내부감사는 조직의 위험과 통제를 평가하고 개선이 필요한 문제를 찾아낸다. 그렇다면 내부감사 자체의 품질은 어떻게 평가해야 할까.
감사계획을 세우고 현장감사를 수행한 뒤 보고서를 제출했다고 해서 좋은 내부감사가 이루어졌다고 말하기는 어렵다. 조직의 중요한 리스크를 제대로 반영했는지, 필요한 전문성과 자원을 갖추었는지, 충분한 증거를 바탕으로 판단했는지, 감사결과가 경영진과 이사회에 적절하게 전달되었는지도 살펴봐야 한다.
샐리앤 피트의 [내부감사 품질관리]는 이 문제를 내부감사의 품질보증 및 개선프로그램(Quality Assurance and Improvement Program, QAIP)을 중심으로 다룬다. 원서 제목은 [Internal Audit Quality: Developing a Quality Assurance and Improvement Program]이다. 내부감사의 품질을 사후에 검사하는 데서 그치지 않고, 내부감사 기능 전체에 품질을 내재화하고 지속적으로 개선하는 방법을 설명하는 책이다.
내부감사의 품질은 성과와 가치로 이어져야 한다
책은 내부감사의 역사와 기능을 살펴본 뒤 ‘품질, 성과와 가치’를 함께 다룬다. 이 세 개념을 연결해서 보는 것이 중요하다.
내부감사가 전문직으로서 일정한 품질을 유지하려면 공통된 기준이 필요하다. 이 책은 출간 당시 IIA의 국제 내부감사 직무수행기준을 품질관리의 중요한 토대로 삼는다. 그러나 전문적인 기준을 준수하는 것만으로 내부감사의 역할이 완성되는 것은 아니다.
내부감사는 조직이 필요로 하는 중요한 문제를 다루고 그 활동을 통해 가치를 제공해야 한다. 반대로 조직의 요구에 부응한다는 이유로 내부감사의 독립성이나 전문적인 업무수행 원칙을 훼손해서도 안 된다. 이 책에서 내부감사의 품질은 기준 준수만의 문제가 아니다. 전문적인 기준에 따라 업무를 수행하고, 그 성과를 측정하며, 조직과 이해관계자가 필요로 하는 가치를 제공하는 것까지 연결되어야 한다.
QAIP는 내부감사의 품질을 지속적으로 개선하는 체계다
이 책의 중심에는 QAIP가 있다. 품질보증 및 개선프로그램이라고 하면 정기적으로 내부감사 조직의 품질을 평가하는 절차를 먼저 떠올릴 수 있다. 그러나 책이 설명하는 QAIP의 범위는 그보다 넓다. 먼저 품질 프레임워크를 만들고 품질에 대한 책임을 정한다. 이어 상시적인 내부 모니터링과 정기적인 내부평가를 실시하고 고객 만족과 벤치마킹을 살펴본다. 외부 품질평가도 이 체계에 포함된다.
중요한 것은 평가 자체보다 평가 이후의 개선이다. 내부감사 기능이 현재 어느 수준에 있는지 확인하고 부족한 부분을 찾아 실제 업무에 반영해야 한다. 평가와 개선이 반복되면서 품질관리는 특정 시점의 행사가 아니라 일상적인 내부감사 활동의 일부가 된다. 책이 성숙도 모델과 성과측정 방법을 함께 다루는 이유도 여기에 있다.
QAIP는 내부감사가 기준을 충족하고 있다는 사실을 보여주기 위한 절차일 뿐만 아니라, 내부감사 기능이 자신의 성과를 지속적으로 확인하고 더 나은 수준으로 발전하기 위한 관리체계이다.
내부감사의 품질은 조직을 설계할 때부터 시작된다
좋은 내부감사는 뛰어난 감사인 몇 명만으로 만들어지지 않는다. 내부감사 기능 자체가 적절하게 설계되어 있어야 한다.
책은 QAIP에 이어 내부감사의 전략과 계획, 책임 영역과 업무의 성격, 내부감사 규정을 다룬다. 이후에는 인력의 역량계획과 채용·유지, 서비스 전달방식, 최고감사책임자의 역할, 직원의 성과관리와 역량개발로 범위를 넓힌다. 이러한 구성은 품질을 감사결과물의 문제로만 볼 수 없는 이유를 보여준다.
내부감사 기능이 무엇을 위해 존재하는지, 조직 안에서 어떤 위치와 권한을 갖는지, 어떤 업무를 수행할 것인지가 분명해야 한다. 그 역할을 수행하는 데 필요한 사람과 역량, 자원도 갖추어야 한다. 특히 내부감사의 전략은 조직에 어떤 가치를 제공할 것인지와 연결된다. 내부감사 기능의 비전과 가치 제안을 정하고 이를 실행할 수 있는 계획과 자원을 마련해야 한다.
내부감사의 품질은 감사가 끝난 뒤 보고서를 검사할 때 만들어지는 것이 아니다. 내부감사 기능의 목적과 전략, 거버넌스와 인력을 설계하는 단계에서 이미 품질이 결정되기 시작한다.
감사 프로세스 전체가 품질관리의 대상이다
책의 후반부는 내부감사의 실제 업무로 들어간다. 연간 감사계획을 어떻게 세울 것인지부터 개별 감사의 목표와 범위를 어떻게 정할 것인지, 어떤 증거를 확보하고 발견사항을 어떻게 도출할 것인지, 감사결과를 어떻게 전달하고 사후관리할 것인지까지 다룬다.
이 과정은 서로 연결되어 있다. 연간 감사계획이 조직의 중요한 리스크를 제대로 반영하지 못했다면 개별 감사를 아무리 잘 수행해도 내부감사가 중요한 문제에 자원을 집중했다고 보기 어렵다. 개별 감사에서는 목표와 범위를 명확하게 정하고 주요 리스크와 감사업무를 연결해야 한다. 현장에서는 적절한 증거를 확보하고 정보를 분석해 발견사항을 도출해야 하며, 감사업무에 대한 관리와 감독도 필요하다.
감사가 끝난 뒤에는 발견한 문제를 전달하는 일이 남는다. 책이 별도의 장에서 ‘소통과 영향’을 다루는 것도 이 때문이다. 내부감사가 중요한 문제를 발견하더라도 그 의미가 이해관계자에게 제대로 전달되지 않고 개선으로 이어지지 않는다면 감사가 제공하는 가치는 제한될 수 있다.
결국 내부감사의 품질은 계획, 수행, 판단, 보고 가운데 어느 한 단계만으로 결정되지 않는다. 감사 대상을 선정하는 순간부터 결과가 조직의 개선으로 이어지는 과정까지 전체 프로세스가 품질관리의 대상이다.
품질관리는 내부감사 기능 전체에 내재되어야 한다
[내부감사 품질관리]의 특징은 QAIP를 설명하면서도 논의를 내부감사 품질평가에 한정하지 않는다는 데 있다. 전략과 거버넌스, 내부감사 규정, 인력과 역량, 연간 감사계획과 개별 감사, 현장업무, 소통과 사후관리까지 내부감사 기능을 구성하는 거의 모든 영역을 품질의 관점에서 살펴본다. 각 장에 평가를 위한 질문을 제시하는 것도 이러한 접근과 연결된다.
내부감사 조직은 자신의 전략이 적절한지, 필요한 역량을 갖추고 있는지, 감사계획이 조직의 리스크를 반영하는지, 업무수행과 보고가 적절한지를 계속 확인할 수 있어야 한다. 조직의 규모가 작아도 기본 원리는 달라지지 않는다.
책은 마지막 장에서 소규모 내부감사 조직의 품질 문제를 별도로 다룬다. 인력과 자원이 제한된 조직에서는 대규모 조직과 같은 방식으로 운영하기 어렵지만, 그 환경에 맞게 품질과 가치를 확보할 방법을 찾아야 한다. 중요한 것은 동일한 절차를 적용하는 것이 아니라 각 내부감사 조직이 자신의 환경에서 품질을 확인하고 개선할 수 있는 체계를 갖추는 것이다.
다른 조직을 평가하는 내부감사도 스스로를 평가해야 한다
[내부감사 품질관리]가 출간된 이후 IIA의 국제 내부감사 기준은 변화해왔다. 따라서 책에서 설명하는 당시의 국제 내부감사 직무수행기준을 현재의 기준과 그대로 동일시해서는 안 된다. 구체적인 기준을 적용하려면 현재의 IIA 기준을 별도로 확인할 필요가 있다.
그러나 기준이 변화하더라도 이 책이 다루는 근본적인 문제는 남는다. 내부감사는 자신의 업무가 좋은 품질을 갖추고 있다고 어떻게 판단할 것인가. 조직과 이해관계자가 기대하는 가치를 제대로 제공하고 있는가. 전략과 인력, 감사 프로세스는 그 역할을 수행하기에 적절한가. 현재의 수준을 어떻게 평가하고 부족한 부분을 어떻게 개선할 것인가.
이 질문들은 내부감사의 역할 자체와 연결되어 있다. 내부감사는 다른 조직과 업무의 위험, 통제와 거버넌스를 평가한다. 그렇다면 내부감사 기능 역시 자신의 업무가 적절하게 설계되고 수행되는지 지속적으로 확인해야 한다.
이 책이 QAIP를 내부감사의 전략과 조직, 인력과 프로세스 전체로 확장해서 설명하는 이유도 여기에 있다. 내부감사의 품질은 감사가 끝난 뒤 확인하는 결과가 아니라 내부감사 기능을 설계하고 운영하는 전 과정에서 만들어지는 것이다.
[내부감사 품질관리]는 내부감사의 품질을 일회적인 평가나 기준 준수의 문제에서 지속적인 관리와 개선의 문제로 확장한다. 다른 조직을 평가하는 내부감사 역시 자신의 목적과 성과, 프로세스와 가치를 끊임없이 점검해야 한다. 내부감사가 조직에 지속적으로 가치를 제공하기 위해 필요한 것이 바로 이러한 자기평가와 개선의 체계이다. © 연암사
댓글
댓글 쓰기