기업이 성장할 때 사람들의 관심은 주로 매출과 이익, 새로운 사업 기회에 쏠린다. 경영진은 시장을 확대하고 경쟁력을 높이기 위해 투자하며, 조직은 더 나은 성과를 얻기 위해 끊임없이 변화한다. 그러나 기업이 지속적으로 성장하려면 새로운 기회를 찾는 일만큼 이미 존재하는 위험을 관리하는 일도 중요하다. 아무리 높은 매출과 이익을 올리는 기업이라도 횡령이나 부정행위, 내부통제의 실패가 발생하면 큰 손실을 입을 수 있다. 오랫동안 쌓아온 시장의 신뢰를 잃는 경우도 있다. 이러한 문제는 특정 임직원의 잘못에서 시작되기도 하지만, 조직이 위험을 제대로 파악하지 못하거나 필요한 통제체계를 갖추지 못했을 때 더욱 커질 수 있다. 그렇다면 기업은 이러한 위험을 어떻게 관리해야 할까. 문제가 발생한 뒤 책임을 묻는 것만으로 충분할까. 반도헌 저자의 [기업 내부감사, 리스크 관리와 내부통제 거버넌스]는 이러한 질문을 내부감사의 관점에서 살펴보는 책이다. 저자는 기업의 실제 사건과 판례, 이사의 감시의무에 관한 법적 쟁점을 통해 내부감사가 기업의 건전한 운영에 어떤 역할을 해야 하는지 설명한다. 내부감사는 잘못을 찾아내는 일인가 내부감사라고 하면 흔히 회계장부를 조사하거나 직원의 잘못을 찾아내는 모습을 떠올린다. 기업에서 부정행위가 발생했을 때 관련 자료를 확인하고 책임 소재를 밝히는 활동을 생각하기 쉽다. 물론 이러한 조사와 점검도 내부감사의 업무에 포함될 수 있다. 그러나 내부감사의 역할을 잘못을 찾아내는 일로만 이해한다면 그 중요성을 충분히 설명하기 어렵다. 현대 기업에서 내부감사는 조직의 업무가 적절하게 운영되고 있는지, 중요한 위험이 제대로 관리되고 있는지, 내부통제가 효과적으로 작동하는지를 독립적으로 평가하는 역할을 한다. 예를 들어 기업이 새로운 사업에 진출하거나 대규모 투자를 추진한다고 생각해 보자. 사업을 담당하는 부서와 경영진은 예상되는 수익뿐 아니라 비용 증가, 법률 위반, 사업 실패와 같은 위험도 검토해야 한다. 내부감사는 이러한 위험을 직접 관리하는 대신,...
2026년 10월 22일, 정부는 민간 분야 사이버위기 경보를 관심에서 주의로 상향했다. 웹사이트와 온라인 서비스에 널리 사용되는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 발견되면서 사이버공격에 대한 우려가 커졌기 때문이다. 이번 사태에서 눈여겨볼 점은 취약점을 발견하는 과정에 AI가 활용되었다는 사실이다. AI가 복잡한 소프트웨어의 결함을 찾아내고 보안 위험을 식별하는 데 도움을 줄 수 있다는 가능성을 보여준 것이다. 그러나 새로운 기술이 위험을 발견하는 능력을 높여준다고 해서 그 위험이 저절로 해결되는 것은 아니다. 취약점이 발견되면 어떤 시스템이 영향을 받는지 확인하고, 필요한 보안 조치를 결정하며, 실제로 문제가 해결되었는지 점검해야 한다. 이 모든 과정에는 사람과 조직의 판단이 필요하다. 기술이 발전할수록 그 기술을 관리하고 통제하는 능력도 함께 발전해야 한다는 말이다. 연암사 출판사의 책 [AI를 어떻게 통제할 것인가]는 이러한 문제를 다룬다. AI를 얼마나 잘 활용할 수 있는가에만 관심을 둘 것이 아니라, AI가 작동하는 조직과 시스템을 어떻게 안전하고 책임 있게 관리할 것인지 살펴봐야 한다는 것이다. 기술적인 문제가 왜 경영의 문제인가 PHP 보안 문제는 소프트웨어에서 발견된 기술적인 문제다. 따라서 취약점을 수정하는 보안 업데이트와 필요한 기술적 조치가 우선적으로 이루어져야 한다. 하지만 기업이 이러한 조치를 제대로 수행하려면 기술적인 전문성만으로는 부족하다. 먼저 어떤 시스템에서 PHP를 사용하고 있는지 알아야 한다. 그중 어느 시스템에 보안 업데이트가 필요한지 확인하고, 즉시 조치하기 어려운 경우에는 어떻게 위험을 줄일 것인지 결정해야 한다. 이때 중요한 것은 누가 이러한 일을 책임지고 수행하는가이다. 시스템의 운영 현황을 누가 관리하는지, 보안 위험이 발견되었을 때 누가 대응을 결정하는지, 필요한 조치가 실제로 이루어졌는지 누가 확인하는지가 명확해야 한다. 이러한 책임과 의사결정의 체계를 거버넌스라고 한다. 거버넌스는 조직이 중요한...