ISA 265 내부통제 미비점 소통: 언제 어떻게 보고할 것인가

이 글에서 다룰 내용

> 학습 목표:
소통이 필요한 내부통제 미비점을 식별할 수 있습니다
중요한 미비점과 일반 미비점을 구분할 수 있습니다
경영진과 지배기구에 대한 소통 요구사항을 적용할 수 있습니다
감사기준서 265.9와 A1-A7에 따른 소통 시기를 결정할 수 있습니다

내부통제 미비점 식별

감사기준서 265.6은 내부통제 미비점을 "통제가 존재하지 않거나, 설계되지 않았거나, 운영되지 않아서 경영진이나 지배기구의 감독 하에 있는 직원이 재무보고의 목적을 달성할 수 없는 상황"으로 정의합니다.
실무에서는 세 가지 유형이 나타납니다. 설계 미비점(필요한 통제가 아예 없음), 운영 미비점(통제는 있지만 효과적으로 작동하지 않음), 그리고 심각성 평가 미비점(통제는 작동하지만 식별된 위험에 대응하기에 불충분함)입니다.
감사기준서 315.26에 따라 내부통제를 이해하는 과정에서 미비점을 발견하게 됩니다. 추가로 감사기준서 330의 세부 감사절차를 수행하면서도 미비점을 식별할 수 있습니다. 중요한 점은 모든 미비점이 소통 대상은 아니라는 것입니다. 감사기준서 265.7은 "경영진과 지배기구의 주의가 필요하다고 판단하는" 미비점만 소통하도록 규정합니다.

소통 대상 결정 기준

감사기준서 265.A1은 소통 여부를 결정할 때 고려해야 할 요소들을 제시합니다. 미비점이 재무제표 왜곡표시로 이어질 가능성, 피감사기업이 미비점을 식별했을 가능성, 그리고 보상통제의 존재 여부입니다.
가능성 평가에서는 미비점이 중요한 왜곡표시를 야기할 "합리적 가능성"이 있는지 판단합니다. 이는 원격하거나 희박한 가능성이 아닙니다. 정상적 상황에서 발생할 수 있는 현실적 위험을 의미합니다.
기업의 인지 가능성도 중요합니다. 경영진이나 지배기구가 이미 인지하고 있고 적절한 조치를 취하고 있다면 소통의 우선순위가 낮아집니다. 하지만 인지 여부에 대한 가정보다는 직접 확인하는 것이 좋습니다.
보상통제는 원래 통제의 미비점을 상쇄할 수 있는지 평가해야 합니다. 감사기준서 265.A3은 보상통제가 충분히 정확하고 세밀해야 한다고 규정합니다. 월말 분석검토가 일일 승인 통제의 미비점을 보상할 수 있는지는 거래의 성격과 금액에 따라 다릅니다.

중요한 미비점 평가

감사기준서 265.8은 중요한 미비점을 "감사인의 전문가적 판단으로 지배기구의 주의가 필요할 정도로 심각한 내부통제 미비점"으로 정의합니다. 중요한 미비점으로 분류되면 지배기구에 서면으로 소통해야 합니다(감사기준서 265.9).
감사기준서 265.A5-A7은 중요한 미비점을 나타내는 지표들을 제시합니다. 부정 위험이 있는 영역의 통제 부족, 경영진에 의한 재무보고 절차 무시, 재무보고 담당 인력의 역량 부족이 대표적입니다.
정량적 지표도 있습니다. 미비점으로 인해 발생할 수 있는 왜곡표시의 크기가 수행중요성을 초과한다면 중요한 미비점일 가능성이 높습니다. 하지만 금액이 작더라도 질적 요소(부정 위험, 관련거래, 복잡한 회계처리)가 있다면 중요한 미비점이 될 수 있습니다.
통제 환경의 미비점은 특히 중요합니다. 최고경영진의 윤리적 자세, 지배기구의 독립성, 경영진의 통제 무시 행위는 개별 통제의 효과성에 광범위한 영향을 미칩니다.

실무 적용 사례

한빛제조 주식회사는 매출 350억 원, 직원 120명의 제조업체입니다. 감사팀은 다음 미비점들을 발견했습니다:
1단계: 매출 인식 통제 부재
월 매출 15억 원을 처리하는 과정에서 출하 문서와 매출 기록 대조 절차가 없었습니다. 창고직원이 출하증을 작성하면 회계팀이 그대로 매출로 인식합니다.
문서화: "매출 인식 시 출하 증명 검증 통제 부재. 월 15억 원 거래에 영향. 잠재적 조기 매출 인식 위험 존재."
2단계: 경비 승인 한도 초과
100만 원 초과 경비는 이사 승인이 필요하지만, 3건(각각 250만 원, 180만 원, 320만 원)이 과장 승인만으로 처리되었습니다.
문서화: "경비 승인 한도 위반 3건. 총 750만 원. 승인 권한 매트릭스 준수 미흡."
3단계: IT 접근 권한 관리
퇴사자 5명의 ERP 접근 권한이 퇴사 후 평균 2주간 유지되었습니다. 이 중 2명은 회계모듈 접근이 가능했습니다.
문서화: "퇴사자 접근 권한 해지 지연. 회계모듈 접근 가능 2명 포함. 무단 거래 처리 위험."
결론: 1단계는 중요한 미비점(매출 인식 위험, 금액 중요성), 2-3단계는 일반 미비점으로 분류. 1단계는 지배기구에 서면 소통, 2-3단계는 경영진에 구두 또는 서면 소통.

소통 체크리스트

소통 대상 결정:
중요한 미비점 평가:
소통 요구사항:

재무제표 왜곡표시 발생 가능성이 원격 수준을 넘는가?
미비점이 수행중요성 수준의 영향을 미칠 수 있는가?
기업이 해당 미비점을 인지하고 있는가?
효과적인 보상통제가 존재하는가?
부정 위험 영역의 통제와 관련되는가?
경영진이 내부통제를 무시한 증거가 있는가?
통제 환경의 전반적 효과성에 영향을 미치는가?
지배기구의 즉각적 주의가 필요한 정도로 심각한가?
중요한 미비점: 지배기구에 서면 소통(감사기준서 265.9)
기타 미비점: 경영진에 구두 또는 서면 소통 가능(감사기준서 265.10)

흔한 실수들

보상통제 과대평가
월말 분석검토가 모든 일일 거래 통제 부재를 보상한다고 가정하는 경우가 있습니다. 감사기준서 265.A3은 보상통제의 정확성과 세밀함을 요구합니다.
소통 시기 지연
중요한 미비점을 최종 감사보고서와 함께 소통하는 팀들이 있습니다. 감사기준서 265.12는 적시 소통을 요구하므로 발견 즉시 소통해야 합니다.
정량적 기준에만 의존
금액이 작다고 해서 자동으로 중요하지 않다고 판단하면 안 됩니다. 부정 위험이나 관련거래와 연결된 미비점은 금액과 관계없이 중요할 수 있습니다.