법정 감사(Forensic Audit)

어떻게 작동하는가

표준 감사(ISA 240)와 FA는 모두 사기를 다루지만 범위와 방법이 완전히 다릅니다. 감사인은 ISA 240.15에 따라 사기 위험을 식별하고 대응해야 합니다. 그러나 이는 "합리적 보증"을 제공하는 것이지 부정행위를 적발·입증하기 위해 설계된 절차가 아닙니다.

FA는 처음부터 사기 입증을 목표로 설계됩니다. 증거는 법적 기준에 따라 수집되며 연쇄 보관(chain of custody) 절차를 따릅니다. 디지털 포렌식, 자산 추적, 거래 상세 분석이 포함되기도 합니다. ISA 330.15(c)가 언급하는 "예상 외의 거래 또는 관계 검토"보다 훨씬 깊이 들어갑니다.

FA는 독립된 업무입니다. 재무감사 중에 의심이 제기되면 별도의 FA 계약을 새로 시작해야 합니다. 명시적인 계약서, 범위 정의, 법적 권고 사항(증거 보존, 고소 가능성)이 함께 따라옵니다.

실제 사례: 트로피컬 인터내셔널 B.V.

클라이언트: 네덜란드 식품 수출 회사. 2024년 회계연도. 연매출 €87M. IFRS 보고

배경: 정기 재무감사 중 매출 거래에서 예상과 다른 패턴이 잡혔습니다. 3월부터 8월까지 동일 구매자 3명이 월 €2.8M의 일관된 거래를 처리했는데 구매자의 실제 상업 활동 기록이 맞지 않았습니다.

Step 1: 의심 문서화 감사 팀은 예상 외 거래를 서면으로 기록하고 경영진에 통보했습니다. ISA 240.A29-A30에 따른 문서: 거래 목록, 날짜 범위, 구매자 신원, 발생 금액 및 계정 영향. 이 단계에서 표준 감사는 계속됩니다.

Step 2: 독립적 FA 업무 개시 의심이 해소되지 않고 경영진이 적절한 설명을 제공하지 못하자 회사는 별도의 FA 계약을 시작하기로 결정했습니다. 새로운 계약서: 법정 감사인 역할, 증거 수집 권한, 법적 보존 요구사항, 최종 보고 대상자(감사위원회).

Step 3: 법적 기준에 따른 증거 수집 법정 감사인은 구매자의 은행 기록, 송금 목적지 추적, 구매자 신원 조회, 이메일 통신 분석을 수행했습니다. 모든 증거는 연쇄 보관 기록과 함께 유지되었습니다. 문서화: 각 증거의 원본 위치, 수집 날짜, 검사자 신원, 수정 및 확인 사항. 법적 소송을 대비한 형식.

Step 4: 재구성된 거래 경로 분석 결과 €16.8M(총 거래액의 100%)이 구매자의 명목상 계좌를 거쳐 동일한 최종 수취자 3명에게로 흘러갔습니다. 세 수취자 모두 경영진 임직원의 가족 관계자였습니다. 문서화: 매출 거래에서 최종 현금 수취자까지의 단계별 흐름도, 수취자의 신원 확인 증거(공식 기록), 유사점 분석.

Step 5: 최종 보고 FA 보고서는 법원 또는 규제 기관에 제출하기 위해 증거를 선별·요약했습니다. 표준 감사 의견이 아닌 사실 발견 형식입니다. 문서화: 부정행위 경로 설명, 수량화된 손실액, 법적 정의(자산 횡령 또는 관련자 거래).

검토자들과 실무자들이 놓치는 부분

- FA와 표준 감사의 혼동: 일부 회계법인은 표준 재무감사 중 강화된 사기 테스트("강화된 감사 절차")를 FA와 같은 것으로 봅니다. ISA 240.32-35는 감사인이 사기 위험에 대응하도록 요구하지만 증거를 법적 기준에 맞춰 수집하거나 소송을 지원하도록 설계된 절차는 아닙니다. 표준 감사 중 사기 징후가 발견되면 별도의 FA 업무를 검토해야 합니다.

- 증거 보존과 연쇄 보관의 과소평가: FA는 법적 입증이 목표이므로 증거 처리 절차가 엄격합니다. 이메일 기록, 디지털 파일, 은행 명세서는 원본 형식으로 보존되어야 하고 누가·언제·어디서·어떤 목적으로 접근했는지 모두 기록되어야 합니다. 적지 않은 회계법인이 내부 통제 테스트와 법정 조사를 같은 수준으로 취급하면서 증거 보존을 가볍게 봅니다. 그 결과 법적 소송에서 증거 자체가 인정받지 못하기도 합니다.

- 독립성과 전문성의 부재: FA는 표준 감사 팀이 수행할 수 없습니다. 클라이언트의 기존 감사인이 사기 업무를 맡으면 이해 충돌이 생깁니다. FA에는 포렌식 회계, 디지털 포렌식, 법적 문서 분석 같은 별도의 기술이 필요합니다. 국제 검사 기준(ISAE 3402 등)도 이러한 독립성을 전제로 합니다.

감리 언어와 실무 언어 사이

금감원 감리 결과에서 자주 보는 문구가 있습니다.

> 금감원: "분식회계를 알았음에도 이를 묵인·방조하였다."

실무에서 이게 무슨 뜻이냐. 알고도 눈 감았다. 같이 덮었다. FA 보고서가 법원에 제출될 때 입증해야 하는 것은 바로 이 지점입니다. "묵인·방조"라는 단어 뒤에 있는 행위 — 어느 미팅에서 누가 무엇을 알았고, 그 다음 어떤 메일을 보냈고, 어느 조서에서 그 사실을 누락했는지. 경험상 일반 감사 조서로는 여기까지 들어가지 않습니다. FA 계약을 새로 트는 이유가 그것입니다.

관련 용어

- 사기 위험 대응 - ISA 240에 따른 표준 감사 중 감사인의 사기 위험 대응 절차. FA와 달리 합리적 보증을 목표로 합니다.

- 자산 횡령 - FA가 가장 자주 다루는 부정행위 유형. 직원 또는 경영진의 자산 유용입니다.

- 관련자 거래 - FA에서 종종 포착되는 거래. ISA 550은 공시를 요구하지만 은폐된 관련자 거래를 적발하는 것은 FA의 영역입니다.

- 증거의 충분성과 적절성 - ISA 330이 요구하는 기준. FA는 이보다 더 높은 법적 기준을 적용합니다.

- ISAE 3402 보고서 - 서비스 조직의 통제 평가. 포렌식 조사와 달리 통제 효과성을 입증합니다.

관련 ciferi 도구

ISA 240 사기 위험 평가 키트 - 표준 감사 중 사기 위험을 식별하고 문서화하는 도구. FA가 필요한지 판단하기 위한 기초 단계입니다.

---