자금횡령 사고 발생했던 그 회사들, 공통점은 '부실한 IT통제'

임종철 디자이너 /사진=임종철 디자이너

IT시스템에 대한 통제를 제대로 하지 않을 때 기업 내부자에 의한 횡령 등 자금통제 부실이 초래될 수 있다는 지적이 제기됐다.

9일 삼정KPMG가 발간한 '한국·미국 내부회계관리 제도 비교와 시사점' 보고서에 따르면 한미 양국 모두 재무정보 산출 과정에서 IT시스템의 의존도가 높아진 점은 공통적이지만 미국에서는 IT 통제를 중요하게 인식하는 반면 한국에서는 그에 대한 중요성에 대한 인식이 상대적으로 낮다고 분석됐다.



"IT시스템상 접근권한 통제, 보안, 상급자 검토통제 강화해야"김유경 삼정KPMG ACI(감사위원회 지원센터) 리더는 "경영진과 감사(위원회)는 내부회계관리 제도의 신뢰성·일관성 확보를 위해 IT통제 중요성에 대한 인식 전환이 필요하다"며 "자금통제 문제를 예방하기 위해 뭣보다 서류상 업무분장을 넘어 실제 IT 시스템상 업무분장과 접근권한 통제가 제대로 이뤄지는지 점검할 필요가 있다"고 했다.

보고서는 "한국에서 올해 처음으로 IT통제 미흡이 내부통제의 중요 취약점으로 지적되기 시작했다"며 "사업영역 확대 및 거래의 복잡성으로 인해 재무제표 산출에 IT기술의 중요성도 계속 높아지고 있다"고 했다.

또 "IT통제가 미흡하면 회사가 산출하는 재무정보 전반에 신뢰성이 낮아질 수 있다"며 "IT통제에 각별한 관심을 기울여야 한다"고 했다.


이어 "최근 한국에서 발생한 횡령 등 자금통제 미비 사건을 보면 업무분장 미흡이 주요 원인으로 꼽힌다"며 "업무분장과 실질적 IT시스템상 접근권한 통제, 물리적·논리적 보안, 상급자 검토 통제 등이 강화돼야 한다"고 지적했다.

내부회계관리 제도란 재무제표 작성·공시 등 재무보고와 관련한 리스크를 줄여 기업의 재무회계에 대한 신뢰를 높이기 위해 내부통제 시스템이 적절히 구성돼 있는지 감사를 통해 점검하는 절차를 일컫는다. 국내에서도 2018년 외부감사법 개정을 계기로 재무제표에 대한 감사와 별도로 내부통제 감사 의무화가 기업 규모별로 단계적으로 확대돼 왔다.


"재무정보 작성과정 IT의존도 심화, IT통제 미흡이 내부통제 부실 초래"

/자료 = 삼정KPMG

내부통제 감사에서 비적정을 받는 비율은 한미 양국 모두 최근 3년간 늘어나는 추세다. 한국에서 비적정 의견을 받은 기업의 비율은 2019년 2.5%에서 2021년 0.9%로 늘었다가 지난해 다시 2.5%로 늘었다. 미국에서도 내부통제 비적정 기업의 비율은 2019년 6.8%에서 2020년 4.7%로 줄었다가 지난해 다시 7.6%로 늘었다.

비적정 비율이 줄었다가 늘어난 현상만 보면 한미 양국이 비슷하지만 그 이유는 다르다. 한국은 내부통제 감사대상이 대폭 확대(2019년 160개사→2022년 1510개사)된 탓에 비적정 기업의 비율이 늘었지만 미국은 회계당국의 감독강화 기조로 비적정 비율이 높아졌다는 분석이다.

내부통제에서 중요한 취약점 상위 5개 요소도 한국과 미국은 달랐다. 한국에서는 △감사범위 제한(25.4%) △회계인력 및 전문성 부족(20.1%) △당기 감사과정에서의 재무제표 수정(19.1%) △자금통제 미비(14.4%) △고위 경영진의 부적절한 행위 및 태만(10.5%) 등이 꼽힌 반면 미국은 △IT통제 미흡(22.3%)이 가장 큰 비중을 차지했고 △회계 인력 및 전문성 부족(22%) △부적절한 공시통제(16.3%) △업무분장 미흡(16.1%) △비경상적 거래 통제 미비(5.9%) 등이 꼽혔다.

한국에서는 '범위제한'이 가장 높은 비중을 차지했지만 미국에서는 범위제한을 이유로 비적정을 받은 곳은 전무했다. 범위제한은 내부통제 감사 관련 증빙이나 자료가 불충분하거나 부적절하게 제공되는 경우, 계속기업 가정에 불확실성이 있는 경우 등 심각한 부실이 있다는 의미다.

IT통제 미흡은 미국에서 가장 높은 비중을 차지했지만 한국에서는 지난해가 돼서야 이 이유로 비적정 의견(3개사)이 처음 나왔다. 미국에서는 재무정보 산출시 IT역할을 중시하는 업무 환경이기 때문에 IT통제의 중요성을 그만큼 중요하게 보는 반면 한국에서는 최근 들어서야 이같은 문제를 인식했다는 평가다.

보고서는 "미국에서 '업무분장 미흡'을 지적받은 101개사 중 70%가 IT통제도 미흡한 것으로 나타났다"며 "이는 실질적으로 업무분장이 이뤄지기 위해서 IT상 실질적 권한 등도 분리돼야 함을 의미한다"고 했다. 또 "IT를 통해 대부분의 재무정보가 산출되는 만큼 향후 IT통제의 중요성이 높아질 것"이라며 "IT통제와 관련한 실질적 IT권한 등 업무분장도 수반돼야 한다"고 했다.