작동 원리
이해관계자 참여의 실무적 의미는 단순 정보 수집이 아닙니다. 감사기준서 315.27은 감사인이 기업과의 의사소통을 통해 경영 환경, 사업 전략의 변화, 지배구조의 유효성, 경영진의 무결성을 구체적으로 평가할 것을 요구합니다.
구체적으로 세 가지 계층에서 참여해야 합니다. 첫째, 지배구조(감사위원회 또는 유사한 독립적 감시 기구)와의 소통입니다. 감사기준서 260에서 요구하는 감시자와의 의사소통과는 다릅니다. 315.27의 맥락에서는 감사 위험 평가 단계에서 기업의 내부 감시 체계와 그 한계를 이해하기 위한 것입니다. 둘째, 내부감사 부서와의 소통입니다. 감사기준서 610.8은 내부감사가 수행한 업무의 적절성을 평가할 것을 요구하며, 이는 315.27 참여를 통해 시작됩니다. 셋째, 현장 직원과의 직접 면담입니다. 회계담당자만이 아닌 영업팀, 생산팀, 물류팀과의 대화는 부정 위험 신호, 내부 통제 우회 가능성, 경영진 지시의 수준을 드러냅니다.
문서화는 흔한 약점입니다. "지배구조와 면담함" 기록만으로는 부족합니다. 감사기준서 315.A119는 참여를 통해 식별된 위험 요소, 대응 사항, 추가 절차의 필요성 여부를 기록할 것을 예시합니다. 감사 조서는 누가, 언제, 무엇을 물었는지, 어떤 답변과 증거를 얻었는지, 이것이 위험 평가에 어떻게 반영되었는지를 보여야 합니다.
실무 예시: 헬시 푸드 주식회사
클라이언트: 한국 식품 제조사, 2024년 3월 결산, 매출 830억 원, K-IFRS 보고.
1단계: 지배구조와의 면담 계획
헬시 푸드는 상장사이며 감사위원회를 보유합니다. 감사 팀장은 위험 평가 단계의 시작 시점에 감사위원회 의장과 30분 면담을 일정합니다. 감사기준서 315.27 외에도 상법 제395조 규정에 따릅니다.
문서화 노트: 감사 조서 "RBA-001: 지배구조 면담 기록" 작성. 일시, 참석자, 주요 질문, 답변 기록.
2단계: 위험 신호 식별
면담 중 감사위원회 의장은 최근 6개월간 4명의 영업담당자가 퇴사했으며, 특정 지역 매출 목표 달성 압박이 높다고 언급합니다. 또한 지난해 하반기부터 세금 우대 혜택이 적용되는 지역에 소재한 협력사로부터의 매입이 급증했음을 의장이 지적합니다.
문서화 노트: 조서에 "부정 위험 신호: (1) 급격한 인력 이탈 (2) 매출 성과 기반 보상 (3) 특정 지역 협력사 집중도 상승" 기록. 추가 절차의 필요성 판정.
3단계: 내부감사 부서와의 소통
내부감사팀장과의 면담을 통해 내부감사팀이 지난해 영업 거래에 대한 감시 절차를 수행했는지 확인합니다. 면담 결과, 내부감사팀은 매입 거래에는 집중했으나 매출 거래에는 상위경영진의 요청으로 절차를 축소했다는 답변을 얻습니다.
문서화 노트: 조서에 "내부감사 적용 범위 제한 사실 기록. 감사기준서 610.8에 따라 내부감사 업무의 객관성 의문 발생. 매출 거래 감시 절차는 감사인이 직접 수행할 필요 판정."
4단계: 현장 직원 면담
영업팀 사원 3명(이름과 직책 기록)과 30분씩 비공식 면담을 실시합니다. 한 사원은 분기 말 마감 직전에 "확정되지 않은 주문"을 매출로 계상하도록 지시받은 경험을 공개합니다.
문서화 노트: 조서 "RBA-002: 현장 직원 면담 기록" 작성. 익명성 유지하되 직책, 근무 기간, 구체적 진술 기록.
결론
이해관계자 참여의 결과는 "위험 평가 없음"이 아닌 "높은 부정 위험 + 추가 절차 필요"로 정리됩니다. 이 평가 없이는 감사팀이 표준적인 규모의 매출 거래 표본 추출을 계획했을 것입니다. 참여를 통해 매출 거래에 대한 세밀한 정량적 분석(예: 분기 말 집중도 분석, 협력사 거래의 반환 이력)이 추가되었습니다.
감사인과 감리당국이 놓치는 부분
- 거형 법인의 표준 관행과 중소 법인의 현실의 혼동. 거형 법인의 경우 준비된 감시자(감사위원회, 내부감사팀)가 체계적으로 기능합니다. 중소 법인의 감사인은 감시 기능이 약하거나 형식적이라는 사실을 인정하고, 대신 현장 직원과의 직접 대화 빈도를 높여야 합니다. 감사기준서 315.27은 참여의 "형태"를 규정하지 않습니다. 상황에 따라 적절한 방식을 선택하고 문서화하는 것이 핵심입니다.
- 면담 기록의 부재 또는 과도한 형식화. 일부 감사 팀은 "지배구조와 면담함"이라는 한 줄의 조서 기록으로 315.27을 충족했다고 봅니다. 감사위원회와의 면담이 30분간 이루어졌다면 조서는 최소 2-3페이지(주요 질문, 답변, 위험 평가로의 연결)를 담아야 합니다.
- 경영진과의 면담만으로 충분하다는 가정. 부정이 존재하면 경영진은 이를 공개하지 않습니다. ISA 240.A56은 경영진이 내부 통제를 우회하는 동기와 수단을 평가할 것을 명시합니다. 이는 경영진 면담만으로는 불가능하며, 독립적인 제3자(감사위원회, 내부감사, 현장 직원)와의 소통을 필수로 합니다.
- IT 부서 면담의 생략. 많은 감사 팀이 재무팀, 경영진, 감사위원회만 면담하고 IT 부서를 생략합니다. ISA 315.A69는 정보 시스템과 관련 통제를 이해하도록 요구합니다. IT 부서와의 면담을 통해 시스템 접근 권한 관리, 데이터 무결성 통제, 자동화된 거래 처리의 변경 이력 등을 파악할 수 있습니다. 특히 ERP 시스템 전환이나 대규모 IT 프로젝트가 진행 중인 기업에서는 필수입니다.
관련 용어
---
- 부정 위험 평가: 이해관계자 참여는 부정 위험 신호를 식별하는 첫 번째 절차입니다.
- 지배구조와의 의사소통: ISA 260에서 요구하는 의사소통과 다르며, 315.27 위험 평가 단계에서의 참여를 전제합니다.
- 내부감사 업무의 평가: ISA 610.8에 따른 내부감사 부서의 객관성과 역량 평가는 이해관계자 참여의 결과로 판정됩니다.
- 경영 환경 이해: 이해관계자 참여는 기업의 사업 전략, 규제 환경, 리스크 요소에 대한 이해를 구체화합니다.
- 부정에 대한 책임: ISA 240은 감사인의 부정 적발 책임을 정의하며, 이해관계자 참여는 이 책임을 실행하는 기본 절차입니다.
- 위험 기반 감사: 이해관계자 참여의 결과가 감사 전략과 절차 수준을 결정합니다.