상업범죄보험 완벽 가이드 2026: 직원 절도·횡령·송금사기·소셜엔지니어링 대비

상업범죄보험이 실제로 막아주는 것부터 정리하자

상업범죄보험(commercial crime insurance)은 회사의 돈과 자산이 ‘부정한 방법으로’ 빠져나갈 때 그 직접 손실을 메워주는 상품이다. 화재보험이 불로 인한 손실을, 배상책임보험이 남에게 끼친 피해를 다룬다면, 상업범죄보험은 절도·횡령·위조·사기로 회사 금고에서 돈이 사라지는 상황을 담당한다.

필자가 중소기업 재무 담당자들과 이야기해 보면 열에 아홉은 “우리 직원은 그럴 사람이 아니다”라고 말한다. 그러나 실제로 회사를 무너뜨리는 손실의 상당수는 외부 강도가 아니라 신뢰받던 내부 인물, 혹은 회사를 잘 아는 척 접근한 사기범에게서 나온다. 경리 직원 한 명이 수년간 가짜 벤더 계정으로 결제를 빼돌리는 사례, 재무 담당자가 CEO를 사칭한 이메일에 속아 거액을 해외로 송금한 사례가 대표적이다.

이 글은 주식 분석이 아니라 미국 시장 기준의 실전 가입 가이드다. 무엇을 보장하고, 누구에게 필요하며, 보험료가 어떻게 매겨지고, fidelity bond·사이버보험과 어떻게 다른지, 그리고 청구 실무와 흔한 커버리지 갭까지 순서대로 짚는다. 이 상품을 제대로 이해하면, 단순히 증권 하나를 사는 게 아니라 회사의 내부통제 전반을 다시 들여다보게 된다.

기업 리스크 관리 관점에서 화물·재산 리스크를 함께 검토하고 싶다면 해상적하보험 비용과 커버리지 가이드도 참고하면 도움이 된다.

---

누가 이 보험이 필요한가: 규모가 작을수록 리스크가 크다

직관과 반대로, 직원 부정 리스크는 대기업보다 중소기업에서 더 치명적이다. 이유는 단순하다. 직무 분리(segregation of duties)가 안 되기 때문이다.

대기업에서는 송금을 요청하는 사람, 승인하는 사람, 장부를 대사하는 사람이 각각 다르다. 반면 직원 열 명 남짓한 회사에서는 경리 한 명이 청구서 입력, 결제 실행, 은행 대사, 심지어 소액현금 관리까지 혼자 도맡는 경우가 흔하다. 이런 구조에서는 한 사람이 마음만 먹으면 부정을 저지르고 그 흔적까지 지울 수 있다.

다음과 같은 회사는 특히 우선순위가 높다.

• 현금·수표·재고를 직원이 직접 다루는 소매·요식·유통업
• 벤더 결제와 급여 이체가 빈번한 서비스업
• 고객 자금을 수탁하거나 신탁 계좌를 운용하는 부동산관리·법률·회계사무소
• 기부금과 보조금을 다루는 비영리단체
• 재무 인력이 소수라 직무 분리가 물리적으로 불가능한 스타트업

비영리단체는 특히 주의가 필요하다. 자원봉사 문화와 상호 신뢰를 기반으로 운영되다 보니 통제가 느슨하고, 회계 인력이 한두 명뿐인 경우가 많다. 기부자 자금이 유용되면 재정 손실뿐 아니라 조직의 신뢰 자체가 무너진다.

---

주요 담보(insuring agreement)를 하나씩 뜯어보면

상업범죄보험은 여러 개의 독립된 담보 항목(insuring agreement)을 모아놓은 구조다. 각 항목은 별도로 켜고 끌 수 있고, 각각 다른 한도와 서브리밋을 가질 수 있다. 핵심 담보를 정리하면 다음과 같다.

담보 항목	보장하는 손실	실전 예시
직원 부정 (Employee Dishonesty / Fidelity)	재직 직원의 고의적 절도·횡령·자산 유용	경리가 가짜 벤더로 3년간 결제 빼돌림
위조·변조 (Forgery or Alteration)	회사 수표·어음의 위조 서명·금액 변조	도난 수표에 서명 위조 후 현금화
사내 재산 (Inside the Premises)	사업장 내 현금·유가증권 도난·훼손	금고 강도, 매장 현금 도난
사외 재산 (Outside the Premises)	운송 중·은행 입금 중 현금 도난	은행 예치 도중 현금 가방 강탈
펀드이체사기 (Funds Transfer Fraud)	위조 지시로 은행이 회사 계좌에서 자금 이체	사기범이 위조 이체지시서를 은행에 전송
컴퓨터사기 (Computer Fraud)	시스템 침입으로 돈·재산을 부정 이전	해커가 결제 시스템 조작해 자금 유출
소셜엔지니어링 (특약)	직원이 속아 자발적으로 송금한 손실	CEO 사칭 이메일에 속은 재무팀 송금

여기서 반드시 이해해야 할 구분이 있다. 펀드이체사기와 컴퓨터사기 담보는 대부분 ‘직원이 속아서 스스로 송금한’ 경우를 제외한다. 이 두 담보는 사기범이 회사의 개입 없이 직접 자금을 빼가는 상황을 전제로 한다. 직원이 사기 이메일을 진짜로 믿고 자기 손으로 승인·송금 버튼을 누르면, 그것은 ‘자발적 이체’로 분류되어 기본 담보에서 빠지는 경우가 많다. 바로 이 공백을 메우기 위해 소셜엔지니어링 특약이 존재한다.

---

소셜엔지니어링 사기: 가장 흔하고 가장 자주 새는 구멍

실전에서 가장 빈번하게 터지고, 동시에 가장 자주 담보 밖으로 새는 손실이 소셜엔지니어링(social engineering) 사기다. 구체적인 시나리오로 설명하는 게 가장 빠르다.

한 제조업체의 경리 직원이 오랜 거래처 담당자로부터 이메일을 받는다. “은행 계좌를 바꿨으니 앞으로 결제는 새 계좌로 보내달라”는 내용이다. 이메일 서명, 로고, 말투가 평소와 똑같다. 경리는 의심 없이 벤더 마스터 정보를 수정하고, 다음 결제 8만 달러를 새 계좌로 보낸다. 며칠 뒤 진짜 거래처가 “왜 결제가 안 오냐”고 연락해서야 사기임을 안다. 이메일은 해킹되거나 도메인이 교묘하게 위조된 것이었고, 8만 달러는 이미 인출돼 사라졌다.

이 손실은 직원 부정이 아니다(우리 직원이 정직하게, 다만 속아서 보냈다). 펀드이체사기도 아니고(은행은 정당한 지시를 정상 처리했다), 컴퓨터사기도 아니다(시스템 침입이 없었다). 오직 소셜엔지니어링 특약이 있어야 보상된다.

문제는 이 특약이 대개 낮은 서브리밋(sub-limit)으로 붙는다는 점이다. 전체 상업범죄 한도가 100만 달러라도 소셜엔지니어링 서브리밋은 5만~25만 달러로 제한되는 경우가 흔하다. 실제 사기 금액은 그보다 큰 경우가 많으므로, 이 서브리밋을 회사 실정에 맞게 상향 협상하는 것이 가입의 핵심 포인트다.

보험사는 이 특약을 붙일 때 통제 절차를 요구하는 경우가 많다. 대표적인 것이 콜백(callback) 검증이다. 벤더 계좌 변경 요청이 오면, 이메일 회신이 아니라 사전에 등록된 전화번호로 담당자에게 직접 전화해 확인하는 절차다. 이 통제를 문서화해 두면 보험 가입도 쉬워지고 요율도 유리해진다.

---

보험료는 어떻게 책정되나: 통제가 곧 요율이다

상업범죄보험료를 결정하는 변수는 명확하다. 아래 표로 정리했다.

요인	보험료에 미치는 방향	설명
연매출 규모	클수록 ↑	자금 흐름과 노출 규모의 기본 척도
직원 수	많을수록 ↑	부정 가능 인원의 넓이
취급 현금·자산 규모	클수록 ↑	한 번에 유출 가능한 최대치
업종	금융·현금집약 ↑	은행·결제·소매는 요율 프리미엄
내부통제 수준	강할수록 ↓	이중승인·콜백·계정분리 등
보상 한도	높을수록 ↑	보장 규모에 비례
공제(deductible)	높을수록 ↓	소액 손실 자기부담으로 요율 절감

정성적으로 말하면, 소규모 사무직 중심 회사의 기본 담보는 연 수백 달러 수준에서 시작할 수 있지만, 현금집약적이거나 고객 자금을 대규모로 다루는 회사, 높은 한도와 소셜엔지니어링 특약을 얹은 프로그램은 연 수천 달러 이상으로 올라간다. 정확한 숫자는 언더라이터가 회사의 재무 구조와 통제 수준을 보고 개별 산정한다.

가장 효과적인 보험료 절감 수단은 결국 내부통제다. 이중승인(dual control)—즉 일정 금액 이상 송금은 두 사람의 독립 승인을 요구하는 구조, 벤더 계좌 변경 콜백, 월별 은행 대사, 급여 명단 정기 감사 같은 통제를 갖추면 손실 확률 자체가 낮아지고 보험사도 이를 요율에 반영한다. 통제는 보험료를 깎는 도구인 동시에, 애초에 청구할 일을 줄이는 근본 대책이다.

---

fidelity bond, 사이버보험과 무엇이 다른가

이 세 상품은 자주 혼동된다. 명확히 구분해 두자.

**fidelity bond(신원보증증권)**는 상업범죄보험의 조상 격이다. 전통적으로 ‘직원 부정으로 인한 손실’만 좁게 담보했다. 오늘날 상업범죄보험은 이 fidelity 담보를 포함하면서 위조·이체사기·컴퓨터사기·소셜엔지니어링을 하나의 증권으로 확장한 형태다. 다만 예외가 있다. 미국 연금플랜(ERISA)을 운용하는 회사는 법적으로 별도의 ERISA fidelity bond를 요구받는다. 이건 회사 전반의 범죄보험과는 목적이 다른, 연금 수급자 보호용 별도 증권이다.

**사이버보험(cyber insurance)**은 초점이 다르다. 상업범죄보험이 ‘돈이 직접 빠져나간 손실’을 다룬다면, 사이버보험은 데이터 유출 대응 비용, 고객 통지, 신용 모니터링, 시스템 복구, 랜섬웨어 대응, 사업중단 손실, 제3자 배상책임을 다룬다. 즉 하나는 ‘금전 손실’, 다른 하나는 ‘데이터·시스템 사고 대응’이 중심이다.

문제는 소셜엔지니어링 송금 손실처럼 두 상품이 겹치는 회색지대다. 같은 사기가 상업범죄의 소셜엔지니어링 특약에서도, 사이버보험의 사기적 이체(fraudulent instruction) 담보에서도 다뤄질 수 있다. 두 증권을 각각 갖고 있다면 어느 쪽이 먼저 대응하는지, 서브리밋이 어디가 큰지, 이중 청구 시 조정은 어떻게 되는지 문구를 나란히 놓고 확인해야 한다. 두 상품을 같은 보험사나 같은 브로커로 묶으면 이 조율이 수월해진다.

세금·자산 관점의 재무 전반을 함께 정리하고 싶다면 해외주식 양도소득세 신고 가이드도 참고할 만하다.

---

한도와 공제, 그리고 특약은 어떻게 정하나

한도(limit) 설정의 출발점은 “가장 큰 단일 노출이 얼마인가”라는 질문이다. 한 번의 벤더 결제에서 유출 가능한 최대 금액, 특정 계좌의 최대 잔고, 한 달 급여 총액—이 중 가장 큰 값이 최소 방어선의 기준이 된다. 보수적으로는 대형 사기 한 건이 회사를 재무적으로 흔들지 않을 수준까지 한도를 잡는다.

공제(deductible)는 자기부담금이다. 공제를 높이면 요율이 내려가지만, 소액 손실은 스스로 감당해야 한다. 회사의 현금 여력과 손실 감내 수준을 보고 균형을 맞춘다. 소소한 재고 도난 같은 손실을 매번 청구하기보다 일정 자기부담을 감수하고 보험료를 낮추는 편이 대개 합리적이다.

특약(endorsement) 중 최우선 검토 대상은 단연 소셜엔지니어링이다. 앞서 설명한 이유로 기본 담보에서 빠지기 쉬운 손실이면서, 실제로 가장 빈번하기 때문이다. 그 밖에 검토할 특약으로는 다음이 있다.

• 제3자 대상 담보: 기본 증권이 ‘회사 자체 손실’만 담보하는 경우가 많다. 고객이나 벤더가 우리 직원의 부정으로 입은 손실까지 담보하려면 별도 확장이 필요하다.
• 신규 인수 자동편입: 합병·인수한 자회사가 일정 규모까지 자동으로 담보에 포함되는 조항. 없으면 새 법인이 무방비로 남는다.
• 암호화폐·전자자산: 디지털 자산을 다루는 회사라면 이 자산이 ‘재산’ 정의에 들어가는지 확인해야 한다.

MYGA 같은 보수적 자산 배분을 고민하는 사업주라면 MYGA 확정금리연금 가이드에서 현금성 자산 운용 아이디어를 함께 살펴볼 수 있다.

---

청구와 손해증명(proof of loss): 발견 즉시가 관건

부정을 발견하는 순간부터 시계가 돌아간다. 상업범죄보험 청구의 실무 흐름은 다음과 같다.

첫째, 즉시 통지다. 손실을 발견하면 증권에 정해진 기한 내에 보험사에 알려야 한다. 통지가 늦으면 담보가 거부될 수 있다.

둘째, 손해증명서(proof of loss) 제출이다. 정해진 기한 내에 손실 금액과 부정 행위를 입증하는 서류를 낸다. 회계 장부, 은행 거래내역, 이체 기록, 벤더 마스터 변경 이력, 내부 감사·포렌식 조사 보고서가 핵심 증거다. 소셜엔지니어링 손실이라면 사기 이메일 원본, 도메인 위조 정황, 콜백 절차 이행 여부까지 정리해 둔다.

셋째, 형사 대응과의 연계다. 필요 시 경찰 신고와 형사 고발 자료가 손실 입증을 뒷받침한다. 다만 유죄 판결이 보상의 전제 조건은 아닌 경우가 일반적이다.

여기서 중요한 개념이 발견 기준(discovery form) 증권이다. 대부분의 상업범죄보험은 손실이 ‘언제 발생했는가’가 아니라 ‘언제 발견됐는가’를 기준으로 담보한다. 즉 3년 전 시작된 횡령이라도 올해 보험 기간 중에 발견됐다면 청구 대상이 된다. 다만 계약이 종료된 뒤 뒤늦게 드러난 손실을 위해 발견 기간(discovery period)—보통 계약 종료 후 일정 기간—이 얼마나 되는지 확인해야 한다. 이 기간이 짧으면 해지 직후 드러난 손실을 놓칠 수 있다.

---

흔히 놓치는 커버리지 갭 다섯 가지

마지막으로, 실제 청구 단계에서 회사들이 뒤늦게 발견하는 공백을 정리한다. 갱신 때마다 이 목록을 점검하는 습관을 권한다.

1. 소셜엔지니어링 서브리밋이 너무 낮다. 전체 한도만 보고 안심했다가 실제 사기 금액이 서브리밋을 초과해 일부만 보상받는 경우가 가장 흔하다.
2. 제3자 손실이 빠져 있다. 우리 직원의 부정으로 고객이 입은 손실은 ‘회사 자체 손실’이 아니어서 기본 담보 밖일 수 있다.
3. 신규 자회사·해외 법인이 자동 편입되지 않는다. 인수 직후 통제가 가장 약한 시기에 오히려 무방비 상태가 된다.
4. 발견 기간이 짧다. 계약 종료 후 몇 달 만에 드러난 손실인데 발견 기간이 지나 담보를 못 받는다.
5. 소유주·파트너 부정이 제외된다. 지분을 가진 소유주 본인의 부정은 담보에서 빠지는 경우가 많다. 파트너십·가족기업은 이 정의를 특히 주의해야 한다.

상업범죄보험은 한 번 사두고 잊는 상품이 아니다. 회사가 성장하고, 결제 방식이 바뀌고, 새 법인을 인수하고, 다루는 자금 규모가 커질 때마다 노출도 함께 변한다. 필자의 권고는 매년 갱신 시점에 재무 담당자와 브로커가 함께 앉아 “지금 우리의 가장 큰 단일 노출은 무엇인가”, “그 노출이 지금 한도와 서브리밋으로 방어되는가”를 다시 계산해 보는 것이다. 보험 증권 한 장보다, 그 질문을 던지는 습관이 회사를 더 안전하게 지킨다.

---

관련 글 더 읽기

• 👉 해상적하보험 비용과 커버리지 가이드 2026
• 👉 MYGA 확정금리연금 가이드 2026: CD·국채와 비교
• 👉 해외주식 양도소득세 신고 가이드: 절세 전략과 실전 방법

---

이 글은 정보 제공을 목적으로 작성된 일반적인 안내이며, 특정 보험 상품의 가입을 권유하거나 법률·세무·보험 자문을 대체하지 않습니다. 담보 범위, 서브리밋, 제외 조항은 보험사와 증권마다 다르며, 실제 가입 전에는 증권 문구 전문과 자격을 갖춘 보험 전문가의 검토를 반드시 거치시기 바랍니다. 본 글의 내용은 작성 시점 기준이며 미국 시장 일반 관행을 전제로 합니다.