요약

  • 조세정보 교환 조약만으로 그 관할권이 적절한 수신자가 되는 것은 아닙니다. OECD 글로벌 포럼의 AEOI 체계는 이용과 공개에 대한 법적 제한, 작동하는 정보보안관리체계, 안전장치가 실패했을 때의 집행을 요구합니다.
  • 2026년부터 연간 모니터링이 교환 전 평가, 교환 후 평가 및 이후 평가에 합류합니다. 이 설계는 조세 데이터를 받을 권리가 지속적인 보증을 유지하는 데 달려 있게 하며, 역량 강화는 단순히 배제하기보다 더 많은 세무당국이 자격을 갖추도록 돕는 것을 목표로 합니다.

정보의 자동 교환에서 가장 중요한 단어는 “자동”이 아니라 “수신”입니다.

OECD 글로벌 포럼의 공개된 기준에 따르면, 한 관할권은 기밀유지 및 데이터 안전장치 요건을 충족해야만 정보를 받을 수 있습니다. 이 기준은 그런 자격을 갖춘 수신자를 “적절한 파트너(Appropriate Partner)”라고 부릅니다. 이 조건은 조세 협력에 대한 통상적 그림을 바꿉니다. 조약이나 다자간 협정은 데이터가 이동할 수 있는 법적 경로를 제공하지만, 그 자체로 수신지를 신뢰할 수 있게 만들지는 않습니다. 수신 측은 해당 정보가 보호 상태로 유지되고 교환을 승인한 조건 하에서만 사용될 것임을 입증할 수 있어야 합니다.

글로벌 포럼의 AEOI 체계는 금융계좌를 위한 공통보고기준(CRS)과 암호자산 거래를 위한 암호자산 보고 프레임워크(CARF)를 포괄합니다. 이는 일회성 문서 요청이 아니라 세무당국 간의 반복적 교환입니다. 매년 민감한 정보를 이동시키는 경로는 지속적인 질문을 만들어 냅니다: 수신 세무당국은 정보가 도착한 후, 자국의 직원·시스템·외주업체·기록·결정 전반에 걸쳐 그 데이터를 보호할 수 있는가?

협정은 경로일 뿐, 보안체계가 아니다

안전장치 프레임워크는 세 가지 상호 연결된 부분으로 구성됩니다. 첫째는 법입니다: 국내 규정은 기밀성을 유지하고 접근·이용·공개를 해당 국제 문서가 허용하는 목적 범위로 제한해야 합니다. 둘째는 정보보안관리(ISM)입니다: 당국은 정보의 전 수명 주기를 보호하는 정책, 책임 체계, 위험 통제, 기술적 조치 및 운영 프로세스를 갖추어야 합니다. 셋째는 집행입니다: 의심되거나 실제 발생한 오용은 보고 가능하고 조사되어야 하며 적절한 구제나 제재의 대상이 되어야 합니다.

이는 방화벽이나 보안 전송 채널보다 훨씬 넓은 범위입니다.기밀유지 및 데이터 안전장치 평가 직무규정은 최고경영진의 소유, 명확히 정의된 보안 역할, 인원 및 외주업체 통제, 물리적 보호, 시스템 보안, 최소권한 접근, 그리고 정보의 처리·저장·보존·파기 절차를 요구합니다. 또한 모니터링, 로그, 취약점 및 사고 관리, 감사, 제재, 시정 조치, 그리고 다른 주관 당국에의 통보도 다룹니다.

이러한 수명 주기적 접근이 중요한 이유는 안전한 도착이 첫 번째 연결 고리에 불과하기 때문입니다. 조약으로 보호된 데이터는 여러 부서, 데이터베이스, 분석 도구, 외주업체를 통과할 수 있습니다. 조약의 제한이 그 인계 과정까지 전달되지 않으면, 국제적 약속은 파일을 수신하는 실제 체계보다 약해질 수 있습니다. 따라서 이 프레임워크는 당국의 기술 환경뿐 아니라 거버넌스 체계도 묻습니다. 운영 범위가 달라질 수 있으므로, 당국은 자국의 정보 수명 주기가 어떻게 작동하는지 설명해야 평가가 데이터가 실제로 이동하는 경로를 검토할 수 있습니다.

보증에는 하나 이상의 검증 지점이 있다

글로벌 포럼의 공개 설명은 단일한 입장 시험이 아니라 일련의 절차를 제시합니다. AEOI를 시작하는 관할권은 먼저 교환 전 평가를 거치고, 이후 교환 후 평가를 거칩니다. 교환 후 단계 이후에는 기술과 사이버 보안 환경의 변화에 대응하여 세 번째 평가 라운드가 시작되었습니다. 평가는 글로벌 포럼 사무국의 지원을 받아 회원 관할권의 정보보안 전문가 팀이 수행합니다. 문제를 발견하면 권고를 할 수 있으며, 중대한 문제는 해당 문제가 해결된 것으로 평가될 때까지 AEOI 데이터 수신 승인을 정지시킬 수 있습니다.

2026년부터 연간 모니터링 절차가 추가되어, 각 관할권이 적절한 안전장치를 유지하고 있는지를 감독합니다. 공개된 프레임워크에 따르면 글로벌 포럼 ISM 전문가가 적절하다고 판단될 때 맞춤형 후속 조치를 제공할 수 있습니다. 또한 별도로, 교환된 정보가 위험에 처할 수 있음을 시사하는 명백한 침해 또는 안전장치 실패는, 맞춤형 평가를 통해 보증이 재확립될 때까지 해당 관할권과의 AEOI를 정지시킬 수 있다고 명시합니다.

이는 영향력 큰 권한들이지만, 그 구분은 중요합니다. 중대한 평가 문제가 남아 있어 데이터 수신 승인이 일시 중단되는 것과, 명백한 침해나 실패 후 기존 교환이 정지되는 것은 같지 않습니다. 공개된 문구는 조건부 가능성을 서술할 뿐, 어느 특정 관할권에서 실제로 그러한 조치가 이루어졌다고 말하지 않습니다. 또한 “연간 모니터링”이 모든 국가가 매년 전면적인 동료 평가를 반복적으로 받는다는 뜻도 아닙니다. OECD는 이 절차가 맞춤형 전문가 후속 조치를 동반한 연간 감독을 제공한다고 말하지만, 평가 지표나 사건 선정 규칙, 국가별 결과는 공개하지 않습니다.

관문은 진입로가 될 수도 있다

보증 요건은 진입 장벽처럼 보일 수 있습니다. 특히 인력이 부족하거나 레거시 시스템을 사용하거나 보안 예산이 적은 세무당국에서 그렇습니다. 그러나 글로벌 포럼의 지원 프로그램은 다른 제도적 논리를 제안합니다: 공식적인 관문에 도달하기 전에 준비 상태를 구축하고, 교환이 시작된 후에는 기준을 유지하라는 것입니다.

OECD의 2025년정보보안관리 성숙도 평가 보고서에 따르면 2024년에 자격을 갖춘 21개 관할권이 예비 성숙도 평가를 수락했습니다. 그중 17개가 더 상세한 단계로 진행했으며, 그 보고서는 2025년 11월까지 완료되었습니다. 사무국은 21개 모두를 2027년을 시작 연도로 정할 수 있는 유력한 후보로 기술했고, 참여국 하나는 이후 2028년에 CRS 교환을 시작하겠다는 정치적 약속을 했습니다. 이는 준비 상태 평가이자 계획 수립의 이정표였지, 공식 승인이나 모든 참여국이 교환을 시작했다는 증명이 아니었습니다.

이 보고서는 또한 2024–25년에 7개의 추가 개발도상국이 AEOI 교환을 시작했으며, 이로써 개발도상국 누적 수가 43개국이 되었다고 기록합니다. 이 수치가 기술 지원만이 참여를 유도했다고 증명하지는 않지만, 보증과 지원이 연계된 모델을 보여줍니다. 성숙도 평가는 격차를 파악하고, 법무·정보보안·조달·인사·조세 교환 팀 간의 조율을 돕고, 실행 계획을 산출합니다. 공식적인 안전장치 평가는 별도의 단계로 남습니다.

2026년 10월 6일, 글로벌 포럼은Safeguarding Tax Information을 출간했습니다. 이 실용 지침은 기존 툴킷을 기반으로 하며, 현재의 정보보안·사이버보안·거버넌스·위험관리 관행을 반영합니다. OECD에 따르면 세무당국이 ISM 역량을 평가하고 발전시키며 지속적으로 개선하도록 돕도록 설계되었습니다. 이는 지침이자 역량 강화이지, 새로운 조약이나 새로운 인증, 기존 평가 프레임워크의 대체물이 아닙니다.

공개적으로 검증할 수 있는 것과 없는 것

이 프레임워크는 두 가지 신뢰의 균형을 맞춥니다. 교환 파트너는 자신의 데이터가 보호될 것이라는 신뢰할 수 있는 보증을 필요로 합니다. 납세자는 민감한 정보가 법적 목적 밖에서 이용되거나 공개되지 않을 것이라는 확신을 필요로 합니다. 그러나 글로벌 포럼은 상세한 평가와 프레임워크가 기밀이므로 공개하지 않는다고 밝힙니다. 이는 민감한 운영 정보를 보호하지만, 동시에 관문이 어떻게 적용되는지, 시정이 예측 가능한지에 대한 공개적 검토를 제한합니다.

그 가시성 공백이 이 절차가 임의적이거나 무효하다는 증거는 아닙니다. 그러나 공개 아키텍처를 중요하게 만듭니다.글로벌 포럼이 공개한 프레임워크는 법적 조건, 평가 단계, 전문가 역할, 가능한 결과, 연간 모니터링을 명시합니다. 그지원 프로그램과 이전의2020년 툴킷은 이 체계가 역량 개발을 목표로 하기도 함을 보여줍니다.

조세 투명성과 데이터 보호는 종종 상충하는 목표로 제시됩니다: 더 많이 교환하거나, 더 많이 보호하거나. 그러나 글로벌 포럼의 모델은 이 단순한 이분법을 거부합니다. 안전한 처리와 조약으로 경계 지어진 이용을 정당한 교환의 전제 조건으로 다룹니다. 이 균형이 실제로 작동하는지는 안전장치의 품질과, 관문이 얼마나 공정하고 명확하게 유지되는지에 달려 있습니다. 조세 데이터의 여권은 두 조항을 모두 입증할 때만 신뢰할 수 있습니다: 정보는 이동할 수 있고, 수신자는 정보가 도착한 뒤 일어나는 일에 대해 책임을 유지한다는 것입니다.

출처