통제 활동 설계 — 위험 대응 통제 구축
요약
- 위험 평가 결과 기반 통제 활동 설계 절차, RACI 매트릭스, 통제 문서화, 효과 검증, 정기 갱신을 단계별로 정리했어요.
통제 활동 설계란?
위험 평가에서 식별된 위험에 대응하는 구체적 통제 활동을 설계하는 과정.
위험 → 통제 → 위험 ↓ → 목표 달성. 신입 회계 담당자는 통제 설계 절차를 알아야 해요.
---
통제 설계 5단계
[1] 위험 식별 (위험 평가 결과)
↓
[2] 통제 목적 정의
↓
[3] 통제 활동 설계 (예방·발견·교정)
↓
[4] 통제 문서화 (RACI·매뉴얼)
↓
[5] 효과 검증·갱신---
단계별 설계 절차
1단계: 위험 식별
위험 평가 결과 활용 위험 평가 — 회사 위험 식별·분석·대응.
예시 — ㈜예시상사 핵심 위험 3개:
- 자금 횡령 위험 (고위험)
- 매출 누락 위험 (중위험)
- 재고 부정 위험 (중위험)
2단계: 통제 목적 정의
각 위험에 대한 통제 목적:
| 위험 | 통제 목적 |
|---|---|
| 자금 횡령 | 부정 자금 유출 방지 |
| 매출 누락 | 모든 매출 정확 인식 |
| 재고 부정 | 재고 빼돌리기·평가 부정 방지 |
3단계: 통제 활동 설계
위험 1: 자금 횡령
예방 통제:
- 권한 분리 (작성·결재·송금)
- 금액별 결재 라인
- 거래처 사전 검증
발견 통제:
- 일일 자금 대조
- 분기 내부 감사
- 연 외부 감사
교정 통제:
- 부정 발견 즉시 차단
- 시스템 강화
위험 2: 매출 누락
예방 통제:
- 매출 자동 등록 (POS·ERP)
- 세금계산서 의무 발급
발견 통제:
- 매출 vs 재고·자금 정합성
- 거래처 매입 교차 검증
교정 통제:
- 누락 발견 시 정정 신고
- 시스템 강화
위험 3: 재고 부정
예방 통제:
- 입출고 권한 분리
- 바코드·CCTV
발견 통제:
- 분기 실사
- 회전기일 분석
교정 통제:
- 차이 발견 시 조사
- 시스템 강화
4단계: 통제 문서화
(1) RACI 매트릭스
각 통제 활동의 책임 명확화:
| 통제 | R (Responsible) | A (Accountable) | C (Consulted) | I (Informed) |
|---|---|---|---|---|
| 자금 결재 | 경리 (작성) | 자금부장 (결재) | CFO (자문) | 감사 (통보) |
| 매출 등록 | 영업 (등록) | 영업부장 (검토) | 회계 (자문) | CFO (통보) |
- R: 실제 수행
- A: 최종 책임
- C: 자문 받음
- I: 정보 받음
(2) 통제 매뉴얼
- 통제 활동 상세 절차
- 책임자·일정
- 예외 처리
- 보고 양식
(3) 통제 매트릭스 (RCM, Risk Control Matrix)
| 위험 | 통제 활동 | 종류 | 빈도 | 책임자 | 증빙 |
|---|---|---|---|---|---|
| 자금 횡령 | 일일 자금 대조 | 발견 | 매일 | 경리 | 일계표 |
| 매출 누락 | 매출 vs 재고 정합성 | 발견 | 월 | 회계 | 정합성 보고서 |
| 재고 부정 | 재고 실사 | 발견 | 분기 | 창고 | 실사 보고서 |
5단계: 효과 검증·갱신
효과 검증
- 테스트: 통제 작동 검증
- 표본: 거래 표본 테스트
- KPI: 부정 발견 건수·발견 속도
정기 갱신
- 분기: 운영 통제 검토
- 반기: 통제 매트릭스 검토
- 연: 전사 통제 재설계
---
통제 설계 원칙
(1) 위험 기반 (Risk-Based)
- 고위험에 통제 집중
- 저위험은 간소화
(2) 비용·효과
- 통제 비용 < 위험 손실
- 과잉 통제 ❌
(3) 자동화 우선
- 시스템·ERP 활용
- 휴먼 에러 ↓
(4) 단순화
- 핵심 5~10개 통제
- 복잡 통제는 우회 가능
(5) 책임 명확화
- RACI 매트릭스
- 1명 1책임
---
통제 효과 측정
KPI 예시
자금 통제:
- 부정 발견 건수
- 자금 사고 금액
- 결재 위반 건수
매출 통제:
- 매출 정확도 (오류율)
- 매출 누락 발견
- 부가세 가산세
재고 통제:
- 실사 차이율
- 진부화 비율
- 재고 회전기일
평가 주기
- 월: 통제 KPI 모니터링
- 분기: 종합 평가
- 연: 통제 효과성 평가
---
통제 설계 사례
사례: ㈜B 회사 통제 설계 (3개월)
1주차: 위험 평가 (50개 위험 → 핵심 15개) 2~3주: 통제 목적·활동 설계 4~6주: 통제 매뉴얼·RACI 작성 7~8주: 시스템 통제 구축 9~10주: 임직원 교육 11~12주: 시범 운영 3개월 후: 정식 운영
결과 (1년 후):
- 부정 발견 3건 (예방·시정)
- 매출 정확도 95% → 99%
- 재고 차이 3% → 0.5%
---
자주 묻는 질문 (FAQ)
Q1. 통제 설계 누가?
CFO·내부감사·통제 전문가. 외부 컨설팅 (PwC·KPMG) 활용.
Q2. 통제 비용 vs 효과?
비용 < 손실 예방액. 단 정확 측정 어려움.
Q3. 통제가 너무 많으면?
우회 가능성 ↑·비효율. 핵심 5~10개로 집중.
Q4. 통제 갱신 주기?
최소 연 1회. 환경 변화 시 즉시.
Q5. 통제 효과 측정 어려우면?
KPI 정의 + 추세 분석. 부정 발견·정확도 등.
---
자주 하는 실수
- 위험 기반 ❌: 모든 위험 동일 통제.
- 통제 너무 많음: 우회·비효율.
- 수동 통제만: 일관성 ↓.
- 책임 모호: RACI 없음.
- 갱신 안 함: 환경 변화 미반영.
---
실무 체크리스트
- 위험 평가 결과 기반 통제 활동을 설계했나요?
- 예방·발견·교정 통제를 균형 있게 적용했나요?
- RACI 매트릭스로 책임을 명확히 했나요?
- 통제 매뉴얼·RCM (Risk Control Matrix)을 문서화했나요?
- 자동화 (ERP·시스템) 통제를 우선 활용하나요?
- 통제 효과를 KPI로 측정하나요?
- 분기·연 정기 통제 갱신하나요?
---