기업이 성장할 때 사람들의 관심은 주로 매출과 이익, 새로운 사업 기회에 쏠린다. 경영진은 시장을 확대하고 경쟁력을 높이기 위해 투자하며, 조직은 더 나은 성과를 얻기 위해 끊임없이 변화한다. 그러나 기업이 지속적으로 성장하려면 새로운 기회를 찾는 일만큼 이미 존재하는 위험을 관리하는 일도 중요하다. 아무리 높은 매출과 이익을 올리는 기업이라도 횡령이나 부정행위, 내부통제의 실패가 발생하면 큰 손실을 입을 수 있다. 오랫동안 쌓아온 시장의 신뢰를 잃는 경우도 있다.
이러한 문제는 특정 임직원의 잘못에서 시작되기도 하지만, 조직이 위험을 제대로 파악하지 못하거나 필요한 통제체계를 갖추지 못했을 때 더욱 커질 수 있다. 그렇다면 기업은 이러한 위험을 어떻게 관리해야 할까. 문제가 발생한 뒤 책임을 묻는 것만으로 충분할까.
반도헌 저자의 [기업 내부감사, 리스크 관리와 내부통제 거버넌스]는 이러한 질문을 내부감사의 관점에서 살펴보는 책이다. 저자는 기업의 실제 사건과 판례, 이사의 감시의무에 관한 법적 쟁점을 통해 내부감사가 기업의 건전한 운영에 어떤 역할을 해야 하는지 설명한다.
내부감사는 잘못을 찾아내는 일인가
내부감사라고 하면 흔히 회계장부를 조사하거나 직원의 잘못을 찾아내는 모습을 떠올린다. 기업에서 부정행위가 발생했을 때 관련 자료를 확인하고 책임 소재를 밝히는 활동을 생각하기 쉽다. 물론 이러한 조사와 점검도 내부감사의 업무에 포함될 수 있다. 그러나 내부감사의 역할을 잘못을 찾아내는 일로만 이해한다면 그 중요성을 충분히 설명하기 어렵다.
현대 기업에서 내부감사는 조직의 업무가 적절하게 운영되고 있는지, 중요한 위험이 제대로 관리되고 있는지, 내부통제가 효과적으로 작동하는지를 독립적으로 평가하는 역할을 한다. 예를 들어 기업이 새로운 사업에 진출하거나 대규모 투자를 추진한다고 생각해 보자. 사업을 담당하는 부서와 경영진은 예상되는 수익뿐 아니라 비용 증가, 법률 위반, 사업 실패와 같은 위험도 검토해야 한다.
내부감사는 이러한 위험을 직접 관리하는 대신, 해당 부서와 경영진이 위험을 적절하게 파악하고 필요한 통제체계를 마련했는지 평가한다. 문제가 발견되면 그 원인을 살펴보고 개선할 사항을 제시한다. 같은 문제가 반복되지 않도록 조직의 업무 절차와 관리체계를 점검하는 것이다. 따라서 내부감사의 목적은 누가 잘못했는지 밝혀내고 기업이 위험을 더 잘 관리하고 업무를 안정적으로 수행하도록 돕는 것이다.
내부통제의 실패는 왜 경영진의 문제가 되는가
기업에서 횡령이나 부정행위가 발생하면 가장 먼저 해당 행위를 저지른 사람의 책임을 묻는다. 그러나 기업의 위험관리는 개인의 잘못을 확인하는 것만으로 끝나지 않는다. 부정행위가 오랫동안 발견되지 않았다면 그 과정에서 어떤 문제가 있었는지도 살펴봐야 한다. 또한 중요한 자금 거래에 적절한 승인 절차가 있었는지, 특정 직원에게 지나치게 많은 권한이 집중되어 있지는 않았는지, 이상한 거래를 확인할 수 있는 점검 절차가 마련되어 있었는지 검토해야 한다.
이러한 문제는 모두 내부통제와 관련된다. 내부통제란 기업이 업무를 적절하게 수행하고 자산을 보호하며 법률과 규정을 준수하기 위해 마련하는 절차와 관리체계를 말한다. 예를 들어 자금을 지급할 때 담당자와 승인자를 구분하거나, 중요한 거래를 여러 단계에서 확인하도록 하는 것이 내부통제의 한 형태다. 이러한 절차는 실수와 부정행위의 가능성을 줄이기 위한 것이다. 내부통제를 마련하고 운영하는 일은 경영진의 중요한 책임이다. 이사회 역시 기업의 주요 위험과 내부통제 체계가 적절하게 관리되고 있는지 감독해야 한다.
[기업 내부감사]는 이러한 책임을 실제 기업의 사건과 판례를 통해 살펴본다. 특히 이사의 감시의무가 어떤 의미를 가지며, 기업의 내부통제와 어떻게 연결되는지 설명한다. 이사의 감시의무는 기업에서 문제가 발생할 때마다 이사가 무조건 책임을 져야 한다는 뜻은 아니다. 기업의 위험과 업무 특성에 맞는 감시체계를 마련하고, 중요한 문제가 드러났을 때 적절하게 대응했는지가 법적 판단에서 중요한 쟁점이 될 수 있다는 의미다.
따라서 경영진과 이사회는 내부통제를 규정이나 보고서를 갖추는 일로만 생각해서는 안 된다. 실제 업무에서 필요한 절차가 지켜지고 있는지 확인해야 한다. 내부감사는 이러한 관리와 감독이 제대로 이루어지는지 독립적으로 평가함으로써 기업의 건전한 운영을 뒷받침한다.
기업의 위험은 한 부서에만 머물지 않는다
기업의 규모가 커지고 사업이 복잡해질수록 위험도 여러 영역에서 발생한다. 재무와 회계뿐 아니라 인사, 구매, 영업, 정보기술, 법률과 규제 등 다양한 업무가 서로 연결되어 있기 때문이다. 여러 자회사를 운영하거나 인수합병을 추진하는 기업에서는 이러한 문제가 더욱 복잡해질 수 있다. 모회사와 자회사 사이에 이해관계가 충돌하거나, 조직마다 다른 관리체계를 운영하면서 중요한 위험이 제대로 보고되지 않을 가능성도 있다.
이러한 상황에서는 각 부서가 자신의 업무만 관리하는 것으로 충분하지 않다. 기업 전체의 관점에서 위험을 파악하고 관리할 수 있어야 한다. 이를 이해하는 데 도움이 되는 개념이 GRC다. GRC는 거버넌스(Governance), 리스크 관리(Risk Management), 컴플라이언스(Compliance)를 함께 고려하는 경영관리 체계를 말한다.
거버넌스는 기업의 중요한 의사결정이 어떤 절차에 따라 이루어지고 누가 책임지는지를 다룬다. 리스크 관리는 기업의 목표 달성에 영향을 미칠 수 있는 위험을 파악하고 대응하는 활동이며, 컴플라이언스는 법률과 규정, 내부 기준을 준수하도록 하는 활동이다. 이 세 가지 영역은 서로 밀접하게 연결되어 있다.
예를 들어 기업이 새로운 사업을 추진할 때는 사업의 위험을 검토해야 하고, 관련 법률을 준수해야 하며, 중요한 의사결정이 적절한 절차에 따라 이루어지도록 해야 한다. 내부감사는 이러한 활동이 제대로 이루어지고 있는지 독립적으로 평가한다. 위험관리와 내부통제를 직접 운영하는 책임은 해당 업무를 수행하는 부서와 경영진에게 있지만, 내부감사는 그 체계가 적절하게 작동하는지 확인하고 개선을 권고한다. 이처럼 내부감사는 개별 부서의 문제를 살펴보는 데 그치지 않고 기업 전체의 관리체계를 평가하는 역할을 수행한다.
디지털 시대에는 내부감사도 달라져야 한다
오늘날 기업의 업무환경은 빠르게 변화하고 있다. 많은 기업이 클라우드와 데이터 분석, 인공지능(AI)을 활용해 업무를 자동화하고 새로운 서비스를 개발한다. 기업의 중요한 정보와 업무 처리 과정도 점차 디지털 시스템에 의존하고 있다. 이러한 변화는 업무의 효율성을 높이고 새로운 사업 기회를 제공하지만, 이전과 다른 위험도 만들어낸다.
고객정보가 유출되거나 정보시스템이 중단될 수 있고, AI가 부정확한 정보를 바탕으로 업무를 처리할 가능성도 있다. 외부 서비스와 연결된 시스템에서는 접근권한이나 데이터 관리가 적절하지 않을 경우 예상하지 못한 문제가 발생할 수 있다. 따라서 내부감사도 회계장부나 전통적인 업무 절차를 점검하는 데에만 머물러서는 안 된다. 기업이 어떤 디지털 시스템을 사용하고 있는지, 중요한 데이터가 어떻게 관리되는지, 새로운 기술에 따른 위험을 적절하게 통제하고 있는지 살펴볼 필요가 있다.
그렇다고 내부감사인이 모든 기술을 직접 개발하거나 운영해야 한다는 뜻은 아니다. 중요한 것은 새로운 기술이 기업의 업무와 위험에 어떤 영향을 미치는지 이해하고, 그에 따른 관리체계가 제대로 작동하는지 평가할 수 있는 능력이다. 기업의 업무가 달라지면 내부감사가 살펴봐야 할 위험과 통제의 범위도 함께 달라져야 한다.
내부감사가 지켜야 할 것은 기업의 신뢰다
기업의 신뢰는 좋은 실적만으로 만들어지지 않는다. 기업이 법률과 규정을 준수하고, 중요한 위험을 적절하게 관리하며, 문제가 발생했을 때 책임 있게 대응한다는 믿음이 있어야 한다. 내부감사는 이러한 신뢰를 뒷받침하는 역할을 한다. 조직의 업무와 위험관리 체계를 독립적으로 평가하고, 발견된 문제의 개선을 권고함으로써 기업이 보다 건전하게 운영되도록 돕기 때문이다.
반도헌 저자의 [기업 내부감사, 리스크 관리와 내부통제 거버넌스]는 내부감사를 기업의 경영활동과 분리된 감시 기능이 아니라, 위험관리와 내부통제, 거버넌스의 관점에서 이해하도록 이끈다. 특히 기업의 실제 사건과 이사의 감시의무에 관한 법적 쟁점을 함께 살펴봄으로써 내부감사가 왜 경영진과 이사회 모두에게 중요한 문제인지 생각하게 한다.
내부감사가 모든 부정행위와 경영 실패를 예방할 수는 없다. 그러나 조직이 미처 발견하지 못한 위험을 확인하고, 내부통제의 문제를 개선하며, 같은 실수가 반복될 가능성을 줄이는 데 기여할 수 있다. 기업이 지속적으로 성장하기 위해서는 새로운 기회를 찾는 능력뿐 아니라 위험을 관리하고 조직의 신뢰를 지키는 능력도 필요하다.
내부감사는 기업이 얼마나 좋은 성과를 내고 있는지만이 아니라, 그 성과를 만들어내는 과정이 얼마나 건전하게 운영되고 있는지를 돌아보게 하는 중요한 기능이다. 이러한 이유로 오늘날 기업은 내부감사에 주목해야 한다. 그런 관점에서 [기업 내부감사]는 기업의 경영진과 이사회, 감사위원회, 내부감사인과 위험관리 담당자들이 내부감사의 역할과 책임을 이해하고 조직의 관리체계를 점검하는 데 도움을 주는 책이다. © 연암사
댓글
댓글 쓰기