씨티그룹, 실수로 리브론 대출 기관들에 9억 달러 송금 — 법원은 그들이 보유하도록 허용

2020년 8월 11일, 리브론에 대한 18억 달러 대출의 관리 대리인이었던 씨티그룹은 화장품 회사의 대출 기관들에게 약 800만 달러의 이자를 보내야 했다. 그러나 은행의 Flexcube 결제 소프트웨어에 잘못 입력된 값으로 인해 약 9억 달러의 대출 원금이 해당 대출 기관 그룹에 송금되었다. 결제 화면은 자금을 라우팅하는 여러 방법을 제공했는데, 운영자는 대출 기관을 대신하여 이자를 지급하는 대신 대출 기관에 원금을 상환하도록 설정했고, 시스템은 그 차이를 감지하지 못한 채 송금을 실행했다.

일부 대출 기관은 예상치 못한 자금을 반환했다. 세 곳 — Brigade Capital Management, HPS Investment Partners, Symphony Asset Management — 은 거부했다. 씨티그룹은 뉴욕 연방 법원에 소송을 제기했고, 2021년 2월 Jesse Furman 판사는 충격적인 판결을 내렸다: 뉴욕의 '가치에 대한 면제(discharge for value)' 원칙에 따라, 대출 기관들은 리브론이 여전히 그들에게 빚진 채무를 상계하기 위해 그 돈을 보유할 권리가 있었다. 이 결정은 2022년 9월 항소에서 뒤집혔으며, 제2순회항소법원은 자금을 반환하라고 명령했다.

별도로, 2020년 10월 미국 규제 당국은 씨티그룹에 4억 달러의 벌금을 부과하고 위험 관리 및 결제 기술을 전면 개편하라고 명령했으며, 이는 해당 송금이 통과되도록 한 바로 그 통제 실패를 이유로 들었다. 이 사건은 혼란스러운 결제 인터페이스와 직통 처리(straight-through processing)가 어떻게 아무도 알아차리기 전에 9자리 수 금액을 이동시킬 수 있는지에 대한 교과서적인 사례가 되었다.

리브론의 대출 기관들에게 잘못 송금된 9억 달러는 씨티그룹에 4억 달러의 벌금과 항소에서 이기기 전까지 패소한 법적 다툼의 비용을 안겼다.

Flexcube 결제 화면에는 여러 라우팅 옵션이 있었고, 운영자는 대출 기관을 대신한 이자 지급 대신 대출 기관에 대한 원금 상환을 선택했다.

직통 처리는 실제로 지급해야 할 약 800만 달러의 이자보다 9억 달러가 터무니없이 크다는 것을 알려주는 인적 또는 시스템 점검 없이 송금이 실행되도록 했다.

뉴욕의 '가치에 대한 면제' 규칙은 처음에 대출 기관들이 오류임을 알면서도 지급받은 금액을 보유하도록 허용하여, 씨티를 법적 위험과 운영 위험 모두에 노출시켰다.

규제 당국은 이후 씨티의 결제 운영 전반에 걸친 위험 통제와 레거시 기술의 시스템적 약점을 발견했다.

결제 시스템이 자동 실행될 때, 잘못 설정된 단 하나의 필드가 되돌릴 수 없는 9억 달러의 이체가 된다. 돈이 이동하기 전에 인간-기계 경계에서 의도를 검증하라.

2022년 제2순회항소법원의 판결 번복은 대출 기관들이 궁극적으로 돈을 반환해야 함을 의미했지만, 2년간의 다툼은 자금을 묶어두었고 은행들이 결제 시스템 위험을 생각하는 방식을 바꾸어 놓았다. 4억 달러의 규제 벌금은 씨티그룹을 통제와 기술을 현대화하기 위한 다년간의 프로그램으로 몰아넣었다. 'In re Citigroup (Revlon)'은 이제 자동 실행 결제 시스템에서 잘못 설정된 하나의 필드가 어떻게 9자리 수의 다년간 법적 다툼이 될 수 있는지에 대한 정석적인 경고로 가르쳐지고 있다.