내년 감사계획 초안을 쓰기 전에 올해 기록에서 확인할 것들

연말이 다가오면 감사실은 내년 감사계획 초안을 준비합니다. 작년 계획서를 열어 감사 대상 부서와 일정을 조금씩 고치는 방식으로 시작하는 곳이 많습니다. 이렇게 만든 계획은 문서 형식을 갖추기는 쉽습니다. 문제는 감사를 시작한 뒤에 드러납니다. 확인하려던 기간의 접속 기록이 이미 지워졌거나 처음부터 그 기록을 남기지 않는 시스템이었다는 사실을 현장에서 알게 되는 경우입니다.

감사 항목을 정하는 일과 그 항목을 실제로 확인할 수 있는지 점검하는 일은 별개입니다. 예를 들어 구매 부서의 거래처 선정 과정을 감사 항목에 넣었다면 견적 요청 메일, 전자결재 문서, 구매 시스템의 수정 이력이 감사 시점까지 남아 있어야 합니다. 이 가운데 하나라도 보관 기간이 짧거나 받아 올 방법이 정해져 있지 않으면 그 항목은 계획서에는 있지만 실제로는 확인하기 어려운 항목이 됩니다.

그래서 초안을 쓰기 전에 올해 감사 기록과 회사의 데이터 보관 현황을 먼저 확인해 두는 편이 좋습니다.

계획 초안 전에 확인할 올해 기록

아래 항목은 내년 감사 항목을 실제로 확인할 수 있는지 미리 판단하는 데 필요한 기록입니다. 감사계획서의 양식과 관계없이 어느 회사에나 해당합니다.

1. 올해 지적사항의 후속 조치를 무엇으로 확인했나

지적사항 목록에서 '조치 완료'로 종결된 항목을 다시 봅니다. 완료 판단의 근거가 해당 부서의 회신 문서였는지, 감사팀이 시스템 설정이나 기록을 직접 확인한 결과였는지 구분합니다. 퇴직자 계정 정리를 지적했고 부서가 정리를 마쳤다고 회신했다면 계정 목록과 인사 기록의 퇴직 일자를 대조해 봤는지가 기준이 됩니다. 회신만으로 종결된 항목은 내년 계획에 후속 확인 대상으로 넣습니다.

2. 감사 항목별 데이터가 어디에 얼마 동안 남는지

메일, 전자결재, ERP(회계·구매·재고 업무를 처리하는 회사의 통합 업무 시스템) 수정 이력, 시스템 접속 기록, 출입 기록은 시스템마다 보관 기간이 다릅니다. 감사 항목별로 근거가 될 데이터를 적고 감사 예정 시점에 대상 기간의 기록이 남아 있을지 확인합니다. 하반기에 상반기 거래를 감사할 계획인데 해당 시스템이 접속 기록을 몇 달만 보관한다면 감사를 시작할 때는 필요한 기간의 기록이 이미 지워진 뒤입니다.

올해 새로 도입하거나 교체한 시스템도 이 단계에서 함께 봅니다. 시스템을 옮기는 과정에서 이전 시스템의 변경 이력이 새 시스템으로 넘어오지 않는 경우가 있으므로 이전 기록이 어디에 보관되어 있는지 따로 확인합니다.

3. 자료를 받아 오는 절차가 정해져 있나

감사 대상 부서가 정리해 보낸 자료는 원본 기록과 같은지 감사팀이 따로 확인해야 합니다. 시스템별로 누가 자료를 추출하는지, 요청은 어떤 절차로 하는지, 추출한 파일이 원본과 같다는 사실을 어떻게 남기는지 정해져 있는지 봅니다. 추출 시점에 해시값(파일 내용이 바뀌지 않았는지 확인하는 데 쓰는 고유한 값)을 기록해 두는 방식이 대표적입니다. 감사 결과가 징계나 소송으로 이어지면 자료를 언제, 누가, 어떤 방법으로 확보했는지 설명해야 합니다.

4. 제보와 내부조사 기록에서 반복되는 유형

올해 접수된 제보와 내부조사 건을 부서와 유형별로 정리합니다. 감사 대상을 고를 때는 건수보다 같은 유형이 같은 부서나 같은 업무 절차에서 반복되는지가 더 쓸모 있는 정보입니다. 조사 과정에서 확인했지만 조사 범위 밖이라 남겨 둔 사항도 함께 적습니다. 정리할 때 제보자와 조사 대상자를 알아볼 수 있는 정보는 빼고 유형과 절차 단위로만 기록합니다.

보관 기간은 설정값과 실제 기록을 함께 봅니다

IT 부서에 보관 기간을 물으면 대개 시스템에 설정된 값을 알려 줍니다. 설정값과 실제로 남아 있는 기록이 다를 수 있으므로 시스템에 남은 가장 오래된 기록의 날짜를 직접 확인합니다. 저장 공간이 부족해 설정보다 일찍 지워지거나 중간에 설정이 바뀐 경우가 있습니다.

기록이 남아 있다는 것과 그 기록으로 감사 항목을 확인할 수 있다는 것도 구분합니다. 접속 기록에 로그인 시각만 남고 어떤 화면을 열었는지는 남지 않는다면 누가 거래처 정보를 조회했는지는 그 기록으로 답할 수 없습니다. 이 차이는 감사가 시작된 뒤에야 발견되는 경우가 많습니다. 감사 항목마다 필요한 정보가 실제로 기록되는지 샘플 기록을 받아 미리 확인합니다.

확인한 내용은 계획서에 어떻게 반영하나

감사 항목 목록 옆에 근거 데이터, 보관 위치, 실제 보관 기간, 확보 절차를 나란히 적어 두면 항목별로 조정할 부분이 드러납니다.

• 감사 시점에 기록이 남지 않는 항목은 감사 일정을 앞당기거나 감사 시작 전에 IT 부서에 보관 기간 연장이나 별도 보존을 요청합니다. 보관 설정을 바꿔도 보통 그 이후의 기록부터 길게 남으므로 요청 시기를 계획 단계에서 정합니다.
• 필요한 정보가 기록에 남지 않는 항목은 담당자 면담이나 증빙 문서 검토처럼 다른 확인 방법을 계획서에 함께 적습니다.
• 회신만으로 종결된 지적사항과 제보가 반복된 업무 절차는 내년 감사 대상과 범위에 먼저 반영합니다.

감사계획서의 항목은 감사 시점에 근거 기록이 남아 있고 그 기록을 정해진 절차로 받아 올 수 있을 때 실제로 확인할 수 있습니다. 초안을 쓰기 전에 지적사항의 확인 근거, 시스템별 실제 보관 기록, 자료 확보 절차, 제보·조사 기록의 반복 유형을 점검해 두면 감사 도중에 일정을 바꾸거나 항목을 빼는 일을 줄일 수 있습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.