암호화폐 거래소를 위한 자금세탁방지(AML) 스크리닝

자금세탁방지(AML) 스크리닝은 회사의 고객과 그 지급 거래를, 제재 대상자와 고위험 당사자가 등재된 목록과 대조합니다. 인가를 받은 회사는 해당 당사자의 자금이 자사 계좌에 들어오지 않도록 막고, 그렇게 조치했음을 입증하기 위해 이 절차를 실행합니다.

암호화폐 거래소와 브로커에게는 그 입증이 더 비쌉니다. 이름이 목록과 일치하는 순간 실무가 시작되기 때문입니다. 영국 금융행위감독청(FCA)이 150개를 넘는 회사의 제재 통제를 점검했을 때, 영업일 기준 1일 안에 이름 스크리닝 알림을 종료한 비율은 44% 에 그쳤습니다. 4분의 1이 넘는 회사는 종료까지 3~5일이 필요했고, 그 정도면 새로 제재 지정된 고객이 출금하기에 충분했습니다.

이 글은 네 가지 확인 항목, 이를 평가하는 감독당국, 실행 방식 세 가지를 다룹니다. 그 방식에는 B2BROKER의 통합 백오피스도 포함됩니다.

자금세탁방지(AML) 스크리닝이란?

자금세탁방지(AML) 스크리닝은 규제 대상 회사가 다루는 고객, 거래상대방, 지급을 모두 제재, PEP, 부정적 미디어 데이터와 대조해 자금세탁과 테러자금조달 위험을 찾습니다.

스크리닝은 계좌가 유지되는 동안 반복됩니다. 제재 목록에는 하룻밤 사이에 이름이 오를 수 있고, 저위험 리테일 트레이더가 온보딩 1년 뒤에 PEP의 사업 파트너가 될 수도 있습니다.

EU에서는 자금세탁방지규정(AMLR)이 2027년 7월 10일부터 회원국 27개국 모두에 직접 적용되며 같은 고객이 나라마다 다른 확인을 받도록 했던 각국의 국내 이행 법령을 대체합니다.

AML 스크리닝의 핵심 확인 항목

완전한 스크리닝 체계의 네 가지 확인은, 각자 나머지 셋이 놓치기 쉬운 위험을 담당합니다.

제재 스크리닝

제재 스크리닝은 모든 고객과 거래상대방의 이름을 미국 해외자산통제국(OFAC)의 SDN(특별지정국민) 목록, 영국 제재 목록 같은 공식 목록과 대조합니다. 온보딩 때 한 번, 그리고 목록이 바뀔 때마다 다시 대조합니다.

FCA가 점검한 회사 가운데 목록 업데이트를 하루 안에 반영하는 곳은 약 3분의 2에 그쳤습니다. 감독당국이 직접 시험했을 때, 스크리닝 시스템은 이름이 정확히 일치하면 알림의 90%에서, 철자가 달라지면 75%에서 제재 대상자를 포착했습니다 .

PEP 스크리닝

PEP 스크리닝은 현재 주요 공직에 있거나 최근까지 있던 고객과 그 직계가족, 밀접 관계자를 가려내고, 해당 계좌를 강화된 고객확인(EDD)으로 넘깁니다.

PEP 일치가 나오면 위험에 비례한 실사가 필요합니다. 문서화된 자금 원천과 재산 원천, 더 짧은 재검토 주기, 그리고 계좌에서 거래가 시작되기 전 고위 임원의 승인입니다. 거절이 요건은 아닙니다. 이런 서류에서 FCA가 가장 자주 보는 문제는, 실사는 했으나 기록을 남기지 않아 다음 심사에서 제시할 자료가 없는 경우입니다.

부정적 미디어와 실제 소유자 확인

부정적 미디어 스크리닝은 사기, 부패, 제재 회피에 관한 신뢰할 만한 보도에 이름이 오른 고객을 표시합니다. 실제 소유자 확인은 지주회사 뒤에서 법인 계좌를 지배하는 사람을 찾습니다. 둘 다 공식 목록보다 먼저 위험을 잡아냅니다.

소유 구조는 FCA가 보기에 회사들이 가장 어려워한 지점이었습니다. 다층 구조에서 상위 소유자를 추적하지 못했고, 연결이 중간 주체를 거칠 때는 거래상대방과 제재 지정자를 잇지 못했습니다. 법인 고객이라면 확인은 그 법인 뒤의 실제 소유자까지 가야 합니다.

지금의 AML 규제 지형

알림 데이터는 이제 감독당국이 근거로 삼는 증빙입니다. 2022년 2월부터 FCA는 각 회사가 제출한 금융범죄 신고 자료와 대조해 스크리닝 보정 자체를 시험해 왔고, 실패한 지점을 공개했습니다. 경칭 때문에 일치가 알림 임계값 아래로 밀린 사례까지 포함됩니다.

EU는 같은 요구 수준을 하나의 감독당국으로 모으고 있습니다. 2026년 2월에 공개된 유럽 자금세탁방지당국(AMLA)의 첫 프로그램 문서는, 이 신설 기구가 단일 AML 규정집과 회원국 전반의 정합적 감독 을 2028년까지 이루겠다고 약속합니다. 이를 위해 인원을 120명에서 432명으로 늘립니다.

AML 스크리닝이 필요한 곳과 그 이유

인가를 받았고 고객 자금을 보유하거나 이동하는 외환 브로커, 암호화폐 거래소, 프라임 브로커, 핀테크는 자사를 인가한 국가의 AML 법령상 의무 대상 기관입니다. 그다음부터 회사마다 갈립니다. 어떤 AML 확인을 어느 관계에 실행하는지, 그 결과를 어느 규제당국이 평가하는지가 다릅니다.

그 규제당국의 압박 강도는 해당 국가의 국제자금세탁방지기구(FATF) 평가 주기를 따릅니다. 지금은 실무상 효과성을 평가하는 제5차 라운드입니다. 현장 방문을 앞둔 나라는, 2027년 6월의 영국처럼, 그 전에 자국 회사를 더 강하게 압박하는 경향이 있습니다.

외환 브로커와 MiFID 적용

MiFID 인가를 받은 외환 브로커는 AML 법령에 따라 온보딩 때 고객을 스크리닝합니다. 이어서 시장남용규정(MAR)에 따라 고객의 거래 방식을 계속 감시하고, 의심스러운 주문과 거래를 보고합니다. 금융상품시장지침(MiFID II)의 고객 분류는 이 모니터링에 반영됩니다. 대규모로 헤지하는 적격 거래상대방과 몇 랏만 거래하는 일반 고객은 서로 다른 거래 흔적을 남깁니다.

계층화(layering)는, 다른 면에서는 깨끗한 고객확인(KYC) 파일 위에서 평범한 거래로 나타납니다. 시장 감시와 스크리닝이 같은 고객 기록을 읽을 때에만 드러납니다.

암호화폐 거래소와 VASP 의무

암호화폐 거래소는 FATF 권고 15상의 가상자산사업자(VASP)입니다. 외환 브로커가 하는 확인에 더해 지갑 주소를 스크리닝하고, 트래블 룰(Travel Rule)에 따라 송금인·수취인 정보를 상대 가상자산사업자와 교환합니다. EU에서는 그 정보가 금액과 관계없이 모든 이체에 함께 이동합니다.

법제는 감독보다 빠르게 퍼졌습니다. FATF의 2026년 7월 업데이트는 조사 대상 109개 관할권 중 91곳이 트래블 룰 법제를 시행 중 이라고 집계합니다. 1년 전 응답자의 73%보다 높아진 수치이며, 그 91곳 중 60%는 아직 이 법제에 따른 감독 조치를 한 건도 취하지 않았습니다.

인가는 이런 통제를 시장 진입 조건으로 바꿉니다. 홍콩은 2025년 8월 1일부터 법정화폐 연동 스테이블코인 발행에 인가를 요구하고, 그 인가에 AML/CFT(자금세탁방지·테러자금조달방지) 가이드라인을 붙입니다. 인가를 받는 회사는 적습니다. 2026년 4월 규제당국은 신청 36건 중 2건에 인가를 부여했습니다 .

프라임 브로커와 기관 데스크

프라임 브로커의 위험은 정산 사슬에 있는 모든 회사에 미칩니다. 그래서 거래상대방, 수탁기관, 유동성 공급업체는 각 관계가 유지되는 동안 스크리닝 대상입니다.

여기서 중요한 확인은 거래상대방을 누가 소유하고 지배하는가입니다. FCA 사례에서는 기업집단 안의 연결만으로도, 거래상대방이 제재 지정자의 소유인지가 가려졌습니다. 같은 점검에서 좋은 평가를 받은 회사는 각 거래상대방의 활동을 온보딩 때 밝힌 사업 모델과 비교했습니다.

AML 스크리닝의 작동 방식

스크리닝은 온보딩, 상시 모니터링, 에스컬레이션이라는 연결된 세 단계로 이어집니다. 감독당국이 보고하는 실패의 대부분은 단계 사이의 인수인계에서 나옵니다. 세 단계가 기록을 따로 두면, 모니터링이 이미 표시한 출금을 결제 시스템이 승인하게 됩니다.

온보딩과 고객확인

온보딩 스크리닝은 고객확인(KYC) 기준에 따라 신원을 확인하고, 이름을 제재 목록과 PEP 데이터베이스에 대조한 뒤, 계좌가 거래를 시작하기 전에 위험 점수를 매깁니다.

이어서 위험 기반 접근이 서류의 깊이를 정합니다. 저위험 국가의 일반 고객에게는 표준 고객확인(CDD)을 적용하고, FATF 회색 목록 국가의 법인 계좌는 개설 전에 자금 원천을 문서로 남기고 고위 임원의 승인을 받아야 합니다.

이 확인을 일으키는 기준 금액은 암호화폐가 다른 어느 업권보다 낮습니다. EU의 AMLR에서 암호자산 서비스 제공자는 1,000유로의 일회성 거래 에 고객확인을 전면 적용하고, 그 금액 미만에서도 고객을 식별합니다. 그 외 대부분 금융회사의 첫 기준 금액은 10,000유로입니다.

상시 거래 모니터링

제재 목록이 바뀔 때마다 고객 명부 전체를 다시 스크리닝합니다. 실시간 모니터링은 반대로 거래에서 출발합니다. 입금, 출금, 거래 각각을 온보딩 때 예상했던 고객 활동과 대조합니다.

FCA가 정리한 위반 사례는 이 모니터링이 무엇을 잡는지 보여 줍니다. 계좌 보유자가 제재 지정된 뒤 며칠 안에 빠져나간 자금, 또는 제재 지정자와의 연결을 숨기려고 암호화폐 지갑을 거친 자금입니다. 둘 다 계좌에 묶인 완전한 결제 데이터가 있어야 드러납니다.

B2CORE에서는 여러 결제 업체의 입금과 출금이 하나의 결제 시스템 서비스 를 통과하며, 이 서비스가 입금 시점에 받은 금액과 수수료를 기록합니다.

도용된 로그인은 깨끗한 계좌를 타인 자금의 통로로 바꾸므로, 계좌 보안도 모니터링 옆에 놓입니다. B2CORE iOS 앱은 인식되지 않은 위치에서의 로그인, 비밀번호 재설정, 2FA 변경이 있으면 알림을 보냅니다 .

에스컬레이션과 의심 활동 보고

에스컬레이션은 모니터링 알림을 문서화된 결정으로 바꾸며, 그 기한은 탐지 시점부터 시작합니다. 미국 자금서비스사업자(MSB)로 등록된 암호화폐 거래소는 의심 활동 보고서(SAR)를 2,000달러 이상 거래에 대해 탐지일부터 역일 30일 이내 에 제출하며, 혐의자를 식별하지 못할 때에만 30일이 추가됩니다.

미국 애국법(USA PATRIOT Act)으로 개정된 은행비밀법(Bank Secrecy Act)에 따라, 같은 거래소는 내부 통제, 지정된 컴플라이언스 책임자, 지속적인 직원 교육을 갖춘 서면 AML 컴플라이언스 프로그램도 유지합니다.

여기서 실패는 탐지 단계인 경우가 드뭅니다. FCA 점검에 포함된 한 은행은 새로 제재 지정된 개인에게 알림이 발생했는데도, 누군가 제한을 걸기 전에 지급이 그대로 나갔습니다. 규제당국은 원인으로 팀 사이의 인수인계를 지목합니다. 우수하다고 평가한 관행은 평범한 것들입니다.

• 알림 종료를 위한 내부 기한
• 종료한 알림마다 남기는 서면 근거
• 종료 건의 품질을 표본으로 보는 2차 검토자

실효성 있는 모니터링 규칙 설정

모니터링 규칙은 실제 위험을 잡으면서도 분석가를 알림에 파묻지 않을 때 제 역할을 합니다. 실제 일치가 드물어, 튜닝은 규칙 자체와 같은 비중을 갖습니다.

FCA 자료에서 반복 고객 스크리닝을 하는 회사의 95%는 2022년 이후 실제 제재 일치를 한 건도 찾지 못했습니다 . 그 회사들에서는 분석가가 열어 본 알림이 전부 오탐(false positive)이었습니다.

규칙을 조여도 그 비용은 없어지지 않고 자리만 바뀝니다. 알림은 그대로 발생하고, 자금이 빠져나가기 전에 누군가 그 알림에 닿는지는 회사의 처리 기준이 결정합니다. 공급업체가 머신러닝으로 임계값을 조정해도, 그 설정을 설명해야 하는 쪽은 회사입니다. FCA 조사 결과는 설정을 재검토하지 않고 두는 것을 미흡 관행으로 봅니다.

거래 기준 금액과 계층화 신호

기준 금액 규칙은 설정 금액을 넘는 단일 거래를 표시합니다. 계층화 규칙은 그 아래에 머물도록 만든 패턴을 잡습니다.

출발점은 자사가 따르는 보고 규칙입니다. 예를 들어 미국 자금서비스사업자가 의심 거래를 보고하는 하한은 2,000달러입니다. 탐지 기준은 그보다 낮게 잡아, 보고 의무가 생기기 전에 패턴이 드러나게 합니다. 다음 세 패턴에는 각각 별도 규칙이 필요합니다.

• 하루에 보고 기준 바로 아래로 나눈 여러 건의 입금, 곧 구조화(structuring)의 형태
• 같은 주에 개설된 계좌들 사이의 이체 연쇄
• 한 시간 안에 출금되고, 그 사이 거래는 없는 입금

고위험 관할권 표시

관할권 표시는 고객의 국가 노출을 규칙 점수에 더합니다. 기준선은 강화된 모니터링 대상이거나 조치 촉구 대상인 FATF 관할권 목록입니다. 국가 노출은 여권을 넘어 거주지와 자금을 보낸 은행까지 이어지며, 항목마다 점수가 따로 있습니다.

국가 점수는 직접 매겨야 합니다. 공급업체의 관할권 등급을 사 온 뒤 한 번도 문제 삼지 않은 경우, FCA는 이를 취약점으로 지적했습니다. 그중에는 그 등급이 FATF 자체 평가와 어긋난 사례도 있었습니다.

감독당국은 알림 뒤의 대기열을 평가합니다. 실제 일치 한 건도 오탐과 같은 대기열에서 기다립니다.

컴플라이언스, 구축·구매·파트너

AML 스크리닝 도구는 자체 구축하거나, 단독 포인트 솔루션을 사거나, 통합 플랫폼의 일부로 도입할 수 있습니다. 선택에 따라 스크리닝 데이터가 놓이는 곳이 달라지고, 놓친 알림을 설명할 수 있는 주체도 달라집니다.

자체 구축을 하면 규칙과 데이터 모델을 완전히 통제할 수 있습니다. 매년 청구되는 항목은 목록 피드, 목록이 바뀔 때마다 하는 재시험, 규제당국이 기준 금액을 옮길 때 호출되는 개발자입니다. FCA 시험에서는 시스템 글자 수 제한을 넘는 긴 이름이 오류 표시 없이 실패하는 경우가 나왔습니다. 필터를 직접 만든 회사는 그 결함을 스스로 찾아야 합니다.

단독 포인트 도구는 며칠 만에 도입되고, 스크리닝 품질도 좋습니다. 다만 CRM 및 결제 시스템과 분리된 기록에서 작동합니다. 알림은 한 시스템에서 발생하고, 계좌는 두 번째 시스템에 있으며, 출금은 세 번째 시스템에서 처리됩니다.

통합 파트너는 이미 계좌를 열고 입금을 처리하는 시스템 안에 스크리닝을 넣습니다. 거버넌스 책임은 여전히 회사에 있습니다. 여러 회사가 어떤 이름이 왜 알림으로 잡히지 않았는지 공급업체에 물어야 했을 때, FCA는 그 의존을 미흡 관행으로 봤습니다. 관리하는 기록은 세 개가 아니라 하나입니다.

한눈에 보는 비교

선택을 가르는 기준은 다섯 가지입니다.

자체 구축은 엔지니어를 두고 제품과 관할권이 하나씩인 회사에 맞습니다. 기록이 그 범위를 넘어 흩어지는 순간, 비용을 회수하지 못합니다.

B2BROKER 생태계 안의 AML 스크리닝

B2BROKER 생태계에서 AML 스크리닝은 계좌를 열고 KYC 파일을 보관하며 입금을 처리하는 백오피스 B2CORE 안에서 실행됩니다. 스크리닝 알림과 그 근거는 같은 고객 파일에, KYC 문서와 결제 내역 옆에 남습니다.

B2CORE는 바로 쓸 수 있는 연동을 150개 넘게 갖추고 있으며, KYC 업체와 사기 방지 업체도 그 안에 있습니다. 이들 업체가 무엇을 돌려주든 그 결과는 고객 기록에 남습니다. 역할 기반 사용자 그룹이 어느 컴플라이언스 담당자가 어느 고객을 보는지 정하고, 감사 추적은 누가 언제 무엇을 바꿨는지 남깁니다.

같은 기록이 나머지 제품군으로 이어집니다. 멀티에셋 유동성 이 시세를 공급하고, B2TRADER 가 거래 활동을 고객 기록으로 보내며, B2CORE와 연동된 B2BROKER의 파트너 B2BINPAY 가 암호화폐 결제를 맡아 입금과 출금을 같은 컴플라이언스 기록 안에 유지합니다.

서비스에는 법적·관할권상 제한이 있습니다. 여기에서 이용약관을 확인합니다 .

B2CORE CRM과 통합 결제

B2CORE는 고객을 동결하지 않은 채 컴플라이언스 기록을 최신으로 유지합니다. v21 릴리스에는 동적 주소 확인 이 더해져, 고객이 주소를 옮겨도 거래를 멈추지 않은 채 기록을 감사에 바로 대응할 수 있는 상태로 유지합니다. 같은 릴리스의 관할권별 세분화는 고객의 국가에 따라 기능을 켜거나 끕니다.

결제 쪽에서는 결제 시스템 서비스가 모니터링 규칙에 결제 기록 하나를 넘깁니다. 그렇지 않으면 업체마다 자기 기록을 따로 남깁니다.

이 백오피스는 규제를 받는 사업자가 제공합니다. B2BROKER는 2014년부터 브로커 인프라를 구축해 왔고, 자체 규제 인가를 10개 넘게 보유합니다. 인가마다 소속 법인 하나가 고객과 같은 AML 의무를 집니다. 1,000곳이 넘는 기업 고객이 이 인프라로 운영합니다.

어느 경로를 택하든, 감독당국이 자료를 요구할 때 알림과 KYC 파일과 결제 기록이 어디에 있을지를 먼저 정하고, B2BROKER 팀과 함께 이를 사업 영역과 관할권에 맞춰 그리면 됩니다.