2026년 4월 24일 미국 통화감독청(OCC)은 Community Federal Savings Bank(CFSB)에 동의명령을 내렸고, 5월 21일 이를 공개했습니다. 원문에 적힌 CFSB(Consumer Financial Protection Bureau)는 은행과 감독기관을 혼동한 표현입니다. 미국 소비자금융보호국은 CFPB이고, 이번 명령의 상대방은 CFSB, 감독기관은 OCC입니다.
이 명령은 모든 핀테크 기업의 은행 라이선스 취득 추세나 BaaS 서비스의 비용 우위를 입증하지 않습니다. 그러나 결제 처리 규모가 빠르게 커질 때 AML 통제, 고객확인, 이상거래 경보와 독립 검증이 함께 확장되지 않으면 어떤 위험이 생기는지를 공식 문서로 확인할 수 있는 사례입니다.
CFSB 동의명령에서 확인되는 사실
| 항목 | 공식 문서에서 확인되는 내용 |
|---|---|
| 감독기관 | 미국 통화감독청(OCC) |
| 상대방 | Community Federal Savings Bank, Woodhaven, New York |
| 사건번호 | AA-ENF-2025-21 |
| 명령 서명일 | 2026년 4월 24일 |
| 공개일 | 2026년 5월 21일 |
| 주요 법규 위반 | BSA/AML 프로그램, 의심거래보고, USA PATRIOT Act 314(a) 정보공유 관련 규정 |
| 주요 개선 요구 | 준법위원회, 시정계획, BSA/AML 프로그램 전면 평가, 고객실사·의심거래 모니터링·독립 테스트·인력 보완 |
OCC의 주요 판단은 다음과 같습니다.
- CFSB의 결제 처리 사업은 2020년 이후 은행 규모에 비해 크게 성장했고, 해외 금융기관이 포함된 전신송금과 ACH 거래도 증가했습니다.
- 거래량과 위험이 커졌지만 통제와 위험관리 절차는 그에 맞게 발전하지 못했습니다.
- 자동 의심거래 경보의 필터와 임계값이 결제 처리, 고위험 상품과 국제 거래 위험에 맞게 조정되지 않았습니다.
- 자동 분류 시스템의 로직·데이터·방법론 결함 때문에 추가 검토가 필요했던 경보까지 자동 종료된 사례가 있었습니다.
- 고객실사 프로그램은 일부 고객의 사업 성격과 거래 목적, 해외 금융기관 관련 위험을 충분히 이해하지 못했습니다.
- 독립 테스트가 고위험 영역을 적절히 범위에 넣지 못했고, 내부통제·테스트·인력 전반의 취약점이 확인됐습니다.
명령은 이 판단이 CFSB의 BSA/AML 프로그램 전체를 조사한 결과이고 디지털자산 고객과는 대체로 무관하다고 명시합니다. 또한 은행은 OCC의 판단을 인정하거나 부인하지 않은 채 명령 발령에 동의했습니다. 따라서 이 사건을 곧바로 특정 핀테크 고객의 위법이나 디지털자산 사업 자체의 문제로 확대하면 안 됩니다.
이 명령만으로 말할 수 없는 것은 무엇인가요?
다음 주장은 CFSB 명령이나 OCC 발표에서 확인되지 않습니다.
- 핀테크·암호화폐·스테이블코인 기업이 일반적으로 은행 라이선스를 취득하고 있다는 시장 규모
- 핀테크 파트너가 전통 은행보다 항상 낮은 수수료와 빠른 정산을 제공한다는 비교
- 80개 통화·300개 결제 레일이라는 특정 서비스 사양
- 해외송금 수수료 0.5%포인트 절감, 결산시간 20% 단축, 정산 2~3일 단축이라는 효과
- 고객당 매출 10% 또는 기업가치 15% 상승이라는 인과
- 규제 변화에 따라 조달비용이 5% 감소하거나 3% 증가한다는 시나리오
- 모든 기업에 적용할 단기 유동성 비율 120% 기준
이 수치를 사용하려면 동일한 통화·금액·수취국·마감시간, 표본·비교군·기간, 환율 스프레드와 실패·반환 비용이 필요합니다. 공식 명령의 존재가 원문의 다른 수치까지 사실로 바꾸지는 않습니다.
BaaS 파트너 실사는 어떤 순서로 하나요?
OCC 명령은 은행에 직접 적용됩니다. 아래 점검표는 그 명령과 FDIC·연방준비제도·OCC의 제3자 관계 위험관리 원칙을 비은행 이용기업의 계약·운영 실사에 맞게 재구성한 것입니다. 실제 법적 의무는 관할 법령, 라이선스와 계약상 역할에 따라 달라집니다.
1. 법인·라이선스·감독기관을 먼저 식별합니다
서비스 브랜드만 확인하지 말고 다음 주체를 구분합니다.
- 고객과 직접 계약하는 법인
- 계좌·예금·카드·송금 기능을 제공하는 은행 또는 인가 사업자
- 프로그램 매니저, 원장·결제 처리자와 하위 수탁자
- 각 주체의 인가 유형, 감독기관과 현재 제재 상태
- 고객자금이 실제로 보관되는 계좌 명의와 금융기관
약어도 원문과 공식 등록정보를 대조해야 합니다. CFSB와 CFPB처럼 이름을 혼동하면 제재 상대방, 감독 권한과 계약상 조치 대상이 모두 달라집니다.
2. 책임 분담표를 계약과 맞춥니다
| 기능 | 확인할 책임 | 남길 증거 |
|---|---|---|
| 고객확인·실소유자 확인 | 정보를 누가 수집·검증하고 예외를 승인하는가 | 정책, 업무흐름, 승인 로그 |
| 제재·AML 모니터링 | 어떤 거래를 누가 감시하고 경보를 조사하는가 | 탐지 규칙, 임계값 변경, 사건 기록 |
| 의심거래 보고 | 보고 판단·제출·기록보관 책임이 누구에게 있는가 | 책임표, 에스컬레이션 기한 |
| 원장·정산 | 은행 원장과 서비스 원장을 누가 대사하고 차이를 해결하는가 | 일별 대사표, 미결 항목, 승인 내역 |
| 고객자금·반환 | 자금 보관 구조와 실패·반환·동결 시 처리 주체가 누구인가 | 계좌 구조, 계약, 고객 고지 |
| 민원·분쟁 | 접수·조사·환급·감독기관 대응을 누가 맡는가 | 처리기한, 이관 기준, 보고서 |
| 데이터·보안 | 접근권한·보관기간·침해 통지와 삭제 책임이 누구에게 있는가 | 권한표, 감사로그, 사고 절차 |
파트너가 알아서 한다는 문장만으로는 충분하지 않습니다. 데이터 전달 실패, 서로 다른 위험등급, 중복·누락 경보와 수동 예외 승인까지 책임자를 지정해야 합니다.
3. 자동 모니터링은 처리량과 품질을 함께 봅니다
CFSB 명령은 자동화 사용 자체가 통제를 보장하지 않는다는 점을 보여 줍니다. 다음 지표를 같은 기간에 확인합니다.
- 거래량·고객 수·국가·통화별 증가율
- 생성된 경보, 자동 종료, 수동 검토와 상향 보고 건수
- 경보 처리 대기시간과 기한 초과 건수
- 규칙·임계값 변경일, 변경 승인자와 사후 검증 결과
- 누락 탐지를 찾는 표본 재검사와 독립 테스트 범위
- 고위험 상품·국가·해외 금융기관 거래가 테스트에 포함됐는지 여부
자동 종료율이 높다는 이유만으로 효율적이라고 평가하지 않습니다. 적절히 종료됐는지를 표본 검사하고, 누락 가능성·재작업·조사 인력까지 함께 봐야 합니다.
4. 제재 상태와 시정 진행을 지속적으로 확인합니다
계약 체결 때만 검색하지 말고 감독기관의 공개 제재·종료 문서를 주기적으로 확인합니다. 제재가 발견되면 다음을 질문합니다.
- 명령의 상대방·사건번호·효력 상태가 무엇인가?
- 어떤 상품·업무·법인에 영향이 있는가?
- 신규 고객, 거래 한도, 국가·통화나 기능에 제한이 생겼는가?
- 시정계획의 책임자·기한과 완료 증거는 무엇인가?
- 감독기관의 서면 종료 전까지 어떤 임시 통제가 적용되는가?
발표된 개선계획과 감독기관이 확인한 완료 상태는 구분해야 합니다. CFSB 명령도 OCC가 서면으로 수정·정지·종료하기 전까지 효력이 유지됩니다.
5. 정산 중단과 계약 종료를 숫자로 시험합니다
서비스 연속성 계획에는 최소한 다음 시나리오가 필요합니다.
- 지급·수취·카드 승인 또는 정산이 1일, 3일, 7일 중단되는 경우
- 신규 고객 온보딩이나 특정 국가·통화가 제한되는 경우
- 파트너 은행 또는 프로그램 매니저가 교체되는 경우
- 고객자금 반환과 미결 거래 처리가 계약 종료 이후까지 이어지는 경우
- 원장·고객확인·거래 이력 데이터를 다른 사업자에게 이전해야 하는 경우
정산 지연 현금부족액
= 지연 기간의 필수 지급액
- 같은 기간 사용 가능한 확정 현금유입
- 즉시 인출 가능한 현금잔액
대체 경로 준비기간
= 실사·계약 기간 + 기술 연동 기간 + 데이터 이전·검증 기간계약서의 해지 통보기간이 대체 경로 준비기간보다 짧다면 중단 위험이 남습니다. 대체 계정이나 결제 경로의 존재뿐 아니라 실제 거래 시험, 한도와 전환 소요시간을 기록해야 합니다.
결제 파트너와 자금조달 수단을 구분해야 합니다
BaaS·결제 파트너는 지급, 수취, 보관과 정산에 영향을 줄 수 있지만 그 자체가 대출·채권·지분 조달과 같은 자금조달 수단은 아닙니다. 빠른 정산이 운전자본에 도움을 줄 수 있어도 조달금리 감소로 바로 바꿔 적을 수 없습니다.
비용을 비교할 때는 같은 거래 조건에서 다음 항목을 합칩니다.
| 비용·시간 | 비교 항목 |
|---|---|
| 표시 수수료 | 거래·계정·플랫폼 기본 요율 |
| 환율 비용 | 기준환율 대비 스프레드와 환전 시점 |
| 중개·수취 비용 | 중개은행·현지 레일·수취기관 차감액 |
| 실패·반환 비용 | 재처리, 환불, 조사와 고객 보상 |
| 정산기간 | 영업일·마감시간·보류·심사 포함 실제 도착시간 |
| 운영비 | 대사·민원·준법·데이터 이전에 드는 내부 인력과 외부비용 |
계약 전 최종 점검표
- 서비스 브랜드, 계약 법인, 은행, 하위 수탁자와 감독기관을 구분했는가?
- 제재 상대방·사건번호·발령일·공개일·현재 효력 상태를 공식 원문으로 확인했는가?
- 고객확인, AML, 원장·정산, 고객자금, 민원과 데이터 책임을 기능별로 적었는가?
- 자동 경보의 임계값·자동 종료·수동 검토와 독립 테스트 결과를 확인했는가?
- 거래량 증가에 맞춰 통제, 테스트와 전문 인력이 확장되는지 확인했는가?
- 수수료·환율·실패 비용과 실제 정산시간을 같은 거래 조건으로 비교했는가?
- 1일·3일·7일 중단 시 현금 부족액과 미결 거래를 계산했는가?
- 계약 종료 후 고객자금 반환, 데이터 이전과 민원 처리 책임이 남아 있는가?
- 대체 파트너의 계약·연동·검증 기간이 해지 통보기간 안에 들어오는가?
- 결제 인프라 선택을 대출·채권·지분 조달 효과와 혼동하지 않았는가?
공식 참고 자료
확인 기준일: 2026년 7월 15일
- OCC, Consent Order against Community Federal Savings Bank: 사건번호, 관할, 결제 처리 성장, BSA/AML·고객실사·경보·독립 테스트·인력 관련 판단과 시정 요구를 확인했습니다.
- OCC, Enforcement Actions for May 2026: 2026년 5월 21일 공개 사실과 위반 규정 요약을 확인했습니다.
- FDIC·FRB·OCC, Interagency Guidance on Third-Party Relationships: Risk Management: 제3자 관계의 계획·실사·계약·지속 모니터링·종료 단계에 위험 기반 관리가 필요하다는 공동 지침을 확인했습니다.
- CFPB, The Bureau: 미국 소비자금융보호국의 공식 명칭과 약어가 CFPB임을 확인했습니다.
