장부를 감사해도 코인의 열쇠까지 확인한 것은 아니다

요약

• 미국 SEC는 주 신탁회사를 통한 암호자산 수탁 경로를 제안하면서, 투자자문사와 적용 대상 펀드에 법적 권한과 보호 절차를 처음 맡길 때와 매년 확인하도록 하는 조건을 담았다.
• 재무제표 감사와 수탁 내부통제 보고서는 별개다. 2026년 10월 26일 현재 제안 단계이며, 의견 제출 기한은 12월 7일이다.

고객의 암호자산을 맡길 회사를 고를 때 감사받은 재무제표는 든든한 자료다. 그렇지만 그 장부를 펼쳐도 곧바로 답이 나오지 않는 질문이 있다. 자산을 옮길 수 있는 개인키는 누가 다루며, 어떤 절차를 거쳐 사용되는가.

미국 SEC가 10월 1일 발표한 수탁 규칙 개정 제안은 이 간격을 들여다본다. 제안에는 주법에 따라 설립된 신탁회사를 암호자산 수탁에 이용하는 경로가 포함돼 있다. 이 경로를 택하는 투자자문사와 적용 대상 펀드는 재무 상태를 살피는 자료뿐 아니라, 수탁 통제가 제대로 설계되고 실행되며 운영됐는지에 관한 별도의 증거도 확보해야 한다. 믿을 만한 회사인가라는 큰 질문을, 서로 다른 자료로 답할 수 있는 구체적인 질문들로 나눈 셈이다.

주의 허가에서 개인키까지

출발점은 회사의 법적 지위다. 연방 관보에 실린 제안문의 주 신탁회사 부분은 주법상 설립, 은행 감독 당국의 감독과 검사, 신탁 업무 권한을 조건으로 제시한다. 여기에 투자자문사나 펀드가 직접 내려야 할 판단이 붙는다. 해당 회사가 관련 주의 법적 체계 아래에서 암호자산을 수탁할 권한이 있다고 믿을 합리적인 근거가 있는가.

그 판단은 필요한 조사를 거쳐 서면으로 남겨야 한다. 주에서 신탁회사 인가를 받았다는 사실을 확인한 뒤 곧장 계약서를 덮는 구조가 아니다. 맡기려는 활동까지 허용되는지 살펴야 한다. 법률 의견서나 회사의 확인서는 조사에 도움이 될 수 있지만, 그 자료를 바탕으로 판단하는 일은 자문사와 펀드에 남는다.

다음에는 자산을 지키는 방식으로 시선이 옮겨간다. 회사가 도난·분실·오용·유용을 막기 위한 절차를 문서로 갖추고 실제로 시행하는지 확인해야 한다는 것이 제안의 취지다. 최소한 개인키 관리와 사이버보안을 다뤄야 한다.

이 대목에서 규칙은 훨씬 구체적으로 읽힌다. 개인키는 어떻게 만들어지는가. 키 자료에 접근할 수 있는 사람은 누구이며, 어디에 보관되는가. 거래를 승인하는 데 몇 사람이 필요한가. SEC는 이런 항목을 검토할 수 있는 사례로 든다. 어느 보관 방식이나 승인 인원수를 모든 회사에 똑같이 적용하겠다고 정한 것은 아니다. 제안이 요구하는 판단의 대상은 그 회사의 보호 체계이며, 질문에 대한 답은 실제 운영에서 나와야 한다.

같은 ‘감사’라는 말 아래의 다른 일

재무제표 쪽에서는 최근 연간 재무제표를 받아 검토하고, 미국 회계기준에 따라 작성됐으며 독립된 공인회계사의 감사를 받았는지 확인하는 조건을 제안했다. 거래를 시작하기 전과 이후 매년 하는 일이다.

내부통제 보고서는 다른 부분을 비춘다. 해당 연도나 직전 연도를 다루는 독립 회계사의 보고서를 통해 수탁 통제가 그 기간에 효과적으로 설계·실행·운영됐는지를 확인하는 구조다. 재무제표가 갖춰져 있어도 이 보고서까지 자동으로 충족되는 것은 아니다. 장부의 신뢰성과 자산을 움직이는 과정의 통제는 함께 살펴야 할 별개의 문제이기 때문이다.

고객 자산을 회사 고유 자산과 분리하는 조건도 들어 있다. 다만 자산 분리는 이번에 처음 등장한 발명이 아니라 기존 수탁 규율에서 이어지는 원칙이다. SEC는 이 원칙을 제안한 암호자산 수탁 경로에도 적용하려 한다. 보험이나 준비금의 구체적 수준처럼 의견을 구하는 추가 항목까지 이미 정해진 의무로 읽어서는 안 된다.

내년에 다시 열어야 하는 서류

이 제안에서 가장 꾸준한 일을 만드는 말은 ‘매년’이다. 처음 맡길 때의 판단을 이후에도 되풀이해야 한다. 주의 법이나 감독 해석이 바뀌면 권한을 판단한 근거가 달라질 수 있고, 기술과 공격 방식이 바뀌면 작년에 적절했던 보호 절차를 다시 살펴야 한다.

이는 주의 인가 자체가 매년 만료된다는 뜻이 아니다. 투자자문사와 펀드가 그 회사에 계속 자산을 맡기는 판단을 새 자료로 뒷받침하라는 구조다. 자문사에 이미 적용되는 수탁기관 선정·점검의 주의 의무도 이어진다. 규칙이 채택된다면 수탁회사에는 자료를 제공하는 일이, 자문사에는 서로 다른 증거를 읽고 판단을 기록하는 일이 반복될 것이다.

아직 그 반복 업무가 확정된 것은 아니다. SEC의 공개 일정은 의견 제출 기한을 2026년 12월 7일로 제시한다. 주 신탁회사 경로는 더 넓은 암호자산 수탁 개편 제안의 일부이며, 기존 은행 요건을 충족하는 회사가 이용할 수 있는 경로까지 없애는 내용은 아니다. 펀드 쪽 제안의 대상도 이 경로에 해당하는 운용형 투자회사와 사업개발회사이지 모든 종류의 펀드는 아니다.

지금 읽을 만한 변화는 허용 기관의 명단보다 판단 방식에 있다. 인가를 확인하고, 법적 권한을 따져 보고, 장부와 통제 보고서를 따로 읽고, 그 결론을 다시 검토한다. 고객의 자산을 맡긴다는 결정을 한 번의 서명으로 끝내지 않겠다는 제안이다.

2026년 10월 26일 편집자 주: 기존 다른 언어판에서 잘못 연결했던 태국 SEC 대신 이 제안의 주체인 미국 SEC를 명확히 했다. 원래 발행일과 기존 주소는 유지하며, 첫 한국어판에는 확인된 기관과 제안 상태를 반영했다.