기술이 바뀌면 내부감사는 무엇을 보아야 하는가

기업의 업무와 의사결정에 디지털 기술이 깊이 들어오면서 기업이 관리해야 할 위험도 달라지고 있다. AI가 판단과 업무 수행에 활용되고, 가상자산이라는 새로운 형태의 자산이 등장했다. 블록체인은 기존과 다른 거래와 거버넌스 구조를 만들었고, 기업이 수집하고 활용하는 데이터가 늘어나면서 개인정보와 정보보안의 중요성도 커졌다.

기업의 위험이 달라지면 내부감사가 살펴봐야 할 대상도 달라져야 한다. 연암사 출판사에서 출간한 반도헌 저자의 [디지털 내부감사]는 이러한 변화에서 출발한다.

일반적인 기업 내부감사가 재무보고과 법규 준수, 업무 절차와 내부통제가 적정하게 운영되는지를 살펴본다면 디지털 환경에서는 여기에 기술이 만들어내는 새로운 위험이 더해진다. AI의 편향과 불투명성, 가상자산의 부정행위 위험, 블록체인의 새로운 거버넌스 구조, 개인정보와 정보보안 문제 등이 내부감사가 이해해야 할 영역으로 들어온다.

[디지털 내부감사]는 이러한 변화 속에서 내부감사가 무엇을 살펴보고, 새로운 기술의 위험을 어떤 거버넌스와 내부통제의 문제로 이해해야 하는지를 다룬다.

디지털 전환은 기업의 위험도 바꾼다

디지털 전환은 기업의 업무를 효율적으로 만들기도 하지만, 업무가 데이터와 알고리즘에 의존하고 외부 플랫폼과 클라우드, 공급업체 등이 서로 연결되면 위험이 발생하는 구조도 복잡해진다.

[디지털 내부감사]는 디지털 환경의 위험이 시스템 내부에 고정되어 있기보다 데이터와 알고리즘, 외부 플랫폼과 클라우드, 공급업체가 연결된 운영 과정에서 지속적으로 변화한다고 설명한다. 따라서 데이터 접근권한과 변경이력, 알고리즘의 판단 과정, 모니터링과 사고 대응 체계까지 내부감사의 관심이 확대될 필요가 있다고 본다.

이는 내부감사의 기본 원칙이 사라진다는 의미가 아니다. 위험을 파악하고 적절한 통제를 설계하며 그 통제가 제대로 작동하는지 확인한다는 기본적인 문제는 그대로 남는다. 달라지는 것은 위험의 성격과 통제해야 할 대상이다.

AI를 활용하는 것과 AI를 감사하는 것은 다르다

책이 가장 먼저 다루는 디지털 위험은 AI다. 제1부 ‘AI 감사와 AI 알고리즘에 대한 감사’에서는 AI와 리스크, AI 감사에 수반되는 법적 쟁점을 살펴보고 알고리즘에 대한 통제로서 알고리즘 감사를 도입하는 문제를 찬반양론과 함께 검토한다.

여기에서 중요한 구분이 생긴다. AI를 감사업무에 활용하는 것과 기업이 사용하고 있는 AI 자체를 감사하는 것은 서로 다른 문제다. AI를 활용하면 감사업무의 효율성을 높일 가능성이 있다. 반면 기업의 중요한 업무와 판단에 AI 알고리즘이 사용된다면 알고리즘 자체에서 새로운 위험이 발생할 수 있다.

AI가 어떤 위험을 만들 수 있는지, 알고리즘을 새로운 통제 대상으로 보아야 하는지, 이를 감사할 때 어떤 법적 문제가 발생하는지를 검토해야 하는 이유다. 기술이 업무의 도구에서 의사결정의 중요한 요소로 이동할수록 내부감사의 관심도 기술을 활용하는 방법에서 기술을 통제하는 방법으로 확대된다.

AI의 위험은 거버넌스의 문제로 이어진다

AI 알고리즘의 위험을 이해하는 것만으로 기업의 AI 위험을 관리할 수 있는 것은 아니다. 기업 차원에서 AI를 어떤 원칙으로 도입하고 운영할 것인지, 위험을 어떻게 관리할 것인지에 관한 구조가 필요하다.

그런 까닭에 책은 AI 감사에 이어 ‘인공지능(AI) 거버넌스와 내부감사’를 다룬다. AI 거버넌스와 거버넌스 프레임워크를 살펴보고 AI에 대한 윤리적 대응과 법적 대응 사례를 함께 검토한다. 이러한 구성은 책이 AI를 단순한 기술적 감사 대상으로만 바라보지 않는다는 점을 보여준다.

AI가 기업의 업무와 의사결정에 깊이 들어갈수록 기술 자체의 성능뿐 아니라 그것을 어떤 원칙과 책임 구조 아래 운영할 것인지가 중요해진다. AI의 문제는 결국 거버넌스와 리스크 관리, 내부통제의 문제로 확장된다.

가상자산은 감사위험의 구조를 바꾼다

AI에 이어 책이 다루는 또 하나의 중요한 변화는 가상자산과 블록체인이다. 제3부에서는 ‘가상자산 관련 부정행위 리스크와 내부통제’를 다룬다. 저자는 블록체인 환경에서 감사위험의 구조가 어떻게 변화하는지를 살펴보고, 가상자산과 블록체인의 구조적 특성과 한계, 관련 기업의 회계감사, 가상자산과 관련된 범죄행위 유형을 검토한다.

이 부분에서 중요한 것은 새로운 자산이 등장했다는 사실만이 아니다. 기술과 거래구조가 달라지면서 기존의 감사와 내부통제가 충분히 포착하지 못하는 위험이 생길 수 있다는 점이다.

새로운 기술은 기존 위험을 없애기보다 위험이 발생하는 방식과 위치를 변화시킬 수 있다. 따라서 가상자산과 관련된 위험을 감사하려면 거래 결과만 확인하는 것이 아니라 그 거래가 이루어지는 기술적·제도적 구조를 함께 이해할 필요가 있다.

블록체인에서도 거버넌스는 사라지지 않는다

책은 가상자산의 부정행위 위험에서 한 걸음 더 나아가 블록체인 거버넌스를 다룬다. 제4부에서는 블록체인 기술과 블록체인 거버넌스, DAO 거버넌스의 정의와 한계를 검토하고, 내부통제의 사각지대에 있는 크립토 재단과 가상자산거래소의 거버넌스·리스크 관리·내부통제를 살펴본다. 테라·루나 사태도 이 문제를 검토하는 사례로 등장한다.

블록체인은 탈중앙화라는 특징을 가지고 있지만, 탈중앙화된 기술이 곧 책임과 통제의 부재를 의미하지는 않는다. 기존과 다른 구조에서 누가 중요한 의사결정에 참여하는지, 위험은 어떻게 관리되는지, 어떤 내부통제가 필요한지를 새롭게 검토해야 한다.

책이 DAO의 한계와 크립토 재단의 내부통제, 가상자산거래소의 GRC를 함께 다루는 이유도 여기에 있다. 기술의 구조가 달라져도 기업과 조직에서 권한과 책임을 어떻게 배분하고 위험을 어떻게 통제할 것인가라는 거버넌스의 기본 문제는 남는다.

데이터의 활용은 새로운 책임을 만든다

[디지털 내부감사]의 마지막 주제는 AI나 블록체인보다 범위가 넓다. 책은 ‘디지털 감시사회에 관련된 법률적 쟁점’이라는 주제 아래 감시의 의미와 목적, 감시자본주의, 데이터와 알고리즘 독점의 위험, 개인정보와 프라이버시 보호, 노동법 문제, 디지털정보 통제, 허위정보와 정보보안 리스크 관리를 다룬다.

기업과 플랫폼이 더 많은 데이터를 확보할수록 이를 활용할 수 있는 가능성도 커진다. 동시에 그 데이터를 어디까지 수집하고 활용할 수 있는지, 개인의 프라이버시를 어떻게 보호할 것인지, 정보의 독점과 통제가 어떤 위험을 만들 수 있는지도 중요해진다.

기술적으로 가능한 것과 기업이 적절하게 수행해야 하는 것은 같은 문제가 아니다. 데이터의 활용은 개인정보보호와 준법, 정보보안과 같은 새로운 통제 문제를 함께 만든다. 디지털 내부감사의 범위가 시스템의 기술적 오류를 확인하는 데 머물 수 없는 이유다.

서로 다른 기술에서 같은 문제가 나타난다

AI와 알고리즘, 가상자산과 블록체인, 데이터와 디지털 감시는 서로 다른 영역이다. 그러나 책의 다섯 가지 주제를 따라가다 보면 공통된 문제가 드러난다.

새로운 기술이 등장하면 새로운 가능성과 함께 새로운 위험도 생긴다. 그리고 그 기술이 기업의 업무와 의사결정에서 차지하는 비중이 커질수록 누가 기술을 관리하고, 위험을 어떻게 통제하며, 그 결과에 대해 누가 책임질 것인가가 중요해진다.

AI에서는 알고리즘 감사와 AI 거버넌스가 문제가 된다. 가상자산에서는 부정행위와 감사위험, 내부통제가 중요해진다. 블록체인에서는 탈중앙화된 구조에 적합한 거버넌스와 GRC가 필요하다. 데이터 환경에서는 개인정보와 프라이버시, 정보보안과 준법 문제가 발생한다. 이처럼 기술은 서로 달라도 내부감사가 확인해야 할 기본적인 문제는 연결되어 있다.

디지털 내부감사는 기존 내부감사의 확장이다

[디지털 내부감사]를 이해할 때 중요한 것은 디지털 내부감사를 전통적인 내부감사와 완전히 다른 감사로 구분하지 않는 것이다. 기업의 위험을 파악하고 내부통제가 적절하게 설계·운영되는지 확인하며, 거버넌스와 리스크 관리가 제대로 작동하는지를 살펴본다는 내부감사의 기본적인 역할은 디지털 환경에서도 유지된다. 다만 기업의 업무가 디지털화되면서 감사해야 할 위험과 통제의 대상이 확장된다.

이 책을 전통적인 내부감사를 디지털 리스크에 대응하는 GRC 기능으로 확장하는 데 필요한 관점과 기준을 제시하는 책으로 설명하는 것도 이러한 맥락이다.

내부감사인은 재무와 업무 프로세스만 이해해서는 새로운 위험을 충분히 파악하기 어려워진다. AI가 어떤 위험을 만들 수 있는지, 블록체인의 거버넌스 구조가 어떻게 다른지, 데이터 활용이 어떤 법적·윤리적 문제와 연결되는지를 이해해야 한다.

기술 전문가가 되는 것과는 다른 문제다. 기술이 기업의 위험과 통제 구조를 어떻게 변화시키는지를 이해할 수 있어야 한다는 의미다.

기술의 속도보다 중요한 것은 통제의 원칙이다

디지털 기술은 계속 달라진다. AI 기술은 빠르게 발전하고 가상자산과 블록체인을 둘러싼 산업과 제도도 변화한다. 개인정보와 데이터에 대한 사회적 기준과 법적 규제 역시 달라질 수 있다. 따라서 특정 기술이나 제도만을 기준으로 디지털 내부감사를 이해하면 변화할 때마다 새로운 기준이 필요해진다.

[디지털 내부감사]의 다섯 가지 주제를 관통해서 보면 그보다 오래 유지되는 원칙을 찾을 수 있다. 새로운 기술이 기업에 들어오면 그 기술이 어떤 위험을 만드는지 파악해야 한다. 그 위험을 누가 관리할 것인지 정하고 적절한 통제를 설계해야 한다. 권한과 책임의 구조를 만들고 그것이 실제로 작동하는지도 확인해야 한다.

기술은 바뀌어도 거버넌스와 리스크 관리, 내부통제의 필요성은 사라지지 않는다. 오히려 기술이 복잡해질수록 무엇을 통제해야 하고 누가 책임져야 하는지를 분명하게 하는 일이 중요해진다.

그래서 디지털 내부감사의 핵심은 새로운 기술이 만들어내는 위험을 이해하고 그 위험에 맞는 거버넌스와 내부통제가 제대로 작동하고 있는지를 살펴보는 데 있다.

[디지털 내부감사]는 디지털 기술을 감사업무에 활용하는 방법만을 설명하는 책이 아니다. 반도헌 저자는 AI와 알고리즘, AI 거버넌스, 가상자산과 블록체인, 개인정보와 디지털 감시를 통해 기술의 변화가 기업의 위험과 통제 구조를 어떻게 바꾸는지를 살펴본다. 기술은 서로 다르지만 책이 반복해서 다루는 문제는 분명하다. 새로운 기술을 누가 관리하고, 그 과정에서 발생하는 위험을 어떻게 통제하며, 결과에 대해 누가 책임질 것인가이다.

디지털 전환은 내부감사의 기본 원칙을 없애는 것이 아니라 감사해야 할 대상과 위험의 범위를 넓힌다. [디지털 내부감사]는 변화하는 기술환경에서도 거버넌스와 리스크 관리, 내부통제라는 원칙을 어떻게 적용할 것인지를 살펴보는 책이다. © 연암사