과징금은 작다, 금융주의 진짜 비용은 이것

이번 사태의 비용은 '얼마 물어주나'가 아니다

금융주 투자자가 은행 해킹 뉴스에서 먼저 떠올리는 건 과징금 규모다. 하지만 숫자만 보면 핵심을 놓친다. KB금융의 2분기 지배주주 순이익은 약 2조 원, 하나금융은 약 1조2천억 원이었다. 선례로 꼽히는 롯데카드 유출 사고(297만 명)에서 개인정보보호위원회가 매긴 과징금이 약 96억 원, 금융위원회가 신용정보법으로 부과한 과징금이 50억 원이었다. 이번 은행 유출 규모는 신한 2만5천여 명, 하나 89명 수준이다.

즉 직접 제재액은 분기 이익 앞에서 일회성 숫자에 가깝다. 주가가 반응한다면 그건 과징금이 아니라, 이번 일로 보안과 규제 비용이 '상수'로 바뀌었다는 신호 때문이다.

직접 비용: 배상과 과징금의 상한

Photo by Maxim Klimashin on Unsplash

먼저 당장 잡히는 비용이다. 10월 19일 국정감사에서 5대 은행장은 피해에 대해 전액 배상하겠다고 약속했다. 유출 인원이 적어 배상 총액 자체는 크지 않을 수 있다.

변수는 과징금이다. 현행 개인정보보호법상 과징금 상한은 전체 매출액의 3% 수준이고, 중대·반복 침해에는 매출의 최대 10%까지 물릴 수 있는 특례가 있다. 고의·중과실이 확인되면 상한이 뛴다는 뜻이다. 개인정보보호위원회가 신한은행 사건을 '중요사건'으로 지정해 집중 조사에 들어간 점은 그래서 중요하다. 다만 실제 액수는 조사가 끝나야 나온다.

더 무거운 쪽: 규제가 상수가 됐다

투자자가 실적 모델에서 바꿔야 할 항목은 일회성 과징금이 아니라 반복 비용이다.

첫째는 보안 투자다. 그동안 보안 예산은 자율에 맡겨져 있었고, 올 상반기 집행률은 BNK부산은행 20.5%, KB국민은행 27%로 바닥이었다. 국감에서 이 집행 실효성이 집중포화를 맞았다. 앞으로 보안·IT 투자는 '깎는 비용'이 아니라 깎을 수 없는 비용이 된다. 망분리 규제까지 더해지면 투자 부담은 더 늘어난다.

둘째는 경영진 리스크다. 금감원장은 이번 사태를 책무구조도 도입 이후 CEO의 내부통제 책임을 처음으로 묻는 사례가 될 수 있다고 봤다. CEO 제재가 현실화되면 지배구조 불확실성이 밸류에이션을 누른다.

평판과 집단소송이라는 꼬리

대통령이 감당하기 어려운 수준의 과징금과 형사처벌, 집단소송을 통한 민사배상까지 언급한 점은 가볍지 않다. 집단소송이 쉬워지면 배상 규모의 상한 자체가 달라진다.

고객 신뢰 하락은 수치로 바로 잡히지 않지만, 주거래 이탈은 저원가성 예금과 비이자 수익에 서서히 반영된다. 이 부분은 한두 분기로 확인되지 않는다.

다음 분기 공시에서 볼 것

정리하면, 투자자가 추적할 지표는 과징금 헤드라인이 아니라 다음 세 가지다.

항목	어디서 확인	신호
충당부채·일회성 비용	분기 손익·주석	배상·제재 반영 규모
보안·IT 투자	판관비·설비투자	상시 비용화 속도
제재·소송 공시	수시공시	CEO 제재·집단소송 진행

판단 기준은 단순하다. 다음 실적에서 일회성 비용이 한 번으로 끝나고 보안 투자 증가가 이익 성장 범위 안에 들어온다면, 이번 사태는 주가에 이미 반영된 악재다. 반대로 CEO 제재나 집단소송이 현실화되고 투자 부담이 매 분기 누적되는 그림이 보이면, 그때부터는 밸류에이션 자체를 다시 봐야 한다.

출처

1. 은행권 해킹에 CEO 책임론 대두…이찬진 내부통제 책임 첫 사례
2. 연이은 금융사 개인정보 유출…과징금·징계 수위 주목
3. 겉으로만 보안 강화…은행권 보안 예산 집행 부진