내부통제 제도와 내부회계관리제도

내부통제 평가란?

내부통제 평가는 기업이 구축·운영 중인 내부통제 시스템이 제대로 작동하는지 주기적으로 점검하고 그 결과를 문서화하는 활동이에요. 설계된 통제 절차가 실제로 실행되고 있는지, 취약점은 없는지를 확인하고 개선하는 과정 전체를 말해요.

외감법 제8조 및 제9조는 일정 규모 이상 법인에 내부회계관리제도의 운영 실태 평가와 그 결과 보고를 의무화하고 있어요. 외부감사 법인이라면 내부통제 평가 결과는 감사인의 감사 범위 결정에도 직접 영향을 줘요.

---

평가 주체와 절차

평가 단계:

1. 통제 설계 적정성 검토 — 각 위험에 대응하는 통제 절차가 설계돼 있는지 확인
2. 운영 유효성 테스트 — 설계된 통제가 정해진 빈도·방식대로 실제로 실행되는지 표본 검증
3. 취약점 분류 — 발견된 미비점을 '중요한 취약점(Material Weakness)' 또는 '유의한 미비점(Significant Deficiency)'으로 분류
4. 개선 계획 수립 및 이행 — 취약점별 원인 분석 후 시정 조치, 개선 후 재평가
5. 결과 보고 — 이사회·감사(위원회)·외부감사인에게 서면 보고

---

㈜예시상사 사례 — 내부통제 평가를 통한 취약점 발견 및 개선

㈜예시상사는 직원 45명 규모의 유통업체로, 외부감사 대상(자산 120억 원)에 해당해요. 회계팀이 연 1회 자체 내부통제 평가를 실시하던 중 아래 취약점을 발견했어요.

발견된 취약점:

• 매출채권 연령 분석(Aging Analysis)을 분기 1회 수행해야 하는 사내 규정이 있었으나, 실제로는 반기 1회만 수행되고 있었어요. 운영 유효성 테스트에서 통제 미이행 4건이 확인됐어요.
• 반품 처리 시 재고 환입 전표를 영업팀 담당자가 단독으로 입력·승인하는 구조여서, 의도적인 재고 과다 계상이 가능한 상태였어요.
• 법인카드 사용 한도 초과 건에 대한 사후 승인 기록이 5건 중 3건에서 누락돼 있었어요.

개선 조치:

1. 매출채권 연령 분석 주기를 회계시스템 자동 알림으로 전환해 분기 1회 이행을 의무화했어요.
2. 반품 재고 환입 전표에 회계팀의 이중 승인 단계를 추가하고, 권한 설정을 수정했어요.
3. 법인카드 한도 초과 사용 시 24시간 이내 팀장·CFO 이중 승인을 받도록 사내 규정을 개정했어요.

결과: 개선 조치 후 외부감사인 검토에서 해당 영역의 취약점 지적이 해소됐고, 감사 보고서에 강조 사항 기재 없이 적정 의견을 받았어요. 내부통제 평가 자체가 외부감사 비용 절감에도 기여한 사례예요.

---

FAQ

Q1. 내부통제 평가는 누가, 얼마나 자주 해야 하나요?

외감법 대상 법인(자산 100억 원 이상 등 기준 해당)은 대표이사가 매 사업연도 말 기준으로 내부회계관리제도 운영 실태를 평가하고 이사회와 감사에게 보고해야 해요. 평가 빈도는 연 1회가 법정 최소이지만, 실무에서는 분기별 핵심 통제 모니터링과 반기 심층 평가를 병행하는 방식을 많이 써요. 소규모 비외감 법인도 연 1회 자체 점검을 권장해요.

Q2. 평가에서 취약점이 발견되면 반드시 공시해야 하나요?

'중요한 취약점(Material Weakness)'으로 분류되면 감사보고서에 기재돼요. 외부감사인이 중요한 취약점을 발견하면 내부회계관리제도 감사의견이 '부적정'이 될 수 있어요. 반면 '유의한 미비점'은 경영진·감사위원회 구성·역할·운영 실무에 서면으로 전달하는 것으로 처리되고, 즉시 공시 의무는 없어요. 중요성 판단은 통제 미비가 재무제표 오류에 미치는 영향 규모와 가능성을 종합해요.

Q3. 내부회계관리제도가 없는 소규모 법인은 내부통제 평가를 어떻게 시작하나요?

법정 의무 체계가 없더라도 세 단계로 시작할 수 있어요. 첫째, 주요 위험 목록 작성 — 현금 지출·재고·매출채권 세 영역에서 오류·유용이 발생할 수 있는 경로를 목록화해요. 둘째, 현재 통제 절차 매핑 — 위험마다 지금 어떤 절차로 막고 있는지 기록해요. 셋째, 공백 확인·우선순위 개선 — 통제가 없거나 실제 실행되지 않는 위험을 우선 개선해요. 이 과정을 연 1회 반복하는 것만으로도 실질적인 내부통제 평가 사이클이 만들어져요.

---

자주 하는 실수

실수 1. 평가 서류를 작성만 하고 실제 이행 여부를 확인하지 않는 경우 체크리스트를 종이로 작성하고 서명하는 것으로 평가를 완료했다고 보는 경우가 많아요. 그러나 진정한 평가는 통제가 실제로 이행됐음을 증명하는 증거(결재 기록·로그·대조 내역)를 확보하는 것이에요. 서류만 갖추고 이행 증거가 없으면 외부감사인이 해당 통제를 '미이행'으로 처리해요.

실수 2. 취약점을 발견하고도 개선 계획을 수립하지 않는 경우 취약점 목록을 만들고 보고서에 기재하는 것으로 끝내는 경우가 있어요. 그러나 취약점은 원인 분석 후 개선 책임자·완료 기한·재평가 일정을 지정해야 실질적으로 해소돼요. 개선 계획 없이 같은 취약점이 다음 연도 평가에서도 반복되면 외부감사인은 경영진의 통제 의지 자체를 의심해요.

실수 3. 감사위원회 구성·역할·운영 실무이 없는 법인에서 경영진 자체 평가만으로 종결하는 경우 경영진이 설계·운영·평가까지 모두 담당하면 독립성이 없어요. 감사위원회 구성·역할·운영 실무가 없는 법인이라도 감사(1인)가 평가 결과를 독립적으로 검토하고 의견을 내야 해요. 감사가 형식적으로 서명만 하는 구조는 외부감사 시 내부통제 전체를 신뢰하기 어렵다는 신호로 받아들여질 수 있어요.

---

실무 체크리스트

• 평가 대상 핵심 통제 목록이 문서화돼 있고, 각 통제에 책임자·이행 주기·증거 유형이 명시돼 있어요
• 통제 이행을 증명하는 증거(결재 로그·대조표·회의록 등)를 통제 실행 시점에 저장하고 있어요
• 발견된 취약점에 대해 원인·개선 조치·완료 기한·담당자를 지정한 개선 계획서가 존재해요
• 평가 결과를 감사위원회 구성·역할·운영 실무 또는 감사에게 서면으로 보고하고 그 기록을 보존하고 있어요
• 전년도 취약점 개선 조치의 이행 여부를 당해 연도 평가에서 재확인하고 있어요

---