통제위험

작동 원리

ISA 330.6에 따라 감사인은 내부통제의 설계와 운영 효과성을 평가한다. 평가는 두 단계로 나뉜다.

첫째, 설계 평가다. 회사가 중요한 왜곡표시를 예방하거나 적발할 수 있도록 설계된 통제를 갖추고 있는지 확인한다. 매출 거래에 독립적인 승인 권한이 있는가, 일일 현금 차이를 검토하고 기록하는 담당자가 별도로 있는가 하는 식이다.

둘째, 운영 효과성 평가다. 설계된 통제가 실제로 돌아가고 있는지 확인하는 단계다. ISA 330.8은 통제가 실제로 작동했다는 증거 수집을 요구한다. 승인 문서, 검토 기록, 시스템 로그 등을 표본으로 뽑아 검증하는 작업이다.

평가 결과가 나머지 감사절차의 범위를 좌우한다. 통제위험이 낮으면 통제에 의존할 수 있으므로 실증절차를 줄인다. 높으면 통제를 믿을 수 없으므로 실증절차를 확대해야 한다.

실무 예시: 유성산업 주식회사

한국의 중견 제조사 유성산업 주식회사(매출 85억 원, K-IFRS 적용)는 국내외 판매처 200개소 이상과 거래한다. 주간 매출 거래가 평균 300건 발생한다.

1단계 통제 환경 파악 감사팀이 매출 프로세스를 추적했다. 영업담당자가 고객 주문을 받으면 시스템에 입력하고, 신용한도 초과 거래는 자동으로 차단된다. 발송 후 송장과 청구서가 자동 생성된다.

조서 기록: "매출 통제의 자동화 기능 확인. 신용한도 초과 거래 3건 검증 결과, 모두 시스템에서 차단됨."

2단계 통제 운영 효과성 평가 3개월(1월~3월) 동안 발생한 매출 거래 중 무작위로 30건을 선택했다. 각 거래마다 신용한도 조회 기록, 발송 승인 증거(웨어하우스 발송 지시), 청구서 발송 기록을 확인했다. 30건 중 28건은 모든 단계를 거쳤고, 2건은 승인 증거가 불완전했다(우발적 오류).

조서 기록: "샘플 30건 중 28건 통제 운영 확인. 편차율 6.7%. ISA 530.8 고려 결과 수인가능오류율 이내로 판단."

3단계 통제위험 평가 결론 통제 설계가 견고했고 운영 편차율이 낮았으므로 통제위험을 "낮음"으로 평가했다. 매출 범위 테스트와 분석적 절차 조합으로 충분하다고 판단했고, 항목별 상세 검증은 확대하지 않았다.

결론 견고한 통제가 운영되고 있었으므로 감사인이 통제에 의존할 수 있었고, 결과적으로 더 효율적인 감사 접근이 가능했다.

감리에서 지적되는 사항

통제 운영 증거의 부족 금융감독원(금감원)과 한국공인회계사회 감리 보고서에서 반복적으로 지적되는 사항 중 하나가 통제 운영 증거의 불충분함이다. 통제가 설계되었다는 건 확인했는데, 해당 기간 동안 실제로 매 거래마다 또는 충분한 빈도로 운영되었다는 증거가 빠져 있는 경우가 많다. 제 경험상 로컬 펌에서 이 부분이 가장 자주 걸린다.

기준서 위반으로 이어지는 구조 ISA 330.8은 통제의 운영 효과성에 대한 충분하고 적절한 증거 수집을 요구한다. 증거가 부족하면 통제위험 평가가 틀어지고, 감사절차 범위를 부적절하게 줄이는 결과로 이어진다. 예를 들어 월간 은행 조정이 "매월 수행된다"고 조서에 기록되어 있는데 실제로는 4개월 중 1개월만 조정 증거가 있는 경우, 이건 통제 운영의 편차로 기록해야 하고 실증절차를 그에 맞춰 조정해야 한다.

평가와 절차 범위의 단절 솔직히 빅펌이 아닌 회계법인에서 가장 많이 보이는 패턴이다. 통제위험 평가는 수행하지만 그 결과를 실증절차 범위에 충분히 반영하지 않는다. 통제위험을 "높음"으로 평가해 놓고 표본 크기나 수행 방식은 그대로 두는 경우다. ISA 330.7은 평가된 통제위험이 높을수록 더 광범위하고 상세한 실증절차를 요구한다. 조서에 평가 결과만 적어 놓고 절차에 연결하지 않으면 감리에서 바로 걸린다.

관련 용어

- 통제위험은 감사위험을 구성하는 세 요소(고유위험, 통제위험, 적발위험) 중 하나다.

- 고유위험은 내부통제를 고려하기 이전의 왜곡표시 위험이며, 통제위험은 내부통제가 그 위험을 어느 정도 줄일 수 있는지를 평가한다.

- 통제위험이 높으면 적발위험을 낮추기 위해 실증절차를 확대해야 한다.

- 내부통제는 경영진이 설계하고 운영하는 정책과 절차의 체계로, 통제위험 평가의 직접적인 대상이다.

- ISA 330이 통제위험의 평가와 그에 따른 실증절차 설계를 규정하며, ISA 315가 위험 식별과 내부통제 평가의 기초를 제공한다.

관련 도구

ISA 330 통제테스트 워크시트를 사용하면 통제위험 평가 결과를 실증절차 설계와 연계하는 과정을 체계화할 수 있다. 각 주요 통제에 대해 설계 평가, 운영 효과성 평가, 실증절차 범위 조정을 한 조서에서 문서화하도록 구성되어 있다.

---