.svg)
AI 솔루션 문의하기
은행은 안면인식을 도입하면서 이 시스템이 이용자를 정확히 확인해 주는지에만 관심을 두기 쉽지만, 리스크관리 관점에서는 이 시스템 자체가 관리해야 할 리스크 요인이 됩니다. 잘못된 판단 하나가 부정 거래를 통과시키거나 정당한 고객을 차단하는 결과로 이어질 수 있기 때문입니다. 안면인식 시스템을 대출 심사 모형이나 신용평가 모형과 마찬가지로, 정기적인 성능 검증과 승인 절차를 거치는 관리 대상으로 다루는 접근이 은행 리스크관리 체계 안에서 자리 잡아야 합니다.
다른 모형들은 이미 오래전부터 이런 검증 체계 안에 들어와 있는 반면, 안면인식은 비교적 최근에 도입된 기술이라는 이유만으로 같은 수준의 관리에서 빠지는 경우가 종종 있습니다. 도입 초기에 성과와 편의성을 앞세워 빠르게 확산시키는 데 집중하다 보면, 정작 이 시스템을 어떤 기준으로 계속 검증할지에 대한 논의는 뒤로 밀리기 쉽습니다.
은행은 오래전부터 신용평가나 이상거래 탐지에 쓰는 통계 모형의 정확도와 적용 범위를 검증하는 절차를 운영해 왔습니다. 안면인식도 결국 통계적 판단을 내리는 모형인 만큼, 같은 틀 안에서 관리하는 편이 자연스럽습니다. 인증 모형의 오탐률과 오인식률을 주기적으로 측정하고, 그 결과를 신용평가 모형과 같은 기준으로 내부 승인 절차에 올리는 방식을 적용하면, 안면인식 시스템만 별도의 관리 체계 밖에 남는 상황을 막을 수 있습니다. 이 방식을 적용하면 안면인식 도입을 검토하는 부서와 기존 모형 리스크를 관리하는 부서가 같은 언어로 논의할 수 있게 되어, 서로 다른 기준으로 따로 검토하며 생기는 사각지대도 함께 줄어듭니다.
감사인이나 규제 당국이 특정 거래를 사후에 점검할 때, 그 거래가 이루어진 시점에 어떤 근거로 본인 확인이 이루어졌는지 되짚어볼 수 있어야 합니다. 인증 로그가 부실하면 문제가 된 거래를 살펴보려 해도 확인할 근거 자체가 없습니다. 인증이 이루어진 시각, 판정 결과, 판정에 활용된 정보를 모두 기록으로 남기고, 이 기록을 감사가 요구하는 기간 동안 보관하는 절차를 갖춰야 합니다. 보관 기간을 법령이나 내부 규정이 정한 최소 기준에만 맞추기보다, 실제로 문제가 뒤늦게 불거지는 사례들을 고려해 여유 있게 설정해 두는 편이 감사 대응에 유리합니다. 기록의 형식이 부서마다 다르면 감사 시점에 자료를 정리하는 데만 상당한 시간이 소요됩니다. 여러 지점이나 채널에서 각자 다른 방식으로 로그를 남기면, 감사인이 전체 흐름을 하나로 파악하기까지 불필요한 시간이 더해지고 그만큼 감사의 실효성도 떨어집니다.
많은 은행이 안면인식 기술 자체는 외부 전문 업체의 솔루션을 들여와 씁니다. 이 경우 기술의 내부 작동 방식을 은행이 직접 검증하기 어려운 경우가 많아, 업체에 대한 의존 자체가 별도의 리스크 요인이 됩니다. 업체가 제공하는 성능 검증 자료를 그대로 받아들이지 않고, 은행이 자체적으로 표본 데이터를 활용해 성능을 다시 확인하는 절차를 두어야 업체의 주장과 실제 운영 환경에서의 성능 차이를 짚어낼 수 있습니다.
업체가 제시하는 수치는 대개 이상적인 조건에서 측정된 값인 경우가 많아, 실제 지점의 조명이나 고객 구성처럼 은행 고유의 환경에서 다시 측정해야 진짜 성능을 파악할 수 있습니다. 업체와의 계약이 끝나거나 다른 업체로 교체하는 시점에도 이 검증 절차는 동일하게 다시 거쳐야 합니다. 업체를 교체하면서 기존에 쌓인 성능 검증 자료를 그대로 새 업체에 적용하면, 실제로는 서로 다른 기술 기반 위에서 나온 결과를 같은 것으로 취급하는 오류가 생길 수 있습니다.
인증 시스템은 도입 초기에는 잘 작동하다가도, 이용자 구성이 바뀌거나 촬영 기기가 다양해지면서 시간이 지날수록 성능이 조금씩 달라질 수 있습니다. 이런 변화는 눈에 띄게 나타나지 않아 알아차리기 어렵습니다. 일정 주기마다 최근 인증 결과를 도입 초기 기준과 비교해, 성능이 서서히 낮아지는 조짐이 있는지 확인하는 절차를 갖추어야 합니다. 이 비교에서 이상 조짐이 확인되면 원인을 찾아 모형을 다시 조정하는 절차로 이어져야 합니다. 성능 저하가 특정 지점이나 특정 시간대에 몰려 나타나는 경우도 있어, 전체 평균과 함께 조건별로 나눠 살펴보아야 원인을 정확히 짚어낼 수 있습니다.
은행의 리스크관리는 흔히 업무를 직접 수행하는 부서, 그 업무를 감시하는 리스크관리 부서, 전체를 독립적으로 점검하는 내부감사라는 세 층의 책임으로 나뉩니다. 안면인식 인증도 이 구조 안에서 층마다 다른 역할을 맡아야 합니다. 인증 업무를 운영하는 부서는 일상적인 점검을, 리스크관리 부서는 정기적인 성능 검증을, 내부감사는 이 모든 과정이 제대로 이루어지고 있는지를 독립적으로 확인하는 역할 구분을 명확히 해 두어야 어느 한 층의 시각에만 의존해 문제를 놓치는 상황을 막을 수 있습니다. 세 층의 역할이 겹치거나 반대로 서로 미루는 영역이 생기지 않도록, 각 층이 다루는 범위와 보고 체계를 문서로 명확히 정리해 두는 작업도 함께 필요합니다.
은행이 안면인식 인증을 감사 대상으로 다룰 때 자주 놓치는 지점은, 감사에서 요구하는 서류와 절차를 갖추는 일과 시스템이 실제로 안전하게 작동하는 일이 반드시 같지는 않다는 점입니다. 기록과 승인 절차를 형식적으로만 갖추고 실제 성능 검증은 소홀히 하면, 감사는 통과해도 정작 시스템은 취약한 상태로 남습니다. 리스크관리의 실질적인 목표는 감사에서 지적받지 않는 데 있지 않고, 그 감사 절차를 거치는 과정에서 실제 위험 요인을 하나라도 더 찾아내는 데 있습니다. 서류가 완벽하게 갖춰진 감사 결과보다, 부족한 점이 드러나고 그 부족함이 다음 점검에서 개선되어 있는 감사 이력이 오히려 이 시스템이 제대로 관리되고 있다는 신호에 가깝습니다.
.svg)
.svg)
