고객확인제도

고객확인제도(KYC), 어렵지 않아요 내가 금융 서비스에 이름·신분증을 왜 내는지

1. 고객확인제도가 뭐예요?

KYC는 'Know Your Customer', 우리말로 '고객을 파악하라'는 영어의 줄임말이에요. 은행 같은 금융 서비스 회사가 손님이 누구인지 확인하고, 그 정보가 진짜인지 검증하는 절차를 말해요. 은행 같은 전통 금융권에서는 아주 오래전부터 해 온 일이고, 불법으로 번 돈의 흔적을 지우는 걸 막는 자금세탁 방지(AML, Anti-Money Laundering) 규제에서 가장 핵심이 되는 부분이에요.

암호화폐 쪽에서는 중앙화 거래소가 이 절차를 이렇게 써요. 계정을 새로 만들거나 돈을 넣고 빼기 전에, 이용자에게 신원 정보를 요구하는 거예요. 보통 이름·주소·생년월일 같은 기본 정보를 받고, 여기에 신분증 사본이나 얼굴을 찍은 사진(셀피)까지 제출받아서 서로 맞는지 대조해요. 이렇게 하는 이유는, 누구인지 모르는 계정을 통해 불법 자금이 오가거나 사기, 테러 자금 마련 같은 일이 벌어지는 걸 막으려는 거예요.

한국에서는 '고객확인제도'라는 이름이 법에서 정식으로 쓰는 용어예요. KYC, 고객확인, 신원확인 같은 말들은 사실상 다 같은 뜻으로 통해요.

2. 왜 이런 걸 하나요?

고객확인제도를 하는 가장 근본적인 이유는, 금융 시스템이 범죄로 번 돈이 지나다니는 통로로 악용되는 걸 막기 위해서예요. 누구인지 확인되지 않은 익명 계정은 자금세탁이나 사기, 테러 자금 마련에 쓰이기 쉬워요. 그래서 서비스 회사가 '지금 거래하는 사람이 누구인가'를 미리 파악하도록 요구하는 거예요.

KYC는 혼자 따로 있는 제도가 아니라, 자금세탁방지라는 더 큰 체계의 한 부분으로 움직여요. 손님의 신원을 먼저 확인하는 단계(KYC)를 거쳐야, 그다음에 수상한 거래를 찾아내고 신고하는 절차도 의미가 생기기 때문이에요. 신원 확인이 안 된 상태에서는 '누가 이상한 거래를 했다'고 말할 수도 없으니까요.

이런 이유로 규제 당국은 금융회사나 거래소처럼 돈의 이동을 중간에서 이어 주는 사업자들에게 KYC를 의무로 반드시 하도록 정해 두고 있어요.

3. 확인은 어떤 순서로 진행되나요?

KYC는 보통 여러 단계를 거쳐요. 먼저 고객 식별(Customer Identification), 즉 손님이 누구인지 신원 정보를 모으고요, 이어서 그 정보가 진짜인지 검증해요. 거래 금액이 크거나 위험이 높아 보이는 손님한테는 여기서 더 나아가, 돈이 어디서 났는지(자금 출처)와 무슨 목적으로 거래하는지까지 파고드는 '강화된 실사(EDD, Enhanced Due Diligence)'를 적용하기도 해요.

구체적인 주요 단계는 이렇게 나뉘어요.

• 고객 식별: 이름·주소·생년월일 같은 기본 신원 정보를 모으는 단계예요.
• 신원 검증: 신분증 사본이나 셀피 같은 걸로 그 정보가 진짜인지 확인하는 단계예요.
• 위험 평가: 이 손님의 거래가 어떤 특성이 있고 얼마나 위험한지 등급을 매기는 단계예요(고객 리스크 평가).
• 강화된 실사(EDD): 위험이 높은 손님을 상대로 돈의 출처와 거래 목적을 확인하는 단계예요.
• 지속적 모니터링: 계좌를 열어 준 뒤에도 거래 패턴을 계속 지켜보면서 이상한 낌새를 찾아내는 단계예요.

검증을 얼마나 꼼꼼히 하는지는 손님의 위험도에 따라 다르게 적용돼요. 위험이 낮다고 판단되면 간단하게만 확인하고 넘어가기도 해요.

이렇게 보면 쉬워요 · 처음 인사만 나누는 손님과 큰돈을 맡기려는 손님을 같은 깊이로 조사하지 않는 것과 비슷해요.

4. 암호화폐에서는 어떻게 쓰이나요?

암호화폐 거래소는 나라마다 규제가 다르기 때문에 KYC를 요구하는 정도도 저마다 달라요. 흔한 방식은, 신원 인증을 마친 이용자한테만 원화·달러 같은 법정화폐를 넣고 빼는 기능이나 높은 거래 한도를 열어 주는 거예요. 어떤 서비스는 인증을 아예 안 하면 최소한의 기능만 쓰게 하고, 인증 단계가 올라갈수록 거래 한도를 늘려 주는 계단식 구조를 두기도 해요.

KYC는 신원이 확인됐는지를 기준으로 접근을 막거나 열어 준다는 점에서 화이트리스트 개념과 맞닿아 있어요. 화이트리스트가 '허락된 대상만 들여보내는 명단'인 것처럼, KYC도 신원이 확인된 계정만 특정 기능을 쓸 수 있게 하는 방식이거든요.

이용자의 돈과 직접 맞닿는 다른 영역들, 예를 들어 커스터디(이용자 자산을 대신 보관해 주는 서비스), 새 코인을 거래 목록에 올리는 상장, 거래소를 통한 코인 공개 판매인 IEO 같은 곳에서도 KYC는 이제 사업자가 반드시 지켜야 할 기본 요건으로 자리 잡았어요.

5. 한국에서는 어떤 규제가 있나요?

한국에서는 특정금융정보법(줄여서 '특금법')이라는 법에 따라, 원화 거래를 지원하는 거래소는 실명확인 입출금 계좌(본인 이름으로 확인된 계좌)와 KYC 절차를 반드시 갖춰야 해요. 2021년 3월에 시행된 개정 특금법은 가상자산사업자에게 신고제를 도입했고, 고객확인과 자금세탁방지 의무를 법으로 분명하게 지웠어요.

그래서 국내 거래소는 은행과 연결된 실명확인 입출금 계좌를 확보하고 고객확인 절차를 운영해야만 원화 거래를 지원할 수 있게 됐어요. 이 조건을 못 갖추면 원화 거래 자체를 열 수 없는 거죠.

2022년에는 '트래블룰'이 시행됐어요. 일정 금액이 넘는 가상자산을 다른 곳으로 보낼 때, 보내는 사람과 받는 사람의 정보를 함께 제공하도록 하는 규칙이에요. 이걸로 거래소끼리 돈이 오갈 때도 확인 의무가 넓어졌어요.

6. 국제 기준은 누가 정하나요?

고객확인제도의 국제적인 기준은 1989년에 만들어진 국제자금세탁방지기구(FATF, Financial Action Task Force)가 내놓은 권고에서 출발해요. FATF는 회원국들에게 자금세탁방지와 고객확인 체계를 갖추라고 권고하고, 각 나라는 그 내용을 자기 나라 법에 반영해요.

2019년에 FATF는 가상자산과 가상자산사업자(VASP)를 다루는 지침을 채택했어요. 그리고 돈을 옮길 때 보내는 사람과 받는 사람 정보를 함께 전달하도록 하는 '트래블룰(Travel Rule)'을 권고했어요. 이건 원래 은행 송금에 적용되던 정보 제공 의무를 암호화폐 영역까지 넓힌 것으로, 여러 나라가 이걸 자기 나라 규제에 들여오는 계기가 됐어요.

7. 프라이버시와 규제, 왜 부딪히나요?

스마트 컨트랙트(조건이 맞으면 사람 손 없이 자동으로 실행되는 프로그램)를 기반으로 돌아가는 탈중앙화 거래소는 중간에 관리하는 사람 없이 지갑끼리 바로 거래가 이뤄져요. 그래서 전통적인 KYC를 요구하지 않는 경우가 많고, 이 점이 프라이버시와 규제 사이에서 계속 논쟁거리가 되고 있어요.

탈중앙화 금융 진영에서는 신원 확인 없이 누구나 접근할 수 있는 개방성을 가장 중요한 가치로 내세워요. 반대로 규제 당국은 이런 익명성이 불법 자금이 지나다니는 통로가 될 수 있다는 점을 걱정해요.

그래서 KYC는 '금융에 쉽게 접근할 권리와 프라이버시'라는 가치와, '자금세탁 방지와 소비자 보호'라는 가치가 정면으로 부딪히는 자리에 놓여 있어요. 특히 중간에서 관리하는 사업자가 아예 없는 프로토콜에 어떻게 규제를 적용할 것인가는 아직 답을 찾지 못한 숙제로 남아 있어요.

8. 함께 알아두면 좋은 개념은?

KYC는 가까운 개념들과 함께 봐야 그 위치가 또렷해져요.

• 자금세탁방지(AML): KYC를 그 안에 품고 있는 더 큰 개념이에요. 불법 자금이 흘러 다니는 걸 막기 위한 전반적인 체계예요.
• 화이트리스트: 확인된 대상에게만 접근과 거래를 허락하는 방식으로, 통제하는 원리가 KYC와 닮았어요.
• 중앙화 거래소와 탈중앙화 거래소: KYC를 적용하느냐 마느냐가 갈리는 두 종류의 거래 플랫폼이에요.
• 법정화폐 입출금: KYC 인증을 먼저 해야만 쓸 수 있는 대표적인 영역이에요.

9. 앞으로 어떤 숙제가 남아 있나요?

고객확인제도는 규제가 강해지고 기술이 발전하면서 계속 바뀌고 있어요. 신분증 스캔과 얼굴 인증을 자동으로 처리하는 방식이 널리 쓰이면서 확인 절차가 빨라졌어요. 하지만 그만큼 많은 개인정보를 모으고 보관하게 되면서, 정보가 유출될 위험과 프라이버시 문제도 함께 커졌어요.

한편으로는 영지식 증명(정보 자체는 보여 주지 않으면서 '조건을 만족한다'는 사실만 증명하는 기술) 같은 방법이 제안되고 있어요. 이걸 쓰면 개인정보를 그대로 드러내지 않고도 신원 요건을 갖췄는지만 증명할 수 있어요. 그래서 '신원은 확인하되 정보는 최소한만 드러내는' 방향의 논의가 이어지고 있어요.

결국 규제를 지키는 것과 이용자의 프라이버시를 지키는 것, 이 두 가지를 동시에 만족시키는 방법을 찾는 게 이 제도에 계속 남아 있는 숙제예요.