내부회계관리제도 감사 FAQ(한공회)

감사 계획과 내부회계관리제도: 감사인과 경영진의 관점 차이

내부회계관리제도 감사 시, 감사인이 식별한 유의적인 계정이나 통제가 경영진이 선정한 것과 달라 혼란스러울 때가 많습니다. 이러한 관점의 차이가 무조건적인 미비점에 해당하는지, 그리고 복수 사업장의 통제는 어떻게 평가해야 하는지에 대한 감사 기준서의 명확한 해설을 정리해 드립니다.

1. 감사인이 식별한 유의적인 계정 등이 경영진과 다르면 내부회계관리제도 미비점인가요?

경영진이 모범규준에 따라 유의적인 계정 등을 식별했다면, 감사인이 식별한 계정 등과 다르다는 이유만으로 내부회계관리제도의 미비점에 해당하지는 않습니다.

하지만 감사인이 선정한 유의적인 계정 등을 경영진이 선정하지 않아, 감사인이 테스트 대상으로 선정한 통제를 회사가 '핵심통제'로 선정하지 않았다면 이는 기업의 위험 평가 프로세스에 미비점이 있음을 시사할 수 있습니다.

감사기준서 1100 문단 24, 29, 30, 36, A31, A37

2. 감사인이 선정한 통제와 경영진의 핵심통제가 다르면 미비점인가요?

감사인은 경영진이 선정한 핵심통제와 별개로, 재무제표의 왜곡표시 위험에 충분히 대처하고 있는지 결론을 내리기 위해 중요한 통제를 테스트 대상으로 선정합니다.

만약 감사인이 선정한 테스트 대상 통제가 경영진이 선정한 핵심통제에 포함되지 않았다면, 감사인은 다음 두 가지를 고려해야 합니다.

Step 1: 경영진의 위험 평가 프로세스에 미비점이 있는지 평가합니다. (예: 재무보고에 중요한 영향을 미치는 변화를 식별하지 못했는지 분석)

Step 2: 해당 통제의 설계 및 운영 효과성을 테스트하되, 통제가 모니터링되지 않는다는 점을 반영하여 테스트의 성격, 시기, 범위를 조정합니다.

반대로, 경영진이 테스트하기로 결정한 통제를 감사인이 테스트 대상으로 선정하지 않았고, 경영진의 핵심통제가 완전하고 정확하게 포함되어 있다면 감사인이 추가로 고려할 사항은 없습니다.

감사기준서 1100 문단 24, 36, A30, A46~A47

3. 복수 사업장 통제의 동질성 판단 기준은 무엇인가요?

복수 사업장의 통제가 '동질적'인지는 감사인의 전문가적 판단으로 결정됩니다. 주로 회사의 사업과 시스템을 이해하고 통제 설계 문서를 확인하여 결정하며, 다음 사항들을 고려할 수 있습니다.

📋 체크리스트

• 본사 차원에서 설계되어 수정 없이 적용되는가?
• 통제에 대한 상세 정책과 절차가 본사 차원에서 개발되고 공유되는가?
• 비슷한 수준의 역량과 권한을 가진 인원에 의해 수행되는가?
• 자동통제라면 동일한 시스템 설정이 적용된 동일한 응용프로그램에서 작동하는가?
• 동일한 정보시스템을 사용하는가?
• 통제 수행에 요구되는 판단이나 추정의 정도가 높지 않은가?

⚠️ 중요: 회사의 위험 평가 또는 모니터링 절차가 효과적이지 않아 통제가 동질적으로 운영되지 않을 가능성이 크다면, 다수의 사업장을 대상으로 통제 이해 절차를 수행해야 합니다.

감사기준서 1100 문단 31, 33, A41

4. 복수 사업장 통제가 동질적일 때, 테스트는 어떻게 진행하나요?

복수 사업장의 통제가 동질적이라고 판단했다면, 감사 테스트는 효율적으로 진행할 수 있습니다.

✅ 감사 테스트 방법

• 설계효과성 테스트: 중앙 또는 대표적인 한 사업장을 대상으로 수행할 수 있습니다.
• 운영효과성 테스트: 다음 두 가지 방법 중 하나를 선택합니다.
  • 동질적인 전체 사업장을 하나의 모집단으로 하여 표본 추출
  • 사업장 수가 많다면, 매년 다른 사업장들이 선정되도록 대표 사업장들을 선정하여 해당 사업장들을 모집단으로 표본 추출

감사기준서 1100 문단 31, 33, A41

전사적 수준 통제: 감사인이 주목해야 할 간접 통제

전사적 수준 통제는 기업의 내부회계관리제도 전반에 영향을 미치는 중요한 통제입니다. 특히 '간접 전사통제'는 재무제표의 왜곡표시를 직접적으로 예방하지는 않지만, 다른 통제들의 효과성에 간접적으로 영향을 미칩니다. 이러한 간접 통제에 대한 감사인의 역할과 테스트 방법을 자세히 알아보겠습니다.

[간접 전사통제]: 통제환경 통제와 같이, 왜곡표시를 적시에 예방하거나 발견ㆍ수정할 가능성에 중요하지만 간접적인 영향을 미치는 전사적 수준 통제를 의미합니다. 다른 통제의 효과성을 모니터링하는 역할을 하기도 합니다.

5. 감사인이 테스트해야 하는 간접 전사통제는 무엇인가요?

감사인은 기업이 효과적인 내부회계관리제도를 갖추고 있는지 결론을 내리는 데 중요한 전사적 수준 통제를 식별하고 테스트해야 합니다. 이는 '설계 및 운영 개념체계'의 각 원칙을 달성하는 데 필요한 통제를 의미합니다. 감사인은 식별된 통제가 각 원칙을 달성하는지 판단해야 하며, 이때 각 원칙별 중점 고려사항을 참고할 수 있습니다.

감사기준서 1100 문단 24~25, A34

6. 간접 전사통제의 테스트 표본 수는 어떻게 결정하나요?

간접 전사통제의 운영효과성을 테스트할 때, 많은 경우 1~2개 표본을 추출하는 것으로 충분한 감사 증거를 얻을 수 있습니다. 예를 들어, 윤리강령 운영이나 부정위험 평가와 같은 통제가 이에 해당합니다.

💡 Tip: 하지만 '행동강령 준수 여부 서약'처럼 구별되는 절차나 활동이 있다면, 일반적인 거래 수준 통제와 유사하게 실제 활동의 빈도에 따라 테스트 표본을 추출해야 합니다.

감사기준서 1100 문단 24~26, A30~A34, 감사기준서 315 문단 A78

7. 간접 전사통제 미비점은 항상 유의적 미비점에 해당하나요?

간접 전사통제에서 미비점이 발견되었다고 해서 반드시 유의적 미비점이나 중요한 취약점에 해당하는 것은 아닙니다. 중요한 왜곡표시를 직접적으로 예방, 발견, 수정할 수 있는 다른 거래 수준 통제가 효과적으로 운영된다면, 간접 전사통제 미비점만으로 심각한 문제로 이어지지 않을 수 있습니다.

⚠️ 중요: 그러나 간접 전사통제 미비점이 '감사기준서 1100 문단 A82'의 중요한 취약점 지표나 '감사기준서 265 문단 A7'의 유의적 미비점 징후에 해당한다면, 그 자체로 중요한 문제로 평가될 수 있으므로 신중한 평가가 필요합니다.

감사기준서 1100 문단 24~25, 39, A30~A34, A53, A82, 감사기준서 265 문단 A7

8. 간접 전사통제 미비점, 집계만 하고 넘어가도 되나요?

그렇지 않습니다. 간접 전사통제의 미비점은 거래 수준 통제의 설계 및 운영 효과성에 부정적인 영향을 미칠 수 있습니다. 따라서 감사인은 미비점이 다른 통제에 미치는 영향을 반드시 평가하고, 이에 대응하여 다른 통제에 대한 테스트 절차의 성격, 범위, 시기를 변경해야 합니다. 단순히 미비점으로 집계하고 끝내는 것은 올바른 감사 절차가 아닙니다.

감사기준서 1100 문단 24~25, 39, A30~A34, A53

Ⅲ. 통제 테스트: 개선, 변경, 테스트 전략에 대한 궁금증

감사인이 내부회계관리제도 감사를 수행할 때, 기업의 통제 개선, 변경, 그리고 복잡한 회계처리에 대한 통제 테스트는 중요한 판단 영역입니다. 이 섹션에서는 개선된 통제의 테스트 기간, 표본 수 결정, 그리고 지분법이나 결산 프로세스와 같은 특정 항목에 대한 통제 테스트 방법에 대해 자세히 알아봅니다.

9. 개선된 통제는 어느 기간 이상 운영되어야 충분한 기간인가요?

개선된 통제가 충분한 기간 동안 운영되었는지의 판단 기준은, 감사인이 운영 효과성 테스트에 필요한 최소 표본을 추출할 수 있는 기간 이상이어야 합니다. 예를 들어, 연간 일단위로 운영되는 통제의 최소 표본 수가 25개라면, 25일 이상 운영되었을 때 충분한 기간으로 볼 수 있습니다.

최소 표본 수를 충족하지 못했더라도, 감사인이 '평가기준일 현재' 통제가 효과적으로 운영되고 있다는 높은 수준의 확신을 얻을 수 있다면 충분한 증거를 확보했다고 판단할 수도 있습니다. 이 경우 미비점의 심각성, 통제의 성격, 개선 시점 등을 종합적으로 고려해야 합니다.

감사기준서 1100 문단 43, A63~A66

10. 개선된 통제 운영효과성 테스트 표본 수는 어떻게 결정하나요?

개선된 통제의 운영효과성을 테스트하기 위한 표본 수는 감사인의 정책과 전문가적 판단에 따라 결정됩니다. 이 표본 수는 통제가 충분한 기간 동안 운영되었는지 판단할 때 사용하는 최소 표본 수와 다를 수 있으며, 운영 기간이 보고기간보다 짧은 통제에 대한 감사인의 정책과 일관되어야 합니다.

💡 Tip: 예를 들어, 연간 주 단위로 운영되는 통제의 최소 표본 수가 5개일 때, 개선된 통제의 운영 기간 판단 기준은 5주이지만, 실제 운영효과성 테스트를 할 때는 감사인의 정책에 따라 2개와 같은 더 적은 수의 표본을 테스트할 수도 있습니다.

감사기준서 1100 문단 43, A63~A66

11. 기중에 통제가 변경되면 재무제표 감사에서 통제 의존 전략을 취할 수 있나요?

통제 변경의 성격에 따라 전략이 달라질 수 있습니다.

변경 전후 통제가 실질적으로 동일한 경우: 회사의 문서화만 개선되었다면, 보고기간 전체에 걸쳐 통제 의존 전략을 취할 수 있습니다.

통제가 실질적으로 변경된 경우: 변경 전 기간과 변경 후 기간을 구분하여 변경 후 기간에만 통제 의존 전략을 취할 수 있습니다. 예를 들어 변경 전에는 실증전략을 취하고, 변경 후에는 개선된 통제에 의존하여 실증 테스트 범위를 줄이는 Partial control reliance 전략을 사용할 수 있습니다.

감사기준서 1100 문단 14, A17, 감사기준서 330 문단 11, A32

12. 기중에 운영효과성 테스트를 수행할 때 표본 수는 어떻게 결정하나요?

감사인은 기중에 운영효과성 테스트를 수행할 때 다음 두 가지 방법 중 하나로 표본 수를 결정할 수 있습니다.

방법 1: 중간기간에 테스트를 완료하고 잔여기간은 추가 테스트를 수행하는 방법(Conclude at interim). 예를 들어 결론을 내릴 수 있는 표본 수가 25개라면, 중간기간에 25개를 모두 테스트하고 잔여 기간은 추가적인 절차를 수행합니다.

방법 2: 전체 표본 수를 중간기간과 이후 기간에 배분하는 방법. 예를 들어 총 25개의 표본 중 중간기간에 20개를 테스트하고 잔여기간에 5개를 테스트합니다.

⚠️ 중요: 표본 배분 방식을 사용하면 중간기간에 통제 효과성 결론을 확정할 수 없으며, 계절성이나 주기성에 따라 실제 거래 빈도수와 표본 수가 상응하지 않을 수 있다는 점에 유의해야 합니다.

감사기준서 1100 문단 43, 44, A63~A68

13. 잔여기간 테스트 시 표본 수 결정 기준은 무엇인가요?

잔여기간 테스트의 표본 수는 'test of one'과 같은 특정 기준이 정해져 있지 않으며, 감사인의 전문가적 판단에 따라 결정됩니다. 감사인은 감사기준서 1100 문단 A67에 제시된 위험 요소를 고려하여 적절한 표본 수를 결정하고 그 결과를 문서화해야 합니다.

⚠️ 중요: 어떤 상황에서는 질문만으로도 충분할 수 있지만, 잔여기간 테스트를 실증절차로 대체할 수는 없습니다. 실증절차를 통해 왜곡표시가 발견되지 않았다고 해서 통제가 효과적으로 운영되었다고 결론 내릴 수는 없기 때문입니다.

감사기준서 1100 문단 44, A67~A68

14. 승인 통제 테스트 시 승인 대상 내용까지 테스트해야 하나요?

이는 통제의 성격에 따라 다릅니다.

[단순 승인 통제]: 단순히 유효성을 확인하고 승인하는 통제(예: 특정 금액 이하 구매 승인)는 전결 규정에 따른 승인 여부만 테스트할 수 있습니다.

[검토 활동이 포함된 통제]: 승인 통제에 특정 정보를 검토하고 조치를 취하는 활동이 포함되어 있다면, 감사인은 승인권자가 검토하는 정보와 과정까지 테스트해야 합니다.

감사기준서 1100 문단 38~40, A56~A57, A59~A60, 감사기준서 330 문단 A26

15. 통제 운영 문서 증거가 없을 때 어떻게 테스트하나요?

통제 운영에 대한 문서 증거를 확보할 수 없을 때는 질문과 결합하여 관찰 또는 재수행을 통해 운영 효과성을 테스트할 수 있습니다.

⚠️ 중요: 관찰은 특정 시점에만 유효하며, 관찰하지 않은 시점의 통제 효과성을 증명하기 어렵습니다. 또한 재수행이 어려운 통제(예: 주관적 검토 통제)도 있습니다. 이 경우 경영진과 사전에 협의하여 문서 증거를 구비하도록 하는 것이 바람직합니다.

감사기준서 1100 문단 40, A60~A61, 감사기준서 330 문단 A26~A27

16. 지분법 적용 시 감사 범위에 포함되는 통제는 무엇인가요?

내부회계관리제도 감사는 일반적으로 피투자회사의 통제까지 확대되지 않습니다. 감사 범위에 포함되는 통제는 피투자회사 재무정보의 신뢰성을 확인하고, 이를 기초로 한 지분법 회계처리의 정확성을 확인하는 통제입니다.

📋 지분법 관련 통제 체크리스트

• 감사 받은 재무정보 입수 및 검토 (분석적 검토, 공시 재무제표 대사 등)
• 감사 받지 않은 재무제표에 대한 통제 (대표이사 서명 확보 등)
• 가결산 재무제표와 감사 받은 재무제표 간 차이 분석

감사기준서 1100 문단 36, 87, A110

17. 결산 체크리스트만으로 통제가 충분한가요?

결산 체크리스트의 작성, 검토, 승인 통제는 결산 절차의 완전성 확보에는 효과적이지만, 체크리스트만으로 각 항목에 대한 충분한 통제활동이 수행되었다는 증거는 될 수 없습니다.

따라서 유의적인 회계추정이나 특수관계자 거래 등 위험이 높은 항목은 결산 체크리스트에 통합하기보다는 별도의 통제로 구분하여 설계하고 운영하는 것이 바람직합니다. 위험이 높지 않은 항목은 체크리스트로 관리할 수 있습니다.

📋 감사인이 고려할 사항

• 체크리스트가 결산 조정 금액의 정확성/완전성 확보에 충분한지?
• 이상 항목(outliers) 식별 및 해결 절차가 적절히 설계되어 있는지?
• 체크리스트 작성 빈도가 이상 항목을 적시에 식별하기에 충분한지?

감사기준서 1100 문단 27, 28, 36, A35

18. 주석 공시사항 점검표만으로 통제가 충분한가요?

공시 항목의 왜곡표시 위험이 단순히 재무제표 금액과 주석 금액의 불일치 여부에만 있다면, 공시사항 점검표를 통해 금액을 대조 확인하는 통제만으로도 충분할 수 있습니다.

하지만 공시 내용에 재무제표 금액을 특정 기준에 따라 분류한 내용이나 특수관계자 거래와 같이 추가 정보가 포함된 경우에는, 세부 내역 확인에 대한 통제를 별도로 식별하고 테스트해야 합니다. 이러한 통제는 다른 거래 프로세스에서 수행될 수도 있습니다.

감사기준서 1100 문단 27, 28, 36, A35

19. 이전 감사의 감사증거를 내부회계관리제도 감사에 이용할 수 있나요?

아니요. 재무제표 감사와 달리, 내부회계관리제도 감사에서는 통제의 운영효과성에 대한 감사증거로서 이전 감사의 감사증거를 이용할 수 없습니다. 이는 감사기준서 330이 재무제표 감사에만 적용되는 요구사항이기 때문입니다.

⚠️ 중요: 벤치마킹 전략을 적용하는 자동화된 응용 통제 테스트의 경우를 제외하고, 내부회계관리제도 감사에서는 테스트 대상 통제가 효과적으로 운영되는지에 대한 감사증거를 매년 새로 입수해야 합니다.

감사기준서 1100 문단 45, 46, A69

20. 전기 설계효과성 테스트 결과에 의존할 수 있나요?

아니요. 감사인은 매년 개별 통제의 설계가 효과적이라는 증거를 입수해야 합니다. 변화관리체계의 효과성은 통제 테스트의 성격, 범위, 시기를 결정할 때 고려할 수는 있지만, 개별 통제의 설계 효과성에 대한 직접적인 증거를 제공하지는 않습니다.

감사인은 과거 감사에서 입수한 정보를 바탕으로 당기에 변화가 없었는지에 초점을 맞춰 테스트를 수행할 수는 있지만, 질문만으로는 통제 설계에 변화가 없다는 충분한 증거를 입수할 수 없습니다.

감사기준서 1100 문단 45, 46, A69

Ⅳ. IT 관련 사항: IT 일반통제(ITGC)와 감사 전략

현대 기업의 복잡한 회계 시스템에서 IT 일반통제(ITGC)는 내부회계관리제도 감사의 필수적인 부분입니다. 이 섹션에서는 ITGC의 감사 범위와 테스트 방법, 그리고 미비점이 발견되었을 때 감사인이 취해야 할 구체적인 대응 절차에 대해 심층적으로 다룹니다.

21. IT일반통제 테스트 대상 시스템의 범위는 어떻게 결정하나요?

IT일반통제의 테스트 대상 시스템은 감사인이 테스트 대상으로 선정한 응용통제가 운영되거나, 통제에 사용되는 정보 및 데이터가 생성, 보관되는 시스템으로 결정됩니다.

해당 시스템이 기업의 핵심 시스템이 아니거나 고도의 자동화 시스템이 아닐 경우, 감사인은 해당 시스템의 IT일반통제를 테스트하지 않고 다른 통제를 추가 식별하여 테스트하거나, IT 의존 항목에 대해 대체적인 테스트 방법을 적용할 수 있습니다.

감사기준서 1100 문단 35, A45

22. 자동으로 수행되는 자동계산, 인터페이스도 통제에 해당하나요?

네, 자동계산과 자동 인터페이스는 모두 내부회계관리제도의 중요한 통제에 해당합니다.

[자동계산]: 부정확한 계산을 방지하는 통제입니다. 테스트 시에는 시스템 로직이 다양한 사업 규칙을 반영하는지, 입력 데이터가 완전하고 정확한지 등을 고려해야 합니다.

[자동 인터페이스]: 시스템 간 데이터 전송 시 데이터가 훼손, 변경될 위험을 방지하는 통제입니다. 기업은 Record count, Hash-totals 등 자동통제를 통합하여 이러한 위험에 대처합니다. 만약 이러한 자동통제가 없다면, 감사인은 유사한 수동통제를 식별하고 테스트해야 할 수 있습니다.

감사기준서 1100 문단 35, 36, A45

23. IT일반통제 미비점 발견 시 감사인의 대응 절차는 무엇인가요?

IT일반통제에서 미비점이 식별되면, 감사인은 해당 미비점의 영향을 받는 응용통제를 결정하고 잠재적 영향을 평가한 후 다음과 같은 대응 절차를 수행할 수 있습니다.

① 보완통제(Compensating Controls) 고려

미비점을 보완할 수 있는 다른 IT일반통제나, IT일반통제 미비점의 영향을 받지 않는 응용통제가 있는지 확인합니다.

✅ 예시

프로그램 접근 통제에 미비점이 있더라도, 프로그램 변경 로그 리포트를 독립적인 경영진이 매주 검토하는 적발통제가 있다면 이는 보완통제가 될 수 있습니다.

② 경영진의 대체적 통제 고려

경영진이 미비점의 영향이 없음을 확인하는 대체적인 통제를 설계, 운영했다면 감사인은 이를 테스트하여 효과적으로 운영되는지 확인하고, 미비점의 심각성을 완화하는 보완통제로 고려할 수 있습니다.

③ 직접적인 증거 입수 절차 수행

ITGC 미비점의 영향을 받는 자동통제가 일관성 있게 운영되었다는 직접적인 증거를 입수하는 절차를 수행할 수 있습니다.

⚠️ 중요: 만약 위 절차들을 수행한 후에도 효과적인 보완통제나 증거를 입수하지 못했다면, 감사인은 해당 응용통제에 의존할 수 없으며, 이 또한 미비점으로 식별하여 심각성을 평가해야 합니다.

감사기준서 1100 문단 35, 36, A45

24. IT일반통제 미비점의 심각성은 어떻게 평가하나요?

IT일반통제 미비점은 직접적으로 왜곡표시를 초래하기보다는, 해당 통제의 영향을 받는 응용통제를 비효과적으로 만들 수 있다는 측면에서 평가됩니다. 따라서 미비점의 심각성을 평가할 때는 다음 요소들을 종합적으로 고려해야 합니다.

📋 심각성 평가 체크리스트

• 미비점의 성격과 중요성
• 미비점이 영향을 미치는 자동통제 및 IT의존 수동통제의 범위와 개수
• IT 환경의 복잡성과 미비점이 재무제표 관련 프로그램의 무결성에 미칠 수 있는 잠재적 영향
• 미비점이 손실이나 부정에 취약한 계정과목과 관련된 프로그램에 영향을 미치는지 여부
• 미비점으로 인해 발생한 예외사항의 원인과 빈도
• 관련 응용프로그램에서 과거 왜곡표시 이력이 있는지 여부

감사기준서 1100 문단 48~50, A74~A82

Ⅴ. 경영진 검토 통제 및 기업이 생성한 정보: 신뢰성 확보 방안

경영진 검토 통제는 내부회계관리제도에서 매우 중요한 역할을 합니다. 특히 주관적인 판단이 필요한 복잡한 통제에 해당하며, 감사인은 이러한 통제를 효과적으로 테스트하기 위해 특별한 접근법을 취해야 합니다. 또한, 기업이 생성한 정보의 신뢰성은 감사 전반에 걸쳐 핵심적인 요소입니다.

25. 경영진 검토 통제의 유형과 대체 가능 여부

경영진 검토 통제는 주관적이고 복잡한 판단이 필요하여 특별한 테스트가 요구되는 검토 유형 통제를 의미합니다. 감사인은 왜곡표시 위험이 높고 복잡한 판단이 수반되는 통제를 경영진 검토 통제로 식별합니다.

💡 Tip: 감사인은 경영진 검토 통제를 대체할 수 있는 다른 거래 수준 통제가 있는지 고려해야 합니다. 만약 대체 가능한 거래 수준 통제가 효과적으로 설계ㆍ운영될 것으로 기대되면 해당 통제를 테스트 대상으로 선정할 수 있습니다.

감사기준서 1100 문단 36, A46~A47

26. 기업이 생성한 정보의 통제 미비점과 영향

기업이 생성한 정보의 완전성과 정확성에 대한 통제에 미비점이 있고, 이를 보완할 다른 통제가 없다면, 그 정보를 사용하는 다른 통제 역시 미비점이 있는 것으로 간주됩니다. 감사인은 이러한 미비점의 심각성을 종합적으로 평가해야 합니다.

감사기준서 1100 문단 48, A77~A80, 감사기준서 330 문단 10.(b), A30~31

27. 기업이 생성한 정보의 완전성/정확성 확인을 위한 감사인의 실증절차 수행 여부

내부회계관리제도 감사에서는 감사인이 직접 실증절차를 수행하여 기업이 생성한 정보의 완전성과 정확성을 확인하는 것으로 통제 효과성 테스트를 대체할 수 없습니다. 감사인의 주요 목적은 회사가 해당 정보를 확인하기 위해 설계하고 운영하는 통제를 식별하고 테스트하는 것입니다.

감사기준서 1100 문단 41, 감사기준서 330 문단 10.(b), A30~31

28. 최종 사용자 컴퓨팅(end-user computing) 감사 방법

최종 사용자 컴퓨팅(EUC)을 감사하는 특정 방법이 정해져 있지는 않습니다. 감사인은 전문가적 판단으로 상황에 적합한 감사 방법을 결정해야 합니다. 특히 수작업으로 데이터나 논리를 입력/변경할 수 있는 경우, 감사인은 해당 위험에 대응하는 통제를 식별하고 테스트해야 합니다.

감사기준서 1100 문단 33~36, A45, 감사기준서 315 문단 A104~A105

Ⅵ. 통제 이탈 및 미비점 평가: 감사인의 심도 깊은 판단

감사 과정에서 통제 이탈(Control Deviation)을 발견하는 것은 자연스러운 일입니다. 하지만 모든 이탈이 내부회계관리제도 미비점으로 이어지는 것은 아닙니다. 이 섹션에서는 통제 이탈의 정확한 의미와 미비점 심각성 평가 기준, 그리고 재무제표 수정, 회계 추정 등 다양한 상황에서 감사인이 어떻게 판단해야 하는지 상세히 설명해 드립니다.

29. 통제 이탈을 식별하면 무조건 미비점인가요?

[통제 이탈(Control Deviation)]: 통제가 설계된 대로 운영되지 않는 경우를 의미하며, '예외사항'이라고도 합니다.

[변이(Anomaly)]: 모집단의 이탈을 대표하지 않는 것이 명백한, 비체계적 또는 무작위적인 이탈을 말합니다.

감사인이 운영 효과성 테스트 결과 통제 이탈을 발견했을 때, 이 이탈이 변이가 아니고 이탈 횟수가 허용가능 오류 횟수를 초과한다면 내부회계관리제도 미비점으로 식별해야 합니다.

✅ 예시

일별 통제 테스트에서 최초 25개의 표본 중 변이로 판단되는 1개의 이탈이 발견되었고, 추가적인 15개 표본(총 40개)에서 이탈이 발생하지 않는다고 예상된다면 감사인은 표본을 확대하여 테스트를 수행할 수 있습니다. 추가 테스트 결과 이탈이 없었다면, 통제가 효과적으로 운영된다고 결론 내릴 수 있습니다.

감사기준서 1100 문단 42, A62, 감사기준서 530 문단 12~13, A17

30. 감사 전 재무제표 제출 후 수정되면 미비점인가요?

회사가 감사 전 재무제표를 제출한 이후에 재무제표가 수정되었다면, 감사인은 수정사항이 회사의 적절한 내부통제에 의해 식별, 승인, 반영되었는지 평가해야 합니다. 만약 적절한 내부통제 없이 수정이 이루어졌다면 이는 내부회계관리제도의 미비점입니다.

📋 감사인이 고려할 사항

• 통제 설계상 제출 이후 수행되는 통제(예: 보고기간 후 확정된 성과급 반영)로 인한 수정인가?
• '보고기간 후 사건'이 내부통제에 의해 식별되어 반영되었는가?

감사기준서 1100 문단 50, 58, A82, 회계감사실무지침 2018-3 문단15~17

31. 회계기준 해석 차이로 인한 왜곡표시는 중요한 취약점인가요?

감사인이 식별한 중요한 왜곡표시는 중요한 취약점의 지표로 고려해야 하지만, 반드시 중요한 취약점인 것은 아닙니다. 회사가 적절한 통제 절차를 효과적으로 설계, 운영했다면 회계기준 해석이나 판단 차이로 왜곡표시가 발생했더라도 중요한 취약점에 해당하지 않을 수 있습니다.

예를 들어, 회계정책 수립 및 적용 통제가 효과적이거나, 외부 전문가의 도움을 받고 의견을 검토하는 경영진 검토 통제가 효과적으로 운영된 경우입니다.

감사기준서 1100 문단 50, 58, A82

32. 간접 전사통제 미비점의 심각성 평가 방법

간접 전사통제의 미비점은 잠재적 왜곡표시 규모를 정량적으로 결정하기 어려워, 주로 질적 평가를 통해 심각성을 판단합니다. 감사인은 미비점이 내부회계관리제도의 각 구성요소와 원칙에 미치는 영향을 평가해야 합니다.

📋 심각성 평가 고려사항

• 미비점의 성격과 유의성
• 미비한 통제가 내부통제 구성요소와 원칙에 미치는 유의성
• 미비점에 직접적으로 영향을 받는 프로세스 수준 통제활동의 규모
• 미비점의 영향을 완화하는 보완통제가 존재하는지 여부

감사기준서 1100 문단 48~50, A74~A82

33. 기중에 개선된 간접 전사통제, 충분한가요?

개선된 간접 전사통제도 기존 통제와 마찬가지로 설계효과성 테스트와 운영효과성 테스트를 통해 효과성을 입증해야 합니다. 테스트 방법은 통제의 성격과 수행 빈도에 따라 달라질 수 있습니다.

⚠️ 중요: 통제 환경과 같은 전사적 수준 통제는 개선 효과가 나타나기까지 상당한 기간이 소요될 수 있다는 점을 고려해야 합니다. 이 과정에서 지배기구의 관점을 반영하여 개선 완료 시점을 판단하는 것이 필요합니다.

감사기준서 1100 문단 48~50, A74~A82

34. 기업이 생성한 정보의 미비점, 실증절차로 대체할 수 있나요?

아니요, 내부회계관리제도 감사 목적상 감사인이 직접 실증절차를 수행하여 통제 효과성 테스트를 대신할 수는 없습니다. 감사인은 회사가 정보의 완전성과 정확성을 확인하기 위해 설계, 운영하는 통제를 식별하고 테스트해야 합니다.

하지만 경영진이 대체적인 통제를 통해 정보가 실제로 완전하고 정확하게 작성되었음을 입증했다면, 감사인은 이를 미비점의 심각성을 완화하는 보완통제로 고려할 수 있습니다. 또한, 감사 과정에서 입수된 실증절차의 증거는 미비점의 심각성을 낮추는 간접적인 증거로 활용될 수 있습니다.

감사기준서 1100 문단 48~50, A74~A82

35. 고위 경영진의 부정, 어떻게 대응해야 하나요?

고위 경영진의 부정은 중요한 취약점의 지표입니다. 감사인은 부정의 금액적 중요성과 관계없이 지배기구에 부정 발생의 근본 원인을 분석하고 시정하도록 요청해야 합니다. 또한, 외부감사법에 따라 감사위원회에 부정 사실을 통보하고 필요한 조치를 취하도록 요청해야 합니다.

⚠️ 중요: 지배기구나 경영진이 부정의 원인을 충분히 조사하지 않거나, 미비점을 개선하지 않는다면 감사인은 이를 중요한 취약점으로 간주해야 합니다.

감사기준서 1100 문단 48~50, A74~A82

36. 불확실성 높은 환경에서의 회계 추정치 변경, 미비점인가요?

코로나19와 같이 불확실성이 높은 환경에서 경영진이 재무제표 작성 시점의 최선의 증거를 바탕으로 합리적인 추정을 했다면, 향후 추정치가 변경되더라도 내부회계관리제도 미비점에 해당하지 않습니다.

감사인은 회사가 추정에 사용한 가정과 근거를 문서화하고 충분히 공시했는지 확인해야 합니다. 만약 추정치가 명백히 비합리적이거나, 적용된 할인율이 시장 수용 범위 밖이라면 미비점에 해당할 수 있습니다.

감사기준서 1100 문단 48~50, A74~A82

Ⅶ. 회사의 문서화 및 평가: 경영진과 감사인의 역할

내부회계관리제도 평가에서 경영진의 역할은 매우 중요합니다. 특히 통제에 대한 문서화와 운영실태 평가는 감사의 핵심 절차에 영향을 미칩니다. 이 섹션에서는 경영진의 평가 활동과 문서화가 감사에 미치는 영향, 그리고 감사인이 이를 어떻게 평가하고 대응해야 하는지에 대해 자세히 살펴보겠습니다.

37. 감사인은 경영진의 운영실태 보고 내용에 대해 별도의 의견을 표명해야 하나요?

아니요. 감사인의 의견 표명 대상은 '내부회계관리제도' 자체의 효과성 여부이며, 경영진의 '운영실태에 관한 보고내용'에 대한 별도의 의견을 형성할 목적으로 감사 절차를 수행할 필요는 없습니다. 감사인은 운영실태 보고 내용이 모범규준에 따라 작성되었는지를 내부회계관리제도 효과성 감사 절차의 일부로서 평가합니다.

다만, 감사인은 내부회계관리제도 효과성에 대한 의견 형성 후, 보고서의 필수 요소가 불완전하거나 부적절하게 표시된 경우 경영진에게 수정을 요청하고, 수정되지 않으면 감사보고서에 해당 사실을 기재해야 합니다.

감사기준서 1100 문단 5, 59~60, A5~A6

38. 경영진의 운영실태 평가에 대해 감사인이 수행해야 하는 감사 절차는 무엇인가요?

경영진의 운영실태 평가는 내부통제 구성요소 중 모니터링에 해당합니다. 감사인은 경영진의 평가 계획, 평가 결과, 식별된 미비점 및 개선 계획 등을 검토하고, 평가의 적합성을 평가합니다. 일반적으로 감사인은 경영진의 개별 평가 절차를 재수행하는 등의 절차를 수행할 필요는 없습니다.

감사기준서 1100 문단 7, 24, A10~A11, A31~A32, 감사기준서 315 문단 15~17, 감사기준서 265 문단 A7

39. 경영진의 운영실태 평가에 미비점이 있으면 어떤 영향을 미치나요?

경영진의 운영실태 평가에 미비점이 있다면 이는 모니터링 구성요소의 미비점으로 식별됩니다. 감사인은 이 미비점이 다른 통제 테스트에 미치는 영향을 결정하고 심각성을 평가해야 합니다. 특히, 내부감사 기능이 수행한 평가 절차에서 미비점이 식별되면 감사인은 해당 업무를 감사 목적으로 활용할 수 없습니다.

감사기준서 1100 문단 24, 60, 77, A6, A10~A11, A31~A32

40. 통제 설계 문서화에 필수적으로 제시받아야 하는 문서가 있나요?

감사기준서에 따르면 경영진의 문서화 형태에 대해 특별히 규정된 바는 없습니다. 문서화의 범위는 기업의 규모, 복잡성, 모니터링 활동에 따라 달라질 수 있습니다.

💡 Tip: 기업 규모가 크고 복잡한 경우, 감사인은 프로세스와 통제를 이해하기 위해 업무흐름도나 업무기술서 등의 문서가 필요하다고 판단할 수 있습니다. 반면, 규모가 작고 단순한 경우 다른 문서로도 충분하다고 판단할 수 있습니다.

감사기준서 1100 문단 7, A6, A8~A9

41. 통제 설계 문서화가 부적절한 경우 미비점인가요?

네. 통제 설계 문서화는 전사적 수준 통제의 일부이므로, 문서화가 충분하지 않다고 판단되면 전사적 수준 통제의 미비점에 해당할 수 있습니다.

⚠️ 중요: 문서화가 부적절하면 통제 미실행, 부적절한 통제 운영, 모니터링 실패 등의 위험이 높아집니다. 감사인은 이러한 위험을 반영하여 통제 테스트의 성격, 시기, 범위를 조정해야 합니다.

감사기준서 1100 문단 7, A8~A9

42. 경영진의 테스트 절차 문서화가 미흡하면 어떻게 되나요?

모범규준에 따르면 경영진의 테스트 절차는 독립적인 제3자가 평가 절차와 결과를 이해하고 적정성을 검토할 수 있도록 충분히 문서화되어야 합니다. 감사인은 경영진의 테스트 절차 문서화 수준을 모니터링 통제의 효과성에 영향을 미치는 요소 중 하나로 고려해야 합니다.

감사기준서 1100 문단 7, 24, A10~A11, A31~A32

43. 내부회계관리제도 전담 조직이 없거나 CFO 산하에 있으면 미비점인가요?

전담 조직이 없거나 CFO 산하에 있더라도 회사가 모범규준에 따라 객관적인 평가를 수행하는 조직을 운영한다면 미비점에 해당하지는 않습니다. 하지만 감사인은 평가 수행자의 객관성과 적격성을 실질적으로 평가하여야 합니다.

감사기준서 1100 문단 7, 24, A10~A11, A31~A32

44. 경영진이 설계평가 시 추적조사를 하지 않으면 미비점인가요?

경영진이 추적조사를 수행하지 않았다고 해서 그 자체로 내부통제 미비점은 아닙니다. 추적조사는 설계 테스트의 증거를 확보하는 여러 방법 중 하나일 뿐이므로, 경영진이 다른 방법으로 위험평가 및 설계 테스트를 효과적으로 수행했음을 입증할 수 있다면 미비점이 아닙니다.

감사기준서 1100 문단 7, 24, A10~A11, A31~A32

45. 감사(위원회)의 평가를 감사하는 절차는 무엇인가요?

감사인은 감사(위원회)가 모범규준 문단 95의 활동을 수행했다는 증거를 확보하고, 평가보고서가 정보이용자를 호도하지 않는지 확인하는 절차를 수행합니다. 이를 위해 회의록이나 기타 문서를 열람합니다.

⚠️ 중요: 감사(위원회)의 독립적인 평가를 테스트할 때, 감사인이 경영진이 감사(위원회)에 보고한 자료만으로는 충분한 증거가 될 수 없으므로 주의해야 합니다.

감사기준서 1100 문단 26, A31, A82

Ⅷ. 감사보고서 작성: 내부회계관리제도와 감사 의견 표명

내부회계관리제도 감사의 최종 단계는 감사보고서 작성입니다. 재무제표 감사보고서와는 다른 고려사항들이 존재하며, 감사 의견이 변형될 경우 더욱 신중한 접근이 필요합니다. 이 섹션에서는 내부회계관리제도 감사보고서 작성 시 감사인이 유의해야 할 핵심 사항들을 정리해 드립니다.

46. 내부회계관리제도 감사보고서를 발행하면 재무제표 감사보고서의 특정 문구를 삭제해야 하나요?

네, 그렇습니다. 내부회계관리제도 감사보고서를 함께 발행할 경우, 재무제표 감사보고서 내 '재무제표감사에 대한 감사인의 책임' 단락에서 '내부통제의 효과성에 대한 의견을 표명하기 위한 목적이 아니'라는 문구는 삭제해야 합니다. 이는 두 보고서 간의 모순을 방지하고 명확성을 확보하기 위함입니다.

감사기준서 700 문단 38.(b).(ii)

47. 내부회계관리제도 감사보고서에 사용 제한 문구를 기재해야 하나요?

법규나 감사기준에서 사용 제한 문구의 기재를 의무화하고 있지는 않습니다. 다만, 감사인의 판단에 따라 재무제표 감사보고서와의 통일성을 높이기 위해 해당 문구를 기재할 수 있습니다.

[사용 제한 문구 예시]

이 감사보고서는 감사보고서일(2025년 X월 X일) 현재로 유효한 것입니다. 따라서 감사보고서일 이후 이 보고서를 열람하는 시점까지의 기간 사이에 회사의 내부회계관리제도에 중요한 영향을 미칠 수 있는 사건이나 상황이 발생할 수도 있으며 이로 인하여 이 감사보고서가 수정될 수도 있습니다.

48. 재무제표 감사의견 참조 시 '유의적인 회계정책의 요약을 포함한 주석'도 포함해야 하나요?

네, 포함하는 것이 바람직합니다. 내부회계관리제도 감사보고서에서 재무제표 감사의견을 참조할 때, 재무제표 감사보고서와 일관성을 유지하기 위해 '유의적인 회계정책의 요약을 포함한 재무제표의 주석'을 포함하여 기재해야 합니다.

감사기준서 1100 문단 70

49. 감사보고서에 윤리적 요구사항의 원천으로 무엇을 기재해야 하나요?

재무제표 감사보고서와 일관성을 높이는 차원에서, 내부회계관리제도 감사보고서에도 윤리적 요구사항의 원천을 '대한민국의 윤리적 요구사항'으로 기재하는 것이 바람직합니다. 이 표현은 공인회계사 윤리기준뿐만 아니라 외부감사법 등의 독립성 요구사항까지 포괄하는 의미를 가집니다.

감사기준서 1100 문단 69.d, 감사기준서 700 28.(c), A29~A31

50. 감사의견 변형 시 업무수행이사 이름 기재를 생략할 수 있나요?

네, 생략할 수 있습니다. 감사의견이 변형되면 투자자에게 미치는 영향이 커서 감사인이 위협에 직면할 수 있기 때문입니다. 내부회계관리제도 감사의견 변형의 영향이 재무제표 감사보다 적다고 볼 이유가 없으므로, '회계감사실무지침 2018-1'을 준용하여 업무수행이사 이름 기재를 생략할 수 있습니다.

감사기준서 1100 문단 69.h, 감사기준서 700 문단 45, 회계감사실무지침 2018-1 문단 4.(1)

51. 경영진의 보고서에 중요한 취약점이 누락된 경우 어떻게 해야 하나요?

'평가 및 보고 모범규준'에 따라 중요한 취약점은 운영실태보고서의 필수 구성요소입니다. 따라서 감사인이 식별한 중요한 취약점이 보고서에 포함되지 않았다면, 보고서의 필수 요소가 불완전하거나 부적절하게 표시되었다고 볼 수 있습니다.

⚠️ 중요: 이 경우 감사기준서 1100 문단 75에 따라 감사보고서에 중요한 취약점 누락 사실을 언급해야 합니다. 만약 의견근거 단락에 이를 기술할 경우, 정보이용자가 보고서의 불완전한 기재 때문에 부적정 의견이 표명된 것으로 오해하지 않도록 문구 작성에 유의해야 합니다. 기타사항 단락에 기재하는 것도 좋은 방법입니다.

감사기준서 1100 문단 60, 75, 77, A88

 

https://www.kicpa.or.kr/portal/default/kicpa/gnb/kr_pc/menu08/menu01/menu01/menu02.page?action=READ&boardId=acc0102&bltnNo=11729500555491