내부통제 시스템 구축
- 내부통제는 통제환경·위험평가·통제활동·정보소통·모니터링 5가지로 구성됩니다.
추천 대상 · 경리·재무·관리자
내부통제란?
내부통제(Internal Control)는 회사가 오류·부정·법규 위반을 예방하고 적발하기 위해 스스로 만드는 규정·절차·제도의 총합이에요. 외부 감사인은 감사할 때 내부통제 효과성을 평가하고, 내부통제가 강할수록 실증 테스트 범위가 줄어들어요.
---
COSO 프레임워크 5대 요소
국제적으로 가장 널리 쓰이는 COSO(Committee of Sponsoring Organizations) 모델을 기준으로 설명할게요.
1️⃣ 통제 환경 (Control Environment)
경영진의 윤리의식과 조직 문화가 내부통제의 토대예요.
| 실무 예시 | 내용 |
|---|---|
| 윤리 강령 | 직원 행동 규범 서면 제정·공지 |
| 직무 분리 | 회계 담당자 ≠ 승인자 ≠ 자산 보관자 |
| 이사회·감사 | 독립적 감사위원회 운영 |
> 핵심 원칙: 대표이사가 "규정보다 결과"를 강요하면 통제 환경이 무너져요.
2️⃣ 위험 평가 (Risk Assessment)
재무보고 왜곡 위험을 식별·분석해요.
- 고유 위험: 통제 없이 존재하는 본연의 위험 (예: 현금 많은 업종은 횡령 위험 高)
- 잔여 위험: 통제 적용 후 남은 위험
- 중요성 수준: 위험이 재무제표에 중요한 영향을 미치는지 판단
위험 평가 프로세스:
① 위험 목록 작성 (현금·재고·매출채권 등 과목별)
② 발생 가능성 × 영향 크기 = 위험 점수
③ 위험 점수 높은 항목에 강력한 통제 설계3️⃣ 통제 활동 (Control Activities)
위험을 줄이기 위한 구체적인 정책과 절차예요.
| 유형 | 예시 |
|---|---|
| 예방통제 | 지출품의서 결재 → 지급 실행 |
| 발견통제 | 월말 은행 잔액 대사(Bank Reconciliation) |
| 수동통제 | 관리자가 거래내역 검토·서명 |
| 자동통제 | ERP 시스템 중복 지급 자동 차단 |
직무분리(Segregation of Duties) 가 가장 중요한 통제활동이에요.
- 거래 시작자 ≠ 승인자 ≠ 기장자 ≠ 자산 보관자
- 소규모 회사는 직무분리가 어려우므로 대표 직접 검토로 보완해요.
4️⃣ 정보 및 의사소통 (Information & Communication)
관련 정보가 적시에 적절한 사람에게 전달되어야 해요.
- 회계 정보의 정확성·완전성·적시성 확보
- 내부 고발 채널(핫라인) 운영
- 경영진→직원·직원→경영진 양방향 소통
5️⃣ 모니터링 (Monitoring)
내부통제가 실제로 작동하는지 지속적으로 점검해요.
- 상시 모니터링: 일상 업무 중 자동으로 이상 감지 (ERP 경보 등)
- 별도 평가: 내부감사팀이 주기적으로 통제 테스트
- 발견 사항 보고: 통제 미비점은 경영진·이사회에 즉시 보고
---
소규모 기업 내부통제 체크리스트
| 항목 | 점검 내용 | 빈도 |
|---|---|---|
| 통장 대사 | 회사 통장 잔액 vs 장부 잔액 일치 여부 | 월 1회 |
| 현금 실사 | 실물 현금 vs 현금출납장 일치 여부 | 월 1회 |
| 거래처 대사 | 매출채권·매입채무 잔액 확인 | 분기 1회 |
| 고정자산 실사 | 비품·차량 실물 확인 | 연 1회 |
| 접근 권한 검토 | 퇴직자 ERP 계정 삭제 여부 | 수시 |
---
내부통제와 외부감사의 관계
외부 감사인의 감사 과정:
① 내부통제 이해 → ② 통제 위험 평가 → ③ 실증 테스트 범위 결정
↑
내부통제가 강하면 ③의 범위 축소 → 감사 비용·시간 절감---
내부통제 미비점 종류
| 유형 | 정의 | 대응 |
|---|---|---|
| 통제 미비점 | 통제가 약간 부족 | 개선 권고 |
| 유의한 미비점 | 재무제표 왜곡 가능성 있음 | 경영진 보고 필수 |
| 중요한 취약점 | 중대한 왜곡 표시 가능성 | 감사위원회 즉시 보고 |
> 중요한 취약점이 있으면 감사보고서에 내부통제 의견을 별도로 표명해요 (상장사 해당).
---
자주 묻는 질문
Q1. 내부통제와 내부회계관리제도는 같은 제도인가요?
아니에요. 여기서 설명한 내부통제는 재무보고뿐 아니라 운영 효율성·법규 준수까지 아우르는 전사적 통제 시스템이에요. 내부회계관리제도는 그중 '재무보고 신뢰성 확보' 부분에 집중한 법정 제도로, 외감법 제8조(내부회계관리제도의 운영 등)가 근거예요. 회사는 내부회계관리규정을 만들고 상근이사 1명을 내부회계관리자로 지정해 운영해야 하고, 회사 규모에 따라 감사인의 감사 또는 검토를 받아요. 규모별 적용 기준은 내부회계관리제도 K-SOX에서 확인해 주세요.
Q2. 외부감사 대상이 아닌 소규모 기업도 내부통제를 갖춰야 하나요?
법적 의무가 없어도 갖추는 편이 안전해요. 직무분리가 어려운 소규모 조직이라면 위 체크리스트에 있는 통장 대사·현금 실사부터 시작하는 것만으로도 횡령·오류 위험을 크게 줄일 수 있어요. 대표가 결재선에 직접 들어가 검토하는 것도 좋은 보완 통제예요.
Q3. 내부통제 미비점이 발견되면 반드시 외부에 알려야 하나요?
미비점 등급에 따라 달라요. 단순한 통제 미비점은 내부적으로 개선하면 충분하지만, 유의한 미비점은 경영진 보고가 필수이고, 중요한 취약점은 감사위원회에 즉시 보고해야 해요. 상장사는 중요한 취약점이 있으면 감사보고서에 내부통제 의견을 별도로 표명해야 하므로, 미비점 등급을 정확히 판단하는 것 자체가 중요한 실무예요.
---
자주 하는 실수
- 통제활동만 문서화하고 모니터링을 생략함: 지출결의서 결재선 같은 통제 활동만 규정으로 만들어 두고, 실제로 그 규정이 지켜지는지 점검하는 절차(5요소 중 모니터링)가 없으면 규정은 서류로만 남아요.
- 직무분리 없이 보완 통제도 생략함: 소규모 조직에서 담당자 1인이 기안·승인·집행을 모두 맡으면서, 대표 직접 검토 같은 보완 통제조차 두지 않으면 횡령·오류를 발견할 방법이 없어요.
- 회사 규모에 안 맞는 통제 체계를 그대로 도입함: 상장사 수준의 복잡한 통제 절차를 소규모 회사에 그대로 적용하려다 실행 인력이 없어 서류만 남고 실제로는 작동하지 않는 경우가 많아요.