내부감사는 조직의 리스크를 어떻게 바라보아야 하는가

내부감사 조직의 모든 업무를 같은 깊이로 살펴볼 수 없다. 감사에 사용할 수 있는 인력과 시간은 한정되어 있기 때문이다. 그렇다면 어디에 감사 역량을 집중해야 하는가.

K. H. 스펜서 피켓의 [내부감사와 리스크 관리 프로세스]는 그 기준을 조직의 리스크에서 찾는다. 원서 제목은 [Auditing the Risk Management Process]이다. 내부감사가 개별적인 오류와 통제를 점검하는 데 머물지 않고, 조직이 중요한 리스크를 제대로 파악하고 관리하는지를 어떻게 평가할 것인가를 다루는 책이다.

이 책에서 리스크 관리와 내부감사는 서로 다른 역할을 맡으면서 하나의 지점에서 만난다. 조직은 목표 달성을 위협하는 리스크를 관리해야 하고, 내부감사는 그 리스크 관리 프로세스가 적절하게 설계되고 작동하는지를 독립적인 관점에서 평가해야 한다.

통제를 감사하기 전에 리스크를 이해해야 한다

전통적으로 내부감사에서 통제는 중요한 감사 대상이다. 업무절차가 적절한지, 필요한 통제가 마련되어 있는지, 그 통제가 실제로 작동하는지를 확인한다.

리스크 중심의 감사는 여기에서 한 단계 더 나아간다. 어떤 통제가 존재하는지를 살펴보기 전에 그 통제가 어떤 리스크에 대응하기 위한 것인지 이해한다.

이러한 접근에서는 조직의 목표가 중요해진다. 목표 달성을 위협하는 리스크를 파악해야 무엇이 중요한 통제인지 판단할 수 있기 때문이다.

감사의 우선순위도 달라진다. 모든 영역을 똑같이 점검하기보다 조직에 미치는 위험이 큰 영역에 한정된 감사 자원을 집중할 수 있다. 내부감사가 리스크를 이해해야 하는 이유는 리스크 관리부서의 업무를 대신하기 위해서가 아니라, 무엇을 감사해야 하는지 판단하기 위해서이다.

리스크 관리에도 성숙도의 차이가 있다

조직마다 리스크를 관리하는 수준은 다르다. 문제가 발생한 뒤 대응하는 조직이 있는가 하면, 주요 리스크를 체계적으로 식별하고 평가하여 의사결정과 연결하는 조직도 있다.

이 책은 리스크 관리의 필요성을 설명한 뒤 곧바로 ‘리스크 관리 성숙도 판단’을 다룬다. 이어 전사 리스크 관리(ERM), 리스크 성향(Risk Appetite), 통제·리스크 자체평가(Control/Risk Self-Assessment)로 논의를 발전시킨다.

이러한 구성은 리스크 관리가 하나의 제도를 도입하는 것으로 완성되지 않는다는 점을 보여준다. 그런 관점에서 리스크 관리는 특정 부서만의 업무가 아니라 조직의 목표와 의사결정, 현업의 활동을 연결하는 프로세스라고 할 수 있다.

따라서 조직이 현재 어느 수준에서 리스크를 관리하고 있는지 파악하고, 중요한 위험을 조직 전체의 관점에서 바라보며, 어느 정도의 위험을 받아들일 것인지 기준을 정해야 한다. 현업에서도 자신의 업무에 존재하는 위험과 통제를 이해하고 평가할 수 있어야 한다. 

내부감사는 리스크 관리 프로세스를 평가한다

리스크 관리와 내부감사가 긴밀하게 연결된다고 해서 두 기능의 책임이 같아지는 것은 아니다. 리스크를 실제로 관리하는 책임은 경영진과 현업에 있다. 리스크 관리 기능은 조직이 위험을 식별하고 평가하고 대응하며 모니터링할 수 있도록 체계를 지원한다.

내부감사의 역할은 다른 곳에 있다. 조직의 중요한 리스크가 제대로 식별되고 있는지, 평가방법은 적절한지, 필요한 대응과 통제가 이루어지고 있는지, 리스크 관리 프로세스에서 개선해야 할 부분은 없는지를 독립적으로 살펴본다.

이 과정에서 내부감사와 리스크 관리 기능은 서로 필요한 정보를 주고받을 수 있다. 리스크 관리 측에서 중요하게 보는 위험은 감사계획을 수립하는 데 활용될 수 있고, 감사에서 발견한 취약점은 리스크 관리 프로세스를 개선하는 근거가 될 수 있다. 중요한 것은 역할을 섞는 것이 아니라 각자의 책임을 유지하면서 조직의 리스크에 관한 정보를 연결하는 것이다.

리스크를 이해하면 감사방법론도 달라진다

책의 전반부에서 설명한 리스크 관리의 개념들은 제6장의 ‘감사 방법론 개발’로 이어진다. 이러한 구성은 이 책이 단순한 리스크 관리 입문서가 아니라 리스크에 대한 이해를 실제 감사방법론으로 연결하는 책이라는 점을 보여준다.

리스크 기반 감사에서는 조직의 목표를 먼저 이해하고, 그 목표를 위협하는 중요한 위험을 파악한다. 리스크의 크기와 관리 수준을 고려해 감사 대상을 선정하고 감사의 범위와 강도를 결정한다. 따라서 감사의 초점도 달라진다. 이미 발생한 오류를 찾아내는 것뿐 아니라 조직이 중요한 리스크를 적절하게 관리하고 있는지를 평가하는 데 관심을 둔다.

내부감사는 과거의 문제를 확인하는 기능에서 조직의 목표 달성에 중요한 위험과 관리체계를 평가하는 기능으로 범위를 넓히게 된다.

완벽한 리스크 관리는 존재하지 않는다

책의 제7장 제목은 ‘완벽하다는 환상’이다. 아무리 정교한 리스크 관리와 내부통제 체계를 갖추어도 모든 위험을 예측하고 모든 실패를 방지할 수는 없다. 사업환경과 조직의 목표가 변하면 중요한 리스크도 달라지기 때문이다.

좋은 리스크 관리체계는 모든 위험을 없애는 체계라기보다 변화하는 위험을 지속적으로 식별하고 평가하며 필요한 대응을 조정할 수 있는 체계이다.

책이 마지막 장에서 ‘총체적 리스크 개념’으로 논의를 확장하는 것도 이러한 흐름에서 이해할 수 있다. 리스크 관리 프레임워크, 성숙도, ERM, 리스크 성향, 자체평가와 감사방법론을 각각 분리된 기법으로 바라보기보다 조직 전체의 리스크 관리 프로세스 안에서 연결하는 것이다.

리스크 기반 내부감사의 출발점

[내부감사와 리스크 관리 프로세스]는 COSO의 전사 리스크 관리 보고서 등 출간 당시 리스크 관리 분야에서 발전한 논의를 감사의 관점에서 받아들이고, 저자가 개발한 리스크 지도와 프로세스 모델을 통해 이를 하나의 감사 프레임워크 안에서 설명한다.

구체적인 프레임워크와 기준은 책이 출간된 이후에도 계속 발전해왔다. 그러나 이 책이 다루는 근본적인 문제는 여전히 중요하다.

내부감사가 조직에 실질적인 가치를 제공하려면 무엇이 잘못되었는지만 확인해서는 충분하지 않다. 조직이 무엇을 달성하려 하는지 이해하고, 그 목표를 위협하는 중요한 리스크가 무엇인지 파악하며, 조직이 그 리스크를 적절하게 관리하고 있는지를 살펴봐야 한다.

그렇게 보면 내부감사의 중요한 대상은 개별적인 오류나 통제만이 아니다. 조직이 리스크를 식별하고 평가하고 대응하며 지속적으로 관리하는 프로세스 자체가 감사의 중요한 대상이 된다. [내부감사와 리스크 관리 프로세스]는 이런 변화의 의미를 설명하는 책이다.

리스크를 중심에 놓으면 무엇을 감사해야 하는지, 어디에 감사 역량을 집중해야 하는지, 내부통제를 어떤 관점에서 평가해야 하는지가 달라진다. 내부감사가 조직의 리스크를 이해해야 하는 이유는 리스크를 대신 관리하기 위해서가 아니라, 조직의 리스크 관리가 제대로 작동하고 있는지를 더 정확하게 평가하기 위해서이다. © 연암사