ISA 265: 감사 중 식별된 내부통제 미비점 보고 방법

ISA 265의 보고 체계와 적용 범위

ISA 265.1은 보고의 목적을 명시한다. 감사인은 "재무보고에 대한 내부통제의 미비점 중에서 전문가적 판단으로 경영진 및 지배기구의 주의가 필요한 사항"을 식별하고 전달해야 한다.

이 기준은 모든 감사에서 적용된다. 내부통제에 의존하지 않는 감사라도 ISA 315에 따라 내부통제를 이해하는 과정에서 중대한 미비점을 발견할 수 있다. 선택사항이 아니다.

ISA 265.4는 보고 대상을 두 단계로 구분한다. 중요한 미비점은 경영진에게 보고하고 중대한 미비점은 경영진과 지배기구 모두에게 보고해야 한다. 이 구분이 보고서 작성의 출발점이다.

중요한 미비점과 중대한 미비점의 구분

ISA 265.6은 중요한 미비점을 "내부통제의 미비점 또는 미비점의 결합으로서 경영진 및 지배기구의 주의가 필요할 만큼 중요한 것"으로 정의한다.

ISA 265.7은 중대한 미비점을 "내부통제의 미비점 또는 미비점의 결합으로서 중요한 왜곡표시가 적시에 예방되거나 발견되어 수정될 가능성이 합리적으로 낮은 것"으로 정의한다.

핵심 구분 요소는 중요한 왜곡표시의 발생 가능성이다. 중요한 미비점은 경영진 관심사항이지만 중요한 왜곡표시를 필연적으로 발생시키지는 않는다. 중대한 미비점은 중요한 왜곡표시가 발생할 합리적 가능성이 존재하는 경우다.

솔직히 현장에서 이 구분이 깔끔하게 떨어지는 경우는 드물다. 인차지들 사이에서도 의견이 갈린다.

실제 구분 적용

매출 승인 절차에서 10만 원 초과 계약은 이사 승인이 필요하다고 가정하자. 담당자가 15만 원 계약 2건을 승인 없이 처리했다. 중요한 미비점인지 중대한 미비점인지는 다음을 평가해야 한다.

- 통제 우회의 빈도(ISA 265.A8)와 발견되지 않은 유사 사례의 잠재적 규모 - 보완 통제의 존재와 실제 작동 여부 - 경영진의 통제 무력화 정도 - 해당 거래가 재무제표 왜곡에 미치는 영향 범위

단순히 절차 위반만으로는 중대한 미비점이 아니다. 중요한 왜곡표시 발생 가능성을 평가해야 한다.

미비점 심각성 평가 기준

ISA 265.A6-A11은 미비점의 심각성을 평가할 때 고려해야 할 요소를 제시한다.

미비점의 성격

ISA 265.A8에 따르면 다음 성격의 미비점들은 적어도 중요한 미비점으로 간주해야 한다:

- 경영진에 의한 부정 증거 - 이전에 전달된 중요한 미비점을 경영진이 수정하지 않은 경우 - 재무보고 과정에서 감사인이 중요한 조정을 식별한 경우 - 감사위원회의 재무보고 감독이 미흡한 경우

보상 통제의 영향

ISA 265.A9는 보상 통제를 평가할 때의 고려사항을 제시한다. 미비점이 있는 통제를 우회하는 다른 통제가 작동한다면 미비점의 심각성이 완화될 수 있다. 다만 보상 통제 자체가 정확성과 일관성을 갖추어야 한다.

막상 해보니까 보상 통제를 과대평가하는 경우가 많다. "월말에 검토하니까 괜찮다"는 논리로 일일 통제 부재를 넘기려는 팀이 있는데 품관실에서 반려당한다.

미비점의 정도와 범위

ISA 265.A10은 미비점이 재무제표 전체에 미치는 영향을 고려하도록 요구한다. 단일 계정과목에 국한된 미비점과 여러 업무 과정에 걸친 미비점의 심각성은 다르다.

실무 적용 사례

김강산업 주식회사(제조업, 매출 850억 원, 직원 380명)에서 발견된 미비점이다. 매출채권 연령 분석표가 월 1회 작성되지만 경리부장이 혼자서 작성하고 검토하는 사람이 없다. 대손충당금 설정 시 이 연령 분석표가 유일한 근거 자료다.

1단계: 미비점 식별 (ISA 265.5)

매출채권 연령 분석의 정확성에 대한 독립적 검토가 없다. 한 사람이 작성하고 검토하는 직무 분리 원칙 위반이다. 조서에 이대로 기재한다.

2단계: 심각성 평가 (ISA 265.A6-A7)

매출채권 잔액 95억 원이다. 전체 중요성 4.2억 원의 23%에 해당한다. 연령 분석 오류 시 대손충당금이 직접 영향 받는다. 월말 채권 잔액 확인이라는 보완 통제가 있지만 연령별 구분까지 검토하지는 않는다.

3단계: 분류 결정 (ISA 265.6-7)

중요한 미비점으로 분류한다. 중대한 미비점은 아닌 이유는 두 가지다. 월말 채권 잔액 확인이라는 보완 통제가 존재하고 경영진이 분기별로 주요 고객별 채권 현황을 별도 검토하고 있다. 연령 분석 오류가 즉시 중요한 왜곡표시로 이어지는 구조는 아니다.

4단계: 보고 대상 결정 (ISA 265.9)

중요한 미비점이므로 경영진에게만 서면으로 전달한다. 지배기구 보고는 불요하다. 다만 이 미비점이 다음 연도에도 시정되지 않으면 중대한 미비점으로 격상될 수 있다는 점을 경영진에게 명확히 전달해야 한다. 제 경험상 이 한 마디가 시정 조치를 끌어내는 데 결정적이다.

보고서 작성 실무

경영진 대상 보고서

ISA 265.9에 따라 중요한 미비점은 경영진에게 적시에 서면으로 전달해야 한다.

미비점의 정의와 설명부터 시작한다. "내부통제 미비점은 재무보고에 대한 내부통제에서 중요한 왜곡표시가 적시에 예방되거나 발견되어 수정되지 못할 합리적 가능성이 존재하는 경우"라는 표준 문구를 포함시킨다.

발견된 미비점을 구체적으로 기술하되 가능한 경영진의 개선 방향도 제시한다. 로컬 감사법인에서는 이 부분을 생략하는 경우가 많은데 금감원(FSS) 감리에서 보고서 적정성을 따질 때 불리하게 작용할 수 있다.

지배기구 대상 보고서

ISA 265.10에 따라 중대한 미비점은 지배기구에게도 서면으로 전달해야 한다.

"다음은 중대한 미비점으로서 중요한 왜곡표시가 적시에 예방되거나 발견되어 수정될 가능성이 합리적으로 낮습니다"라는 문구를 명시한다. 감사의견에 미친 영향도 설명해야 한다. 빅펌에서는 이 보고서를 품관실에서 별도 검토한다.

보고 시기

ISA 265.11은 감사보고서 서명일 이전에 전달하도록 규정한다. 실무에서는 현장감사 완료 즉시 전달하는 것이 일반적이다. 보고서일까지 미루면 경영진의 시정 기회가 사라진다.

실무 체크리스트

1. 미비점 식별 시 즉시 조서에 발견 경위와 평가 근거를 기록한다(ISA 265.12).

2. 중요한 미비점 판단 시 재무제표 중요성과의 연관성을 평가한다(ISA 265.A7).

3. 미비점을 완화하는 다른 통제가 있다면 그 작동 여부를 별도 평가한다(ISA 265.A9).

4. 미비점 전달 시 경영진의 반응과 개선 계획을 조서에 기록한다(ISA 265.A21).

5. 미비점이 수정되었는지 확인할 절차를 다음 연도 감사계획에 포함한다.

중대한 미비점 1건이 중요한 미비점 10건보다 감사 위험에 더 큰 영향을 미친다. 양보다 심각성에 집중해야 한다.