Banking-as-a-Service 및 임베디드 파이낸스: 전략과 리스크

임베디드 뱅킹과 BaaS의 진정한 의미

임베디드 페이먼트와 임베디드 파이낸스는 차량 호출 앱 내의 결제 계좌나 온라인 쇼핑몰의 체크아웃 단계에서 제공되는 대출처럼 비금융 상품 내에 금융 상품을 녹여내는 방식을 의미합니다. BaaS(Banking-as-a-Service)는 이러한 구조의 상당 부분을 지탱하는 인프라로, 라이선스를 보유한 은행이나 은행과 협력하는 플랫폼이 API를 통해 계좌, 카드, 결제 기능을 제공함으로써 다른 기업이 자사 브랜드로 이를 서비스할 수 있도록 지원합니다.

이러한 방식의 매력은 명확합니다. 소프트웨어 기업이나 유통사는 직접 은행이 되지 않고도 새로운 수익원과 충성 고객을 확보할 수 있습니다. 은행은 파트너사의 고객을 통해 유통망을 넓힐 수 있습니다. 하지만 위험 역시 분명합니다. 고객이 마주하는 브랜드는 라이선스를 보유한 주체가 아니며, 문제가 발생했을 때 누구에게 책임이 있는지 모호한 경우가 적지 않습니다.

주요 구축 모델

수익 창출원

• 인터체인지(가맹점 수수료). 가맹점이 지불하는 카드 수수료는 핵심 수익원입니다. 미국의 경우, 더빈 개정안(Durbin amendment)은 자산 100억 달러 이상의 은행에 대해 직불카드 인터체인지 수수료 상한선을 두지만 소규모 은행은 예외로 두고 있으며, 이로 인해 소규모 은행들이 스폰서 은행으로 인기를 끌고 있습니다.
• 예대마진(예금 스프레드). 은행에 예치된 고객 잔액은 이자 수익을 창출하며, 이 중 일부는 파트너사와 공유될 수 있습니다.
• 소프트웨어 및 플랫폼 수수료. 인프라 제공업체가 부과하는 이용량 기반 또는 구독형 수수료입니다.
• 대출 마진. 파트너사가 심사 데이터를 제공하고 은행이나 대출 기관이 자금을 공급하는 임베디드 크레딧 구조에서 발생합니다.

이러한 수익원은 규제 환경과 금리에 따라 빠르게 변화할 수 있습니다. 인터체인지 수수료 상한선 예외 등 특정 요인에만 의존하는 모델은 해당 요인이 사라질 경우를 가정하여 스트레스 테스트를 거쳐야 합니다.

2024년에 발생한 문제와 그 시사점

다중 레이어 구조의 취약성은 2024년에 여실히 드러났습니다. 미국의 BaaS 미들웨어 기업인 시냅스(Synapse)가 그해 4월 파산 신청을 한 것입니다. 시냅스를 기반으로 구축된 핀테크 앱의 고객들은 이볼브 뱅크 앤드 트러스트(Evolve Bank & Trust)를 비롯한 제휴 은행에 예치된 잔액이 앱에 표시된 장부와 일치하지 않는 문제를 겪었으며, 다수의 고객이 장기간 자금에 접근하지 못했습니다. 이 사건은 여러 기업이 동일한 자금에 대한 장부를 각각 유지할 때, 어느 한 곳에 문제가 생기면 정확히 누구에게 얼마의 채무가 있는지 누구도 확인할 수 없게 되는 기본적인 취약성을 적나라하게 보여주었습니다.

규제 당국은 이미 스폰서 은행들에 경고를 보내고 있었습니다. 블루리지 뱅크(Blue Ridge Bank)와 이볼브를 포함한 여러 스폰서 은행에 대한 제재 조치는 핀테크 파트너에 대한 미흡한 관리·감독, 성장에 발맞추지 못한 컴플라이언스 프로그램, 고객 자금에 대한 부실한 통제 등이 핵심 원인이었습니다. 2024년 9월, 미국 연방예금보험공사(FDIC)는 은행이 예금자 계좌의 실제 소유주에 대한 상세 장부를 의무적으로 유지하도록 하는 규정안을 제안했으며, 이는 정확히 이 문제를 겨냥한 것이었습니다.

BaaS를 활용하는 기업을 위한 실사(Due Diligence) 체크리스트

1. 자금을 보유한 주체는 누구인가? 고객 자금을 보유하고 있는 라이선스 보유 기관의 명칭을 정확히 파악하고, 고객들이 이를 확인할 수 있는 방법을 안내해야 합니다.
2. 장부를 관리하는 주체는 누구인가? 은행의 기록과 플랫폼의 기록 간 일일 대사를 의무화하고, 서면화된 프로세스와 보고서를 확보해야 합니다.
3. 컴플라이언스에 대한 책임은 누가 지는가? 파트너사가 고객 데이터를 수집하더라도, 자금세탁방지(AML) 프로그램에 대한 책임은 대개 은행에 남습니다. 역할 분담이 문서화되어 있고 감사를 거치는지 확인해야 합니다.
4. 파트너사가 파산할 경우 어떻게 되는가? 고객을 다른 은행이나 플랫폼으로 이전할 수 있는 비상 계획을 마련하고, 계약을 통해 자사 데이터에 대한 접근 권한이 보장되는지 점검해야 합니다.
5. 예금자 보호는 어떻게 작동하는가? 예금자 보호 제도는 은행의 파산으로부터 보호하는 것이며, 핀테크나 플랫폼에서의 손실을 보장하지 않습니다. 패스스루(Pass-through) 보호는 자금 소유주에 대한 정확한 장부 유지를 전제로 합니다.
6. 수익 모델은 지속 가능한가? 가장 유리한 규제 환경이나 금리 가정사항을 배제한 상태에서 비즈니스 모델의 타당성을 검증해야 합니다.

은행들이 고려해야 할 사항

스폰서로서 BaaS 사업에 진출하려는 은행들은 리스크 및 컴플라이언스 조직이 도입하려는 프로그램의 성장 속도에 발맞추어 확장될 수 있는지 자문해 보아야 합니다. 집중 리스크 역시 또 다른 우려 사항입니다. 소수의 대형 파트너사가 은행 예금의 대부분을 차지할 경우 유동성 계획 수립이 복잡해지며, 소비자 불만 처리 및 모니터링은 은행 자체 지점뿐만 아니라 파트너사의 고객 기반 전반에 걸쳐 원활하게 작동해야 합니다.

미국 이외 지역의 규제 동향

유럽연합(EU)의 지급결제서비스 지침(PSD2 및 개정안 추진)과 2025년 1월부터 시행된 디지털 운영 탄력성법(DORA)은 외부 기술 공급업체에 의존하는 기업들에 대해 관리·감독, 테스트, 철수 계획 등에 대한 요구 조건을 부과하고 있습니다. 영국의 금융행위감독청(FCA)은 기업들이 고객 자금을 안전하게 보호하는 방식에 초점을 맞추어 왔습니다. 세부 내용은 지역별로 다르지만 방향성은 일치합니다. 규제 당국은 고객에 대한 최종 책임을 지는 주체가 전체 공급망을 이해하고 통제할 것을 요구하고 있습니다.

자주 묻는 질문

일반 기업이 은행 인가 없이 금융 상품을 제공할 수 있습니까?

자금을 보유하고 규제 책임을 지는 라이선스 보유 기관과 제휴함으로써 가능합니다. 이때 기업은 어떤 회사가 은행이고 어떤 회사가 앱 서비스 제공사인지 고객에게 명확히 고지해야 하며, 마케팅을 통해 오인 소지를 제공해서는 안 됩니다.

핀테크 앱에 예치된 자금은 예금자 보호를 받나요?

예금자 보호 제도는 보호 대상 은행의 파산을 보장합니다. 앱을 통해 예치된 자금의 보호 여부는 계좌가 어떻게 구조화되어 있는지, 그리고 장부가 얼마나 정확하게 관리되는지에 따라 달라집니다. 핀테크 기업 자체의 파산까지 보호해 주지는 않습니다.

BaaS와 임베디드 파이낸스의 차이점은 무엇입니까?

BaaS는 은행이나 플랫폼이 공급하는 인프라입니다. 임베디드 파이낸스는 고객이 비금융 앱 내부에서 경험하는 상품 서비스입니다. 하나가 수도관이라면, 다른 하나는 수도꼭지입니다.

2024년의 연이은 실패로 BaaS 모델은 끝난 것입니까?

그렇지 않습니다. 다만 더욱 신중해졌을 뿐입니다. 앞으로는 직접적인 은행 파트너십, 파트너사에 대한 엄격한 감독, 향상된 장부 통제, 그리고 고객과 라이선스 보유 기관 사이의 불필요한 레이어 축소가 더욱 자리 잡게 될 것입니다.

출처 및 추가 읽을거리

• 미국 연방예금보험공사(FDIC), 거래 기능을 갖춘 예치 계좌의 기록 유지를 위한 규정안 (2024), fdic.gov 참조.
• 연방준비제도이사회(Board of Governors of the Federal Reserve System), Regulation II (직불카드 인터체인지 수수료 및 라우팅), federalreserve.gov 참조.
• 통화감독청(OCC), 제3자 관계 및 리스크 관리에 관한 지침서, occ.gov 참조.
• 유럽연합, 규정(EU) 2022/2554 (DORA), eur-lex.europa.eu 참조.

규칙, 제재 조치 및 기업 세부 정보는 공개된 정보를 바탕으로 작성되었으며 변경될 수 있으므로 위의 출처를 통해 재확인하시기 바랍니다. 본 기사는 일반적인 정보 제공을 목적으로 하며, 재무적 또는 법적 자문이 아닙니다.