내부회계관리제도 모범규준 등 적용 FAQ

목     차

[모범규준의 목적 및 적용]

[내부회계관리제도 일반]

[내부회계관리제도 설계 및 운영]

[내부회계관리제도 평가 및 보고]

[외부감사인의 내부회계관리제도 감사(또는 검토)]

[모범규준의 목적 및 적용]

1. 내부회계관리제도 모범규준 등은 어떻게 구성되나요?

[답변] 내부회계관리제도 모범규준 등(“모범규준 등”)은 아래와 같이 구성됩니다.

1) 내부회계관리제도의 설계 및 운영

가. 내부회계관리제도 설계 및 운영 개념체계(“설계·운영 개념체계”)	내부회계관리제도의 체계를 제시
나. 내부회계관리제도 설계 및 운영 적용기법(“설계·운영 적용기법”)	“설계·운영 개념체계”에서 제시한 원칙과 중점고려사항을 실무적으로 적용하기 위한 기법을 제시

가. 내부회계관리제도 평가 및 보고 모범규준(“평가·보고 모범규준”)	경영진이 선택한 내부통제체계에 따라 설계·운영한 내부회계관리제도의 평가 및 보고에 관한 지침을 제공
나. 내부회계관리제도 평가 및 보고 적용기법(“평가·보고 적용기법”)	“평가·보고 모범규준”을 준수하기 위한 추가적인 설명과 기법을 제시

2) 내부회계관리제도의 평가 및 보고

2. 내부회계관리제도 모범규준 등의 내용은 모든 기업에 공통적으로 적용되나요?

[답변] 모범규준 등은 외감법에 따른 외부감사의 대상이 되는 회사 중 주권상장법인이 아닌 회사로서 직전 사업연도 말의 자산총액이 1천억원 미만인 회사와 대통령령으로 정하는 회사를 제외한 회사에 대하여 적용됩니다(외감법 제8조 제1항 및 동법 시행령 제9조 제1항). 다만, 주권상장법인은 내부회계관리제도 감사대상 사업연도(*) 개시일부터, 주권비상장법인은 2023년 1월 1일이 속하는 사업연도 개시일부터 적용하되, 조기 적용이 허용됩니다.

(*) 주권상장법인 규모별 적용 시기

① 직전 사업연도말 자산총액이 2조원 이상: 2019 회계연도부터

② 직전 사업연도말 자산총액이 5천억원 이상: 2020 회계연도부터

③ 직전 사업연도말 자산총액이 1천억원 이상: 2022 회계연도부터

④ 1천억 미만 주권상장법인 및 주권비상장법인: 2023 회계연도부터

내부회계관리제도 설계 및 운영 개념체계(“설계·운영 개념체계”)에서 제시하는 내부회계관리제도 구성요소 및 원칙은 중소기업에도 동일하게 적용됩니다. 단, 중소기업의 경우 경영여건을 감안하여 설계·운영 개념체계를 세부적으로 적용하는 과정에서 대기업보다는 유연한 방식으로 내부회계관리제도를 설계 및 운영할 수 있습니다(설계·운영 개념체계 문단 37).

마찬가지로, 내부회계관리제도 설계 및 운영 적용기법(“설계·운영 적용기법”)에서 제시한 내용 또한 대기업과 중소기업이 공통적으로 적용할 수 있지만, 사업모델, 조직구조 또는 운영이 상대적으로 단순한 중소기업에서는 보다 유연하게 적용할 수 있습니다(설계·운영 적용기법, 목적 및 적용). 참고로 중소기업을 위한 별도의 기준 등은 2020년 중에 발표될 예정입니다.

또한, 설계·운영 개념체계는 기본원칙을 제시한 것으로서, 회사는 내부회계관리제도를 설계 및 운영함에 있어 일반적으로 인정된 다른 기준(COSO 등)을 적용할 수 있습니다(설계·운영 개념체계 문단 2).

3. 자산규모로 내부회계관리제도 적용기업이나 감사시기를 판단하는 경우 직전사업연도를 기준으로 하나요?

[답변] 그렇습니다.

외감법 제8조 제1항에 따라 직전 사업연도 말의 자산총액을 기준으로 내부회계관리제도 적용대상 기업을 판단합니다. 그리고 내부회계관리제도에 대한 외부감사인의 인증 수준이 “검토”에서 “감사”로 강화되는 시기 역시 외감법 부칙 제3조에 따라 직전연도 말의 자산총액에 따라 결정됩니다. 2022년부터 순차적으로 적용되는 연결기준의 내부회계관리제도 역시 동일하게 적용됩니다.

4. 비상장법인은 舊(구)모범규준을 언제까지 적용할 수 있나요?

[답변] 주권비상장법인에는 2023년 1월 1일이 속하는 사업연도 개시일부터 모범규준 등이 적용되며, 조기 적용이 허용됩니다. 또한, 위 시행시기가 도래하기 전까지는 종전 ‘내부회계관리제도 모범규준’, ‘내부회계관리제도모범규준 적용해설서’ 및 ‘내부회계관리제도 모범규준 중소기업 적용해설서’를 적용합니다(내부회계관리제도 모범규준 적용의견서 18-1).

5. 비상장대기업이 회계연도 중에 상장법인이 된 경우 언제부터 新(신)모범규준을 적용하여야 하나요? 그리고 언제부터 감사 대상에 포함되나요?

[답변] 외감법 부칙 제3조에서는 감사보고서 작성일 기준 전년 말 자산총액을 기준으로 감사인의 내부회계관리제도 감사의 적용시기를 정하고 있습니다. 또한, 내부회계관리제도모범규준 적용의견서 18-1에 따르면 주권상장법인의 경우 모범규준 등은 외감법 제8조 제6항 및 동 법률 부칙 제1조 및 제3조에 따른 내부회계관리제도 감사대상 사업연도 개시일부터 적용됩니다. 따라서 비상장기업이 회계연도 중에 주권상장법인이 된 경우에는 내부회계관리제도 감사의 대상이 되는 시기에 따라 모범규준 등이 적용됩니다. 한편, 내부회계관리제도 감사의 대상이 되는 시기는 다음과 같이 자산총액에 따라 달라질 수 있습니다.

1) 직전 사업연도말 자산총액이 2조원 이상: 2019 회계연도부터

2) 직전 사업연도말 자산총액이 5천억원 이상: 2020 회계연도부터

3) 직전 사업연도말 자산총액이 1천억원 이상: 2022 회계연도부터

4) 전체 주권상장법인: 2023 회계연도부터

6. 외국계 기업의 국내 현지법인도 내부회계관리제도 적용대상인가요?

[답변] 내부회계관리제도 적용 대상인지 여부는 외감법에 따라 결정됩니다. 즉, 외감법 제8조 제1항에 따라 주권상장법인이 아닌 회사로서 직전 사업연도 말의 자산총액이 1천억원 미만인 회사와 동법 시행령 제9조 제1항에 해당하지 않는 회사는 모두 내부회계관리제도 적용 대상입니다.

한편, 외국계 기업에 대한 별도의 예외규정이 존재하지 않으므로, 외국계 기업의 국내 현지법인도 국내 법인과 동일하게 외감법 상의 내부회계관리제도 관련 규정이 적용됩니다. 다만, 내부회계관리제도의 설계 및 운영에 있어서는 우리나라의 설계·운영 개념체계 이외에 외국의 본사에서 적용하는 내부통제의 개념체계(예: 미국의 COSO, 캐나다의 COCO, 영국의 Turnbull Report 등)를 적용할 수 있으나, 내부회계관리제도의 평가 및 보고는 내부회계관리제도 평가 및 보고 모범규준(“평가·보고 모범규준”)을 적용하여야 합니다.

[내부회계관리제도 일반]

7. 내부회계관리제도와 관련하여 문서화된 근거자료를 갖추어야 하는 이유는 무엇이며, 회사가 준비하여야 할 자료는 어떤 것들이 있나요?

[답변] 외감법에 따라 회사는 신뢰할 수 있는 회계정보의 작성과 공시를 위하여 내부회계관리규정과 이를 관리·운영하는 조직(내부회계관리제도)을 갖추어야 합니다(제8조 제1항). 회사의 대표자는 사업연도마다 주주총회, 이사회 및 감사(위원회)에게 내부회계관리제도의 운영실태를 보고하여야 하고(제4항), 감사(위원회)는 내부회계관리제도의 운영실태를 평가하여 이사회에 사업연도마다 보고하고 그 평가보고서를 회사의 본점에 5년간 비치하여야 합니다(제5항). 또한, 동조 제6항에 따라 외부감사인은 회계감사를 실시할 때 해당 회사가 외감법 제8조에서 정한 사항을 준수했는지 여부 및 제4항에 따른 내부회계관리제도의 운영실태에 관한 보고내용을 감사(또는 검토)하여야 합니다.

따라서 내부회계관리제도와 관련된 문서화된 근거자료를 통해 회사 스스로 내부회계관리제도 운영실태 보고와 운영실태 평가에 대한 결론을 입증할 수 있을 뿐만 아니라, 외부감사인이 내부회계관리제도에 대한 감사(또는 검토)를 수행하는데 필요한 자료를 제시할 수 있습니다(회사가 재무제표에 포함된 모든 거래에 대한 근거자료를 유지하는 것과 동일한 맥락입니다).

참고로, 평가·보고 적용기법에서는 평가의 근거(문단 8), 내부회계관리제도 설계의 문서화(문단 62~87), 설계의 효과성 평가의 문서화(문단 101~102), 운영의 효과성 평가의 문서화(문단 122)등을 제시하고 있습니다.

1) 외감법 규정의 준수 여부에 대한 근거 자료

자료명	관련 근거	비 고
내부회계관리규정	법 제8조제1항	∙ 외감법 제8조 제1항 각호의 사항 및 시행령 제9조 제2항의 각호에서 규정한 사항을 포함
내부회계관리규정 제․개정 관련 감사의 승인문서 및 이사회 의사록(감사위원회 설치 법인의 경우 감사위원회 의사록)	영 제9조제3항	∙ 당기 중 내부회계관리규정의 제․개정이 있는 경우
내부회계관리제도 운영실태보고서	법 제8조 제4항, 영 제9조 제4항, 외부감사 및 회계 등에 관한 규정(“외감규정”) 시행세칙 제6조 제3항 제1호	∙ 외감규정 시행세칙 제6조 제3항 제1호를 고려한 기준 및 절차 규정 ∙ 대표자 대면보고 수행(내부회계관리자 위임 시는 제출한 사유 문서) ∙ 영 제9조 제4항 각호의 내용을 포함한 운영실태보고서 작성 및 보고
보고 관련 이사회 및 감사(위원회) 의사록	상동	∙ 평가·보고 모범규준 문단 88에서 언급된 내용 포함(평가·보고 적용기법 별첨의 운영실태보고서 예시 참조)
감사의 평가보고서	법 제8조 제5항, 영 제9조 제5항, 영 제9조 제7항, 외감규정 시행세칙 제6조 제3항 제2호	∙ 외감규정 시행세칙 제6조 제3항 제2호를 고려한 기준 및 절차 규정 ∙ 영 제9조 제5항 각호의 내용을 포함한 평가보고서 작성 및 보고 ∙ 정기총회 개최 1주전까지 이사회 대면 보고 수행
보고 관련 이사회 의사록	상동	∙ 평가·보고 모범규준 문단 97에서 언급된 내용 포함(평가·보고 적용기법 별첨의 운영실태평가보고서 예시 참조)
금융위원회 규정에 따른 공시 자료	영 제9조 9항	∙ 영 제9조 제9항 및 외감규정 시행세칙 제7조 ∙ 「자본시장과 금융투자업에 관한 법률」 제159조 제1항에 따른 사업보고서 제출 대상법인의 경우

2) 경영자 자체 평가 근거 자료

(1) 내부회계관리제도 범위 선정 및 평가 계획

자료명	관련 근거	비 고
양적 요소의 선정 내역	평가·보고 적용기법 문단 40~41	∙ 중요성 및 수행중요성 금액 산정 근거 및 결과 ∙ 평가시점에 변동된 경우 그 변경을 고려
질적 요소의 고려 내역	평가·보고 적용기법 문단 42	∙ 계정 특성 및 프로세스 특성을 고려한 질적요소의 고려 방법 및 결과
유의한 계정과목 및 주석정보, 유의한 업무프로세스, 평가 대상 사업단위의 선정 내역	평가·보고 적용기법 문단 45, 47~55	∙ 양적기준 및 질적기준을 고려한 유의한 계정과목 및 주석정보의 선정 결과 ∙ 유의한 계정과목 등과 업무프로세스와의 연계도표 ∙ 재무적으로 유의한 사업단위 선정 근거 및 결과
내부회계관리제도 평가 계획	평가·보고 적용기법 문단8, 88	∙ 위험평가에 기반한 내부회계관리제도의 효과성 평가 계획 보고 문서 ∙ 중간평가 및 기말평가의 수행 범위, 대상, 시기, 평가자 등 ∙ 당기 주요 변화사항에 대한 대응방안 및 미비점 시정조치 현황

(2) 내부회계관리제도 설계 관련 문서

자료명	관련 근거	비 고
통제기술서	평가·보고 적용기법 문단 81~82, 62~77	∙ 업무프로세스 내의 하위프로세스별 통제목표 또는 위험과 이를 관리하기 위한 통제활동 및 경영자 주장, 통제 유형 및 수행빈도 등을 일목요연하게 제시 ∙ 통제활동에 대한 설명과 유형, 수행빈도 등의 항목을 포함하여 작성
업무흐름도	평가·보고 적용기법 문단 83~84	∙ 조직 내에서의 업무흐름 및 제반 문서 등을 도식적·동태적으로 표현하기 위한 것으로 주로 하위프로세스 단위로 작성 ∙ 일반적으로는 통제기술서를 보완하는 목적으로 활용 - 없는 경우 변화관리의 어려움이 존재
업무기술서	평가·보고 적용기법 문단 85~86	∙ 각 업무프로세스에서 수행되는 업무의 내용을 설명 형식으로 기술한 문서로 업무의 출발점, 수행되는 업무처리 절차 및 통제의 내용, 관련 서류 등을 명확하게 기술 ∙ 업무흐름도와 같이 통제기술서를 보완하거나, 업무흐름도를 보완하는 목적으로 활용
업무분장표	평가·보고 적용기법 문단 87	∙ 업무프로세스 내에서 거래의 승인기능, 자산의 보관기능 및 회계기능 등 상충되는 업무가 적절히 분장되었는지의 여부를 확인하는 보조적인 수단

(3) 내부회계관리제도의 효과성 평가 관련 자료

자료명	관련 근거	비 고
설계의 효과성 평가 근거 자료	평가·보고 적용기법 문단 8, 101∼102	∙ 매년 추적조사(Walk-Through Test)가 반드시 필요하지는 않으나, 일반적으로 변화관리체계를 통해 중요한 변경이 존재하는 경우는 추적조사를 수행하고, 그렇지 않은 경우 다른 방법을 적용하여 통제 설계의 적정성을 확인하고 관련 절차를 문서화 ∙ 업무흐름도 등의 기반 문서가 충분하지 않거나 구체적이지 않은 부분의 경우에는 추적조사를 수행하는 것을 고려 ∙ 핵심 통제 활동에 대한 설계의 효과성 평가 근거 및 결론 ∙ 설계의 효과성에 대한 평가 절차 및 그 결과를 문서화 ∙ 설계상의 미비점이 발견된 경우 그 내역 및 개선 계획
운영의 효과성 평가 근거 자료	평가·보고 적용기법 문단 8, 122	∙ 내부회계관리제도 운영의 효과성에 대한 평가 절차 및 그 결과 ∙ 테스트된 항목을 구체적으로 확인할 수 있는 테스트 절차(모집단의 정의 및 개수, 통제의 속성, 관련 증빙의 내용 등), 테스트 수행자, 테스트 결과 및 전반적인 결론

자료명	관련 근거	비 고
미비점 리스트	평가·보고 적용기법 문단 8, 123, 150	∙ 미비점 리스트 및 미비점 판단 근거(존재하는 경우) ∙ 전사수준과 거래수준의 설계 및 운영상의 미비점 리스트(존재하는 경우) ∙ 미비점별 중요성 평가 근거 및 결론 - 개별적 분류 및 타 미비점과의 결합 효과 고려
운영실태보고서	평가·보고 적용기법 문단 8, 150∼157	∙ 대표자의 내부회계관리제도 평가 및 검토 내역 ∙ 대표자의 내부회계관리제도 운영실태보고서
평가보고서	평가·보고 적용기법 문단 8, 162∼165	∙ 감사(위원회)의 내부회계관리제도 운영실태 평가 및 검토 내역 ∙ 감사(위원회)의 내부회계관리제도 평가보고서

(4) 경영자 점검 및 감사(위원회) 평가결과의 보고 자료

8. 내부회계관리제도 시스템 도입도 필수적으로 수행하여야 하나요?

[답변] 아닙니다.

내부회계관리제도 시스템 도입 여부는 내부회계관리제도의 효과성에 직접적인 영향을 미치지 않습니다. 시중의 내부회계관리제도 시스템이 제공하는 기능은 단순한 문서관리기능부터 Workflow를 제공하는 것까지 다양합니다. 회사가 내부회계관리제도를 설계·운영하고 주기적으로 평가하는데 시스템이 필요한지를 판단하는 것이 바람직합니다.

참고로, 내부회계관리제도 관련 시스템의 주요 기능은 다음과 같습니다.

∙	내부회계관리제도 관련 주요 업무 흐름 관리(계획→평가→보고)

∙ 내부회계관리제도 관련 주요 업무 별 문서 관리(업무흐름도, 업무기술서, 통제기술서, 테스트 절차서 및 테스트 조서, 미비점 리스트 및 평가 결과서 등 각종 보고 문건 등)

∙	문서의 버전 관리 및 변화관리(Master Data 관리 등)

∙ 테스트 계획의 구체화(담당자 지정, 일정 및 결과 취합 등)

9. 회사의 지분법 투자에 대한 재무보고에 대한 내부통제는 어느 정도 수준으로 고려하여야 하나요?

[답변] 연결재무제표에 관한 내부회계관리제도는 주권상장법인을 대상으로, 직전 사업연도말 자산총액을 기준으로 2021년 12월 31일 이후 시작되는 사업연도부터 순차적으로 적용됩니다. 따라서 그 이전 사업연도까지는 지배회사가 피투자회사(연결대상 종속회사 및 지분법적용회사 포함)의 내부회계관리제도에 대한 직접적인 책임을 부담하지 않습니다. 다만, 별도재무제표 작성 시 투자자산을 지분법으로 평가하는 경우 지분법 적용과 관련한 통제를 구비하고 설계 및 운영의 효과성을 평가하여야 합니다.

관련하여, 한국공인회계사회가 제정한 “감사기준서 1100(내부회계관리제도의 감사)”에서는 아래와 같이 규정하고 있습니다.

87. 지분법을 적용하는 경우, 감사 범위는 해당 재무보고체계에 따른 기업 재무제표 상의 보고(피투자자의 손익에 대한 기업 지분·투자잔액·손익과 투자잔액에 대한 조정사항 및 관련 공시에 대한 보고를 말함)에 대한 통제를 포함하여야 한다. (문단 A110 참조)

A110. 내부회계관리제도감사는 일반적으로 지분법으로 회계처리하는 피투자회사의 통제로 확대되지 않는다.

[내부회계관리제도 설계 및 운영]

10. 회사가 보유하고 있는 기존의 문서(전결규정, 업무절차서, 업무매뉴얼 등)로 내부회계관리제도 설계의 문서화를 갈음할 수 있나요?

[답변] 경영진은 정책 및 절차를 수립하여 업무프로세스 및 구성원의 일상적인 활동에 통제활동이 내재화되도록 하여야 합니다(설계·운영 개념체계 문단 49.1). 또한, 경영진은 외부 재무보고 과정의 중요한 모든 통제활동과 관련된 정책 및 절차를 수립하고 문서화하며, 회사가 선택한 회계기준에 부합하는 회사의 회계기준과 관련된 업무절차서 등은 내부회계관리제도가 효과적으로 운영되기 위한 기반에 해당합니다(설계·운영 적용기법 문단 117).

회사의 문서화된 정책이나 규정 등은 그 자체로 내부통제(또는 내부회계관리제도)의 중요한 일부분을 구성합니다. 그러나, 기존의 업무매뉴얼 등은 통제보다는 업무의 흐름을 중심으로 작성되어 당해 프로세스에 내재된 통제를 구체적으로 식별하지 못하거나, 평가·보고 적용기법(문단 62~87)에서 제시하는 내부회계관리제도 설계 문서화에 필요한 중요한 내용을 포함하지 않는 경우가 많습니다. 따라서, 회사가 기존에 보유하고 있는 문서는 그 자체로 내부회계관리제도 설계의 문서화 목적을 충족한다기보다는 그 내용의 관련성과 적합성 정도에 따라 내부회계관리제도 설계 관련 문서의 일부를 구성하거나 보완하는 목적으로 사용할 수 있습니다.

11. 내부회계관리제도 설계의 문서화가 필요한 이유는 무엇이며, 문서화의 적정성은 어떻게 확인할 수 있나요?

[답변] 내부회계관리제도 설계의 문서화는 효과적인 내부회계관리제도의 설계 및 운영을 위하여 회사의 각 조직 및 기능별로 역할과 통제절차를 명확하게 이해하고 수행할 수 있도록 한다는 측면에서 매우 중요하며, 내부회계관리제도의 효과적인 운영 및 평가를 위한 출발점이 됩니다(평가·보고 적용기법 문단 62).

내부회계관리제도 설계 문서화의 범위에는 내부회계관리제도의 다섯 가지 구성요소(전사적 수준과 거래 수준의 내부회계관리제도)가 포함되어야 합니다. 또한, 외부 재무보고목적 상 중요하다고 판단하는 유의한 업무프로세스가 모두 포함되어야 하나(평가·보고 적용기법 문단 63), 이러한 프로세스 내에 존재하는 모든 통제를 문서화할 필요는 없고 경영진이 재무보고 위험을 적절하게 해결할 수 있다고 결정한 통제만 포함할 수 있습니다(평가·보고 모범규준 문단 45).

내부회계관리제도 설계 문서는 업무수행 담당자뿐만 아니라 합리적인 지식을 보유한 제3자가 업무흐름과 수행되는 통제를 이해할 수 있을 정도로 구체적으로 기술하여야 합니다. 거래 수준의 내부회계관리제도 설계의 문서화에는 통제기술서가 널리 사용되며, 업무흐름도, 업무기술서, 업무분장표 등을 통제기술서를 보완하는 목적으로 활용할 수 있습니다(평가·보고 적용기법 문단 81∼87). 또한, 통제목표 또는 통제위험, 통제활동, 관련 계정과목 및 경영자 주장, 통제의 속성, 통제유형, 수행빈도, 통제운영자의 적격성 요건, 관련된 정책과 절차, 출발점(Baseline), 통제운영책임자(Control Owner) 등이 포함되는 것이 바람직합니다(평가·보고 적용기법 문단 64∼77).

12. 출발점(Baseline)의 설정은 문서화가 필요한 항목인지요? 필요하다면 그 이유는 무엇인가요?

[답변] 출발점(Baseline)이란 내부회계관리제도 통제활동의 설계의 효과성에 대한 최초 평가가 이루어진 시점을 의미하며, 경영진은 내·외부에서 발생한 중요한 변화로 인해 통제활동의 설계 및 운영에 필요한 변화가 있는지를 확인하고, 중요한 변화가 있는 경우 새로운 출발점을 설정하게 됩니다(설계·운영 적용기법 문단 155 및 156). 또한, 경영진은 통제활동의 변화 여부를 확인하고 설계평가를 수행하여야 하는지 판단하기 위해 가장 최근의 내부통제 설계평가를 수행한 시점을 문서화합니다(평가·보고 적용기법 문단 76). 일상적으로 중요한 변화를 파악하고 변화하는 통제 설계의 효과성을 평가하는 변화관리체계를 유지하는 경우에는 별도의 설계평가를 수행하지 않을 수 있으며(설계·운영 적용기법 문단 83), 회사는 출발점 관리를 통해 내부회계관리제도 변화관리체계를 근거로 매년 수행하여야 하는 설계의 적정성 평가를 효율적으로 진행할 수 있습니다(설계·운영 적용기법 문단 83).

실무적으로는 내부회계관리제도를 최초로 구축한 시점을 출발점으로 기록하고, 이후 통제활동의 변경 시 설계의 적정성을 평가한 후 출발점을 해당 일자로 업데이트하여 관리하는 것이 일반적입니다.

참고로, 통제활동의 변경 여부를 확인하기 위해 내부 및 외부 요인을 분석할 때에는 다음의 사항을 고려할 수 있습니다(설계·운영 적용기법 문단 82).

∙ IT를 포함한 프로세스 변경

∙ 조직 및 대규모 인력의 변경

∙ 경영진 및 경영구조 등의 변화

∙ 주요 사업의 변화(신규 사업, 신규 지역 등)

13. 설계 및 운영 개념체계 원칙2에서는 이사회의 내부회계관리제도 관리감독을 강조하고 있습니다. 이사회가 내부회계관리제도를 직접 관리·감독하여야 하는지요?

[답변] 이사회의 내부회계관리제도 관리·감독에는 아래의 업무가 포함됩니다(평가·보고 모범규준 문단 94).

∙ 내부회계관리규정 및 중요 정책의 승인

∙ 내부회계관리제도와 관련된 조직구조의 승인

∙ 회사 내 재무보고 및 자산보호와 관련된 제반 위험에 대한 이해

∙ 파악된 위험에 대한 경영진의 대응 방안 및 통제 미비점에 대한 경영진의 조치에 대한 확인

∙ 내부회계관리제도의 효과성에 대한 경영진의 모니터링 및 평가활동에 대한 확인 등

가능한 경우에는 이사회가 내부회계관리제도를 직접 관리·감독할 수 있고, 필요한 경우 감사(위원회)에 일부를 위임할 수도 있습니다. 설계·운영 개념체계와 설계·운영 적용기법에서는 외감법에서 요구하는 감사(위원회)의 내부회계관리제도 운영실태 평가와 이사회 대면 보고를 고려하여, 이사회는 외감법 등 법률에서 정하는 사항과 내부회계관리제도, 내부감사 및 부정방지 프로그램 등의 감독책임을 감사(위원회)에 위임할 수 있다고 설명하고 있습니다(설계·운영 개념체계 문단 39.1 및 A9). 따라서 회사는 내부회계관리제도에 대한 관리·감독 책임과 관련하여 이사회가 직접 수행할 부분과 감사(위원회)에 위임할 부분을 정의하고 이를 내부회계관리규정에 반영하는 것이 바람직합니다.

14. 설계·운영 개념체계와 설계·운영 적용기법 등에서 이사회와 관련하여 제시하는 내부회계관리제도 관리감독, 전문성, 독립성 등에 관련된 사항은 모두 감사(위원회)로 해석할 수 있는지요?

[답변] 내부회계관리규정 결의와 보고 등 외감법에서 이사회에 명시적으로 요구하는 사항 이외에 내부회계관리제도의 기타에 관한 사항을 감사(위원회)로 위임한 경우, 내부회계관리제도와 관련하여 설계·운영 개념체계에 기술된 "이사회"라는 문구는 "감사 또는 감사위원회"로 해석할 수 있습니다. 또한 이사회가 내부회계관리제도 이외의 부정관리 등의 기능도 위임한 경우에는 부정관리 관련한 이사회에 대한 언급을 감사(위원회)로 해석하는 것이 적절합니다. 설계·운영 개념체계 문단 A11에서 제시된 바와 같이 감사(위원회)가 이사회의 기능을 위임받아 수행하기로 한 경우에는 설계·운영 개념체계에서 제시하는 이사회 관련 사항에 동일하게 감사(위원회)에 적용됩니다.

15. 내부회계관리제도를 위한 상시모니터링 시스템 도입이 필요한가요?

[답변] 반드시 필요한 것은 아닙니다.

상시모니터링 시스템을 사용하며 객관적인 방식과 저렴한 비용으로 대량의 데이터를 효율적이고 지속적으로 검토할 수 있으나(설계·운영 적용기법 문단 162), 상시모니터링 시스템을 반드시 도입해야 하는 것은 아닙니다. 즉, 상시모니터링 시스템 이외에도 일상적인 업무수행과정에서 이루어지는 경영진의 관리·감독이나, 설계·운영 적용기법에서 예시한 업무성과 검토의 측정지표 설정 및 적용(문단 158∼160), 현황판의 사용(문단 161) 등을 회사의 상황에 맞게 선택하여 적용할 수 있습니다.

참고로, 내부회계관리제도에서 이용 가능한 상시모니터링 시스템은 그 목적에 따라 두 가지로 구분할 수 있습니다.

1) 내부회계관리제도에 포함된 통제활동의 모니터링 활동을 자동화한 시스템

예를 들어, 250개의 핵심통제를 보유한 회사가 매년 다수의 통제활동을 테스트하는 것이 효율적 또는 효과적이지 않다고 판단하는 경우 일부 통제활동에 대한 테스트를 자동화 할 수 있습니다. 시스템 설정(Configuration), 업무분장(Segregation of Duties; SOD), 접근제한(Restricted Access)과 관련된 자동통제 혹은 IT에 의존하는 수동통제가 주요 대상이 될 수 있습니다. 물론 식별된 미비점을 확정하고 개선하는 것까지는 시스템으로 수행할 수 없기 때문에, 사후 확인 및 조치 수행이 뒤따라야 합니다.

2) 부정방지 목적으로 모니터링 활동을 자동화한 시스템

경영진 및 임직원의 부정을 방지하기 위해 다양한 시나리오에 기반을 둔 부정방지 상시모니터링 시스템을 운영하는 회사들이 있습니다. 신용카드의 부정사용, 전표의 임의 작성 및 기타 구매 절차의 부정 등이 주요 대상입니다. 내부회계관리제도 역시 부정방지를 위한 통제활동을 포함할 것으로 요구하고 있으므로, 내부회계관리제도와 이러한 시스템을 연계하는 것은 바람직합니다. 이러한 시스템이 존재하지 않는 경우에는 내부회계관리제도 설계 시, 부정 방지를 위한 통제활동을 고려하여 반영하는 것이 필요합니다.

16. 프로세스 책임자, 통제 책임자, 통제 운영자의 명확한 정의는 무엇인가요?

[답변] “통제운영자(Control Operator)”는 본인의 업무 처리 과정에서 실제 특정 통제활동을 수행하는 인원을 의미하며, “통제수행자”와 같은 의미입니다.

“통제책임자”는 통제활동을 수행하는 방식을 결정하고, 통제활동이 적절히 수행되고 있음을 일상적으로 확인하는 등의 관리를 수행하는 인원을 의미하며 평가·보고 적용기법 문단 77의 “통제운영책임자(Control Owner)”와 동일한 개념입니다.

“프로세스 책임자(Process Owner)”는 통제책임자보다 상위자로서, 회사의 주요 사업 및 업무처리 절차를 구분한 단위인 특정 프로세스(특정 통제활동이 포함되는 광의의 업무절차)에 대한 전반적인 책임을 지는 인원을 의미합니다.

[내부회계관리제도 평가 및 보고]

17. 평가·보고 모범규준 문단 61에 기술된 "통제를 운영할 책임이 있는 인원에 의해 수행된 자가평가의 증거자료는 일반적으로 평가자의 낮은 객관성으로 인하여 낮은 수준의 확신을 제공하므로 핵심통제활동에는 적용하지 않는다."에서 핵심통제활동에는 적용할 수 없는 자가평가는 모든 종류의 자가평가를 의미하는 것인지요?

[답변] 내부회계관리제도의 평가는 평가를 수행하는 인원이 누구인지(이하 “평가자”)에 따라 자가평가에 해당되는지, 핵심통제를 평가할 수 있는지를 판단할 수 있으며, 핵심통제 평가 시에는 일반적으로 자가평가가 허용되지 않습니다(아래 표 참조). 또한, 통제운영자와는 다른 부서의 인원(경영진 포함)이 평가자가 되어 핵심통제를 평가하는 경우 아래의 방안을 종합적으로 적용하여 보완하여야 합니다(평가·보고 적용기법 문단 19).

∙ 내부통제팀 등 독립적인 평가자가 문서검사 및 재수행을 통하여 평가결과의 일정부분을 검토

∙ 내부통제팀 등 독립적인 평가자가 테스트 모집단과 샘플을 직접 선정하여 전달

∙ 테스트 절차가 구체적으로 기술되어 별도의 전문성이 필요 없다고 판단되는 경우

∙ 평가를 적절하게 수행하지 않은 인원에 대한 성과 반영이 이루어지는 경우

<평가자의 독립성에 따른 구분>

평가자 구분	독립성 (객관성) 수준	평가유형	평가 가능 여부
			핵심통제 평가	비핵심통제 평가
통제운영자	매우 낮음	자가평가	불가	가능
통제운영자와 동일한 부서 인원	낮음	자가평가	보완 조치 시 가능	가능
통제운영자와 다른 부서 인원	낮음과 중간 사이	독립적인 평가	보완 조치 시 가능	가능
별도의 전담부서	중간 또는 높음	독립적인 평가	가능	가능
외부 아웃소싱	높음	독립적인 평가	가능	가능

18. 회사는 내부회계관리제도 평가 시 핵심통제를 꼭 선정하여야 하나요?

[답변] 외감법이나 모범규준 등에서 핵심통제의 선정을 강제하지는 않습니다. 그러나 모든 통제활동의 설계와 운영의 효과성을 평가하기보다는 핵심통제에 집중하는 것이 위험기반의 접근방법에 부합하고 평가의 효율성을 높일 수 있는 방식입니다.

내부회계관리제도 평가 대상으로 선정된 주요 계정과목이나 주석과 관련된 왜곡표시 위험을 줄이기 위해 다양한 통제활동이 존재하는 것이 일반적이며, 이러한 통제들은 때로 보완적으로 혹은 중복적으로 설계되어 운영되기도 합니다.

핵심통제는 특정 계정과목에 대해 경영자의 주장별로 발생가능한 위험에 대응하는 통제활동 중 없어서는 안 될 통제활동, 즉 재무제표 왜곡표시 위험을 줄이는데 가장 직접적인 영향을 미치거나, 하나 또는 그 이상의 유의한 계정과목, 거래유형과 공시사항의 왜곡표시를 줄이기 위한 통제활동을 의미합니다.

핵심통제를 선정하는 이유는 중요한 재무보고에 대한 주장과 관련된 통제에 대하여 테스트를 집중함으로써 내부회계관리제도의 평가의 효율성을 높이기 위함입니다.(이상 평가·보고 적용기법 문단 89 참조)

19. 핵심통제 중에 통제위험이 낮게 평가된 경우 평가에서 제외하는 것이 가능한가요?

[답변] 핵심통제는 통제위험이 낮더라도 평가에 포함되어야 합니다.

‘통제위험’이란 재무보고 요소에 대한 위험을 적절하게 처리할 수 있도록 식별된 통제가 효과적으로 설계 및 운영되지 않을 위험(평가·보고 모범규준 문단 52)을 의미합니다. 또한, 설계 및 운영의 효과성 평가 시 내부회계관리제도의 구성요소 및 고유위험과 통제위험을 종합적으로 고려하여 평가자, 평가방법 등을 유연하게 적용할 수 있습니다. 예를 들어, 통제위험이 낮은 것으로 분류된 통제활동은 다소 낮은 독립성을 보유한 인원에 의해, 다소 약화된 평가방법을 적용할 수 있습니다.

그러나, 핵심통제는 재무제표의 왜곡표시를 방지하기 위해 반드시 필요한 통제활동이기 때문에 평가에서 제외하거나 통제 운영자 본인이 직접 평가하는 방식은 적정하지 않습니다(평가·보고 적용기법 문단 92).

20. 핵심통제를 판단한 결과가 감사인과 다른 경우에는 어떻게 되나요?

[답변] 회사가 선정한 핵심통제와 감사인이 선정한 핵심통제가 일치하지 않는 경우도 있을 수 있습니다. 또한 양자가 선정한 핵심통제가 다르다는 그 자체만으로 내부회계관리제도에 대한 경영진의 운영실태 보고나 감사(위원회)의 평가 또는 외부감사인의 감사의견에 영향을 미치지는 않습니다.

한편, 감사인의 테스트 결과 특정 통제에서 중요한 취약점이 발견되었다면, 이는 동 통제가 회사의 핵심통제에 포함되었는지 여부와는 무관하게 내부회계관리제도에 대한 감사인의 의견이 변형될 수 있습니다. 또한, 동 통제가 회사의 핵심통제에 포함되지 않았다면, 회사는 이를 핵심통제에 추가하는 것을 고려하는 것이 바람직합니다.

21. 내부회계관리제도 평가의 주기는 어떻게 되나요?

[답변] 외감법에 따라 회사의 대표자는 매사업연도마다 내부회계관리제도의 운영실태를 주주총회, 이사회 및 감사(위원회)에 보고하고, 감사(위원회)는 운영실태를 평가하여 이사회에 보고하여야 합니다(제8조 제4항 및 제5항). 따라서 외감법 상 내부회계관리제도의 평가는 매 사업연도마다 수행합니다.

한편, 내부회계관리제도의 “평가”는 경영진이 평가기준일 현재 내부회계관리제도가 효과적으로 설계·운영되고 있는지에 대한 합리적인 확신을 얻기 위한 과정을 의미합니다. 그러나 재무제표에 기록된 거래는 회계기간 중 지속적으로 발생하기 때문에 충분한 기간을 대상으로 평가를 수행하여야 하며, 특히 평가기준일과 가까운 시기는 반드시 평가 대상기간으로 포함되어야 합니다. 그러나 평가기준일과 가까운 시기에 모든 평가절차를 실시하는 것은 불가능하므로 당해 평가대상기간의 중간에 평가를 실시(‘중간평가’)하고 기중에 평가된 중요한 통제 중 평가 실시 이후 변경된 부분은 없는지, 기말 현재에도 여전히 효과적인지 등을 확인하는 평가(‘기말평가’)하는 것이 효율적일 수 있습니다(평가·보고 적용기법 문단 11).

또한, 기중에 식별된 내부회계관리제도 상의 미비점(또는 취약점)을 개선하고 평가기준일 현재(또는 근접한 시점)에 충분한 기간 동안 통제활동의 설계와 운영이 적정함을 확인하는 경우에는 최종적인 내부회계관리제도는 효과적이라고 평가할 수 있습니다. 따라서, 미비점(또는 취약점)을 조기에 확인하고 개선하여 평가기준일 현재 시점에서 충분한 기간동안 효과적으로 설계 및 운영되었다는 결론을 얻기 위해(평가·보고 적용기법 문단 12), 혹은 특정 시점의 평가업무 부담을 완화하거나 내부회계관리제도에 대한 임직원의 인식수준을 높이기 위해 통제의 효과성을 연중(예: 월별, 분기별)으로 나누어 테스트하는 방법도 고려할 수 있을 것입니다.

이 때 ‘충분한 기간’은 내부회계관리제도가 효과적으로 설계․운영되고 있는지에 대한 합리적인 확신을 줄 수 있을 정도의 기간을 의미하며, 통제활동의 위험과 빈도를 고려하여 결정하는 샘플 수와 연관하여 판단하는 것이 일반적입니다. 예를 들어, 월별 통제활동의 미비점이 8월에 확인되어 해당 사항을 개선한 후 9월부터 적용하는 경우, 해당 통제의 운영평가 시 수행빈도와 위험을 고려할 때 3개의 샘플이 적정하다고 판단한다면 9월부터 12월까지의 기간은 ‘충분한 기간’에 해당할 수 있습니다. 그러나 해당 통제활동이 11월과 12월에만 적용되었다면 3개의 샘플을 확인하기에 기간이 충분하지 않기 때문에 평가기준일 현재 미비점으로 남습니다.

22. 내부회계관리제도 효과성 평가의 평가기준일 및 대상기간은 언제인가요?

[답변] 외감법에서는 회사의 대표자가 사업연도마다1 주주총회, 이사회 및 감사(위원회)에게 내부회계관리제도의 운영실태를 보고하고(제8조 제4항), 감사는 내부회계관리제도의 운영실태를 평가하여 이사회에 사업연도마다 보고(제8조 제5항)하도록 규정하고 있습니다. 따라서 내부회계관리제도 효과성을 평가하는 대상기간은 사업연도가 됩니다.

또한, 내부회계관리제도의 평가는 경영진이 평가기준일 현재의 내부회계관리제도가 효과적으로 설계·운영되고 있는지에 대한 합리적인 확신을 얻는 것을 목적으로 하기 때문에(평가·보고 적용기법 문단 11) 내부회계관리제도의 평가기준일은 사업연도 종료일이 됩니다.

23. 직전 평가기준일 이후 내부회계관리제도 설계가 변경되지 않은 경우에도 설계평가를 수행하여야 하는지요?

[답변] 경영진은 매년 통제활동 설계의 효과성을 평가하여야 합니다. 다만, 설계·운영 적용기법(문단 83)에 따르면 일상적으로 중요한 변화를 파악하고 변화하는 통제의 설계의 효과성을 평가하는 변화관리체계를 유지하는 경우에는 별도의 설계평가를 수행하지 않을 수 있으며, 이와 유사하게 평가·보고 적용기법(문단 97)에서는 최초 설계평가 이후 관련된 프로세스, 조직 및 시스템의 변화가 없거나 미미한 경우, 통제활동에 영향을 미치는 변경이 존재하지 않음을 확인하는 것으로 설계평가를 할 수 있다고 설명하고 있습니다.

또한, 회사의 내부회계관리제도의 최초 설계와 변화관리체계가 적절하게 운영되는 경우 동 절차로 설계 평가를 대신할 수 있습니다. 변화관리체계는 기중에 발생하는 내부회계관리제도에 미치는 변화사항을 식별하고 위험을 평가하여 대응하는 통제활동의 설계 및 변경을 수행하고 관련 내부회계관리제도 문서를 업데이트하는 절차로 구성됩니다(평가·보고 모범규준 문단 47).

관련하여, 통제활동의 변경 정도를 파악하기 위해 고려할 요소들은 다음과 같습니다(평가·보고 적용기법 문단 98).

∙ 통제 설계의 변경 정보

∙ 통제 설계 및 운영의 효과성에 부정적인 영향을 미칠 수 있는 거래량 및 거래성격의 변경 정도

∙ 해당 통제가 다른 통제(예를 들면, 통제환경, 정보기술 일반통제 등)의 효과성에 의존하는 정도

∙ 통제를 수행하는 중요 담당자의 변경 여부

24. 회사가 내부회계관리제도 설계의 효과성을 평가하기 위해서 추적조사(Walkthrough Test)를 반드시 수행하여야 하나요? 추적조사를 수행하지 않는 경우 설계의 효과성을 주장하기 위해 어떤 근거를 갖추어야 하나요?

[답변] 추적조사는 거래유형별로 1~2개의 거래를 표본으로 추출하여 거래의 시작에서 재무제표에 반영되는 종료시점까지 계약서, 증빙서류 및 회계장부 등의 거래 증적에 따라 거래흐름을 추적하여 관련된 위험을 파악하여 관련된 통제활동의 설계가 적절한지를 파악하는 절차로(평가·보고 적용기법 문단 96), 주요 프로세스에 대한 추적조사는 매우 효과적인 설계 평가방법 중 하나입니다(평가·보고 모범규준 문단 47). 또한, 최초 설계평가 시 복잡하고 유의한 프로세스는 추적조사를 적용하고, 나머지 프로세스는 업무흐름도와 통제기술서를 검토하고 질문이나 관찰 등의 절차를 이용하여 평가할 수 있으며(평가·보고 적용기법 문단 102), 경영진은 추적조사 이외에도 관찰, 문서검사, 재수행 등 한 가지 방법 또는 여러 방법을 조합하여 적용함으로써 내부회계관리제도 설계의 효과성에 대한 합리적인 확신을 얻을 수 있습니다(평가·보고 적용기법 문단 95).

따라서 설계평가에 있어 추적조사가 필수적인 것은 아니며, 일반적으로 변화관리체계를 통해 중요한 변경이 존재하는 경우에는 추적조사를 수행하고, 그렇지 않는 경우에는 다른 방법을 적용하여 통제 설계의 적정성을 확인하고 관련 절차를 문서화하면 됩니다. 여기에는 통제기술서나 업무흐름도, 관련 정책 및 절차를 업데이트 하는 것이 포함됩니다. 한편, 업무흐름도 등의 기반 문서가 충분하지 않거나 구체적이지 않은 경우(평가·보고 적용기법 문단 96) 또는 내부회계관리제도의 설계에 대한 변화관리가 적절히 이루어지지 못하는 경우(평가·보고 모범규준 문단 47)에는 변화된 사항으로 인한 위험의 변화를 파악하기 어려울 수 있으므로 추적조사를 수행하거나 확대 적용하는 것을 고려합니다.

요약하면, 내부회계관리제도의 최초 설계 시 복잡한 프로세스를 위주로 추적조사를 실시하고, 이후 관련 프로세스나 통제의 중요한 변화가 있거나 업무흐름도 등의 문서가 충분하지 않은 경우 추가적으로 추적조사를 수행하는 것을 권고합니다. 관련 문서가 충분한 경우에는 추적조사를 수행하지 않더라도 설계 평가 시 해당 프로세스나 통제의 중요한 변경 여부를 확인하는 절차를 통해 설계의 효과성에 대한 근거를 갖출 수 있습니다.

25. 일반적으로 결산일 이후에 수행되는 기말재무보고와 관련된 통제는 언제 평가하나요?

[답변] 평가·보고 적용기법(문단 113)에서는 통제위험이 큰 통제수행자의 주관적인 판단이나 추정에 크게 의존하는 통제 등과 평가기준일 근처에 발생하는 중요한 비일상적 거래와 관련된 통제 및 기말재무제표 작성 절차 등은 평가기준일을 기준으로 테스트하도록 규정하고 있습니다. 실무적으로는, 기말 재무보고와 관련된 통제의 경우 기말평가 기준일(결산일) 시점에 해당 통제의 효과성을 평가할 수 없기 때문에 기말평가 기준일 이후에 평가(평가·보고 적용기법 문단 113)하고, 그 결과는 당해 연도 평가기준일 현재의 내부회계관리제도의 효과성에 대한 결론 형성에 반영되어야 합니다.

26. 경영진이 내부회계관리제도 효과성 평가를 기중(interim test)에, 즉 중간평가를 실시하였을 경우 기말까지의 잔여기간에 대하여 추가평가를 실시하여야 하는지요?

[답변] 내부회계관리제도의 평가는 경영진이 평가기준일 현재 내부회계관리제도가 효과적으로 설계·운영되고 있는지에 대한 합리적인 확신을 얻는 것을 목적으로 합니다. 그러나 재무제표에 기록된 거래는 회계기간 중 지속적으로 발생하기 때문에 충분한 기간을 대상으로 평가를 수행하여야 하며, 평가기준일과 가까운 시기에 모든 평가 절차를 실시하는 것은 불가능하므로 당해 평가 대상기간의 중간에 평가(‘중간평가’)를 실시하고 기중에 평가된 중요한 통제 중 평가 실시 이후 변경된 부분은 없는지, 기말 현재에도 여전히 효과적인지 등을 확인(‘기말평가’)하는 평가 절차가 효율적일 수 있습니다(평가·보고 적용기법 문단 11). 그러나 중간평가만으로는 평가기준일 현재의 내부회계관리제도의 효과성에 대해 합리적 확신을 제공하기에는 부족하기 때문에, 중간평가 기준일 현재 내부회계관리제도의 효과성에 대한 평가 결론이 평가기준일 현재에도 여전히 유효한지를 확인하기 위하여 평가기준일 혹은 이에 근접한 일자에 추가적인 평가를 통해 보완하는 절차가 필요하며, 특히 기말에 이뤄지는 기말 결산 절차 중 중간평가에 포함되지 않는 통제활동은 기말평가에 포함되어야 합니다(평가·보고 적용기법 문단 13).

27. 재무제표에 영향을 미치는 관련 전산시스템에 중요한 변화가 있을 경우 경영진은 내부회계관리제도에 대하여 어떻게 평가하여야 하나요?

[답변] 전산시스템의 중요한 변화는 정보기술 일반통제뿐만 아니라 일반 프로세스에 내재된 자동통제, 수동통제 등 내부회계관리제도의 다양한 부문에 영향을 미칠 수 있습니다. 따라서, 전산시스템의 중요한 변화가 있는 경우 내부회계관리제도에 미치는 영향을 확인하고 그 정도를 평가하며, 기존 통제의 개선이나 신설이 필요한지를 결정합니다. 통제가 변경되거나 신설되는 경우에는 설계의 효과성을 평가하고 적용하는 것이 필요합니다(설계·운영 적용기법 문단 83). 또한, 변화사항을 내부회계관리제도 설계 문서에 반영하여야 합니다.

28. 회사가 회계연도 중 중요한 기업결합을 수행한 경우, 해당 사업연도의 내부회계관리제도 평가에 인수한 사업을 반드시 포함하여야 하는지요?

[답변] 사업연도 중에 인수한 사업단위나, 매각 또는 중단사업 등 평가일 현재 폐지된 사업단위도 평가대상 사업단위 결정 시 기존의 사업단위와 함께 고려해야 합니다. 다만, 다음에 해당하는 경우에는 당해 사업연도의 내부회계관리제도 평가 대상에서 제외할 수 있습니다(평가·보고 적용기법 문단 54).

∙ 인수한 법인 또는 사업단위가 외감법 상 내부회계관리제도 감사 대상이 아니었던 경우

∙ 매각 또는 중단한 사업이 직전 평가 기준일 이후 중요한 변화 없이 단기간 동안 운영된 경우

회사가 인수 또는 폐지 사업부문을 당해 연도의 내부회계관리제도 평가 대상에서 제외한 경우, 그 사실과 해당 부문에 관한 정보(자산총액, 매출액, 영업이익 등 주요 재무제표의 금액 및 전체 회사에서 차지하는 비중 등)를 운영실태보고서에 포함하여야 하고, 인수 또는 폐지 사업부분에 대한 평가의 제외는 1년을 초과할 수 없습니다(평가·보고 적용기법 문단 55).

29. 내부회계관리제도의 평가를 위해 반드시 전담조직(내부감사팀, 내부통제팀 등)을 구성하여야 하나요?

[답변] 외감법에서는 회사가 내부회계관리규정과 이를 관리·운영하는 조직을 갖추도록 정하고 있으나(제8조 제1항), 내부회계관리제도 평가를 위한 전담조직을 요구하지는 않습니다.

한편, 설계·운영 적용기법(문단 164)에서는 내부회계관리제도에 대한 객관적인 관점에서의 평가를 수행하기 위해 독립적이고 전문성을 지닌 인원으로 구성된 내부통제전담부서나 내부감사부서를 이용한다고 규정하고 있습니다. 다만 평가·보고 적용기법(문단 17)에서는 독립적인 평가를 위해 일반 현업부서와는 독립적인 상시조직(예를 들어, 내부통제팀 등)을 통하거나 평가시점마다 별도의 임시조직(Task Force팀 등)을 구성하는 것도 가능한 것으로 설명하고 있습니다. 또한, 동일부서의 다른 인원의 평가 및 전담부서가 아닌 다른 부서의 평가는 낮은 수준의 독립성이나 전문성을 갖는다고 할 수 있으나, 다음과 같은 방안을 종합적으로 반영하여 보완될 수 있다고 설명하고 있습니다(평가·보고 적용기법 문단 19).

∙ 내부통제팀 등 독립적인 평가자가 문서검사 및 재수행을 통하여 평가결과의 일정 부분을 검토

∙ 내부통제팀 등 독립적인 평가자가 테스트 모집단과 샘플을 직접 선정하여 전달

∙ 테스트 절차가 구체적으로 기술되어 별도의 전문성이 필요 없다고 판단되는 경우

∙ 평가를 적절하게 수행하지 않은 인원에 대한 성과 반영이 이뤄지는 경우

설계·운영 적용기법(문단 164)과 평가·보고 적용기법(문단17)의 내용이 일부 상충되는 것으로 보일 수 있으나, 내부회계관리제도 모범규준 등의 전반적인 취지 상 평가를 위한 전담조직을 구성하는 것이 필수적인 사항은 아닙니다.

30. 설계·운영 개념체계 원칙 16의 ‘독립적인 평가’와 평가·보고 적용기법 문단 17의 ‘독립된 위치에 있는 자’의 평가는 어떻게 다른가요?

[답변]  내부회계관리제도의 평가는 평가를 수행하는 시기에 따라 ‘상시적인 모니터링’과 ‘독립적인 평가’로, 평가자에 따라 ‘자가평가’ 또는 ‘독립적인 평가’로 구분되며, 여기서 ‘독립적인 평가’는 국문 용어는 동일하지만 다른 의미입니다.

우선, 상시적인 모니터링(ongoing evaluations)과 독립적인 평가(separate evaluations)는 모두 내부회계관리제도 구성요소 중 모니터링 활동의 영역에 해당합니다. 전자는 일상적인 업무를 수행하는 과정에서 상시적으로 이루어지는 활동을, 후자는 별도의 일정이나 평가자를 통해 수행되는 평가를 의미합니다. 예를 들어, 내부회계관리제도 운영실태를 보고하기 위한 경영진의 평가나, 감사의 내부회계관리제도 운영실태 평가도 독립적인 평가에 해당합니다.

구분	평가 주기	종류	설명
상시적인 모니터링 (Ongoing evaluations)	상시적 지속적으로 수행	경영진의 일상적인 상호작용을 통한 모니터링 활동	∙ 통제활동의 설계 및 운영이 적절하지 않음을 확인(평가)할 수 있는 경영진의 거래 등에 대한 리뷰 및 검토 과정 등 ∙ 업무성과 검토의 측정지표 설정 및 적용, 현황판의 사용 등 (설계·운영 적용기법 문단 158∼ 161 참조)
		IT 시스템을 통한 모니터링 활동	∙ 사전에 정의된 기준을 벗어난 예외적인 거래, 비경상적인 거래의 추세 또는 패턴, 자동화된 성과지표 및 측정지표 등 (설계·운영 적용기법 문단 162 참조)
독립적인 평가 (Separate evaluations)	주기적 또는 필요 시 수행	월, 분기, 반기, 년간 등 주기적 또는 경영진 또는 지배기구의 판단에 따라 필요 시 수행	∙ 경영진의 통제활동 검토 시, 계획되지 않은 방문을 통한 검토 ∙ 회사 내 유사한 업무를 담당하는 다른 부서와 상호 검토 수행 ∙ 위험이 낮은 특정 업무나 통제활동에 대한 자가평가 ∙ 독립적인 외부 전문기관 선임 ∙ 내부통제전담부서(혹은 내부감사부서)의 활용 등 (설계·운영 적용기법 문단 163∼164 참조)

다음으로, 평가 또는 모니터링 하는 주체가 평가대상 통제로부터 얼마나 독립적(또는 객관적)인지의 정도에 따라 자가평가와 독립적인(independent) 평가가 결정됩니다. 즉, 평가대상 통제나 조직으로부터 평가자의 독립성과 객관성이 높아질수록 독립적인 평가라 할 수 있습니다.

경영진은 주기적인 회의를 통하여 내부회계관리제도에 대한 모니터링 활동인 상시적인 모니터링과 독립적인 평가가 적절한 비율로 수행되고 있는지 검토하여야 합니다(설계·운영 적용기법 문단 152). 또한, 경영진은 평가 대상 통제로부터 독립된 위치에 있는 자를 평가자로 지정하여 평가를 수행하여야 하며, ‘독립된 위치에 있는 자’란 통제수행자가 소속된 해당 부서와 독립적인 제3자를 의미합니다(평가·보고 적용기법 문단 17). 그러나 고유위험과 통제절차와 관련된 위험이 높지 않고 상시적인 모니터링이 효과적인 것으로 판단된다면 낮은 수준의 독립성을 갖는 자를 평가자로 지정하는 것도 가능하며(문단 18), 낮은 수준의 전문성을 갖는다고 할 수 있는 동일 부서의 다른 인원의 평가 및 전담부서가 아닌 다른 부서의 평가는 여러 방안을 종합적으로 반영하여 보완될 수 있습니다(문단 19 참조).

<평가자의 독립성에 따른 구분>

평가자 구분	독립성 (객관성) 수준	평가유형	평가 가능 여부
			핵심통제 평가	비핵심통제 평가
통제운영자	매우 낮음	자가평가	불가	가능
통제운영자와 동일한 부서 인원	낮음	자가평가	보완 조치 시 가능	가능
통제운영자와 다른 부서 인원	낮음과 중간 사이	독립적인 평가	보완 조치 시 가능	가능
별도의 전담부서	중간 또는 높음	독립적인 평가	가능	가능
외부 아웃소싱	높음	독립적인 평가	가능	가능

31. 내부회계관리제도의 미비점을 단순한 미비점, 유의한 미비점, 중요한 취약점 등으로 구분하는 이유는 무엇인가요?

[답변] 미비점의 구분은 이사회, 감사(위원회)에의 보고 및 내부회계관리제도의 효과성에 대한 종합결론과 관련하여 중요한 의미를 갖습니다. 즉, 경영진은 개별 통제 미비점의 심각성을 평가하고, 유의한 미비점으로 고려된 통제 미비점은 감사(위원회) 및 외부감사인에게 보고하고 중요한 취약점으로 평가한 통제 미비점은 내부회계관리제도의 효과성 평가에 대한 경영진의 운영실태보고서에 반영되어야 합니다(평가·보고 모범규준 문단 75). 즉, 경영진은 회계연도 말 시점을 기준으로 각 미비점이 개별적으로 또는 결합하여 중요한 취약점인지 고려하고, 하나 이상의 내부회계관리제도 미비점이 중요한 취약점으로 결정된다면 내부회계관리제도가 효과적이라고 할 수 없습니다(평가·보고 모범규준 문단 76).

한편, 경영진이 이사회와 감사(위원회)에 보고하는 내부회계관리제도 운영실태보고서에는 중요한 취약점에 대한 설명과 시정조치 계획이 포함되어야 하며, 유의한 미비점과 이에 대한 개선사항, 중요한 취약점 및 시정조치 계획에 대한 상세 설명이 동 보고서의 별첨으로 추가되어야 합니다(평가·보고 모범규준 문단 88).

추가로, 사업보고서 제출 대상 기업의 경우 중요한 취약점과 유의한 미비점 등이 기재된 내부회계관리제도 운영실태보고서와 내부회계관리제도 평가보고서를 사업보고서에 첨부하여야 하며(외감규정 시행세칙 제7조), 중요한 취약점의 경우 내부회계관리제도에 대한 외부감사인의 의견변형(부적정 의견 등)의 사유가 됩니다.

32. 중요한 취약점이란 무엇인가요? 재무제표 상 중요한 왜곡 또는 오류가 발생된 경우를 의미하나요?

[답변] 내부회계관리제도의 미비점은 재무제표 왜곡표시의 발생 가능성 및 금액적 중요성에 따라 단순한 미비점, 유의한 미비점, 중요한 취약점으로 구분하며 중요한 취약점이 발견된 경우에는 경영진은 회사의 내부회계관리제도가 효과적이라고 결론지을 수 없습니다(평가·보고 모범규준 문단 16).

중요한 취약점이란 하나의 유의한 미비점 또는 여러 유의한 미비점의 결합으로서 재무제표 상 중요한 왜곡표시가 예방 또는 적시에 적발되지 못할 가능성이 낮지 않은(reasonable possibility) 경우(평가·보고 모범규준 문단 16.1)를 의미합니다. 따라서 미비점으로 인해 발생할 수 있는 잠재적인 재무제표 왜곡의 발생가능성을 고려하기 때문에 재무제표 왜곡표시 또는 오류가 실제로 발생하지 않았더라도 중요한 취약점에 해당할 수 있습니다.

한편, 특별한 반증이 없는 한 중요한 취약점으로 구분될 가능성이 높은, 중요한 취약점의 징후가 되는 상황은 다음과 같습니다(평가·보고 모범규준 문단 83).

∙	금액이 중요한지와 관계없이 고위 경영진에 의한 부정이 발견된 경우

∙ 중요한 왜곡표시의 수정을 반영하기 위하여 기존 재무제표를 재작성하는 경우

∙ 회사의 내부회계관리제도에 의해 파악하지 못한 중요한 당기 수정사항으로써, 회사가 제시한 최초 재무제표에 반영되지 아니하였으나 외부감사인에 의하여 파악된 경우(최종 재무제표에 동 수정사항을 반영하였는지 여부는 관계없음)

∙	회사의 외부 재무보고와 내부회계관리제도에 대한 감사(위원회)의 감독기능이 효과적이지 않은 경우

∙ 합리적인 근거 없이 외감법 제8조에서 정한 사항이 내부회계관리규정에 포함되지 않거나 준수되지 않은 경우

예를 들어, 회사가 제출한 최초 재무제표(주총 6주전 제출 재무제표) 상의 중요한 왜곡표시가 감사인에 의하여 파악된 경우, 최종 재무제표에 동 수정사항을 반영하였는지 여부와는 무관하게, 동 수정사항의 원인이 되는 통제활동이 중요한 취약점으로 분류되어 경영진의 내부회계관리제도 운영실태보고서와 감사(위원회)의 평가보고서에 반영되고, 내부회계관리제도에 대한 외부감사인의 감사의견에 영향을 미칠 수 있습니다.

33. 미비점을 단순한 미비점, 유의한 미비점, 중요한 취약점으로 구분할 때 보완통제는 어떻게 고려되나요?

[답변] 미비점을 분류하기 위해서는 해당 미비점으로 인한 (재무제표 왜곡표시의) 발생가능성(likelihood)과 금액적 크기(magnitude), 보완통제(compensating controls) 등의 존재 여부, 회계와 내부회계관리제도에 충분한 지식을 갖춘 객관적인 관리자(prudent officials) 관점을 고려해야 하고(평가·보고 적용기법 문단 133), 다른 미비점들과 종합적으로 고려했을 경우의 효과에 대해서도 판단하여야 합니다(문단 143).

이 중 보완통제란 본래의 통제활동에 미비점이 발생하더라도 그 미비점으로 인해 발생할 수 있는 재무제표 왜곡표시 위험을 경감시켜 줄 수 있는 통제를 의미합니다(평가·보고 적용기법 문단 138).

보완효과를 가지기 위하여 보완통제는 중요한 왜곡표시를 예방 또는 적발할 수 있을 정도의 정교한 수준으로 운영되어야 하며(평가·보고 모범규준 문단 82), 효과적인 보완통제는 본래 통제활동의 미비점으로 인한 재무제표 왜곡표시 위험을 경감시켜주기 때문에 궁극적으로 재무제표 왜곡표시 위험이 감소하게 됩니다. 예를 들어 특정한 통제에서 미비점이 발견된 경우, 경영진이 보완통제를 식별하고 테스트를 통해 설계 및 운영의 효과성을 입증하면 동 보완통제가 재무제표 왜곡표시 위험을 경감시킨다고 결론지을 수 있습니다(평가·보고 적용기법 문단 139).

34. 운영의 효과성 테스트 과정에서 예외사항이 발견된 경우는 모두 내부회계관리제도의 미비점으로 분류되나요?

[답변] 발견된 예외사항은 미비점에 해당할 가능성이 높지만, 모두 미비점이 되는 것은 아닙니다.

우선, 예외사항이 발견되었더라도 “테스트 목적”이 충족된 경우 이는 무시할 수 있는 예외사항으로 미비점에 해당하지 않습니다. 즉 발견된 예외사항의 개수가 해당 테스트에서 ‘허용가능 오류의 개수’ 범위 이내라면 테스트 목적이 달성된 것으로 결론 내릴 수 있습니다.

예외사항의 개수가 허용가능 오류의 개수 범위를 넘어선 경우에는 “표본의 대표성” 여부를 판단합니다. 즉, 추가적인 테스트를 통해 최초 테스트 결과가 모집단을 대표하지 않는다는 결론을 내릴 수 있다고 판단되면, 표본의 범위를 확대하여 재평가한 결과에 따라 미비점인지의 여부를 결정할 수 있습니다(평가·보고 적용기법 문단 125).

<참고>

1) 모집단별 테스트 표본의 개수 (예시)

통제활동의 빈도	통제수행 모집단 개수	위험별 테스트 대상 표본 수
		낮음	중간	높음
연간	1		1
분기	4 이하		2
월간	12 이하	2	3	4
주간	52 이하	5	8	10
일간	250 이하	15	25	40
하루에 한번 이상	250 초과	25	45	60

대상 표본 개수	허용가능 오류의 개수
0개 이하 ~ 24개	0
25개 ~ 40개	1
41개 ~ 60개	2
61개 ~ 80개	3
81개 ~ 120개	4
121개 이상	5

2) 허용가능 오류의 개수 (예시)

35. 내부회계관리제도의 미비점이 발견되는 경우 경영진의 평가결론이나 외부감사인의 감사(또는 검토)결론에 영향을 미치나요?

[답변] 내부회계관리제도의 미비점은 재무제표 왜곡표시의 발생가능성 및 금액적 중요도에 따라 단순한 미비점, 유의한 미비점 및 중요한 취약점(*)으로 구분하며, 중요한 취약점이 발견된 경우에는 경영진은 회사의 내부회계관리제도가 효과적이라고 결론지을 수 없습니다(평가·보고 모범규준 문단 16, 75 및 76).

(*) 내부회계관리제도의 중요한 취약점(Material weakness)은 설계·운영 개념체계(문단 7)의 내부통제의 중요한 미비점(Major Deficiency)에 대응됩니다.

즉, 내부회계관리제도 상 미비점이 발견되더라도 평가기준일 현재 단순한 미비점이나 유의한 미비점만 존재하는 경우에는 내부회계관리제도가 효과적이라는 결론을 내릴 수 있습니다. 다만, 유의한 미비점으로 고려된 통제 미비점은 감사(위원회) 및 외부감사인에게 보고되어야 합니다(평가·보고 모범규준 문단 75).

한편, 미비점을 분류하기 위해서는 해당 미비점의 발생가능성(likelihood), 금액적 크기(magnitude), 보완통제(compensating controls) 등의 존재 여부, 회계와 내부회계관리제도에 충분한 전문지식을 갖춘 객관적인 관리자(prudent officials) 관점 등을 고려해야 합니다. 미비점의 분류는 객관적인 기준의 적용뿐만 아니라 높은 수준의 판단을 요하므로 경영진은 지속적으로 외부감사인과 충분한 협의를 거치는 것이 바람직합니다(평가·보고 적용기법 문단 133).

36. 회사나 외부감사인은 내부회계관리제도 상 발견된 미비점을 어떻게 평가하나요? 회사나 외부감사인은 미비점이 중요한 취약점인지 분류하기 위하여 동일한 평가방식을 적용하나요?

[답변] 미비점의 평가 및 분류와 관련하여, 회사를 위한 기준은 평가·보고 모범규준과 적용기법에서, 감사인을 위한 기준은 감사기준서 1100(내부회계관리제도의 감사)에서 각각 제시하고 있습니다. 양자 간에 일부 표현의 차이는 있으나 동일한 평가방식이라고 보아도 무방합니다.

예를 들어, 평가·보고 적용기법(문단 133)에서 보완통제(compensating controls) 등의 존재 여부, 회계와 내부회계관리제도에 충분한 지식을 갖춘 객관적인 관리자(prudent officials) 관점 등과 함께 고려하도록 한 해당 미비점으로 인한 (재무제표 왜곡표시의) 발생가능성(likelihood)과 금액적 크기(magnitude)를 감사기준서(문단 A74)에서는 다음과 같이 표현하고 있습니다.

∙ 미비점 혹은 미비점들로부터 초래되는 잠재적 왜곡표시의 크기

∙ 기업의 통제가 거래유형, 계정잔액이나 공시의 왜곡표시의 예방 또는 발견·수정에 실패할 가능성이 낮지 않은지 여부

다만, 미비점의 심각성을 평가할 때 적용하는 재무제표 왜곡표시의 크기나 발생가능성을 결정하기 위해서는 판단이 개입되므로 회사와 외부감사인의 결론이 서로 다를 수가 있습니다. 실제 감사 시 이러한 의견 차이가 발생하는 경우 회사와 감사인은 충분한 커뮤니케이션을 통해 의견을 일치시키는 것이 필요합니다.

37. 내부회계관리제도 운영의 효과성 평가에 대한 근거는 어느 정도까지 문서화하여야 하며, 테스트 시 선정된 모든 표본에 대하여 증빙을 별도로 유지하여야 하나요?

[답변] 평가·보고 모범규준에서는 내부회계관리제도 평가 시, 경영진이 평가 결론을 뒷받침할 수 있는 합리적인 수준의 근거자료를 유지할 것을 요구합니다(문단 44). 합리적인 증거자료는 위험평가 결과에 근거한 평가의 계획 및 결과(문단 69)와, 증거를 수집하고 평가하는데 사용된 방법 및 절차(예를 들어, 선정된 표본의 내역 및 수행한 테스트 절차)에 대한 문서화와 같은 경영진의 평가 근거를 포함하며, 회사가 채택한 내부통제체계에서 필요하다고 제시한 회사의 전사적 수준 및 내부회계관리제도의 전반적인 구성요소들의 효과성에 대한 결론을 경영진이 어떻게 도출하였는지에 대한 문서화가 포함됩니다(문단 69 및 71).

다만 경영진이 회사의 장부와 기타 기록된 증거자료가 경영진의 평가 결과를 합리적으로 지원하는데 충분하다고 판단한다면, 경영진이 평가한 증거자료에 대한 사본을 별도로 유지하는 것이 반드시 필요하지는 않습니다(문단 70).

38. 경영자가 내부회계관리제도 설계 및 운영의 효과성에 대한 결론을 내릴 때 어느 수준의 확신이 요구되나요?

[답변] 내부회계관리제도는 회사의 재무제표가 일반적으로 인정되는 회계처리기준에 따라 작성, 공시되었는지에 대한 합리적 확신을 제공하는 것을 목적으로 합니다(설계·운영 개념체계 문단 11).

‘합리적 확신’이란 내부회계관리제도의 본질적 한계 때문에, 재무제표의 신뢰성 확보 목적이 달성되도록 내부회계관리제도가 효과적으로 설계·운영되고 있다는 것을 절대적으로 보증하지는 않는다는 개념으로서, 회사는 절대적 수준은 아니지만 높은 수준의 확신을 평가보고서에 적극적으로 표명함으로써 합리적 확신을 제공하게 됩니다(설계·운영 개념체계 보론 B 용어의 정의).

높은 수준의 확신을 적극적으로 표명하기 위해, 경영진은 내부회계관리제도가 효과적인지에 대한 결론을 명확한 문구를 사용하여 표명하여야 합니다. 즉, 경영진은 중요한 취약점이 없는 경우 “중요성의 관점에서 효과적으로 설계되어 운영되고 있다고 판단됩니다.”, 중요한 취약점이 있는 경우 “중요성의 관점에서 효과적으로 설계되어 운영되고 있지 않다고 판단됩니다.”의 문구를 운영실태보고서에 사용하여야 합니다(평가·보고 적용기법 문단 152).

반면, 경영진은 “특정 부분을 제외하고는 효과적이다”는 식의 한정적인 표현이나 “효과적이지 않다는 것을 나타내는 특별한 사항을 인지하지 못하였다”는 소극적 확신(negative assurance)을 통한 결론표명을 할 수 없습니다(평가·보고 적용기법 문단 153).

39. 재무제표와 관련된 외부 재무보고 절차와 관련된 서비스를 제공하는 외부서비스 제공업체의 내부회계관리제도도 경영진의 평가 범위에 포함되나요? 그렇다면, 경영진이 외부서비스조직의 내부회계관리제도를 평가할 때 “서비스조직의 통제에 대한 인증업무 기준”에 의한 인증보고서(“3402 보고서”)가 반드시 필요한지요?

[답변] 회사가 외부 재무보고 절차와 관련하여 외부서비스제공자를 이용하는 경우, 이러한 외부서비스제공자의 서비스와 관련된 통제의 책임은 경영진에게 있으므로 경영진은 외부서비스제공자의 내부통제에 대한 평가를 수행하여야 합니다(평가·보고 적용기법 문단 56). 다만, “서비스조직의 통제에 대한 인증업무 기준”에 의한 인증보고서(“3402 보고서”)는 경영진이 외부서비스제공자의 통제를 평가하기 위한 하나의 방법이고, 경영진이 외부서비스제공자의 통제활동을 직접 평가하거나, 외부서비스제공자의 통제활동의 적정성을 충분히 모니터링 할 수 있는 회사의 모니터링 통제활동을 평가(단, 해당 서비스의 규모나 복잡성이 큰 경우에는 적절하지 않을 수 있음)하는 등의 방법을 활용할 수 있습니다(평가·보고 적용기법 문단 57).

40. 외부서비스제공자에 대한 “서비스조직의 통제에 대한 인증업무 기준”에 의한 인증보고서(“3402 보고서”)를 발행한 서비스감사인이 회사의 감사인과 동일한 경우에도 경영진이 동 3402보고서에 의존할 수 있는지요? 또한, 경영진은 다른 사업연도말 기준으로 제시된 Type 2 3402 보고서에 의존할 수 있나요?

[답변] 외부서비스제공자의 서비스감사인과 회사의 감사인이 동일하더라도 회사는 동 3402 보고서에 의존할 수 있습니다. 다만, 경영진은 3402 보고서를 평가할 때 외부서비스제공자 감사인의 적격성과 독립성을 평가하여야 합니다(평가·보고 적용기법 문단 58). 예를 들어, 3402 보고서를 발행한 외부서비스제공자 감사인이, 경영진이 의존하는 외부서비스제공자의 프로세스와 관련된 내부통제를 직접 설계 또는 구축하였다면 감사인의 자기평가위협에 해당하여 독립성이 훼손되므로 경영진은 해당 보고서를 이용할 수 없습니다.

한편, 회사는 회사의 사연연도말과 다른 날짜를 기준으로 제시된 3402 보고서에 의존할 수 있습니다. 다만 3402 보고서의 일자와 경영진의 평가기준일 사이에 유의한 차이가 있다면, 경영진은 3402보고서일 이후 외부서비스제공자의 통제가 변경되었는지 확인하고, 변경사항이 파악된 경우에는 내부회계관리제도의 효과성에 미치는 영향을 평가하여야 합니다(평가·보고 적용기법 문단 59). 예를 들어, 서비스조직의 3402 보고서가 9월말 기준으로 발행되었고, 회사는 12월말을 기준으로 내부회계관리제도를 평가하는 경우, 회사는 9월말 기준의 3402 보고서를 활용할 수 있습니다. 다만, 9월말 이후 12월말까지 서비스조직의 내부통제에 중요한 변화가 존재하지 않았는지, 9월말 이후 12월까지 통제의 운영에도 변화가 존재하지 않음을 확인하여야 합니다. 중요한 변화가 발생한 경우에는 관련 통제활동에 대한 설계 평가와 운영 평가를 추가로 수행하여야 합니다.

41. 지점 등 복수의 장소에서 수행되는 동일한 통제의 효과성 평가는 각 장소(지점) 단위로 수행하나요?

[답변] 중앙의 본사 차원에서 설계되어 전체 사업부 또는 지점에서 일관되게 수행되도록 의도된 통제를 동질적 통제(homogeneous control) 또는 공통통제(common control)라고 합니다. 동질적 통제 또는 공통통제의 경우 설계평가는 본사 차원에서 한 번 수행하고, 운영평가는 전체 사업부 또는 지점을 모집단으로 두고 표본을 추출하여 테스트하는 것이 가능합니다.

예를 들어, 4개의 지점에서 매달 1회씩 수동통제를 수행한다면 연간 총 48개의 모집단에 해당하는 표본을 추출하여 운영의 효과성을 테스트하면 됩니다. 참고로, 표본을 추출할 지점을 선정 할 때에는 각 지점의 양적 및 질적 위험요소를 함께 고려하는 것이 바람직합니다.

한편, 동질적 통제 또는 공통통제를 판단할 때 고려할 사항들은 다음과 같습니다.

1) 해당 통제가 본사 차원에서 설계되어 일부 또는 전체 사업부(또는 지점)이 수정 없이 적용하도록 요구되는가? 해당 통제에 대한 상세한 설명이나 관련된 정책과 절차가 본사 차원에서 개발되고 관리되며 적용되는 사업부(또는 지점)에 공유되는가?

2) 해당 통제가 비슷한 수준의 역량이나 전문성, 권한을 가진 개인에 의해 수행되는가?

3) 해당 통제가 자동통제라면 해당 사업장(또는 지점)이 동일한 시스템 설정(Configuration)이 적용된 동일한 응용프로그램에서 작동하는가?

4) 해당 통제가 정보시스템에서 산출되는 정보를 사용한다면, 해당 사업장(또는 지점)이 동일한 정보시스템을 사용하는가?

5) 해당 통제를 수행하기 위해 요구되는 판단이나 추정의 정도가 높지 않은가?

42. 감사(위원회)의 평가는 어떤 방식으로 수행하여야 하는지 궁금합니다.

1) 외감법령에서 요구하는 내부회계관리제도 평가보고서만 작성하면 되는지요?

2) 감사(위원회)의 평가 시 감사(위원회)가 반드시 통제활동을 직접 평가하여야 하나요?

[답변] 외감법(제8조 제5항) 상 감사(위원회)의 내부회계관리제도 평가 및 이사회에의 보고와 관련하여, 평가·보고 모범규준에서는 감사(위원회)는 경영진과는 독립적으로 내부회계관리제도에 대한 평가기능을 수행하고 이사회에 보고함으로써 내부회계관리제도의 적정한 운영과 지속적인 개선을 지원하며(문단 93), 다음의 업무를 포함하는 감사(위원회)의 활동은 독립적인 평가가 이뤄졌다고 판단할 수 있다고 설명하고 있습니다(문단 95).

∙ 평가기간의 위험평가 결과를 포함한 평가 계획의 적정성 검토(당기 조치 계획 및 결과, 평가 기간, 평가자, 평가 대상과 방식의 적정성 포함)

∙ 운영실태보고서에 모든 유의한 미비점과 중요한 취약점이 포함되었는지 확인(인지하거나 보고 받은 회계처리 이슈와 관련된 내부회계관리제도 적정성 평가)

∙ 운영실태보고서상 미비점 평가, 개선 조치의 적정성 및 이행 현황 확인

∙ 내부회계관리규정 위반이나 운영실태보고서상 미비점으로 인한 성과평가 반영 계획이나 결과의 적정성 확인

∙ 외부감사인의 내부회계관리제도 감사 계획 및 결과의 적정성 확인

∙ 내부회계관리제도에 대한 독립적 평가 결과의 이사회 보고

∙ 내부회계관리제도와 관련된 내부고발 사항의 검토 및 내부회계관리제도에 미치는 영향 확인

∙ 운영실태보고서상 기타 항목의 적정성 확인과 내부회계관리제도 관리감독을 위한 검토

또한, 감사(위원회)는 경영진의 평가와 관련된 자료를 주로 활용하고, 경영진의 평가 절차가 적절하지 않거나 충분하지 않은 경우 추가적인 테스트를 수행할 수 있습니다. 이때 감사(위원회)는 전문가를 활용하여 독자적으로 평가하거나, 회사의 내부감사기능을 활용하여 추가적인 테스트를 수행할 수 있습니다(평가·보고 모범규준 문단 96). 결국, 감사(위원회)가 경영진처럼 통제활동을 직접 테스트하기보다는 내부회계관리제도 평가 계획에서부터 결과 보고에 이르기까지 경영진이 수행한 절차의 전반을 감독함으로써 '독립적인 평가'기능을 수행한다고 볼 수 있습니다.

추가로, 감사(위원회)의 평가 방식은 회사의 상황에 따라 외감법령과 모범규준 등의  요구사항을 고려하여 감사(위원회)가 결정하고 내부회계관리규정에 포함하는 것이 바람직합니다.

43. 특정 부서가 경영진의 점검(평가)과 감사(위원회)의 평가를 동시에 수행할 수 있나요?

[답변] 외감법 제8조에서는 회사의 대표자는 내부회계관리제도의 운영실태를 주주총회, 이사회 및 감사(위원회)에 보고하고, 감사(위원회)는 운영실태를 평가하여 이사회에 보고하도록 정하고 있습니다. 경영진이 운영실태를 보고하기 위해서는 내부회계관리제도를 '평가'하여야 하며, 감사(위원회)는 경영진이 실시한 평가 절차와 운영실태 평가 결과의 적정성을 감독자의 관점에서 독립적으로 평가(평가·보고 모범규준 문단 96)하는 역할을 담당합니다.

예를 들어, 감사(위원회) 산하의 내부감사조직이 경영진의 내부회계관리제도 운영실태보고를 위한 통제 설계 및 운영평가를 수행한 경우, 감사(위원회)가 내부감사조직이 작성한 평가 계획과, 수행한 절차 및 결과 등을 충분히 관리·감독하였다면 감사(위원회)가 내부회계관리제도의 운영실태를 독립적으로 평가한 것으로 판단할 수 있습니다. 다만 감사(위원회)가 경영진과는 독립적으로 내부회계관리제도를 평가하도록 한 취지를 고려할 때, 평가조직(본 예시에서는 내부감사조직)의 독립성을 확보할 수 있는 방안(예: 감사(위원회)의 내부감사 책임자의 임면권, 성과평가 권한 등)을 마련하거나, 내부감사조직 내에서 경영진의 평가에 참여한 인원과 감사(위원회)의 독립적인 평가에 참여한 인원을 분리하는 등의 방안을 마련하는 것이 바람직합니다.

[외부감사인의 내부회계관리제도 감사(또는 검토)]

44. 내부회계관리제도에 대한 감사인의 인증이 강화되었다는데 어떤 의미인가요?

[답변] 주식회사 등의 외부감사에 관한 법률(이하 "외감법", 2017.10.31. 공포, 2018.11.1. 시행)의 개정에 따라, 상장법인의 외부감사인이 회사의 내부회계관리제도와 관련된 외감법의 준수 여부 및 회사의 내부회계관리제도의 운영실태에 관한 보고내용을 확인하고 감사보고서에 표명하여야 하는 종합의견의 수준이 “검토”에서 “감사”로 상향되었습니다.

'감사'는 외부감사인이 제시해야 하는 확신의 수준이 '검토'보다 높기 때문에, 감사인은 '검토'에 비해 더 많은 절차를 수행하여야 합니다. '감사'와 '검토'의 주요 차이는 다음과 같습니다.

구분	검토(기존)	감사(순차적용(*))
감사인 수행절차	- 질문 및 제한된 문서 확인	- 질문, 관찰, 재수행 등
감사인 인증수준	- 소극적 확신 · 예시 : “운영실태보고 내용이 기준에 따라 작성되지 않았다고 판단되는 점이 발견되지 아니함”	- 적극적 확신 · 예시 : “감사결과 회사는 내부회계관리제도를 설계운영체계에 따라 효과적으로 운영되고 있음”

(*) 직전사업연도 자산 2조원 이상: 2019 사업연도, 5천억 이상: 2020 사업연도, 1천억 이상: 2022 사업연도, 전체상장사: 2023 사업연도

45. 외부감사인의 분기 및 반기검토보고서에도 내부회계관리제도에 대한 감사의견이 포함되나요?

[답변] 그렇지 않습니다.

외감법 제8조 제7항에서 “제6항에 따라 검토 또는 감사를 한 감사인은 그 검토결과 또는 감사결과에 대한 종합의견을 감사보고서에 표명하여야 한다”라고 규정하고 있기 때문에 내부회계관리제도에 대한 감사인의 감사보고서는 회계연도 전체에 대한 감사보고서에 첨부되며, 분기 또는 반기 검토보고서에는 첨부되지 않습니다.

46. 내부회계관리제도 감사 수행 시 발견된 미비점으로 인해 재무제표 감사의 미치는 영향은 무엇인가요?

[답변] 내부회계관리제도는 회사의 재무제표가 일반적으로 인정되는 회계처리기준에 따라 작성·공시되었는지에 대한 합리적 확신을 제공하는 것을 목적으로 합니다(설계·운영 개념체계 문단 11). 따라서 내부회계관리제도의 미비점이 존재한다는 것은 재무제표의 왜곡표시 위험이 높다는 것을 의미합니다.

외부감사인이 내부회계관리제도 감사 중에 내부회계관리제도 미비점을 식별한다면, 감사인은 재무제표 감사에서의 감사위험을 수용 가능한 낮은 수준으로 감소시키기 위하여 수행되어야 할 실증절차의 성격, 시기 및 범위에 해당 미비점이 미치는 영향을 결정하여야 합니다(감사기준서 1100 문단 14). 즉, 내부회계관리제도의 미비점이 식별된 경우 외부감사인은 관련 계정과목 등에 대해 회사의 내부 증빙보다는 외부 증빙에의 의존도를 높이거나(성격), 결산일에 가까운 시기에 실증감사를 실시하거나(시기), 테스트할 표본의 크기를 늘리는(범위) 등의 방법으로 재무제표에 대한 확대된 감사업무를 수행하게 됩니다.

재무제표 감사의 결과 또한 내부회계관리제도 감사에 영향을 미칩니다. 감사기준서 1100(문단 56)에서는 내부회계관리제도의 효과성에 대한 의견을 형성할 때 감사인은 내부회계관리제도 감사를 위한 통제테스트 결과뿐만 아니라, 재무제표에 대한 의견 표명을 위해 수행한 통제테스트 결과와 재무제표 감사 과정에서 발견된 왜곡표시 등을 평가하도록 요구하고 있습니다. 재무제표 오류사항이 발생한 경우, 해당 오류와 관련된 통제는 미비점이라고 판단될 가능성이 높아지고, 미비점이 존재한다고 판단되는 경우에는 감사인은 다시 관련된 실증절차가 적절한지 확인하고, 실증절차를 확대하는 것이 필요한지를 고려하여야 합니다.

또한, 평가·보고 모범규준 문단 83에서는 중요한 취약점의 징후가 되는 사항의 예시로 ‘중요한 왜곡표시의 수정을 반영하기 위하여 기존 재무제표를 재작성하는 경우’ 혹은 ‘회사의 내부회계관리제도에 의해 파악하지 못한 중요한 당기 수정사항으로써, 회사가 제시한 최초 재무제표에 반영되지 아니하였으나 외부감사인에 의하여 파악된 경우(최종 재무제표에 동 수정사항을 반영하였는지 여부는 관계없음)’를 포함하고 있습니다. 감사기준서(문단 A82)에서도 이와 유사하게 아래의 사항을 중요한 취약점을 나타내는 지표에 포함하고 있기 때문에, 재무제표에서 중요한 왜곡표시가 발견된 경우에는 내부회계관리제도 감사의견에 영향을 미칠 가능성이 매우 높습니다.

∙ 부정이나 오류로 인한 중요한 왜곡표시의 수정을 반영하기 위해 이전에 발행된 재무제표를 재작성함

∙ 재무제표의 중요한 왜곡표시가 기업의 내부회계관리제도에 의해 발견·수정되지 못하였을 상황에서 감사 중 감사인에 의해 해당 왜곡표시가 식별됨