내부 감사

정의

내부 감사는 조직의 운영을 개선하고 가치를 더하기 위해 수행하는 독립적이고 객관적인 확신 및 컨설팅 활동입니다. 국제내부감사인협회(IIA)의 정의가 널리 쓰이며, 체계적이고 규율 있는 접근법으로 리스크 관리, 통제, 지배구조 프로세스의 유효성을 평가하고 개선하는 것을 목적으로 합니다.

정의에 확신 과 컨설팅 이 함께 들어 있는 점이 눈에 띕니다. 잘못을 찾아내는 것만이 아니라, 잘 굴러가도록 돕는 것도 내부 감사의 일이라는 뜻입니다. 다만 스스로 설계한 통제를 나중에 스스로 평가하게 되는 순간 독립성이 깨지므로, 컨설팅의 범위에는 늘 선이 필요합니다.

두 개의 축

• 독립성: 조직 구조의 문제입니다. 내부 감사는 자신이 감사하는 부서의 지휘를 받지 않아야 하며, 통상 이사회 또는 감사위원회에 직접 보고합니다. 감사 대상인 경영진이 감사인의 인사와 예산을 쥐고 있다면 그 감사는 형식만 남습니다.
• 객관성: 감사인 개인의 태도 문제입니다. 최근까지 자신이 수행하던 업무를 감사하게 되거나, 감사 대상 부서와 이해관계가 있다면 회피해야 합니다.

3선 모델

조직의 리스크 관리 책임을 세 개의 선으로 나누어 설명하는 모델입니다.

• 1선: 현업 부서. 업무를 수행하면서 그에 따르는 리스크를 직접 관리합니다.
• 2선: 리스크 관리, 준법 감시, 정보보호 등 관리 기능. 1선을 지원하고 감독하며 기준을 만듭니다.
• 3선: 내부 감사. 1선과 2선이 제대로 작동하는지를 독립적으로 평가합니다.

내부 감사가 1선이나 2선의 업무를 직접 수행하면, 나중에 자기가 만든 통제를 자기가 평가하는 상황이 됩니다. 인력이 부족한 조직에서 내부 감사가 규정 제정이나 시스템 구축을 떠맡는 일이 흔한데, 그 순간 3선은 사라집니다. 자리를 지키는 것 자체가 기능인 셈입니다.

감사의 유형

• 재무 감사: 재무 기록의 정확성과 신뢰성을 확인합니다.
• 업무 감사: 업무가 효율적이고 효과적으로 수행되는지를 봅니다. 규정 위반이 없어도 낭비가 있으면 지적 대상이 됩니다.
• 준법 감사: 법령과 내부 규정을 지키고 있는지를 확인합니다.
• IT 감사: 정보시스템이 신뢰할 수 있게 운영되는지를 봅니다.
• 부정 조사: 부정 혐의가 제기되었을 때 사실관계를 규명합니다. 이 단계에서 디지털 포렌식 기법이 사용되는 경우가 많습니다.

일반 감사와 부정 조사의 차이

둘은 성격이 상당히 다릅니다. 일반 감사는 통제가 작동하는지를 표본으로 확인하고, 대상자의 협조를 전제합니다. 반면 부정 조사는 특정 혐의를 두고 사실을 규명하며, 대상자가 증거를 없애려 할 수 있다는 전제에서 움직입니다.

그래서 부정 조사는 착수 시점부터 다릅니다. 대상자에게 미리 알리지 않고, 자료를 요청하는 대신 확보하며, 확보 절차 자체를 기록으로 남깁니다. 일반 감사의 관행대로 "자료 좀 보내 주세요" 라고 요청하는 순간, 받게 되는 것은 정리된 자료이고 사라지는 것은 원래의 자료입니다.