작동 방식
감사위험은 세 가지 구성 요소의 곱으로 표현됩니다. ISA 200.A41은 이 관계를 정의합니다. 고유위험은 감사인이 통제할 수 없는 오류 가능성입니다. 경제 환경, 산업 특성, 거래의 복잡성이 결정합니다. 통제위험은 기업의 내부통제가 왜곡표시를 예방하거나 적발하지 못할 가능성입니다. 발견위험은 감사인의 절차가 존재하는 왜곡표시를 적발하지 못할 가능성입니다. 이것만 감사인이 통제합니다.
높은 고유위험과 통제위험을 무시할 수 없습니다. 감사인은 이를 인정하고 발견위험을 충분히 낮춰야 합니다. 즉, 더 정밀한 절차, 더 큰 표본, 더 강력한 증거가 필요합니다. ISA 330.7(a)는 평가된 부정행위 위험에 대해 순수 실질 절차를 요구합니다. 이는 선택사항이 아닙니다.
감사위험은 거꾸로 계산되지 않습니다. "우리가 취할 수 있는 발견위험은 전체 감사위험을 80%로 설정하고 역산하는 것"이라는 접근은 ISA 200의 의도를 곡해합니다. 위험 평가가 먼저 옵니다. 절차 설계가 따릅니다.
실무 사례: 로덴 식품 주식회사
사례: 로덴 식품 주식회사, FY2024, 매출 €28.5M, IFRS 보고 중소기업
1단계: 고유위험 평가: 로덴은 식품 제조사로 재고 처리가 복잡합니다. 인수 합병 후 시스템 통합 중입니다. 경제 침체로 대형 소매업체 고객이 지급 기한을 연장했습니다. 경영진 교체로 내부 통제 문서화가 미흡합니다. 고유위험 = 높음 (재고 복잡성, M&A 통합, 수금 불확실성, 거버넌스 약화).
문서화 노트: 위험 평가 워킹페이퍼에서 고유위험을 높음으로 평가한 근거를 재고 순환, 미수금 구성, 인원 변화별로 기록합니다.
2단계: 통제위험 평가: IT 통합이 완료되지 않아 재고 추적에 수작업 확인이 많습니다. 대금 회수 통제는 아직 구축 중입니다. M&A 후 결재 권한 재정의가 문서화되지 않았습니다. 통제위험 = 높음 (자동화 불완전, 프로세스 재설계 중, 권한 기록 부족).
문서화 노트: 통제 평가 워킹페이퍼에서 통제 설계의 부재 또는 운영 불일치를 각 영역별로 기록하고, 평가된 통제위험과 연결합니다.
3단계: 필요한 발견위험 설정: 고유위험 높음 × 통제위험 높음이므로 발견위험을 매우 낮게 설정해야 합니다. 표준 감사위험 목표 5%에서 시작하면, 발견위험 = 5% ÷ (높음 × 높음)로 개념적으로 계산됩니다. 이는 표본 크기를 크게 늘리고, 분석적 절차를 보강하며, 경영진 확인보다 외부 증거를 우선해야 함을 의미합니다.
문서화 노트: 실질 절차 계획에서 높은 위험 영역별 샘플 크기, 테스트 범위, 증거 유형을 명시합니다.
결론: 로덴의 높은 복합 위험은 표준 감사 범위를 초과하는 절차를 정당화합니다. M&A 통합 검증, 재고 카운트 입회, 수금 추적을 표본 테스트가 아닌 모집단 수준에서 수행해야 할 수 있습니다. 이 판단은 감사위험 평가에 근거합니다. 평가 없으면 이 결정은 방어 불가능합니다.
감리관과 실무자가 놓치는 점
- 신뢰도 수치 없는 '높은 위험': 많은 팀은 위험을 "높음", "중간", "낮음"으로 분류하지만 ISA 320.A2는 평가된 부정행위 위험에 대해 더 높은 신뢰도(낮은 발견위험)를 요구합니다. "높은 위험이므로 표본을 두 배로"는 불충분합니다. 얼마나 높은가? 그것이 절차에 미치는 영향은? 이 매핑이 워킹페이퍼에 없으면 감리에서 지적합니다.
- 위험 평가 후 변화에 따른 갱신 누락: ISA 315.32(b)는 감시 활동 중 위험을 재평가하도록 요구합니다. 현장 조사 중 발견한 추가 약화된 통제는 발견위험을 더 낮춰야 함을 의미합니다. 대부분의 팀은 계획 단계의 위험 평가에 머물러 있으며, 감사 수행 중 새로운 정보에 따른 갱신을 문서화하지 않습니다.
- 감사위험과 중요성의 상충 이해 부족: 높은 감사위험은 낮은 성과중요성을 정당화할 수 있습니다. ISA 320.9는 고유위험과 통제위험을 고려하여 성과중요성을 결정하도록 요구합니다. 감사위험이 높으면 같은 거래에서도 더 낮은 임계치를 적용해야 합니다. 이 두 판단의 연결고리가 조서에 없으면 불일치로 보입니다.
- 복합 위험의 상호작용 미고려: ISA 315.A5는 고유위험 요소들이 상호 영향을 미칠 수 있다고 설명합니다. 예를 들어 M&A 통합 중인 기업에서 경영진 교체와 시스템 전환이 동시에 발생하면, 각 요소를 개별적으로 "중간"으로 평가해도 복합 효과는 "높음"일 수 있습니다. 많은 팀이 각 요소를 독립적으로만 평가하고 상호작용을 고려하지 않습니다.
감사위험과 부정행위 위험
감사위험과 부정행위 위험은 다릅니다. ISA 240.26은 부정행위 위험이 있는 영역에서 순수 실질 절차를 요구합니다. 이는 감사위험이 단순히 "높다"는 것과 다릅니다. 부정행위 위험은 의도성을 포함하며, 더 강한 증거와 더 깊은 의심이 필요합니다. 재고 가격 책정 오류(회계 복잡성)와 재고 횡령(부정행위)은 모두 감사위험을 높이지만, 후자는 ISA 240 절차를 추가로 요구합니다.
관련 용어
---
- 고유위험: 통제 없이 오류가 발생할 가능성. 고유위험이 높으면 발견위험이 더 낮아져야 합니다.
- 통제위험: 기업의 내부통제가 오류를 예방하거나 적발하지 못할 위험. 감사위험의 두 번째 요소.
- 발견위험: 감사 절차가 오류를 적발하지 못할 위험. 감사인이 유일하게 통제할 수 있는 요소입니다.
- 성과중요성: 감사위험이 높을수록 성과중요성은 낮아져야 합니다.
- ISA 315 개정: 위험 식별 및 평가의 최신 요구사항.
- ISA 330 실질절차: 평가된 위험에 따른 절차 설계 방법.