내부감사에 AI를 도입하면 감사인이 할 일은 줄어드는가

아래 내용은 이해를 돕기 위해 구성한 가상의 사례입니다.

전국에 영업점을 둔 중견 유통회사의 감사팀은 세 명입니다. 매년 영업점 스무 곳 안팎을 골라 현장 감사를 나가고 본사 구매와 경비는 표본을 뽑아 증빙을 대조해 왔습니다. 올해 경영진이 AI 기반 분석 도구 도입을 지시하면서 조건 하나를 붙였습니다. 인원은 그대로 두고 감사 범위를 전 영업점으로 넓히라는 조건입니다.

감사팀장은 두 가지를 걱정했습니다. 도구가 무엇을 해 주는지 정확히 몰랐고 도구가 낸 결과를 감사 결론으로 써도 되는지도 몰랐습니다. 한 해가 지난 뒤 이 두 질문에 팀이 내린 답은 처음 예상과 달랐습니다.

표본을 뽑던 일이 전수 조회로 바뀌었습니다

첫 변화는 감사 대상의 범위였습니다. 종전에는 경비 전표 수만 건 가운데 몇백 건을 무작위로 뽑아 증빙과 대조했습니다. 도입 후에는 전표 전체를 정해진 조건으로 걸러 예외 목록을 받았습니다. 같은 거래처에 한도 직전 금액이 반복되는 건, 영업점 매출에 비해 경비 비율이 유난히 높은 달, 기안자와 승인자가 같은 건 같은 조건입니다. 도구는 여기에 더해 과거 정상 거래의 패턴을 학습해 그와 다른 거래를 점수로 표시했습니다.

첫 달 목록은 수천 건이었습니다. 상당수가 정상 거래였습니다. 점포 개편으로 특정 달에 지출이 몰린 영업점, 결재선이 바뀐 부서가 대량으로 걸렸습니다. 팀은 목록을 그대로 들고 현장에 가는 대신 사유가 이미 문서로 확인되는 건을 먼저 제외하는 작업부터 했습니다.

전수 조회로 바뀌자 감사인의 시간은 증빙 대조 대신 예외 사유 확인에 쓰이게 됐습니다. 표본 감사에서는 뽑힌 건만 보면 됐지만 전수 조회에서는 왜 이 건이 걸렸고 왜 정상으로 판단했는지를 건마다 기록해야 했습니다. 일이 줄지는 않았습니다. 종류가 바뀌었습니다.

점수가 높은 거래와 문제가 있는 거래의 차이

여름에 한 영업점의 거래가 높은 점수로 올라왔습니다. 도구는 이 영업점의 특정 협력업체 지급액이 다른 영업점 평균과 다르다고 표시했습니다. 팀원 한 명이 이 결과를 그대로 보고서 초안에 옮겼습니다. "AI 분석 결과 이상 거래로 분류됨."

팀장은 이 문장을 뺐습니다. 도구가 확인한 것은 이 영업점의 지급 패턴이 다른 영업점과 다르다는 사실까지입니다. 왜 다른지는 도구가 알지 못합니다. 확인해 보니 해당 영업점은 신규 출점 지역이라 협력업체가 달랐고 계약서와 견적 비교 자료가 남아 있었습니다.

반대 경우도 있었습니다. 점수가 낮아 목록 하단에 있던 거래에서 문제가 나왔습니다. 금액이 작고 결재 절차도 정상이었지만 현장 감사에서 거래처 대표가 직원의 가족이라는 사실이 확인됐습니다. 이 관계는 회사가 가진 어느 데이터에도 없었습니다. 도구는 넣어 준 데이터 안에서만 비교합니다. 데이터 밖에 있는 사실은 여전히 사람이 현장에서 확인합니다.

보고서에 새로 적어야 하는 항목이 생겼습니다

연말에 감사위원회에 보고하면서 위원 한 명이 물었습니다. AI가 걸러낸 목록에 없는 거래는 문제가 없다고 봐도 되느냐는 질문입니다. 팀장은 바로 답하지 못했습니다.

이 질문에 답하려면 보고서에 종전에는 없던 내용이 들어가야 했습니다. 어떤 데이터가 분석 대상에 들어갔고 무엇이 빠졌는지, 어떤 조건으로 걸렀는지, 걸러진 건 가운데 몇 건을 어떤 근거로 정상 처리했는지입니다. 이 회사에서는 회계 시스템에 없는 현금 거래와 직원이 개인 카드로 결제한 뒤 정산한 건이 애초에 분석 대상이 아니었습니다. 이 범위를 적지 않으면 전수 조회라는 말이 실제보다 넓게 읽힙니다.

팀은 이듬해 보고서 양식에 세 항목을 추가했습니다. 분석 대상 데이터의 범위와 기간, 적용한 조건과 그 조건을 정한 이유, 예외 목록의 처리 결과입니다. 도구를 바꾸거나 조건을 조정한 이력도 남기기로 했습니다. 감사 결과의 근거를 묻는 질문에 도구 이름이 아니라 절차로 답하기 위해서입니다.

회사의 AI 사용은 누가 감사하는가

감사팀이 AI를 쓰기 시작한 그해에 현업 부서도 AI를 쓰기 시작했습니다. 구매팀은 생성형 AI로 계약서 초안을 만들었고 영업점은 고객 응대 문구를 AI로 작성했습니다. 감사팀에 들어온 질문은 이런 것들이었습니다. 어느 부서가 어떤 도구에 무슨 자료를 올렸는지 회사가 파악하고 있는가. 고객 정보가 외부 서비스에 입력된 적은 없는가. AI가 만든 문서를 사람이 검토했다는 기록이 남는가.

이 질문은 종전 감사 항목에 없었습니다. 팀은 AI 활용 현황을 감사 계획에 별도 항목으로 넣었습니다. 사용이 승인된 도구 목록과 실제 사용 도구의 차이, 외부 서비스 입력이 금지된 자료 유형과 실제 입력 여부, 생성 결과물의 검토 기록 유무를 확인 대상으로 정했습니다. 감사팀이 AI를 쓰는 일과 회사의 AI 사용을 감사하는 일이 같은 해에 함께 시작됐습니다.

연말 회의에서 감사팀장은 처음의 두 질문에 답했습니다. 도구가 해 준 일은 전체 거래 가운데 먼저 볼 것을 추리는 일이었습니다. 감사 결론은 여전히 문서 대조와 현장 확인에서 나왔습니다. 인원이 그대로인데 감사 범위를 전 영업점으로 넓힐 수 있었던 것은 증빙 대조 시간이 줄었기 때문입니다. 줄어든 시간은 예외 사유 확인과 문서화에 쓰였습니다.

팀이 정리한 변화는 네 가지입니다. 감사 범위가 표본에서 전수로 넓어졌습니다. 감사인의 시간은 증빙 대조보다 예외 확인에 더 쓰이게 됐습니다. 보고서에는 분석 범위와 조건을 적는 항목이 생겼으며 회사의 AI 사용 자체가 감사 대상에 들어왔습니다. 도구 도입을 검토하는 감사팀이라면 도구의 기능보다 이 네 가지에 어떻게 대응할지를 먼저 정해 두는 편이 낫습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.