통제, 보고·허가 서식 조정이 뒤를 잇는다. 마지막은 새로 넣은 규정이다. 제공자, 정보기술 거버넌스·아키텍처, 데이터 관리·개인정보 보호, 보고·허가 신청 절차를 다룬다.

FAQ 9번은 국외 데이터센터 배치의 허가 서류가 줄었다고 답한다.¹⁶ 독립 감사 결과에 대한 은행의 분석 요약은 그 센터에 처음 배치할 때만 낸다. 종전 회람(FAQ 표기 SEOJK MRTI)의 서류 세 가지는 더 내지 않는다고 FAQ는 적는다. 제공자의 센터 운영 위험 분석 요약, 은행의 감독 계획, 인력 역량 강화 계획이다. 그런데 별표 IV Format 4.1 7번에는 인력 역량 강화 계획이 서류로 남아 있다.¹⁷ FAQ는 그 계획의 대상을 「정보기술 운영」으로 적는다. 서식은 「국외 센터에 둔 전자시스템 운영」으로 적는다.

Pasal 2는 시행 전에 맺은 정보기술 서비스 제공자(PPJTI) 계약을 이 규정에 맞추라고 정한다. 조정 기한이나 경과 기간은 Pasal 2에도, 본문 다른 조에도 없다. 맞춰야 할 기준의 중심은 별표 I 제5장 B.3이 정한 계약 표준이다.⁶ 표준은 최소 16개 항목을 담는다. 업무 범위, 비용·기간, 데이터 보안, 서비스 수준(SLA) 등이다. 하도급 서면 동의와 금융감독청의 검사 접근도 들어간다.

별표 II는 두 가지 계획 문서의 제출 시점을 정한다.⁷ 정보기술 전략계획(RSTI)은 새 계획 기간이 시작되기 전 해 11월 말까지 낸다. 원문 예시는 2027~2031년 계획을 2026년 11월 말까지 내는 경우다. 정보기술 개발계획 보고서(LRPTI)는 1년 단위 문서이고, 계획 연도 전 해 11월 말이 기한이다. 변경은 6월 말까지 한 번이다. 정책 지원 같은 특정한 고려가 있고, 금융감독청 승인을 받아야 한다. 후속 은행 상품 운영 계획과 관련된 변경은 3월·6월·9월 말까지 세 번 허용된다.

사고 보고 규정은 비사이버 사고에만 적용된다.⁸ 대상은 중대한 손실이나 운영 장애를 낳았거나 낳을 수 있는 사고다. 초기 통지는 해당 은행 감독관 앞으로 전자적 서면으로 보낸다. 다른 당국이 더 짧은 기한을 정했으면, 그 당국에 낼 때 금융감독청에도 함께 낸다. 원문 예시는 다른 당국의 1시간 기한을 따르는 경우를 든다.

국내 배치가 원칙이고, 국외 배치는 금융감독청 허가가 있을 때만 된다.⁹ 별표 I 제6장은 국외 배치 기준의 하나로 내부 관리용 시스템을 든다. 예시는 인사·보수·내부감사·문서 처리·내부 협업, 지식관리 애플리케이션(인공지능을 쓰는 것 포함)이다. 국외 정보기술 서비스 제공자의 거래 처리도 같은 허가 대상이다. 허가 신청은 별표 IV 서식으로 낸다.¹⁰ 외국은행 지점과 외국 금융기관이 소유한 은행은 국외 배치 허가 신청에 서류 네 가지를 더 붙인다.¹⁴ 국외 금융감독당국이 그 정보기술 서비스 제공자를 감독한다는 확인서가 첫째다. 금융감독청의 데이터센터·재해복구센터 검사에 대한 그 당국의 무이의서가 둘째다. 나머지 둘은 인도네시아 밖 은행 사무소의 제공자 리스크관리 평가 결과와 그 정기 제출 확인서다. 결정은 서류 완비 후 3개월 안에 나온다. 6개월 안에 실현하지 않으면 허가는 효력을 잃는다. 실현 보고는 실현 후 3개월 안에 낸다.

금융감독청 FAQ는 「배치」를 데이터센터·재해복구센터의 물리적 위치로 설명한다.¹⁸ 「거래 처리」는 거래 처리 시스템에서 데이터를 추가·변경·삭제·승인하는 활동이다. 허가받은 시스템을 이미 승인된 센터로 옮기면 통지로 족하다고 FAQ는 답한다.¹⁹ 승인받은 적 없는 새 센터로 옮기면 같은 나라 안이어도 다시 허가가 필요하다. 이 답은 그 시스템에 개발이 없는 이전에만 해당한다. FAQ는 이 답의 근거 조문을 들지 않는다.

정보기술 운영위원회는 모든 은행에 두는 기구다.² 외국은행 지점은 본점이나 지역 사무소의 유사 기능으로 대신할 수 있다. 이 문단은 대체를 지점(KCBLN)에 대해서만 적는다. 현지법인에 대한 같은 규정은 이 문단에 없다. 위원회는 권한을 적은 헌장을 두고, 정기 회의를 회의록으로 남긴다.

실무 쟁점

첫째, 지침 문언의 강도가 항목마다 다르다. 은행 이사회(Direksi)의 추가 역할은 「dapat mencakup」(포함할 수 있다)로 적혀 있다.¹¹ 커미셔너회(Dewan Komisaris)의 추가 역할도 같은 문언이다. 위원회 설치나 국내 배치는 POJK PTI 조문을 들어 「wajib」로 적는다.

둘째, 계약 조정에는 기한이 없다. Pasal 2는 조정 의무만 두고 언제까지인지는 정하지 않는다. 감독 실무에서 어느 시점을 기준으로 보는지는 원문만으로 알 수 없다. 금융감독청 FAQ의 경과 답변(8번)은 진행 중이던 허가 절차에 관한 것이다.¹³ FAQ 1~13번에 기존 계약 조정을 묻는 문답은 없다.

셋째, 사고 보고의 적용 범위와 원문 예시가 엇갈린다. 별표 II A.5 b는 이 규정의 사고 보고를 비사이버 사고에 한정한다.⁸ 같은 절 f의 첫 예시는 다른 당국의 보고서 기한을, 두 번째 예시는 두 기한 모두를 「insiden siber diketahui」 기준으로 적는다. 이 문구는 「사이버 사고를 안 후」라는 뜻이다. 두 번째 예시는 은행 「Y」의 사이버 사고(insiden siber)를 든다.

넷째, 은행이 제공하는 정보기술 서비스에는 범위 제한이 있다. 은행은 금융감독청 감독 대상이나 국외 감독 대상 금융기관에만 정보기술 서비스를 제공할 수 있다.¹² 은행이 아닌 금융기관에 애플리케이션을 제공하려면 같은 그룹이어야 한다. 용도도 인사·보수 같은 일반 운영 업무로 한정된다. 이 제공에도 별표 II의 허가 신청 절차가 걸린다.

한국 기업 체크포인트

1. 시행 전 정보기술 서비스 계약이 별표 I 최소 항목과 검사 접근 조항을 담는지(Pasal 2).
2. 다음 해 정보기술 개발계획 보고서를 11월 말까지 낼 내부 일정이 있는지(별표 II A.2).
3. 국외에 둔 전자시스템과 국외 거래 처리에 금융감독청 허가가 있는지(별표 II B.1).
4. 국외 센터 이전 계획이 통지 대상인지 재허가 대상인지(FAQ 11번).
5. 비사이버 사고 24시간 통지와 사이버 사고 회람 절차가 사고 대응 규정에 나뉘어 있는지.
6. 지점의 위원회 대체 문서, 외국계 은행의 국외 배치 추가 서류 4종이 있는지(별표 I·IV).

이 글은 원문 조문을 정리한 것이다. 개별 은행의 해당 여부와 계약 조정 범위는 현지 법률 전문가의 검토가 필요하다.

연혁·일정

관련 문서

• 모법: POJK No. 11/POJK.03/2022, 일반은행의 정보기술 운영
• 폐지된 회람: SEOJK No. 21/SEOJK.03/2017, 일반은행의 정보기술 사용 리스크관리
• 함께 보는 회람: 사이버 복원력·보안 회람, 디지털 성숙도 평가 회람(별표 I 제1장)
• 관련 Tracker: PADK OJK No. 10/2026 — 은행 국가위험·이전위험
• 관련 Tracker: POJK No. 17/2026 — 은행 사업계획

번역본

제명·전문(前文)·본문 Pasal 1~5·서명면·별표 I~IV 전부를 직역했다. 원문에 해설(Penjelasan)은 없다. 독립 검수를 통과했다. 2단(원문·번역) 조판 전문 번역 PDF(83쪽, 제1판, 번역 기준일 2026-11-03)를 제공한다. 별표 서식은 원문의 줄 구조를 따라 옮겼고 표의 칸 경계는 원문 PDF에서 확인한다. 번역 전문 PDF 내려받기

출처·확인 상태

• 원문 대조: 금융감독청 공식 규정 페이지에서 수집한 PDF 사본(133쪽)을 근거로 했다.¹ 본문 Pasal 1~5, 서명면, 별표 II 전부, 별표 I의 인용 부분을 대조했다.
• 보도 기준: 이 글은 보도를 근거로 쓰지 않았다.
• 미확인: 공포일과 관보 번호는 확인하지 못했다. 원문 사본에 그 칸이 없다.
• 제재: 이 규정 본문 Pasal 1~5에는 위반의 효과를 정한 조항이 없다.
• 미확인: 모법 POJK PTI의 정의·제재 조문은 원문을 확인하지 못했다.
• 미확인: 농촌은행(BPR)·이슬람 농촌은행의 정보기술 운영을 다루는 별도 세칙은 원문을 확인하지 못했다.
• 확인: 금융감독청 공식 FAQ PDF(5쪽)는 직접 주소로 받아 대조했다.¹³
• 미확인: 금융감독청 공식 경로의 요약 문서(Abstrak)는 대조하지 못했다.