기업의 책임과 위험을 관리하는 내부감사

기업에서 횡령이나 회계부정, 개인정보 유출과 같은 문제가 발생하면 먼저 사건의 원인과 책임자를 찾는다. 그러나 기업의 책임은 직접적인 행위자를 확인하는 것만으로 끝나지 않는다.

왜 위험을 미리 발견하지 못했는가. 내부통제는 제대로 설계되어 있었는가. 중요한 위험이 경영진과 이사회에 보고되었는가. 이사회와 감사위원회는 필요한 정보를 확인하고 적절한 감독을 수행했는가.

이처럼 기업에서 발생한 하나의 사건은 결국 거버넌스와 내부통제, 그리고 감독 책임의 문제로 이어진다. 연암사 출판사에서 출간한 반도헌 저자의 [기업 내부감사]는 이러한 문제를 다룬다.

책은 내부감사인의 실무에만 초점을 맞추지 않는다. 기업의 본질과 거버넌스에서 출발해 감사와 감사위원회, 내부감사기구의 법적 지위와 책임, 이사의 감시의무와 내부통제 시스템 구축의무를 살펴본다. 이어 M&A와 ESG, 모회사와 자회사 사이에서 발생하는 거버넌스 리스크까지 논의를 확장한다.

내부감사를 이해하려면 감사업무 자체뿐 아니라 기업에서 권한과 책임이 어떻게 배분되고 위험이 어떻게 관리되는지를 함께 이해해야 한다는 것이 책 전체를 관통하는 문제의식이다.

내부감사를 이해하려면 기업의 거버넌스부터 살펴야 한다

[기업 내부감사]의 첫 번째 주제는 감사기법이 아니라 ‘기업의 본질, 대리인 비용과 거버넌스’다. 기업에서는 주주와 이사회, 경영진과 임직원 등 여러 주체가 서로 다른 권한과 책임을 가지고 의사결정에 참여한다. 기업의 규모가 커지고 소유와 경영이 분리될수록 경영을 맡은 사람과 그 결과에 영향을 받는 사람 사이에 이해관계의 차이가 발생할 가능성도 커진다.

거버넌스는 이러한 구조에서 권한과 책임을 어떻게 배분하고 경영진의 의사결정을 어떻게 감독할 것인지와 관련된다. 내부감사의 역할도 이 구조 안에서 이해할 필요가 있다.

누가 중요한 의사결정을 내리는가. 그 의사결정을 누가 감독하는가. 기업의 주요 위험은 어떻게 파악되고 누구에게 보고되는가. 내부통제가 적절하게 설계되고 운영되는지는 누가 확인하는가.

내부감사는 이러한 기업의 책임과 감독 구조를 실제로 작동하게 하는 기능과 연결된다.

감사와 감사위원회, 내부감사기구의 책임은 무엇인가

기업에서 ‘감사’라는 표현은 여러 의미로 사용된다. 그러나 감사와 감사위원회, 내부감사기구는 각각의 법적 지위와 책임이 다르다. 책의 두 번째 주제는 이 차이를 구체적으로 살펴본다. 내부감사의 법적 지위와 책임을 검토하고 감사와 감사위원회가 부담하는 책임, 내부감사제도의 개선 문제까지 논의를 이어간다.

이는 내부감사의 독립성과 책임을 이해하는 데 중요한 문제다. 내부감사가 제대로 기능하려면 조직 안에서 어떤 위치를 갖는지, 누구에게 보고하는지, 경영진과 어떤 관계를 맺는지가 분명해야 한다. 기업의 위험을 독립적인 시각에서 확인하고 필요한 문제를 이사회와 감사위원회에 전달하려면 내부감사기구의 역할과 책임이 명확하게 설계되어야 하기 때문이다.

이사의 책임은 의사결정에서 끝나지 않는다

[기업 내부감사]에서 특히 비중 있게 다루는 주제 이사의 감시의무다. 이사는 기업의 중요한 의사결정에 참여한다. 동시에 경영진의 업무 수행과 기업의 주요 위험을 감독하는 위치에도 있다. 따라서 이사의 책임을 이해하려면 어떤 결정을 내렸는지만 볼 것이 아니라 기업에 적절한 내부통제와 보고체계가 마련되어 있는지, 중요한 위험을 파악하고 필요한 감독을 수행했는지도 함께 살펴야 한다.

책은 오스템임플란트 사건을 중심으로 선관의무와 감시의무, 내부통제 시스템 구축의무와 법적 책임을 검토한다. 이사회와 경영진, 내부감사인, 준법감시인·준법지원인 등의 역할과 책임도 함께 다룬다. 여기에서 중요한 것은 이사가 기업의 모든 업무를 직접 확인해야 한다는 의미가 아니다.

기업에는 수많은 업무와 의사결정이 존재한다. 이사가 모든 업무를 직접 처리할 수 없기 때문에 적절한 내부통제와 보고체계가 필요하다. 중요한 위험을 발견하고 필요한 정보가 이사회까지 전달되며 문제가 확인되었을 때 적절한 조치가 이루어지는 구조를 갖추는 것, 그리고 그 구조가 실제로 작동하는지 감독하는 것이 중요해진다.

내부통제는 책임을 연결하는 구조다

내부통제는 기업에 규정과 절차를 많이 만드는 것만을 의미하지 않는다. 기업이 직면한 중요한 위험을 파악하고 이를 관리하기 위한 절차를 마련하며, 필요한 정보가 적절한 의사결정자에게 전달되도록 하는 과정과 연결된다.

이 과정에는 여러 주체가 참여한다. 경영진은 기업을 운영하고 위험을 관리한다. 이사회는 경영진의 업무 수행을 감독한다. 감사와 감사위원회는 법률과 제도가 부여한 책임을 수행하고, 내부감사기구는 독립적인 관점에서 내부통제와 위험관리의 적정성을 살펴본다. 준법 관련 조직 역시 기업이 법과 규정을 준수하도록 역할을 담당한다.

따라서 내부통제를 제대로 이해하려면 각각의 조직을 따로 보는 것보다 이들의 권한과 책임이 어떻게 연결되어 있는지를 살펴야 한다. [기업 내부감사]가 거버넌스와 내부감사, 이사의 감시의무와 내부통제 시스템을 함께 다루는 이유도 여기에 있다.

M&A에서는 경영판단과 감시의무가 함께 문제된다

기업의 책임과 위험관리 문제는 일상적인 업무에서만 발생하지 않는다. M&A와 기업분할처럼 기업의 미래에 큰 영향을 미치는 의사결정에서는 더욱 복잡한 위험을 검토해야 한다.

책의 네 번째 주제는 M&A 리스크 관리와 경영판단원칙, 이사의 감시의무를 함께 다룬다. 내부통제 시스템과 리스크 관리에서 출발해 M&A 과정의 위험, 이사의 의무, 기업분할 과정에서 고려해야 할 위험요인과 ‘3선’의 역할까지 살펴본다.

M&A에는 재무적 판단뿐 아니라 법적 위험과 조직적 위험 등 다양한 문제가 뒤따를 수 있다. 따라서 중요한 경영판단일수록 어떤 정보를 바탕으로 의사결정을 내렸는지, 주요 위험을 충분히 검토했는지, 필요한 내부 절차를 거쳤는지가 중요해진다.

이러한 관점에서 내부감사와 리스크 관리는 경영의 바깥에서 의사결정을 사후 평가하는 기능에만 머물지 않는다. 기업이 중요한 의사결정을 내리는 과정에서 위험관리와 내부통제의 체계가 제대로 작동하고 있는지를 확인하는 문제와 연결된다.

ESG 경영에서도 이사의 책임을 묻다

책의 다섯 번째 주제는 ESG 경영과 이해관계자 자본주의다. ESG 공시규제의 변화와 기업의 대응방안을 살펴보고, 주주자본주의와 이해관계자 자본주의를 비교하며 ESG 경영과 상법상 이사의 의무를 검토한다. 강원랜드의 기부행위 판례는 이러한 문제를 구체적으로 살펴보는 사례로 활용된다.

여기에서 주목할 부분은 ESG를 별개의 경영 트렌드로 다루지 않는다는 점이다. 기업이 다양한 이해관계자를 고려하고 새로운 사회적 요구에 대응해야 할수록 이사회가 무엇을 기준으로 의사결정을 내려야 하는지, 그 과정에서 이사가 어떤 책임을 부담하는지가 중요해진다. ESG 역시 결국 기업의 의사결정과 책임, 거버넌스의 문제로 연결되는 것이다.

기업집단에서는 거버넌스가 더 복잡해진다

책의 마지막 주제는 모회사와 자회사 사이의 거버넌스 리스크다. 기업이 여러 자회사를 거느린 기업집단으로 확대되면 의사결정과 감독의 구조도 복잡해진다.

모회사와 자회사는 경제적으로 긴밀하게 연결되어 있지만 법적으로는 서로 다른 회사다. 모회사가 자회사에 어느 정도 영향력을 행사할 수 있는지, 각각의 이사회와 경영진은 어떤 책임을 부담하는지, 내부감사의 범위를 어디까지 설정할 것인지와 같은 문제가 생긴다.

책은 하이브 사례를 중심으로 대기업집단의 기업거버넌스, 리스크 관리에 취약한 거버넌스 체제, 내부감사 과정의 적법성, 여론과 평판리스크 관리 문제를 살펴본다. 이 사례를 통해 내부감사의 또 다른 측면이 드러난다. 내부감사는 필요하지만 내부감사 자체도 적법한 절차와 기준에 따라 이루어져야 한다는 점이다.

위험을 관리한다는 목적이 감사 과정의 적법성과 정당성을 대신할 수는 없다. 내부감사를 수행하는 과정 역시 기업의 거버넌스와 컴플라이언스 체계 안에서 관리되어야 한다.

서로 다른 기업 문제를 하나의 책임 구조에서 바라보다

[기업 내부감사]의 여섯 가지 주제는 상당히 넓다. 기업의 본질과 대리인 문제에서 시작해 감사와 감사위원회의 법적 책임, 이사의 감시의무, M&A, ESG, 기업집단의 거버넌스까지 이어진다. 그러나 이 주제들은 하나의 문제로 연결된다.

기업의 중요한 의사결정과 위험에 대해 누가 어떤 권한을 가지고 있으며, 그에 따른 책임을 어떻게 부담하고 감독할 것인가.

기업에서는 경영진에게 경영을 맡기는 것만으로 충분하지 않다. 적절한 내부통제와 보고체계를 만들고 이사회가 필요한 정보를 받을 수 있도록 해야 한다. 감사와 감사위원회, 내부감사기구는 각자의 지위와 책임에 따라 그 체계가 제대로 작동하는지 살펴야 한다.

이러한 구조가 바로 기업 거버넌스와 내부감사가 만나는 부분이다. 내부감사를 이해하는 일은 감사부서가 무엇을 하는지를 이해하는 데서 끝나지 않는다. 기업 안에서 의사결정과 감독, 위험관리와 책임이 어떻게 연결되는지를 함께 이해하는 일이다.

문제가 발생하기 전에 책임의 구조를 갖추다

기업의 내부통제와 내부감사는 대형 사고가 발생했을 때 특히 주목받는다. 그러나 내부감사의 의미는 사건이 발생한 뒤에만 드러나는 것이 아니다. 기업의 중요한 위험이 무엇인지 파악하고, 그것을 관리할 책임이 누구에게 있는지 정하며, 필요한 정보가 경영진과 이사회에 전달되고 있는지 확인하는 일은 기업의 일상적인 운영 과정에서 이루어져야 한다.

이사의 역할도 같은 관점에서 볼 수 있다. 이사직은 중요한 경영판단에 참여할 권한과 함께 회사의 경영과 위험을 감독해야 할 책임을 수반한다. 따라서 이사에게 필요한 것은 모든 업무를 직접 아는 것이 아니라 중요한 위험을 확인하고 내부통제와 보고체계가 제대로 작동하는지 감독할 수 있는 구조와 기준이다.

[기업 내부감사]가 내부감사인뿐 아니라 이사와 감사위원, 경영진과 거버넌스·리스크·컴플라이언스 업무를 담당하는 사람에게도 연결되는 이유가 여기에 있다.

[기업 내부감사]는 내부감사인의 감사기법만을 설명하는 책이 아니다. 반도헌 저자는 기업의 본질과 거버넌스에서 출발해 감사와 감사위원회의 법적 지위와 책임, 이사의 감시의무와 내부통제 시스템 구축의무를 살펴보고, M&A와 ESG, 모회사와 자회사 사이의 거버넌스 리스크로 논의를 확장한다. 서로 다른 주제를 관통하는 것은 기업의 의사결정과 위험에 대해 누가 어떤 책임을 지고 어떻게 감독할 것인가라는 문제다.

기업의 위험이 복잡해질수록 문제가 발생한 뒤 책임자를 찾는 것만으로는 충분하지 않다. 위험을 파악하고 관리하며 필요한 정보를 보고하고 감독할 수 있는 구조를 갖추어야 한다. [기업 내부감사]는 내부감사를 통해 기업의 권한과 책임, 위험관리와 감독이 어떻게 연결되어야 하는지를 살펴보는 책이다. © 연암사