기업의 책임과 위험을 관리하는 내부감사

기업은 매일 크고 작은 결정을 내린다. 새로운 사업에 투자하고, 다른 기업을 인수하며, 새로운 시장에 진출한다. 때로는 회사를 분할하거나 자회사를 설립한다. 이러한 결정이 기업에 새로운 기회를 가져오기도 하지만 예상하지 못한 손실과 책임으로 이어지기도 한다.

중요한 것은 위험을 완전히 없애는 일이 아니다. 기업이 어떤 위험을 감수하고 있는지 알고, 중요한 의사결정이 적절한 절차를 거쳐 이루어지는지 확인하며, 문제가 발생하기 전에 이를 발견하고 관리할 수 있는 체계를 갖추는 것이다. 그 과정에서 중요한 역할을 하는 것이 내부감사다.

반도헌 저자의 [기업 내부감사]는 내부감사를 기업의 잘못을 찾아내는 사후 점검 활동으로만 바라보지 않는다. 기업의 의사결정과 위험관리, 내부통제와 거버넌스가 제대로 작동하는지를 독립적으로 확인하는 기능으로 바라본다. 그런 관점에서 이 책은 감사기법보다 먼저 기업이라는 조직이 어떻게 움직이는지 살펴본다.

내부감사를 이해하려면 기업이 어떻게 움직이는지 알아야 한다

책의 첫 번째 주제는 ‘기업의 본질, 대리인 비용과 거버넌스’이다. 내부감사에 관한 책이 기업의 본질에서 시작하는 데에는 이유가 있다. 기업에서는 주주와 이사회, 경영진을 비롯한 여러 사람이 서로 다른 권한과 책임을 가지고 움직인다. 주주는 기업의 중요한 권한을 이사회와 경영진에게 맡기고, 경영진은 그 권한을 바탕으로 수많은 의사결정을 내린다.

그러나 권한을 맡은 사람이 언제나 기업을 위해 최선의 판단을 한다고 장담할 수는 없다. 정보를 가진 사람과 그렇지 못한 사람 사이에 차이가 생기고, 개인의 이해관계와 회사의 이해관계가 충돌할 수도 있다. 경영진의 잘못된 판단이나 부정이 기업 전체에 큰 손실을 가져오는 경우도 있다. 기업에 이사회와 감사위원회, 내부통제와 내부감사가 필요한 이유가 여기에 있다.

누군가에게 권한을 맡겼다면 그 권한이 적절하게 사용되고 있는지 확인하는 장치도 필요하다. 이런 관점에서 보면 내부감사의 역할도 분명해진다. 단순히 업무상의 잘못을 찾아내는 데 그치지 않고 기업에서 권한이 적절하게 행사되고 그에 따른 책임이 제대로 작동하는지를 독립적인 위치에서 확인하는 것이다.

큰 사고 뒤에는 내부통제의 문제가 있다

기업에서 횡령이나 부정 같은 큰 사고가 발생하면 먼저 직접적인 행위자의 책임을 생각하게 된다. 하지만 기업의 책임은 여기에서 끝나지 않는다. 그런 일이 일어날 때까지 왜 발견하지 못했는지, 사고를 막거나 조기에 발견할 수 있는 장치는 없었는지, 경영진과 이사회는 위험을 제대로 관리하고 있었는지도 살펴봐야 한다. 이 책이 오스템임플란트 사건을 통해 이사의 감시의무와 내부통제 시스템 구축의무를 자세히 다루는 이유다.

내부통제란 기업의 모든 사고를 완벽하게 막는 장치를 의미하지 않는다. 중요한 위험을 파악하고, 이를 줄이기 위한 절차를 마련하며, 문제가 발생했을 때 발견하고 대응할 수 있도록 만드는 체계다. 그리고 이러한 체계가 제대로 작동하는지는 경영진만의 문제가 아니다.

책은 이사회와 경영진, 내부감사인, 준법감시인과 준법지원인 등이 각각 어떤 역할과 책임을 맡아야 하는지 살펴본다. 내부감사는 그 가운데에서 기업이 마련한 통제가 적절한지, 실제 업무에서 제대로 작동하고 있는지를 확인하는 역할을 한다. 사고가 발생한 뒤 책임자를 찾는 것도 필요하지만, 사고가 발생할 가능성을 줄일 수 있는 구조를 만드는 것이 더 중요한 이유다.

중요한 의사결정일수록 위험을 함께 살펴봐야 한다

기업의 위험은 횡령이나 부정에서만 발생하지 않는다. 경영진이 정상적으로 내린 중요한 사업 결정에서도 큰 위험이 생길 수 있다. 기업 인수합병(M&A)이 대표적이다. 다른 기업을 인수하면 새로운 시장과 사업을 확보할 수 있지만 예상하지 못했던 재무적 부담이나 법률 문제, 조직 통합의 어려움이 발생할 수 있다. 기업을 분할할 때도 여러 이해관계와 위험을 함께 검토해야 한다.

[기업 내부감사]는 이러한 문제를 M&A와 리스크 관리, 이사의 의무, 기업분할 과정의 위험이라는 관점에서 살펴본다. 마지막에는 이 과정에서 각 조직과 내부감사가 어떤 역할을 해야 하는지도 검토한다. 여기에서 중요한 것은 위험을 언제 살펴보느냐이다.

의사결정을 모두 내린 뒤 문제가 있는지 확인하는 것보다 중요한 결정을 내리는 과정에서 어떤 위험이 있는지 함께 검토하는 편이 낫다. 예상되는 위험을 파악하고, 감당할 수 있는 수준인지 판단하고, 필요한 통제를 마련한 뒤 의사결정을 내려야 한다.

그렇다고 내부감사가 경영진을 대신해 사업을 결정하는 것은 아니다. 내부감사의 역할은 중요한 위험이 제대로 파악되고 관리되는지 독립적인 관점에서 확인하는 데 있다. 내부감사는 경영진을 대신해 결정하는 것이 아니라, 기업이 더 신뢰할 수 있는 정보와 절차를 바탕으로 결정할 수 있도록 돕는다.

기업의 책임이 넓어지면 살펴봐야 할 위험도 늘어난다

오늘날 기업은 재무적 성과만으로 평가받지 않는다. 환경과 사회에 미치는 영향, 직원과 고객을 대하는 방식, 주주를 비롯한 여러 이해관계자와의 관계도 중요해졌다. 책은 이러한 변화를 ESG 경영과 이해관계자 자본주의, 이사의 의무라는 문제와 연결한다. 강원랜드의 기부행위 판례도 이러한 관계를 살펴보기 위한 사례로 다룬다.

여기에서 책이 주목하는 것은 ESG 자체보다 기업의 의사결정과 책임이다. 기업이 사회적 책임을 위해 어떤 결정을 내리더라도 회사의 자원을 사용한다면 왜 그런 결정을 내렸는지 설명할 수 있어야 한다. 누가 어떤 정보를 바탕으로 판단했으며, 그 과정에서 어떤 위험을 검토했는지도 중요하다.

기업이 고려해야 할 이해관계자가 많아지고 책임의 범위가 넓어질수록 의사결정 과정도 복잡해진다. 그래서 이사회와 경영진의 판단뿐 아니라 그 판단을 뒷받침하는 리스크 관리와 내부통제의 중요성도 함께 커진다.

회사가 커질수록 권한과 책임의 관계도 복잡해진다

기업이 하나의 회사로만 이루어져 있지 않은 경우도 많다. 모회사 아래 여러 자회사와 계열사가 존재하면 누가 어디까지 결정하고 책임져야 하는지가 복잡해진다.

모회사는 자회사에 어느 정도 관여할 수 있는가. 자회사의 경영진과 이사회는 어떤 책임을 지는가. 그룹 전체에 영향을 미치는 위험은 누가 관리해야 하는가.

책은 하이브 사례를 통해 이러한 문제를 살펴본다. 특히 내부감사 과정이 적법하게 이루어졌는지뿐 아니라 여론과 평판에 미치는 영향까지 함께 다룬다는 점이 눈에 띈다. 이는 내부감사에도 지켜야 할 원칙과 절차가 있다는 사실을 보여준다.

잘못을 찾아내겠다는 목적이 있다고 해서 모든 감사 방식이 정당화되는 것은 아니다. 내부감사 역시 법과 절차를 지켜야 하며, 감사 과정에서 발생할 수 있는 새로운 위험도 살펴야 한다.

결국 내부감사는 다른 부서의 통제를 점검하는 동시에 자신의 활동 역시 적절한 원칙과 절차에 따라 수행해야 하는 기능이다.

내부감사는 기업이 책임 있게 움직이도록 돕는다

[기업 내부감사]는 감사 절차와 기법을 순서대로 설명하는 일반적인 실무 매뉴얼과는 조금 다른 책이다. 기업의 본질과 거버넌스에서 시작해 내부감사의 법적 지위와 책임, 이사의 감시의무와 내부통제, M&A와 리스크 관리, ESG와 이해관계자, 모회사와 자회사의 관계로 논의를 넓혀간다.

처음에는 서로 다른 주제처럼 보이지만 책을 따라가다 보면 하나의 문제로 연결된다. 기업에서는 누군가가 권한을 가지고 결정을 내린다. 모든 결정에는 크고 작은 위험이 따른다. 그렇기 때문에 누가 어떤 권한을 가지고 있는지, 중요한 위험을 제대로 검토했는지, 필요한 통제가 마련되어 있는지, 문제가 생겼을 때 책임을 확인할 수 있는지를 살펴보는 체계가 필요하다.

내부감사는 이 과정에 놓여 있다. 내부감사는 기업의 권한과 책임, 의사결정과 위험, 내부통제가 제대로 연결되어 작동하는지를 독립적으로 확인하는 기능이다.

기업을 둘러싼 법과 제도는 계속 변하고 새로운 위험도 등장한다. 그러나 기업이 권한을 어떻게 행사하고, 위험을 어떻게 관리하며, 자신의 결정에 어떻게 책임질 것인가라는 문제는 계속 남는다. 그래서 내부감사는 잘못을 찾아내는 기능에 머물 수 없다.

연암사 출판사

이 블로그 검색