[金融显微镜] AI与黑客威胁拉响金融业内部控制警报……强化“高管责任”的呼声渐高

随着利用人工智能发动的黑客攻击等网络攻击日益复杂，要求从根本上完善金融公司的内部控制体系的呼声越来越高。人们认为，安全事故不应被视为个别部门的问题，而应作为需要管理层负责的全公司风险。为促使金融公司首席执行官加大安全投入、扩充人员，有观点指出，金融监管部门应制定更精细的标准，既明确事故发生时管理层的责任范围，也允许将其充分采取的预防措施纳入责任判定。

View original image

根据国会政务委员会所属国民力量党议员Park Seonghun从金融监管部门取得的《按金融业别及公司划分的信息技术与信息保护预算及执行额现状》资料，在发生计算机系统故障次数排名前20位的金融公司中，去年信息保护预算执行率仅为预算总额的69.6%。这意味着约30%的安全预算未得到执行。

尤其是主要银行的安全预算执行情况不佳。在调查对象的20家公司中，10家银行里友利银行的执行率最低，为53.8%；KB国民银行（58.1%）和新韩银行（69.9%）也未能执行预算中的相当一部分。

今年削减信息保护预算的金融公司也不在少数。在调查对象的20家公司中，截至今年上半年，有7家的预算额较去年有所减少。在主要银行中，友利银行的预算降幅最大，为21.7%；韩国花旗银行（下降18.0%）和新韩银行（下降10.4%）紧随其后。

信息保护预算执行率低于整体信息技术预算执行率的现象也已显现。根据国会政务委员会所属国民力量党议员Kim Jaeseop从金融监督院取得的《近5年（2022—2026年上半年）金融业信息保护预算及人员现状》资料，去年主要银行的信息技术预算执行率依次为新韩银行83.0%、KB国民银行78.8%、友利银行76.2%。这些银行的信息技术预算执行率与信息保护预算执行率之间相差13.1至22.4个百分点。

金融业界认为，造成这种差距的原因之一，是管理层将安全投入视为成本，而非必要投资。整体信息技术预算不仅包括安全投入，也包括加强数字化新业务和业务竞争力的投资。虽然不能仅凭预算执行率断定各家金融公司的安全水平，但随着金融服务对数字技术的依赖度不断提高，有观点指出，安全投入也应获得与之相称的优先地位。

View original image

不过，仅增加安全预算和专业人员，难以杜绝所有金融事故。利用人工智能发动的黑客攻击，其手法迅速升级，发生时间和形式也难以预测，因此从源头上完全拦截存在局限。

View original image

因此，金融业界和学界指出，比起事故是否发生，更重要的是管理层为预防和应对事故履行了哪些管理与监督义务。也就是说，应摆脱将信息安全工作仅交由个别部门负责的做法，由首席执行官牵头，全面管理安全投资、组织运作和事故应对体系。

问题在于，尽管已有旨在强化管理层内部控制责任的制度，真正追究责任的案例却十分罕见。其中一项代表性制度是从去年开始分阶段实施的职责架构图制度。

根据国会政务委员会所属共同民主党议员Min Byeongdeok从金融监督院取得的资料，从去年1月至今年7月底，适用职责架构图制度的金融公司共报告金融事故203起，事故金额合计6237亿韩元。其中，制度实施后实际发生的事故有34起，金额为1468亿韩元。然而，至今没有一起依据职责架构图制度对高管实施制裁的案例。

当然，这些统计数据也包括黑客攻击以外的金融事故，因此难以与网络安全事故直接挂钩。也不能仅凭没有制裁案例，就断定该制度缺乏实效性。不过，鉴于人工智能技术可能被滥用，导致网络攻击进一步升级，有观点指出，有必要按事故类型细化高管的管理与监督义务及责任判定标准。

View original image

金融业界要求金融监管部门进一步完善管理层责任与免责标准，以减少安全事故。与其单纯加重事故发生后的责任，不如促使管理层在日常工作中积极投入安全建设和内部控制。

金融委员会于今年6月公布并开始实施《金融领域人工智能指南》修订案。指南列出了七项原则，包括首席执行官在内的管理层职责与责任分工，以及使用人工智能时制定安全标准等。金融监管部门还制定了人工智能风险管理框架和安全指南。

不过，这些指南主要聚焦于金融公司自行开发和使用人工智能过程中的风险管理。有观点指出，由于外部攻击者滥用人工智能发动的黑客攻击性质不同，因此有必要通过现有的信息保护规定和职责架构图制度等，具体明确如何判定管理层的管理与监督责任。

关键不在于仅因事故发生就一律追究首席执行官的责任，而在于核查其在多大程度上切实履行了预防事故的管理义务。应明确首席信息安全官等主管高管与首席执行官的责任范围，同时将执行安全预算、扩充专业人员、开展常态化检查以及建立事故应对体系等预防措施纳入责任判定。

一位金融公司高层人士表示：“要减少金融业人工智能安全事故，必须扩大以首席执行官为首的全公司信息安全管理与投资文化。为推动以首席执行官为中心的信息安全管理，监管部门应按事故类型明确哪些高管负有责任，同时精细完善制度，将那些努力增加安全预算和人员、且相关成效能够以数据体现的金融公司首席执行官纳入免责范围。”

必读新闻

“快快快”的韩国，难怪会破防：从第1跌至第22，连越南、泰国都不如

• “有人能领7400万韩元，仅差一天补助就差3400万韩元？”引发热议……最终总统也提出批评
• [独家]低信用人群逾期、违约恶性循环……政府普惠金融明年代位偿付1.35万亿韩元
• “吸血且难以根除”……让飞机停飞的“恐怖虫子”
• 身高220厘米的26岁女性产后不到1年离世……“巨人症”背后隐藏的致命并发症

另一方面，也有观点主张，一旦确认管理层违反了管理与监督义务，就必须建立追究实质责任的机制。应保护充分努力预防事故的管理层，同时让疏于履行义务的管理层承担相应责任。事故发生后追回管理层绩效奖金的追回机制（Clawback）被视为一种替代方案。梨花女子大学经营学系教授Chae Sangmi强调：“有必要引入追回机制，在事故发生后视情况追回实际负责人之外的首席执行官或职责架构图所列相关高管的绩效奖金。”

版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。