개념
이 레슨의 경계 — 우회 방법은 다루지 않는다
먼저 분명히 해 둔다. 탐지를 회피하는 방법, 규칙의 빈틈을 이용하는 수법은 다루지 않는다. 이 레슨의 주제는 규칙이 명세대로 동작하는지 검증하는 일 이다.
그리고 실무에서 지켜야 할 선이 있다. 탐지 규칙의 구체적 임계값과 조건은 대외비로 다뤄지는 경우가 많다. 알려지면 그 값을 피해 거래를 쪼개는 것이 가능해지기 때문이다. QA 가 규칙을 다룰 때는 접근 권한과 자료 취급 절차를 따르고, 시험 문서에 임계값을 어디까지 적을지도 조직 규정에 따른다 — 모듈 63 레슨 6 의 통제 환경 증거 관리 원칙이 그대로 적용된다.
보안 시험 기법 자체는 모듈 50 이, 국내 규제 대응의 전반은 레슨 1 과 모듈 50 레슨 6 이 맡는다. 이 레슨은 규칙의 검증 에 집중한다.
두 제도를 가른다 — AML 과 FDS
실무에서 섞여 쓰이지만 목적과 출력이 다르다.
| 자금세탁방지(AML) | 이상거래탐지(FDS) | |
|---|---|---|
| 막으려는 것 | 자금의 출처·흐름을 숨기는 행위 | 본인이 아닌 자의 거래, 사기 피해 |
| 시간 축 | 사후 분석 중심 — 패턴을 기간으로 본다 | 실시간 중심 — 거래를 막아야 한다 |
| 출력 | 보고(의심거래 등), 내부 심사 | 차단, 추가 인증 요구, 지급정지 |
| 틀렸을 때 | 보고 누락 또는 불필요한 심사 부담 | 정상 거래를 막는다 또는 피해 발생 |
| 판정 주체 | 사람(준법·심사 담당) 이 최종 판단 | 상당 부분 자동 |
공개 자료가 설명하는 바로, 국내 자금세탁방지 제도는 「특정금융거래정보의 보고 및 이용 등에 관한 법률」을 주축으로 하고, 금융정보분석원의 설립·운영과 함께 금융회사의 고객확인(CDD), 의심거래보고(STR), 고액현금거래보고(CTR) 등 보고 의무를 규정한다. 각 의무의 적용 범위·기준금액·보고 기한·예외는 법령과 감독 규정에서 확인한다(원문 확인) — 기준금액은 개정되는 항목이므로 이 레슨에 적지 않는다.
FDS 에 대해 공개 자료는 전자금융거래에 쓰이는 단말기 정보, 접속 정보, 거래 내용 등을 종합 분석해 의심 거래를 탐지하고 이상 금융거래를 차단하는 시스템으로 설명한다. 그리고 FDS 에서 포착된 사기 의심 거래를 AML 과 연계해 자금세탁 위험까지 분석하고, 의심거래보고와 지급정지 같은 후속 조치로 이어지는 구조를 갖춘 사례가 보도되고 있다. 두 체계가 연계되면 QA 가 볼 경계가 하나 늘어난다 — 연계 지점 자체가 시험 대상이 된다(뒤에서 다룬다).
QA 에게 가장 중요한 차이는 "틀렸을 때" 행 이다. FDS 는 오탐이 즉시 고객 피해 가 된다. 정상 거래가 막히고, 고객은 돈을 쓸 수 없다. AML 의 오탐은 심사 부담 으로 나타나 조용히 쌓인다. 두 성격이 다르므로 판정 기준도 달라야 한다.
규칙을 결정표로 푼다
탐지 규칙은 조건이 얽힌 판정 이다. 모듈 3 레슨 3 의 결정표가 여기서 바로 쓰인다.
규칙의 전형적 구성 요소는 이렇다.
| 요소 | 예시 성격 |
|---|---|
| 거래 속성 | 금액, 통화, 거래 유형, 채널 |
| 집계 조건 | 일정 기간 내 횟수·합계 |
| 상대 속성 | 상대 계좌의 특성, 지역 |
| 고객 속성 | 위험 등급, 가입 경과 기간, 평소 거래 양상 |
| 단말·접속 속성 | 기기 변경, 접속 위치 변화, 평소와 다른 시간대 |
| 제외 조건 | 화이트리스트, 특정 거래 유형 제외 |
집계 조건과 제외 조건이 결함의 온상 이다.
집계 조건 — "일정 기간 내 N 회 이상" 같은 규칙에서 확인할 것이 많다. 기간의 기준이 거래 시각인가 처리 시각인가, 구간이 고정 구간인가 이동 구간인가, 경계에 걸친 거래가 포함되는가, 취소·반환 거래가 집계에서 빠지는가. 이 질문들의 답이 명세에 없으면 구현이 임의로 정해져 있다.
제외 조건 — 화이트리스트가 지나치게 넓으면 규칙이 사실상 꺼진다. 그리고 제외 조건은 운영 중에 늘어나는 경향이 있다(민원이 들어오면 예외를 추가한다). 그래서 제외 목록의 크기와 변경 이력을 보는 것 이 QA 가 할 수 있는 날카로운 확인이다. 규칙이 작동한다고 보고되는데 실제로는 대부분이 제외되고 있는 상태가 실재한다.
결정표를 만들면 조건 조합과 기대 판정 이 표로 정리되고, 거기서 시험 케이스가 나온다. 조합이 폭발하므로 조합 기법(모듈 3 레슨 5) 으로 줄이되, 경계 조합은 반드시 포함 한다.
경계가 핵심이다 — 그리고 임계값은 명세에서 온다
탐지 규칙은 임계값으로 이루어져 있다. 그래서 경계값 분석이 지배적인 기법이다.
경계 축은 이렇다.
| 축 | 경계 |
|---|---|
| 금액 | 임계 금액 직전·정확히·직후 |
| 횟수 | 임계 횟수 −1·정확히·+1 |
| 기간 | 구간 시작·종료 시각의 전후, 구간을 걸치는 거래 |
| 누적 | 합계가 임계에 정확히 닿는 조합 |
| 등급 | 위험 등급 경계에 있는 고객 |
| 조합 | 두 규칙이 동시에 걸리는 경우, 하나만 걸리는 경우 |
임계값은 명세에서 가져온다. QA 가 추측하거나 "대략 이 정도" 로 시험하면 경계를 비껴간다. 그리고 시험 데이터에 임계값이 그대로 드러나지 않게 다루는 것도 이 분야의 실무다 — 위에서 말한 자료 취급 원칙이다.
네 번째 축(누적) 이 특히 중요하다. 합계가 임계에 정확히 닿는 조합을 만들려면 거래를 여러 건 설계해야 하고, 그 과정에서 집계 로직의 결함이 드러난다 — 반올림, 통화 환산, 취소 거래 처리.
여섯 번째 축(조합) 은 여러 규칙이 동시에 걸릴 때의 처리다. 두 규칙이 모두 발동하면 알림이 두 개 생기는가 하나로 묶이는가. 중복 알림은 심사 부담을 배로 만들고, 묶는 로직이 틀리면 한쪽을 놓친다.
오탐과 미탐을 함께 본다
이 레슨의 중심 개념이다. 탐지 규칙은 한 방향으로만 평가할 수 없다.
실제로 문제 있는 거래 실제로 정상 거래
규칙이 탐지함 올바른 탐지 오탐 (거짓 양성)
규칙이 놓침 미탐 (거짓 음성) 올바른 통과조이면 오탐이 늘고 미탐이 줄고, 느슨하면 반대다. 둘 다 줄이는 것은 규칙을 더 정교하게 만드는 것 이고, 임계값 조정만으로는 교환 관계를 벗어날 수 없다.
QA 가 이 구조에서 하는 일은 양쪽을 함께 보고하는 것 이다. 한쪽만 보고하면 잘못된 결정이 내려진다.
- 오탐만 보고하면 → 규칙을 느슨하게 만든다 → 미탐이 늘어난다
- 미탐만 보고하면 → 규칙을 조인다 → 정상 고객이 막히고 심사가 폭증한다
그래서 판정 양식에 두 칸이 함께 있어야 한다. 그리고 각각의 비용 을 적는다 — 오탐 1건의 비용(심사 공수, 고객 불만, FDS 라면 차단 피해) 과 미탐 1건의 비용(피해 금액, 보고 누락 위험). 조직이 그 비용을 비교해 판단한다.
미탐을 세는 것이 어렵다 는 점을 분명히 해 둔다. 놓친 것은 보이지 않는다. 실무에서 쓰는 방법은 셋이다.
- 알려진 사례로 역검증 — 과거에 실제로 문제가 된 거래를 규칙에 통과시켜 본다. 잡히지 않으면 미탐이다. 가장 직접적인 방법이고, 사례를 기준 사례 집합 으로 관리한다
- 사후 발견 건 추적 — 다른 경로(고객 신고, 수사 기관 요청, 사후 분석) 로 드러난 건이 규칙에 걸렸는지 확인한다. 안 걸렸으면 그 패턴을 규칙에 반영한다
- 인접 구간 분석 — 임계 바로 아래에 몰려 있는 거래가 있는지 본다. 임계를 의식한 패턴일 수 있다
두 번째가 조직의 학습 경로 다. 사후 발견 건을 규칙 개선으로 되돌리는 절차가 없으면 같은 유형을 계속 놓친다 — 모듈 40 레슨 8 의 시판 후 감시 되돌림과 같은 구조다.
지표는 짝으로 보고 평가에 쓰지 않는다
탐지 규칙에 지표를 걸면 왜곡된다. 모듈 44 레슨 10, 모듈 48 레슨 5 에서 다룬 구조가 여기서도 나타난다.
| 단독으로 걸면 안 되는 지표 | 어떻게 왜곡되는가 |
|---|---|
| 탐지 건수 | 규칙을 느슨하게 해 건수를 늘린다 |
| 오탐률만 | 규칙을 조여 탐지 자체를 줄인다 |
| 심사 처리 건수 | 쉬운 건만 빨리 닫는다 |
| 평균 심사 시간 | 깊이 보지 않고 닫는다 |
짝으로 본다. 탐지 건수와 유효 탐지 비율, 오탐률과 기준 사례 적중률, 처리 건수와 재심사 발생률.
그리고 개인·팀 평가에 쓰지 않는다. 심사 담당의 평가가 처리 건수에 연동되면 깊이 보지 않고 닫게 되고, 그것이 가장 위험한 왜곡이다.
규칙 변경이 운영 부담으로 번진다
이 영역 특유의 성질이다. 규칙을 조이는 변경 은 코드 한 줄이지만, 그 결과는 심사 대기 건수의 폭증 일 수 있다.
그래서 규칙 변경에는 영향 예측이 필수 다. 그리고 예측 방법이 있다 — 과거 데이터로 다시 돌려 보는 것 이다.
[과거 N 개월 거래 데이터]
│
├──→ [현행 규칙으로 판정] ──→ 탐지 건수 A
│
└──→ [변경 규칙으로 판정] ──→ 탐지 건수 B
│
B − A = 늘어나는 심사 부담
A 중 B 에 없는 것 = 새로 놓치게 되는 것오른쪽 아래 항이 자주 빠진다. 조이는 변경에서도 기존에 잡히던 것이
안 잡히게 되는 경우 가 있다(조건을 추가하면서 논리가 바뀌는 경우). 양방향으로
차분을 본다 — 모듈 39 레슨 11 의 재처리 검증에서 A−B 도 봐야 한다고 한 것과
같은 구조다.
이 작업을 할 수 있으려면 과거 데이터로 규칙을 돌리는 환경 이 필요하다. QA 가 요구할 것이 그것이고, 없으면 시험 가능성 지적으로 올린다.
과거 데이터를 쓸 때의 원칙 — 실제 거래 데이터에는 개인정보가 들어 있다. 접근 권한, 가명·익명 처리, 반출 통제, 보관 기간이 조직 규정과 법령에 따라 정해져 있다. 그 절차 안에서만 쓰고, 우회하지 않는다. 모듈 50 레슨 6 과 모듈 63 레슨 6 의 원칙이 적용된다.
연계 지점이 시험 대상이다
FDS 와 AML 이 연계되고, 탐지 결과가 지급정지나 보고로 이어지는 구조에서는 연계 지점 자체가 결함 지점 이다.
| 연계 | 확인할 것 |
|---|---|
| FDS 탐지 → AML 분석 | 전달이 누락되지 않는가, 중복 전달되지 않는가 |
| 탐지 → 심사 큐 | 건이 큐에 들어가는가, 우선순위가 맞는가 |
| 심사 판정 → 후속 조치 | 지급정지·보고가 판정대로 실행되는가 |
| 조치 → 고객 안내 | 안내가 나가는가, 내용이 맞는가 |
| 전 구간 | 추적 가능한가 — 한 건이 어느 규칙에서 시작해 어떻게 끝났는지 |
마지막 행이 핵심 이다. 추적이 끊기면 사후 분석도 감독 당국 대응도 할 수 없다. 그리고 이것은 레슨 10 에서 다룰 증거 의 문제로 이어진다.
연계 시험에서 자주 빠지는 것은 한쪽이 장애일 때 다. AML 쪽이 응답하지 않으면 FDS 탐지 건은 어떻게 되는가. 쌓이는가, 버려지는가, 차단이 풀리는가. 버려지거나 차단이 풀리면 그것이 가장 위험하다 — 레슨 2 의 결과 불명 거래, 모듈 62 레슨 5 의 복구 판정과 같은 구조다.
실무에서 왜 필요한가
금융사에서 탐지 규칙 관련 사고는 두 방향으로 나타난다.
한쪽은 놓침이다. 사기나 자금세탁이 통과하고, 사후에 발견된다. 그때 나오는 질문은 "왜 규칙에 안 걸렸는가" 이고, 답하려면 그 건을 규칙에 다시 돌려 봐야 한다. 그 환경이 없으면 답할 수 없다.
다른 쪽은 과차단이다. 규칙을 조인 뒤 정상 고객의 거래가 막히고 민원이 쏟아진다. 그리고 급하게 규칙을 되돌리는데, 그 되돌림이 또 검증 없이 들어간다. 이 반복이 조직에서 실제로 일어나는 모습 이다.
QA 가 이 반복을 끊는 방법은 변경 전 영향 예측 이다. 과거 데이터로 돌려 "이 변경은 심사 대기를 N 배로 늘립니다" 를 숫자로 보이면, 조직이 준비하고 들어간다. 그리고 양방향 차분으로 "새로 놓치게 되는 것" 까지 보이면 더 좋다.
두 번째 기여는 기준 사례 집합 이다. 과거에 실제로 문제가 된 건들을 모아 규칙 변경마다 돌려 보는 체계. 이것이 있으면 미탐을 숫자로 말할 수 있고, 없으면 "놓치지 않을 것 같다" 가 된다.
세 번째는 제외 목록을 보는 것 이다. 아무도 보지 않는 영역인데, 제외가 쌓여 규칙이 사실상 꺼져 있는 상태가 실재한다. 목록 크기와 변경 이력을 주기적으로 확인하는 것은 QA 가 할 수 있는 가장 비용 낮은 고가치 작업이다.
채용시장에서의 위치
이 영역은 은행·카드·증권·전자금융업자의 준법·보안·IT 조직, 그리고 AML·FDS 솔루션 기업 의 자리다. 공고에는 "AML", "FDS", "탐지 규칙", "준법감시", "이상거래" 같은 말이 적힌다.
특징은 QA·업무·데이터 분석의 경계에 있다 는 점이다. 순수 QA 자리로 뽑기도 하고, 준법 담당이 규칙 검증을 겸하기도 한다. 그래서 양쪽 언어를 쓸 수 있는 사람 의 폭이 넓다 — 결정표와 경계값으로 시험을 설계할 수 있고, 오탐·미탐의 교환 관계를 비용으로 설명할 수 있는 사람.
경쟁력이 되는 것은 셋이다. 첫째, 오탐과 미탐을 함께 다루는 태도 다. 면접에서 "오탐이 많다는 보고가 올라오면 어떻게 하시겠습니까" 는 이것을 보는 질문이고, "규칙을 완화한다" 로 답하면 약하다. 둘째, 과거 데이터 재판정으로 영향을 예측하는 능력 이다. 셋째, 자료 취급 절차를 지키는 태도 다 — 임계값과 거래 데이터를 다루는 분야이고, 절차를 우회하는 사람은 쓰이지 않는다.