Internal Auditor (개인정보)

합류하게 될 팀에 대해 알려드려요

• 토스의 Internal Auditor (개인정보) 포지션은 Internal Audit 팀에 속해 있어요.
• Internal Audit 팀은 연간 감사 계획에 따라 업무, 재무, IT, 보안, 개인정보 등 다양한 분야의 리스크와 내부통제 체계를 독립적으로 점검해요.
• 문제를 찾아 지적하는 데서 끝내지 않아요. 현업이 스스로 잘 통제할 수 있도록 돕고, 아직 아무도 보지 못한 리스크를 먼저 찾아내는 것을 내부감사인의 핵심 역할로 생각해요.
• 감사에서 발견한 사항이 실질적인 개선과 예방으로 이어질 수 있도록, 개선 방향을 제시하고 조치의 효과까지 확인해요.
• 팀은 다양한 감사·통제 분야를 경험한 전문가들로 구성되어 있어요. 과거 방식에 얽매이지 않고 더 효율적이고 효과적인 감사 방식을 계속 고민해요.
• 다양한 감사·통제 분야를 경험한 동료들과 함께, 새로운 서비스와 사업 환경에 맞는 개인정보 감사 체계를 만들어갈 수 있어요.

합류하면 함께 할 업무에요

• 토스와 계열사의 개인(신용)정보 처리에 따른 리스크를 평가하고, 이를 바탕으로 감사 대상과 우선순위를 정해 연간 감사 계획과 개별 감사 계획을 수립해요.
• 서비스와 데이터 흐름을 따라 개인정보의 수집·이용·제공·보관·파기 전 과정이 관련 법령, 동의 내용, 내부 정책에 맞게 운영되는지 감사해요.
• 개인정보 처리의 근거와 목적, 수집·이용·제공 동의, 처리 위탁과 제3자 제공, 국외 이전, 자동화된 결정에 대한 대응권을 포함한 정보주체 권리 보장 등 주요 영역의 통제 설계와 운영 효과를 평가해요.
• DB, 로그, 분석용 데이터 플랫폼 등 실제 처리 환경에서 개인정보에 대한 접근권한, 보관기간, 이용 목적 제한, 파기 정책이 적절하게 반영되고 이행되는지 증적과 데이터를 바탕으로 확인해요.
• 계열사 간 정보 공유, 마이데이터 등 파트너 생태계에서 개인(신용)정보가 제공되고 연계되는 구조의 통제를 점검해요.
• 해외 서비스와 국외 이전이 늘어나는 만큼, 현지 법령(GDPR 등)과 국내 법령의 요구사항이 함께 지켜지는지 확인해요.
• 개인정보 관련 사내 규정·지침·가이드와 계약 검토, 서비스 검토 절차가 실제 업무의 리스크를 충분히 다루고 있는지 점검해요.
• 개인정보 보호 담당 조직의 자체점검, 법률 위반·오남용 모니터링, 인증 평가 및 후속 조치가 중요한 리스크를 충분히 다루고 있는지 독립적으로 확인해요.
• 발견 사항의 원인과 영향을 분석해 실행 가능한 개선 방향을 제시하고, 감사 결과 보고부터 개선 과제의 이행과 조치 이후 효과 확인까지 수행해요.
• IT·보안·업무 감사 담당자와 협업해 개인정보 처리의 적정성과 시스템·보안 통제를 연결해서 점검해요.

이런 분과 함께하고 싶어요 (꼭 필요해요)

• 개인정보 보호 실무, 개인(신용)정보 관련 컴플라이언스, 감사·점검 또는 관련 컨설팅 분야에서 10년 이상의 경력을 보유하신 분이 필요해요.
• 개인정보가 처리되는 서비스에 대해 수집부터 파기까지 라이프사이클 전반의 적정성을 검토하고, 리스크를 식별해 개선으로 연결한 경험이 필요해요.
• 개인정보 보호 관계 법령과 관련 가이드의 취지를 이해하고, 서비스 구조와 실제 데이터 처리 흐름에 적용해 판단할 수 있는 분이 필요해요.
• 개인정보 내부관리계획, 접근권한 관리, 처리 위탁 관리 등 개인정보 보호 내부통제를 직접 운영했거나 독립적으로 평가해 개선한 경험이 필요해요.
• DB 등 개인정보 처리 환경의 접근권한, 보관, 이용, 파기 정책을 수립하거나 이행 적정성을 점검·개선한 경험이 필요해요.
• 서비스 기획·개발 흐름과 데이터 구조(로그, 테이블, API)를 이해하고, 개발자·데이터 분석가와 같은 언어로 대화할 수 있는 분이 필요해요.
• 정책이나 문서의 존재 여부를 확인하는 데서 나아가, 인터뷰·처리 기록·데이터 등 객관적인 근거로 통제의 설계와 운영 효과를 검증할 수 있는 분이 필요해요.
• 이해관계가 엇갈리는 상황에서도 독립성과 객관성을 유지하며, 문제의 원인과 영향을 명확하게 설명하고 실행 가능한 개선안에 대한 합의를 이끌어낼 수 있는 분이 필요해요.

이런 경험이 있으면 더 좋아요

• 금융회사, 전자금융업자 또는 핀테크·IT 기업에서 개인(신용)정보 보호 업무를 수행한 경험이 있으면 더 좋아요.
• 개인정보 감사·점검의 범위와 기준 수립부터 증적 검토, 결과 보고, 개선 과제 이행 확인까지 주도한 경험이 있으면 더 좋아요.
• 법령과 회사 업무에 기반해 개인정보 규정·지침을 만들고, 현업이 활용할 수 있는 가이드로 구체화한 경험이 있으면 더 좋아요.
• AI 서비스의 개인정보 영향평가, 가명정보 처리·결합, 자동화된 결정에 대한 정보주체 권리 대응을 검토한 경험이 있으면 더 좋아요.
• ISMS-P, ISO27001, ISO27701 등 인증 평가 대응이나 후속 개선 업무를 수행한 경험이 있으면 더 좋아요.
• 금융위원회, 금융감독원, 개인정보보호위원회, KISA 등 대외 기관의 검사·점검 대응 경험이 있으면 더 좋아요.
• 글로벌 서비스의 개인정보 처리나 국외 이전, 외부 서비스·수탁사 관리와 관련된 리스크를 검토한 경험이 있으면 더 좋아요.
• SQL 등으로 데이터와 처리 기록을 분석해 개인정보 처리의 적정성을 검증한 경험이 있으면 더 좋아요.
• 클라우드나 데이터 플랫폼 환경에서 개인정보의 저장 위치, 접근, 파기가 제대로 통제되는지 점검한 경험이 있으면 더 좋아요.
• ISMS-P 인증심사원, CPPG, CIA, CISA 등 개인정보 보호·감사 관련 자격증을 보유하셨다면 더 좋아요.

이력서는 이렇게 작성하시는 걸 추천해요

• 담당했던 서비스와 개인(신용)정보 처리 영역, 본인의 역할을 구체적으로 기술해 주세요. 직접 운영한 업무와 독립적으로 점검한 업무를 구분해 주시면 좋아요.
• 개인정보 라이프사이클에서 어떤 리스크를 발견했고, 어떤 근거와 방법으로 처리의 적정성이나 통제의 효과를 검증했는지 사례로 보여주세요.
• AI, 추천, 광고, 데이터 연계처럼 개인정보를 적극적으로 활용하는 서비스를 검토한 경험이 있다면, 어디까지 허용하였는지 판단 근거와 함께 적어주시면 좋아요.
• 규정·지침·동의서·계약서 검토 경험이 있다면, 문서 검토가 실제 업무와 시스템의 개선으로 어떻게 이어졌는지 함께 기술해 주세요.
• 접근권한, 보관기간, 이용, 파기 정책의 이행 수준을 점검하거나 개선한 사례와 조치 이후 달라진 점을 설명해 주세요.
• 개선 요청에 대한 반발이나 실행상 어려움을 어떻게 조율하고, 최종 이행과 효과 확인까지 이끌었는지 구체적으로 적어주세요.
• 인증 평가나 감독기관 검사·점검 대응 경험이 있다면 본인의 역할, 주요 쟁점과 후속 조치를 기술해 주세요.

토스로의 합류 여정

• 서류 접수 > 직무 인터뷰 > 문화적합성 인터뷰 > 레퍼런스 체크 > 처우 협의 > 최종 합격 및 입사