정보기술 일반통제(ITGC) — 접근권한·프로그램 변경·전산 운영 통제

개념수정일 2026년 10월 12일택스위키 편집위원회읽는 데 8분근거 5건

요약

일반통제는 프로그램 개발, 프로그램 변경, 프로그램·데이터 접근보안, 컴퓨터 운영 네 영역으로 나뉘어요.
일반통제 하나로 재무제표 왜곡을 막지는 못하지만, 자동통제와 IT에 의존하는 수동통제는 일반통제의 효과성에 기대요.
핵심통제가 의존하는 시스템만 평가하고, 일반통제가 비효과적이면 테스트 대상 통제 수를 늘리는 것을 검토해요.

추천 대상 · 내부회계관리제도 평가를 준비하는 회계 담당자와 IT 담당자

정보기술 일반통제의 뜻과 적용 대상

정보기술 일반통제(ITGC, IT General Controls)는 정보시스템이 구입·개발되고, 유지·보수되고, 운영되는 전 과정에 걸친 통제예요. 내부회계관리제도 평가·보고에서는 ERP·회계 프로그램의 로그인 권한, 프로그램 수정, 백업처럼 시스템이 믿을 만하게 돌아간다는 전제를 만드는 통제를 가리켜요.

일반통제 하나만으로 재무제표의 왜곡을 막거나 찾아내지는 못해요. 대신 자동통제(예: 신용한도를 넘는 주문이 입력되면 시스템이 그 거래를 자동으로 잠그는 설정)와 시스템 보고서에 기대는 수동통제(예: 시스템이 뽑은 미수금 연령 분석표를 보고 담당 임원이 승인하는 절차)가 계속 정상으로 동작한다는 근거가 돼요. 감사인이 ERP 권한 목록과 프로그램 변경 기록을 요청하는 이유가 여기에 있어요. 권한과 변경이 관리되지 않으면 자동통제를 한 번 확인한 결과를 그 해 전체로 믿을 수 없기 때문이에요.

적용 대상은 외부감사법 제8조에 따라 내부회계관리제도를 갖춰야 하는 회사예요. 주권상장법인이 아닌 회사로서 직전 사업연도 말 자산총액이 1천억원 미만이면 법 제8조 제1항 단서에 따라 적용 제외 대상이에요. 시행령 제9조 제1항은 유한회사, 자산총액 5천억원 미만 회사(주권상장법인·공시대상기업집단 소속·사업보고서 제출대상법인·금융회사는 제외) 등도 적용 제외 대상으로 정해요. 의무 대상의 전체 요건은 내부회계관리제도 문서에 있어요.

평가 범위는 회사 전체 IT가 아니에요. 핵심통제가 자동통제이거나 IT에 의존하는 수동통제일 때, 그 통제가 쓰는 시스템의 일반통제만 평가하면 돼요. 재무보고 위험과 관계없이 운영 효율만 다루는 IT 통제는 평가 대상이 아니에요.

핵심 기준

내부회계관리제도 평가·보고 기준과 적용기법은 재무보고와 관련된 일반통제를 네 영역으로 나눠요.

영역	통제 내용	확인 자료 예시
프로그램 개발	새 시스템 도입을 경영진이 승인하고, 테스트와 문서화를 거치고, 이전 데이터의 완전성을 유지	도입 승인서, 테스트 결과, 데이터 이전 대사표
프로그램 변경	변경 요청 승인, 테스트와 결과 문서화, 운영 반영 전 관리자 승인	변경 요청서, 테스트 결과, 이관 승인 기록
프로그램·데이터 접근보안	계정 추가·수정·삭제 절차, 접근권한 적정성의 정기 검토, 물리적·논리적 접근통제	사용자 권한 목록, 권한 신청서, 정기 검토 서명본
컴퓨터 운영	백업·복구 절차와 복구 테스트, 장애 기록·분석, 일괄처리(배치)·온라인 거래의 정확한 처리	백업 로그, 복구 테스트 기록, 장애 처리 대장

개념체계는 같은 내용을 원칙 11(정보기술 일반통제의 선정과 구축)에서 정보기술 인프라, 보안관리, 정보기술의 취득·개발·유지보수 세 가지로 묶어요. 이름은 달라도 담는 통제는 같아요.

접근보안에서 눈여겨볼 지점은 네 가지예요.

퇴사자·부서 이동자의 권한 회수 시점
개발자나 IT 관리자가 운영 데이터를 직접 고칠 수 있는지
관리자 계정이나 공용 계정의 사용
권한 목록을 정기적으로 검토하고 서명한 기록

평가 방법과 표본

일반통제 평가는 설계 평가와 운영 평가로 나뉘어요. 설계 평가에서는 절차가 문서로 있고 위험을 막을 만한지 보고, 운영 평가에서는 실제로 수행된 증거를 표본으로 확인해요.

상황	평가 방향
일반통제가 효과적으로 평가됨	자동통제는 하나 또는 적은 표본으로 운영 효과성 확인
일반통제 설계가 비효과적으로 평가됨	테스트 대상 통제 수를 늘리는 방안 검토
수동 일반통제가 연 1회 수행	모집단 1개이므로 전부 테스트
수동 일반통제가 분기별 수행	모집단 4개 중 2개 정도 표본
수동 일반통제가 월 1회 수행	모집단 12개 중 2~5개 정도 표본

자동통제의 기말 평가를 줄이려고 중간평가일 이후 프로그램 변경이 없었는지 확인하는 절차(Benchmarking Approach)를 쓰더라도, 그 근거가 되는 일반통제의 기말 평가는 반드시 수행해야 해요.

중소기업은 범위를 줄일 수 있어요. 사업 구조가 단순한 중소기업이 개별 수정이 허용되지 않는 범용소프트웨어를 쓰면 개발 방법론 전 영역을 갖추지 않아도 되고, 개발자가 운영환경에 직접 접근하는 등 업무분장이 충분하지 않다면 시스템이 산출한 자료의 정확성을 확인하는 통제 중심으로 설계·운영할 수 있어요. 이렇게 범위를 줄였다면 근거를 문서로 남겨 두는 편이 좋아요.

엑셀 같은 최종 사용자 컴퓨팅(EUC, End-User Computing)과 외부 업체에 맡긴 IT 기능도 같은 관점으로 봐요. 재무보고 프로세스에 쓰는 엑셀 파일은 접근, 수정 관리, 다른 시스템과의 일치 여부에 대한 통제를 두고, 위험이 높으면 시스템 애플리케이션으로 옮기는 것을 고려해요. 클라우드나 외부 업체가 운영하는 시스템은 서비스조직 통제에 대한 인증보고서(인증업무기준서 3402)가 있으면 재무적으로 중요한 IT 기능이 범위에 들어 있는지 확인해요.

감사인에게 자료를 제공하는 법적 근거

감사인은 내부회계관리제도 평가나 검토에 필요한 자료와 정보를 대표자에게 요청할 수 있고, 대표자는 특별한 사유가 없으면 지체 없이 제공해야 해요(외부감사법 시행령 제9조 제6항). 일반통제 증빙은 보통 한꺼번에 많이 요청되므로 연중에 모아 두는 편이 결산 시기 부담을 줄여요.

계산·처리 예시

㈜예시상사는 외부감사 대상 제조업체이고, ERP의 매출채권 연령 분석표를 근거로 대손충당금 설정을 승인하는 통제가 핵심통제예요. 이 통제는 IT에 의존하는 수동통제라서 ERP의 일반통제를 함께 평가해요.

일반통제	모집단	표본	결과	평가
퇴사자 계정 삭제	연간 퇴사자 18명	18명 전부	3명이 10일 이상 지나서 삭제	미비점, 대체 통제 확인 필요
운영 이관 승인	연간 이관 24건	24건 전부	2건 승인 기록 없음	미비점, 이관 승인 절차 보완
권한 정기 검토	반기 1회, 연 2회	2회 전부	하반기 검토 서명 누락	미비점
백업 복구 테스트	연 1회	1회	정상 복구 확인	이상 없음

미비점이 나오면 그 영향이 연령 분석표 정확성에 닿는지 확인해요. 퇴사자 3명의 계정이 실제로 로그인한 기록이 없고, 이관 2건 모두 사후 승인과 테스트 결과가 확인된다면 영향이 제한적이라고 판단할 수 있어요. 반대로 일반통제 설계가 비효과적으로 평가되면 테스트 대상 통제 수를 늘리는 방안을 검토해요. 이 판단은 미비점 평가 절차를 따르며, 등급 분류는 미비점 등급 — 단순·유의한·중대한 분류 문서를 보세요.

자주 하는 실수

일반통제를 회계팀 밖의 일로 둠: 권한 신청과 변경 승인은 IT 부서가 하지만, 어떤 시스템과 통제가 재무보고에 걸려 있는지는 회계팀이 정해서 알려야 해요. 시스템 목록과 핵심통제를 연결하는 표를 먼저 만들어요.
권한 목록을 뽑기만 하고 검토 기록을 남기지 않음: 정기 검토는 목록, 검토자, 검토일, 조치 내용, 서명이 남아야 증빙이 돼요. 이메일로 "문제없음"이라고 답한 기록만으로는 부족할 수 있어요.
개발자·관리자의 운영 데이터 직접 수정을 허용: 작업이 필요하면 요청서, 승인, 작업 로그를 남기고, 어렵다면 산출 자료의 정확성을 확인하는 통제로 보완해요.
재무보고와 무관한 시스템까지 모두 평가: 핵심통제가 의존하는 시스템만 대상으로 하고, 제외한 시스템과 이유를 문서화해요.
자동통제를 한 번 확인하고 그 해 전체를 인정: 일반통제 평가가 뒷받침될 때만 적은 표본이 인정돼요. 일반통제 평가와 자동통제 테스트를 같은 표에서 관리해요.