자금 담당자 횡령 사고 사례 — 체크카드·OTP 분리로 막는 법
- 중소기업 자금 담당자 횡령 사례 3가지의 공통 원인은 권한 분리 실패였어요. 체크카드, OTP, 인터넷뱅킹 권한을 나눠 두는 절차로 사고를 예방할 수 있어요.
중소기업 자금 사고 발생 현황
한국공인회계사회와 ACFE(Association of Certified Fraud Examiners) 통계에 따르면 중소기업의 약 30%가 5년 내 자금 사고를 경험해요. 평균 손실은 회사 매출의 약 5%이고, 발견까지 평균 12개월이 걸려요. 더 큰 문제는 발견된 사고의 70% 이상이 권한 분리 실패가 원인이라는 점이에요.
이 글에서는 실제 사례 3가지와 그 원인을 보고, 체크카드·OTP·인터넷뱅킹 권한을 어떻게 분리하면 막을 수 있는지 구체적으로 설명할게요.
실제 사례 3가지
사례 1 — ㈜A 도매업, 회계 직원이 3년간 1.8억 횡령
㈜A는 직원 30명 도매업체. 경리 김OO이 작성·결재·송금 권한을 모두 가지고 있었어요. 김OO은 가짜 거래처 'XX 무역'을 시스템에 등록한 뒤 매월 500만 원씩 본인 가족 계좌로 송금했어요. 3년간 누적 1.8억이 빠져나갔지만 매월 적은 금액이고 회사 정상 거래에 묻혀 발견되지 않았어요.
발견 계기는 외부 감사인이 거래처 실사를 하면서 'XX 무역' 사업장 주소가 가짜라는 사실을 발견하면서였어요. 김OO은 형사 고소되었고 가족 자산 압류로 8천만 원 정도만 회수되었어요.
사례 2 — ㈜B 식당 체인, 매니저가 카드 환불 부정으로 6개월간 5천만
㈜B는 매장 5개 식당 체인. 각 매장 매니저에게 회사 체크카드를 지급했어요. 매니저 이OO은 손님이 카드로 결제한 후, 본인 카드로 다시 환불 처리해 차액 5천만 원을 6개월간 본인 계좌로 회수했어요.
발견 계기는 본사 회계팀이 분기 카드 매출과 매장 매출이 일치하지 않는 것을 발견하면서였어요. 카드사 거래 내역과 POS 매출을 대조한 결과 환불 패턴이 발견됐어요.
사례 3 — ㈜C 제조업, 자금부장이 OTP 도용으로 1억 송금
㈜C 자금부장 박OO은 휴가 중 후임에게 OTP 토큰을 빌려줬어요. 후임이 OTP 사진을 핸드폰에 저장했고, 박OO 퇴직 후에도 OTP 사진을 이용해 거짓 송금 1억 원을 실행했어요.
발견 계기는 다음 자금부장이 인터넷뱅킹 거래 내역에서 본인이 모르는 송금을 발견하면서였어요. OTP 도용은 형사 처벌이지만 실제 자금 회수는 5천만 원 정도에 그쳤어요.
공통 원인 — 권한 분리 실패
세 사례의 공통 원인은 똑같아요. 한 사람이 자금 처리의 시작부터 끝까지 모든 권한을 가졌어요.
| 단계 | 이상적 분리 | 사례 1 (㈜A) | 사례 2 (㈜B) | 사례 3 (㈜C) |
|---|---|---|---|---|
| 거래처 등록 | 구매팀 | 경리 단독 | 매니저 단독 | 자금부장 |
| 송금 작성 | 경리 담당 | 경리 단독 | 매니저 단독 | 자금부장 |
| 결재 | 자금부장·CFO | 경리 단독 | 매니저 단독 | 자금부장 단독 |
| OTP·인증서 사용 | 결재자 본인 | 경리 단독 | 매니저 단독 | OTP 공유 |
| 사후 감사 | 회계·감사 | 외부 감사만 | 본사 분기 | 후임 발견 |
한 명이 모든 권한을 가지면 부정을 막을 사람이 없어요. 권한을 4단계로 나누면 부정을 위해서는 4명이 공모해야 하므로 발생 확률이 극히 낮아져요.
체크카드·OTP·인터넷뱅킹 분리 절차 (실무 가이드)
1단계: 인터넷뱅킹 권한 매트릭스 작성
은행 인터넷뱅킹은 보통 조회권·이체신청권·결재권 3가지를 분리할 수 있어요. 다음과 같이 설계해요.
| 역할 | 조회 | 이체 신청 | 결재 (1차) | 결재 (2차) |
|---|---|---|---|---|
| 경리 담당 | ✅ | ✅ | ❌ | ❌ |
| 자금 부장 | ✅ | ❌ | ✅ | ❌ |
| CFO·재무 이사 | ✅ | ❌ | ❌ | ✅ (1억 초과) |
이 매트릭스는 은행 영업점 방문 시 신청서로 등록해요. 변경 시 대표 인감과 사업자 등록증 사본이 필요해요.
2단계: OTP 발급·관리 원칙
- OTP 1인 1개: 결재 권한자별 본인 명의로 발급
- 대여 절대 금지: 휴가·출장 시에도 대여 ❌ (대리인 OTP 별도 발급)
- 분실 즉시 신고: 24시간 내 은행 신고 + 재발급
- 사진 보관 ❌: 핸드폰·PC에 OTP 사진 저장 ❌
- 퇴직 즉시 회수: 퇴직 당일 OTP 회수 + 은행에 권한 회수 신청
3단계: 체크카드 분리·한도 설정
| 카드 종류 | 발급 대상 | 일 한도 | 월 한도 |
|---|---|---|---|
| 영업 활동 카드 | 영업팀장 | 100만 | 1,000만 |
| 매장 운영 카드 | 매장 매니저 | 50만 | 500만 |
| 임원 카드 | 임원 | 200만 | 2,000만 |
| 경리 결제 카드 | 경리 부장 | 500만 | 5,000만 |
한도를 사전 설정하면 카드 부정 사용 시 손실을 한도 내로 제한할 수 있어요. 카드사 앱에서 실시간 거래 알림을 활성화하면 부정 사용을 즉시 발견할 수 있어요.
4단계: 일일 자금 보고 의무화
경리 담당이 매일 아침 전일 자금 일계표를 작성해 자금부장 결재를 받아요. 양식은 다음과 같아요.
- 전일 마감 잔액 (모든 계좌 합계)
- 당일 입금 내역 (거래처별)
- 당일 출금 내역 (거래처별)
- 당일 마감 잔액
- 통장 잔액 대조 확인 (일치 ✓)
일계표가 통장 잔액과 일치하지 않으면 그 자리에서 원인을 찾아 해결해요. 누적되면 한 달 뒤에 1억 차이가 생길 수 있어요.
5단계: 거래처 신규 등록 결재
신규 거래처 등록은 구매팀이 작성하고 자금부장이 결재해요. 거래처 사업자등록증·통장 사본을 받아 보관하고, 사업장 주소는 실제 방문 또는 구글 지도 검색으로 1차 검증해요. 가짜 거래처 등록을 막는 가장 효과적인 방법이에요.
6단계: 분기 자체 감사
매 분기 회계 담당이 자금부와 분리되어 다음을 검토해요.
- 거래처별 송금 횟수·금액 (이상 패턴 확인)
- 매출과 카드 환불 정합성
- 체크카드 사용 내역 표본 점검 (10건)
- 인터넷뱅킹 로그인 기록 (시간·IP 비정상)
작은 회사도 가능한 최소 분리
직원 5~10명 회사는 완전한 권한 분리가 어려울 수 있어요. 하지만 최소한 다음 2가지는 분리해야 해요.
- 송금 작성과 결재 분리: 회계 담당자가 작성, 사장 또는 다른 임원이 결재
- OTP는 결재자 본인만 사용: 경리에게 빌려주지 않기
이 두 가지만 지켜도 사례 1·3 같은 사고는 막을 수 있어요. 사례 2(카드 환불 부정)는 카드사 거래 알림 + 분기 정합성 검토로 막을 수 있어요.
사고 발생 시 대응 — 첫 24시간이 중요
의심 거래를 발견했다면 다음 순서로 대응해요.
- 1시간 내: 의심 직원의 인터넷뱅킹·OTP 권한 즉시 회수. 추가 거래 차단.
- 24시간 내: 통장 잔액·거래 내역 출력, 가짜 거래처 자료 보관, 컴퓨터 압류·복사 (증거 보전).
- 1주 내: 사실 확인 (조사 팀 구성). 외부 감사인·법무사 자문.
- 2주 내: 형사 고소 (업무상 횡령 — 형법 제356조), 자산 가압류 신청 (회수 가능성 ↑).
- 1개월 내: 내부 통제 재설계, 권한 분리 강화, 임직원 교육.
특히 의심 직원에게 사전 통보하면 증거 인멸 위험이 높으므로 권한 회수가 끝난 뒤에 통보해요.
바로 점검할 자금 권한 5가지
- 오늘 인터넷뱅킹에 로그인해 본인 외에 누가 권한이 있는지 확인해보세요.
- 회사 OTP를 누가 가지고 있는지, 분실 가능성은 없는지 점검하세요.
- 체크카드 사용자별 한도를 카드사 앱에서 설정하고 거래 알림을 활성화하세요.
- 최근 3개월간 가장 큰 송금 5건의 거래처가 실재하는지 사업자등록 조회로 확인하세요.
- 분기 자체 감사 일정을 캘린더에 등록하세요. 자금부와 분리된 사람이 점검하는 것이 핵심.
관련 위젯 — 적격증빙 자가진단으로 거래별 필요 증빙을 확인할 수 있어요. 권한 분리·통제 활동에 대한 깊이 있는 내용은 직무분리 원칙 — 부정 방지 내부통제 핵심과 자금 권한·OTP 분리 — 사고 방지 이중 통제 페이지를 참고하세요.