감사

정의

내부 감사는 조직의 운영을 개선하고 가치를 더하기 위해 수행하는 독립적이고 객관적인 확신 및 컨설팅 활동입니다. 국제내부감사인협회(IIA)의 정의가 널리 쓰이며, 체계적이고 규율 있는 접근법으로 리스크 관리, 통제, 지배구조 프로세스의 유효성을 평가하고 개선하는 것을 목적으로 합니다.

정의에 확신 과 컨설팅 이 함께 들어 있는 점이 눈에 띕니다. 잘못을 찾아내는 것만이 아니라, 잘 굴러가도록 돕는 것도 내부 감사의 일이라는 뜻입니다. 다만 스스로 설계한 통제를 나중에 스스로 평가하게 되는 순간 독립성이 깨지므로, 컨설팅의 범위에는 늘 선이 필요합니다.

두 개의 축

• 독립성: 조직 구조의 문제입니다. 내부 감사는 자신이 감사하는 부서의 지휘를 받지 않아야 하며, 통상 이사회 또는 감사위원회에 직접 보고합니다. 감사 대상인 경영진이 감사인의 인사와 예산을 쥐고 있다면 그 감사는 형식만 남습니다.
• 객관성: 감사인 개인의 태도 문제입니다. 최근까지 자신이 수행하던 업무를 감사하게 되거나, 감사 대상 부서와 이해관계가 있다면 회피해야 합니다.

3선 모델

조직의 리스크 관리 책임을 세 개의 선으로 나누어 설명하는 모델입니다.

• 1선: 현업 부서. 업무를 수행하면서 그에 따르는 리스크를 직접 관리합니다.
• 2선: 리스크 관리, 준법 감시, 정보보호 등 관리 기능. 1선을 지원하고 감독하며 기준을 만듭니다.
• 3선: 내부 감사. 1선과 2선이 제대로 작동하는지를 독립적으로 평가합니다.

내부 감사가 1선이나 2선의 업무를 직접 수행하면, 나중에 자기가 만든 통제를 자기가 평가하는 상황이 됩니다. 인력이 부족한 조직에서 내부 감사가 규정 제정이나 시스템 구축을 떠맡는 일이 흔한데, 그 순간 3선은 사라집니다. 자리를 지키는 것 자체가 기능인 셈입니다.

감사의 유형

• 재무 감사: 재무 기록의 정확성과 신뢰성을 확인합니다.
• 업무 감사: 업무가 효율적이고 효과적으로 수행되는지를 봅니다. 규정 위반이 없어도 낭비가 있으면 지적 대상이 됩니다.
• 준법 감사: 법령과 내부 규정을 지키고 있는지를 확인합니다.
• IT 감사: 정보시스템이 신뢰할 수 있게 운영되는지를 봅니다.
• 부정 조사: 부정 혐의가 제기되었을 때 사실관계를 규명합니다. 이 단계에서 디지털 포렌식 기법이 사용되는 경우가 많습니다.

일반 감사와 부정 조사의 차이

둘은 성격이 상당히 다릅니다. 일반 감사는 통제가 작동하는지를 표본으로 확인하고, 대상자의 협조를 전제합니다. 반면 부정 조사는 특정 혐의를 두고 사실을 규명하며, 대상자가 증거를 없애려 할 수 있다는 전제에서 움직입니다.

그래서 부정 조사는 착수 시점부터 다릅니다. 대상자에게 미리 알리지 않고, 자료를 요청하는 대신 확보하며, 확보 절차 자체를 기록으로 남깁니다. 일반 감사의 관행대로 "자료 좀 보내 주세요" 라고 요청하는 순간, 받게 되는 것은 정리된 자료이고 사라지는 것은 원래의 자료입니다.

정의

IT 감사는 조직의 정보시스템과 그 운영 체계가 자산을 보호하고, 데이터의 무결성을 유지하며, 조직의 목표를 효과적으로 달성하도록 작동하는지를 평가하는 감사입니다. 정보시스템 감사라고도 합니다.

회계 감사를 하는 데에도 IT 감사가 필요합니다. 오늘날 재무 데이터는 사람이 장부에 적는 것이 아니라 전산 시스템이 만들어 냅니다. 시스템을 믿을 수 없으면 그 시스템이 산출한 숫자도 믿을 수 없습니다. 전표 한 장 한 장을 확인하는 것보다, 전표를 만들어 내는 구조가 건전한지를 확인하는 편이 효율적이기도 합니다.

IT 일반통제 (ITGC)

여러 시스템에 공통으로 적용되는 기반 통제를 말합니다. 대표적인 영역은 다음과 같습니다.

• 접근 통제: 권한이 있는 사람만 시스템에 접근하는가. 퇴직자 계정은 즉시 차단되는가. 한 사람이 요청과 승인을 모두 할 수 있지는 않은가(직무 분리). 공용 계정을 여럿이 나눠 쓰고 있지는 않은가. 공용 계정은 특히 위험합니다. 누가 무엇을 했는지 특정할 수 없으면 사고가 나도 책임을 물을 수 없고, 조사도 거기서 막힙니다.
• 변경 관리: 프로그램 변경이 승인, 테스트, 배포의 절차를 거치는가. 개발자가 운영 환경을 직접 고칠 수 있는가. 개발자가 운영 데이터베이스에 직접 접속할 수 있다면, 그 시스템이 만들어 내는 어떤 숫자도 검증되지 않은 것입니다.
• 운영 관리: 배치 작업, 장애 대응, 백업과 복구가 정해진 절차대로 이뤄지는가. 백업은 존재 여부가 아니라 실제로 복구되는지를 확인해야 합니다.

응용통제

개별 업무 시스템 안에 내장된 통제입니다. 입력값 검증, 한도 초과 시 승인 요구, 중복 전표 차단, 필수 항목 누락 방지처럼 특정 거래의 정확성을 직접 보장합니다.

왜 일반통제를 먼저 보는가

ITGC 가 무너지면 응용통제도 신뢰할 수 없게 됩니다. 누구나 프로그램을 고칠 수 있는 환경이라면, 그 프로그램 안의 검증 로직이 지금 이 순간에도 살아 있다고 장담할 수 없기 때문입니다. 승인 한도를 우회하도록 코드를 잠깐 바꾸고 되돌려 놓으면, 시스템은 아무 일도 없었던 것처럼 보입니다.

그래서 IT 감사는 대개 일반통제부터 확인하고, 그것이 신뢰할 만할 때 응용통제의 유효성을 인정합니다. 순서를 바꾸면 모래 위에 검증을 쌓는 셈이 됩니다.

로그라는 최후의 보루

통제가 완벽할 수는 없으므로, 무슨 일이 있었는지 나중에 확인할 수 있는 기록이 필요합니다. 접속 기록, 변경 이력, 권한 부여 이력이 그것입니다.

다만 로그는 남기기만 해서는 의미가 없습니다. 아무도 보지 않는 로그, 관리자가 마음대로 지울 수 있는 로그, 보존 기간이 한 달인 로그는 사고가 났을 때 아무 역할도 하지 못합니다. 로그를 누가 볼 수 없게 하고, 누가 지울 수 없게 하며, 얼마나 오래 보관하는지가 실제 통제의 수준을 결정합니다.

정의

부정은 부당하거나 불법적인 이익을 얻기 위해 의도적으로 속임수를 쓰는 행위를 말합니다. 회계상의 오류와 부정을 가르는 기준은 결과의 크기가 아니라 고의 의 유무입니다. 같은 금액의 오기라도 실수면 오류이고, 숨기려는 의도가 있었다면 부정입니다.

이 구분은 감사인에게 실질적인 의미를 갖습니다. 오류는 통제를 개선하면 줄어들지만, 부정은 통제를 우회하려는 지능이 개입하므로 같은 방식으로 접근할 수 없습니다. 부정을 저지르는 사람은 감사가 무엇을 보는지 알고 그것을 피해 갑니다.

세 가지 유형

• 자산의 유용: 조직의 자산을 빼돌리는 행위입니다. 현금 횡령, 허위 거래처를 통한 대금 지급, 재고 절취, 법인카드 사적 사용 등이 여기에 속하며 건수로는 가장 많습니다. 개별 금액은 크지 않지만 오래 지속되는 경향이 있습니다.
• 부패: 직위를 이용해 사적 이익을 취하는 행위입니다. 뇌물 수수, 리베이트, 이해충돌 거래가 대표적입니다. 회사 장부에는 정상 거래로 기록되기 때문에 회계 자료만 봐서는 드러나지 않고, 거래처와의 관계나 의사결정 경위를 봐야 보입니다.
• 재무제표 부정: 실적을 좋게 보이려고 매출을 부풀리거나 비용과 부채를 감추는 행위입니다. 건수는 적지만 금액 규모가 압도적으로 큽니다. 개인의 사적 이익보다 조직의 외형을 위해 저질러지는 경우가 많다는 점이 다른 유형과 다릅니다.

부정 삼각형

부정이 성립하는 조건을 설명하는 고전적인 이론입니다. 세 요소가 함께 있을 때 부정이 일어난다고 봅니다.

• 압력: 개인적 부채, 과도한 실적 목표, 생활 수준 유지처럼 부정을 저지를 동기가 되는 요인입니다.
• 기회: 통제가 허술해 들키지 않고 실행할 수 있다는 판단입니다.
• 합리화: "잠시 빌리는 것뿐이다", "회사가 나에게 먼저 부당했다" 처럼 자신의 행위를 정당화하는 심리입니다.

조직이 직접 통제할 수 있는 것은 대개 기회 입니다. 직원의 사정을 관리할 수도 없고 마음을 들여다볼 수도 없지만, 혼자서 처음부터 끝까지 처리할 수 있는 업무를 없애고, 기록이 남게 하고, 정기적으로 확인하는 것은 할 수 있습니다. 직무 분리, 승인 절차, 로그 기록처럼 내부통제가 겨냥하는 지점이 바로 여기입니다.

어떻게 발견되는가

여러 조사에서 반복적으로 확인되는 사실이 하나 있습니다. 부정은 정기 감사보다 제보 로 발견되는 비율이 높다는 것입니다. 가장 가까이서 보는 사람이 가장 먼저 알아차리기 때문입니다.

그래서 익명 제보 채널의 존재 여부와 그 채널이 실제로 안전하다고 믿어지는지가 부정 통제의 큰 부분을 차지합니다. 제보자가 불이익을 받은 사례가 한 번이라도 알려지면 그 채널은 그날로 죽습니다.

부정과 디지털 흔적

부정 행위는 대부분 전산 시스템 위에서 이뤄집니다. 허위 거래처를 등록하려면 시스템에 입력해야 하고, 자료를 빼돌리려면 파일을 복사해야 하며, 공모하려면 연락을 해야 합니다. 전표 데이터, 계정 접근 기록, 이메일과 메신저 대화, 외부 저장 매체 연결 흔적이 모두 남습니다.

부정 조사에서 포렌식 기법이 쓰이는 이유가 여기에 있습니다. 사람의 진술은 바뀌지만, 기록은 확보만 제때 되면 바뀌지 않습니다.

정의

컴플라이언스(Compliance)는 기업이 법령과 규제, 그리고 스스로 정한 내부 규정과 윤리 기준을 지키도록 만드는 체계와 활동을 말합니다. 단순히 규칙을 어기지 않는 상태가 아니라, 어기지 않도록 하는 구조를 갖추고 그것이 실제로 작동하게 만드는 것이 핵심입니다.

왜 중요한가

규정을 어기면 과징금과 형사 책임, 영업 정지 같은 직접적 제재가 따르지만, 더 큰 손실은 신뢰의 붕괴입니다. 한 번의 위반이 오래 쌓은 평판을 무너뜨리고 거래와 투자, 인재 확보에까지 영향을 미칩니다. 규제가 촘촘해지고 국경을 넘는 사업이 늘면서 지켜야 할 규범의 범위도 계속 넓어지고 있습니다.

내부감사와의 관계

컴플라이언스와 내부감사는 목적이 겹치지만 역할이 다릅니다. 컴플라이언스가 지키도록 설계하고 운영하는 1차 방어선이라면, 내부감사는 그 체계가 제대로 작동하는지 독립적으로 검증하는 역할을 합니다. 둘은 대립이 아니라 보완 관계이며, 건강한 조직일수록 이 경계가 분명합니다.

컴플라이언스 리스크

컴플라이언스 리스크는 규정 위반으로 조직이 입을 수 있는 법적·재정적·평판적 손실 가능성입니다. 부패·뇌물, 공정거래 위반, 개인정보 침해, 회계 부정, 자금세탁 등 업종과 사업 구조에 따라 노출되는 리스크가 다릅니다. 그래서 진단의 첫 단계는 우리 조직이 어디에 노출되어 있는지를 파악하는 것입니다.

진단과 점검

컴플라이언스 진단은 규정 준수 체계가 실제로 갖춰져 있고 작동하는지를 점검하는 과정입니다. 제도의 존재 여부만이 아니라 데이터와 기록으로 실제 이행을 확인하는 것이 중요합니다. 디지털 포렌식 기법을 활용하면 문서와 시스템 로그에서 위반의 징후를 객관적으로 찾아낼 수 있어, 형식적 점검을 넘어 실질적 진단이 가능해집니다.

정의

M&A 실사(PMA, Post-Merger Audit)는 인수·합병이 끝난 뒤 인수한 기업의 실제 상태를 다시 들여다보는 감사입니다. 계약 전에 진행하는 사전 실사(Due Diligence)가 주로 제공된 자료를 검토하는 데 그친다면, PMA는 인수 후 확보한 접근 권한으로 기업 내부의 데이터를 직접 분석해 숨어 있던 문제를 규명합니다.

왜 필요한가

인수 전 실사는 대상 기업이 제공하는 범위 안에서만 이뤄집니다. 감추려는 부정이나 부실은 그 범위 밖에 있기 마련이고, 계약을 서두르는 압박 속에서 놓치는 것도 많습니다. 인수가 끝나 경영권과 데이터에 대한 접근이 확보되면, 그제야 장부 뒤에 가려졌던 횡령·분식·이해충돌 거래가 드러나는 경우가 적지 않습니다.

디지털 포렌식의 역할

PMA의 핵심은 이메일, 회계 시스템, 전자문서 등 인수한 기업의 디지털 데이터를 포렌식 절차로 수집·분석하는 데 있습니다. 삭제된 자료를 복원하고 자금 흐름과 의사결정 기록을 추적해, 무엇이 언제 어떻게 이뤄졌는지를 증거능력 있는 형태로 규명합니다. 이렇게 확보한 사실은 인수 후 손해배상이나 가격 조정, 책임 추궁의 근거가 됩니다.

언제 하는가

보통 인수 직후, 경영권 이전이 마무리된 시점에 시작합니다. 시간이 지날수록 데이터가 덮어써지고 관련자가 이탈해 확인 가능한 범위가 줄기 때문에, 이르게 착수할수록 규명의 폭이 넓어집니다.