2011년부터 2017년까지 펀자브 내셔널 은행(PNB)의 뭄바이 포트 지점은 다이아몬드·주얼리 그룹에 신용장(LoU) — 고객이 다른 은행의 해외 지점에서 차입할 수 있게 해주는 보증 — 을 발급했습니다. 이 LoU는 국제 메시징 네트워크인 SWIFT를 통해 나갔고, 은행의 핵심뱅킹 시스템에는 전혀 입력되지 않았습니다.
두 시스템은 연결되어 있지 않았습니다. SWIFT가 메시지를 보냈지만 장부는 그것을 알지 못했습니다. 그래서 보증은 PNB의 장부에 나타나지 않았고, 고객의 신용 한도를 소진하지도 않았으며, 어떤 대조에도 드러나지 않았습니다. 만기가 도래하는 LoU는 매번 새로운 LoU로 차환되었고, 그래서 6년이 지나도록 잔액이 만기가 되어 청구되는 일이 없었습니다.
그것은 한 사람이 들여다보면서 끝났습니다. 2018년 1월 PNB 직원이 핵심 시스템에 일치하는 기록이 없는 한 건의 요청을 문제 삼았고, 그 연쇄가 풀려나갔습니다. 2018년 2월 은행은 약 20억 달러의 익스포저를 공시했습니다 — 인도 은행 역사상 최대 규모의 사기였습니다. 차입을 주도한 그룹은 붕괴했고, 매장은 문을 닫았으며, 인도 당국은 자산을 압류하고 2025년에도 진행 중이던 범죄인 인도 절차를 추진했습니다.
PNB 자체의 통제 장치는 아무것도 포착하지 못했습니다. 은행은 나중에 SWIFT를 핵심 시스템에 연결했고, 인도준비은행(RBI)은 모든 인도 은행에 2018년 4월까지 같은 조치를 하라고 명령했습니다 — 업계가 이미 갖춰져 있다고 가정했던 통제였습니다.
무엇을 치렀나
SWIFT를 핵심뱅킹 시스템에 연결해 모든 보증이 장부에 기록되도록 했습니다. 20억 달러 사기는 자동화된 통제가 아니라 수동 조회 한 건으로만 발견되었습니다.
왜 일어났나
SWIFT와 핵심뱅킹 시스템이 연결되어 있지 않아, 보증이 국제적으로 발급되면서도 은행 자체 장부에는 전혀 나타나지 않을 수 있었습니다
LoU가 장부에 보이지 않았기 때문에 신용 한도를 소진하지도, 익스포저 경보를 울리지도 않았습니다 — 점검은 존재했지만 읽을 대상이 없었습니다
만기가 도래하는 보증은 새로운 보증으로 차환되었고, 그래서 만기가 되어 대조를 강제하는 일이 없었습니다
그 격차는 어떤 시스템이 아니라 한 직원이 요청을 수작업으로 조회하면서 발견되었습니다 — 6년간의 자동화된 통제는 아무것도 산출하지 못했습니다
교훈
한 시스템에만 있고 다른 시스템에는 없는 통제는 통제가 아닙니다. PNB의 보증은 SWIFT를 통해 나가 장부에 도달하지 않았고, 그래서 6년 동안 자체 장부로는 무엇을 빚지고 있는지 보여줄 수 없었습니다.
근거 확인하기