대리결재와 승인권한 검증

결재란에는 부서장 이름이 있습니다

가상의 업무 예시입니다. 부서장 부재 중 구매담당자가 대리결재자로 지정됐습니다. 구매 요청과 승인이 정상적으로 완료됐지만, 확인 결과 같은 사람이 구매를 요청하고 대리결재까지 처리했습니다.

대리결재 자체가 부적절한 것은 아닙니다. 업무 연속성을 위해 필요한 제도입니다. 다만 위임 과정에서 원래 분리했던 요청·검토·승인 역할이 한 사람에게 모일 수 있습니다.

위임의 적정성과 통제 효과를 함께 봅니다

감사에서는 당시 적용된 규정과 위임 설정을 기준으로 권한을 확인합니다. 현재의 조직도나 권한표만 보면 과거 결재 당시의 상태를 잘못 해석할 수 있습니다.

NIST SP 800-53의 AC-5는 분리가 필요한 직무를 식별·문서화하고, 이를 지원하도록 시스템 접근권한을 정하는 통제를 설명합니다. 이는 업무분리를 점검하는 참고 기준이며, 국내 기업의 대리결재 허용 범위를 직접 정하는 법규는 아닙니다.

실무에서는 화면에 표시된 결재 명의와 실제 처리 계정을 대조합니다. 위임의 시작·종료, 금액 한도, 대상 업무와 재위임 조건도 확인합니다. 공용 계정이나 비밀번호 공유 방식으로 처리했다면 정식 대리결재와 구분해 평가해야 합니다.

실무에서 확인할 사항

• 당시 유효한 위임 근거와 승인 기록
• 대리결재자의 실제 처리 이력
• 위임 기간·금액·업무 범위를 벗어난 승인
• 요청자와 승인자가 동일해지는 거래
• 부재 종료 후 권한 회수와 예외 거래의 후속 검토

접속 IP나 계정 이름만으로 실제 조작자를 확정하지는 않습니다. 원격접속·공용 단말·자동 처리 가능성을 검토하고, 기록이 부족한 부분은 행위자 미확인과 통제 미흡을 구분합니다.

소규모 조직처럼 완전한 직무분리가 어려운 경우에는 독립적인 사후 검토 등 보완통제가 실제로 수행됐는지 확인합니다. 결재 단계의 수보다 이해관계가 다른 검토가 작동했는지가 중요합니다.

출처

• NIST 공식 통제자료 AC-5