한국, 암호화폐 여행 규칙 임계값 폐지: 회계 법인과 CFO가 지금 평가해야 할 사항

한국이 소액 암호화폐 전송이 여행 규칙 데이터 공유 요건을 우회할 수 있도록 허용했던 100만 원(약 700달러) 최소 기준을 폐지했습니다. 이제 등록된 가상자산사업자(VASP) 간 모든 전송은 금액과 관계없이 송신자 및 수신자 정보 전체를 제공해야 합니다. 정부는 '특정 금융거래정보의 보고 및 이용 등에 관한 법률' 시행령 개정안을 의결했으며, 확대된 여행 규칙 조항은 공포 후 6개월 뒤 시행됩니다. 한국 암호화폐 시장에서 운영되거나 거래하는 고객을 둔 회계 법인, 감사인, CFO의 경우 규정 준수 범위가 하룻밤 사이에 크게 확대되었습니다.

시행령이 실제로 바꾸는 것

임계값 완전히 제거

기존 체계에서는 등록된 VASP 간 전송 시 100만 원 이상만 여행 규칙 의무가 발생했습니다. 이 기준이 삭제됩니다. 금융정보분석원(FIU)은 그 이유를 명확히 밝혔습니다. 바로 임계값이 단순한 쪼개기 기회를 만들었다는 것입니다. FIU는 한 사용자가 암호화폐 거래소에 약 2억 원을 입금한 후, 데이터 수집을 피하기 위해 각각 100만 원 미만으로 유지한 USDT 출금을 216회로 나누어 실행한 사례를 인용했습니다. 임계값 제거는 이러한 공백을 완전히 차단합니다.

수신 플랫폼의 새로운 의무

개정안은 송신 플랫폼뿐만 아니라 수신 VASP에도 적극적 의무를 부과합니다. 수신 플랫폼은 이제 송신자 및 수신자 정보를 모두 수집해야 합니다. 중요한 점은, 필요한 데이터가 누락된 경우 플랫폼이 해당 정보를 요청할 수 있고, 정보가 제공되지 않으면 거래를 거부할 수 있다는 것입니다. 이는 AML 게이트키핑 책임을 전송 체인의 하류로 이동시키며, 수신 플랫폼이 더 이상 수동적으로 전송을 수락하고 사후에 데이터 공백을 해결할 수 없음을 의미합니다.

해외 거래소 및 개인 지갑에 대한 새로운 체계

시행령에서 운영상 가장 복잡한 부분은 해외 암호화폐 거래소나 개인(자체 보관) 지갑을 거치는 전송에 대한 처리입니다. 한국 당국은 기존 AML 체계의 공백이 확인되면서 이러한 채널을 통한 의심스러운 자금 세탁이 증가하고 있다고 지적했습니다. 새 규칙은 계층적 접근 방식을 만듭니다.

계층적 위험 기반 통제

등록된 국내 VASP는 이제 허용할 전송에 대해 상대방 위험에 기반한 적극적 결정을 내려야 합니다. 저위험으로 평가된 해외 거래소로의 전송은 일반적으로 허용됩니다. 다른 해외 거래소 및 개인 지갑과의 전송은 일반적으로 송신자와 수신자가 동일인임이 확인된 경우에만 허용됩니다. 이는 상당한 제약입니다. 즉, 개인 지갑으로의 외부 전송을 증명 가능한 자가 전송으로 사실상 제한하며, VASP가 각 해외 상대방에 대한 문서화된 위험 평가 프로세스를 갖추도록 요구합니다.

1,000만 원 이상 거래에 대한 의심거래 모니터링

각 등록 VASP는 이제 해외 거래소 또는 개인 지갑과 관련된 1,000만 원 이상의 전송을 구체적으로 다루는 자체 의심거래 모니터링 시스템을 구축하고 운영해야 합니다. 이는 재량적 개선이 아닙니다. 필수 인프라 요건이며, 동일한 시행령 아래 강화되고 있는 광범위한 VASP 등록 기준과 함께 적용됩니다.

강화된 VASP 등록 요건

시행령은 전송 규칙에 그치지 않습니다. 또한 VASP 등록 자체의 기준을 높여 재무 건전성, 내부 통제, 인력 수준, 기술 인프라, 주요 주주에 대한 심사를 확대합니다. 등록 조항은 2026년 8월 20일부터 시행됩니다. 기존 등록 사업자는 일부 새로운 재무, 인력, 인프라, 내부 통제 기준을 충족하기 위해 1년의 전환 기간을 누릴 수 있지만, 등록 변경 자체는 유예되지 않습니다.

한국에서 VASP 등록을 보유하거나 추진 중인 고객에게 자문하는 회계 법인의 경우, 확대된 기준은 규정 준수 평가가 역사적으로 주요 초점이었던 AML 정책뿐만 아니라 더 넓은 조직 및 거버넌스 요소를 포함해야 함을 의미합니다. 이전에 설명된 FSC 한국 VASP 등록 강화(2026년 8월 이전) 요구 사항을 이 시행령이 기반으로 하므로, 두 가지 의무를 함께 읽어야 합니다.

회계 법인과 CFO에게 미치는 회계 및 AML 영향

거래 데이터 완전성은 이제 필수 요건

한국 VASP로 운영되거나 한국 플랫폼을 통해 전송을 라우팅하는 모든 고객은 송신자 및 수신자 데이터 필드를 최선의 노력이 아닌 필수로 취급해야 합니다. 데이터 누락 시 거래를 거부할 수 있는 권한은 행사될 것입니다. 암호화폐 회계 소프트웨어로 고객의 거래 기록을 검토하는 회계 법인은 불완전한 상대방 데이터를 표시하는 검증을 구축해야 합니다. 거부된 전송도 회계 이벤트를 생성하므로 기록되고 설명되어야 하기 때문입니다.

해외 지갑 및 해외 거래소 위험 등급에 대한 문서화 필요

한국 VASP의 CFO와 재무 팀에게 각 해외 거래소 상대방을 위험 수준별로 분류해야 하는 요건은 새로운 거버넌스 작업입니다. 이는 서면 정책에 포함되고, 정기적으로 검토되며, FIU 요청 시 방어 가능해야 합니다. 개인 지갑으로의 전송은 송신자와 수신자가 동일인임을 증명해야 하므로, 검증 워크플로우가 설계되고 문서화되어 감사 중 디지털 자산 회계 소프트웨어로 표면화될 수 있어야 합니다.

의심거래 모니터링 인프라

해외 거래소 및 개인 지갑 전송에 대한 1,000만 원 모니터링 임계값은 시스템 요건입니다. 한국 VASP에 자문하는 회계 법인은 현재 거래 모니터링 도구가 이 특정 전송 범주에 별도의 규칙 세트를 적용할 수 있는지 평가해야 합니다. 모니터링 로직이 일반 AML 시스템에 내장되어 있다면, 이러한 전송을 분리하고 올바른 알림을 생성하도록 재구성해야 할 수 있습니다. 이는 또한 감사 고려 사항입니다. 감사인은 모니터링 시스템이 작동하고 알림이 조사되고 문서화되고 있다는 증거를 원할 것입니다.

6개월의 기간은 생각보다 짧다

공포 후 6개월은 여유 있는 준비 기간처럼 들립니다. 그러나 데이터 수집 워크플로우를 재설계하고, 상대방 위험 분류를 업데이트하고, 거래 모니터링 시스템을 구축하거나 재구성해야 하는 회사의 경우 시간이 촉박합니다. 회계 팀은 지금 구현 작업을 시행일과 대조하고, 일정을 더 압축할 수 있는 기술 공급업체 또는 규제 지침에 대한 의존성을 표시해야 합니다.

올해 초의 FSC 한국 암호화폐 집행 조치는 한국 규제 당국이 AML 기준에 미달하는 VASP에 대해 조치를 취할 준비가 되어 있음을 보여줍니다. 이 시행령은 집행 기조가 약화되지 않고 있음을 시사합니다.

회계 법인과 CFO를 위한 실질적 다음 단계

시행일 전 즉시 조치

첫째, 한국 VASP 등록이 있거나 한국 플랫폼을 통한 상당한 전송량이 있는 모든 고객을 식별합니다. 둘째, 해당 고객의 현재 여행 규칙 데이터 수집 프로세스를 새로운 제로 임계값 요건과 대조하고 데이터 공백이 있는 곳을 식별합니다. 셋째, 각 고객이 해외 거래소에 대한 문서화된 상대방 위험 분류 프로세스를 보유하고 있는지 평가하고 해당 정책을 초안 작성하거나 업데이트합니다. 넷째, 1,000만 원 모니터링 요건을 검토하고 현재 시스템이 이를 적용할 수 있는지 확인합니다. 다섯째, VASP 등록을 추진하거나 보유한 고객의 경우 2026년 8월 20일부터 시행되는 새로운 등록 기준을 반영하여 규정 준수 평가를 업데이트합니다.

한국 고객을 지원하는 데 사용되는 암호화폐 회계 소프트웨어는 거래 수준에서 상대방 메타데이터를 캡처할 수 있는지 검토해야 합니다. 이 데이터는 이제 규제 자산이지 단순한 운영 세부 사항이 아니기 때문입니다.

자주 묻는 질문

확대된 여행 규칙은 언제 시행되나요?

확대된 여행 규칙 및 기타 전송 관련 AML 요건은 시행령 공포 후 6개월 뒤 시행됩니다. VASP 등록 조항은 2026년 8월 20일부터 시행되며, 기존 사업자에 대한 일부 재무, 인력, 인프라, 내부 통제 기준은 1년의 전환 기간이 적용됩니다.

제로 임계값이 개인 지갑과 관련된 전송에도 적용되나요?

여행 규칙 데이터 수집에 대한 제로 임계값은 등록된 VASP 간 전송에 적용됩니다. 개인 지갑 및 해외 거래소와 관련된 전송은 별도의 계층적 위험 체계로 처리됩니다. 일반적으로 송신자와 수신자가 동일인임이 확인된 경우에만 허용되며, 1,000만 원 이상 거래에 대한 새로운 의심거래 모니터링 요건이 적용됩니다.

새로운 규칙에 따라 수신 VASP는 무엇을 다르게 해야 하나요?

수신 VASP는 모든 수신 전송에 대해 송신자 및 수신자 정보를 적극적으로 수집해야 합니다. 필요한 데이터가 누락된 경우 요청할 수 있으며, 제공되지 않으면 거래를 거부할 수 있습니다. 이는 수신 플랫폼이 보다 수동적인 역할을 했던 모델에서 변경된 것입니다.

회사는 상대방 위험 분류 프로세스를 어떻게 문서화해야 하나요?

시행령은 등록된 VASP가 특히 해외 거래소 상대방에 대해 허용할 전송을 위험 기반으로 결정하도록 요구합니다. 해당 결정은 서면 정책에 기록되고, 일관되게 적용되며, 거래 수준에서 기록되어야 합니다. 분류 기준, 검토 빈도, 예외 사항은 모두 문서화하여 규제 검사에 제공할 수 있어야 합니다.

1,000만 원 모니터링 임계값은 FIU에 대한 새로운 보고 의무인가요?

시행령은 VASP가 해외 거래소 또는 개인 지갑과 관련된 1,000만 원 이상의 전송에 대해 의심거래 모니터링 시스템을 구축하도록 요구합니다. 모니터링 시스템은 의심스러운 활동을 식별하고 플래그를 지정해야 합니다. 플래그가 지정된 거래가 FIU에 대한 의심거래 보고로 이어질지 여부는 조사 결과에 따라 결정되며, 한국 AML 법률의 기존 보고 의무와 일치합니다.

출처: Cointelegraph