뛰는 리스크 위에 나는 내부통제

리스크는 마치 생물과 같다. 리스크는 통제하면 또 다른 형태로 진화하는 속성이 있다. 예를 들어, 위임전결 규정상 팀장 전결로 부서 회식 명목의 지출 가능한 금액 범위가 50만 원이라고 가정해보자. 회식을 하다 보면 상황에 따라 예상치 못하게 지출이 커질 때도 있다. 실제 회식비로 70만 원을 썼지만 부서장 결재를 피할 목적으로 법인카드를 두 차례에 걸쳐 40만 원과 30만 원으로 나누어 결제했다면 이러한 행위는 타당한가? 법인카드를 분할결제하여 한도를 초과한 금액을 지출하더라도 명확한 규정과 지침이 없을 경우 이를 효과적으로 통제하기 어렵다. 그렇기 때문에 내부통제 운영원칙에서 ‘부정 위험평가’ 및 ‘위험 방지 프로그램’을 설계해야 한다고 제시하고 있다.

리스크는 외부적 요인에 의한 것도 있지만 내부적 요인에 의한 것도 있다. 특히 리스크는 내부통제 취약점을 파고든다. 리스크의 양태가 재무보고 관련 업무의 비효율성이나 부정행위, 재무적 오남용, 그리고 규정 위반과 같은 형태로 나타난다. 이러한 유형의 리스크는 결국 기업의 자산 손실을 초래하기도 하고 재무적 영향으로 인해 주주와 이해관계자들에게 부정적 영향을 끼치기도 한다.

리스크 관리와 내부통제

리스크가 관리된다는 것은 무엇을 의미할까? 경영목표를 달성하기 위해 집중하는데 장애가 되는 요소를 관리함에 있어서 전사적으로 대응해야 할 상황이 있고, 각 업무영역별로 자체 대응할 상황이 있다. 전사 차원에서 리스크를 대응하기 위해서는 리스크를 식별하기 위한 포트폴리오를 갖춰야 한다.

여기서 리스크 포트폴리오라 함은 전략(Strategy), 재무(Financial), 운영(Operation), 컴플라이언스(Compliance), 재난/재해(Crisis), 이벤트(Event) 등의 유형에 따라 기업이 리스크 상황에 처했을 때 어떻게 대응해야 할지 체계를 마련하는 것을 말한다. 전사 통합적 관점에서 리스크 관리는 우선 리스크를 빠짐없이 식별하고, 리스크가 전사로 확산됨에 따라 각 부서 간에 어떤 영향을 미치게 되는지 평가하는 것이 필요하다.

전사 차원에서 식별된 리스크 중에서 어떤 리스크가 재무적 또는 비재무적 영향이 큰 지평 가하여 선택과 집중을 위한 핵심 리스크(Key Risk)를 선정하는 것이 필요하다. 이때 전사 차원의 일관된 리스크 평가 과정을 거쳐 핵심 리스크를 선정하고 주기적으로 재평가를 통한 최신 화가 필요하다. 핵심 리스크 중심으로 리스크를 조기에 인지하는 것과 일상적으로 내부통제활동을 수행하는 체계를 마련하는 것이 필요하다. 이러한 리스크 관리를 위해서는 내부통제를 위한 자원의 배분이 필요하고, 통제가 효과적이고 효율적으로 운영될 수 있도록 거버넌스, 통제 프로세스, 인프라가 갖춰져야 한다.

내부통제가 유효하게 관리되기 위해서는 사전적 관리를 위한 상시 모니터링 체계가 갖춰져야 하고, 지속적인 내부통제활동이 가능하도록 통제 운영 절차와 인프라가 필요하다. 리스크 관리는 식별로 그쳐서는 안되며, 현행화를 통한 실행력을 갖추는 것이 필요하다. 또한, 핵심 리스크를 중심으로 내부통제 현황과 통제절차가 실제와 일치하도록 지속적으로 관리하고 업무 프로세스에 내재화되어야 한다.

내부통제체계 구축의 목적

내부회계 관리 제도는 건전한 자본시장을 유지하는 데 있어서 기업의 투명한 운영과 성실한 재무보고와 법규 준수가 반드시 필요하다는 공감대에서 출발한다. 경영실적이 반영된 재무제표가 공시될 때 그 결과에 대해 누구나 합리적 확신을 얻기를 원한다. 이를 위해서는 회사가 경영목표를 달성하기 위해 수행하는 업무 과정에서 자원을 효과적이고 효율적으로 사용하여 계속기업으로서 책임과 역할을 다했는가를 중요하게 고려한다.

주로 경영실적은 재무제표의 숫자로 나타나게 된다. 특히 외부 투자자나 주주, 감독 기구, 그리고 불특정 다수는 그 회사의 성과와 현재 상태를 파악하고자 할 때 재무제표를 중요하게 고려한다. 내부 및 외부 보고를 위해 정확하고 신뢰할 수 있는 재무정보 및 비재무 정보를 작성하고 오류가 없도록 경영진이 이를 충분히 검토해야 하는 이유가 여기에 있다. 만일, 분식회계와 같이 부정확한 재무정보가 공시될 경우 자본시장에 혼란을 가져올 수 있기 때문에 재무제표가 왜곡되지 않도록 재무정보의 작성 과정에서 발생할 수 있는 주요 리스크를 식별하고 이를 효과적으로 대응하기 위한 내부통제 설계와 운영이 매우 중요하다.

내부통제가 중요한 만큼 기업의 최고 의사결정기구인 이사회에 보고 할 수 있는 보고체계를 유지하는 것이 중요하다. 이는 경영진이 투명하고 윤리적으로 경영하는지를 이사회에 보고함으로써 자가 통제의 강제력을 부여하는 의미도 있다. 기업도 일반 시민과 같이 법인격으로서 상법에서 정한 법규 및 각종 산업 규제, 감독규정 등을 성실히 준수할 의무가 있다. 기업 내부 정관에 따라 수립된 내부 운영규정이나 업무지침 역시 리스크를 줄이기 위해 내부통제 요소가 포함되도록 설계되고 운영되어야 한다.

내부통제설계 및 운영원칙

내부통제는 2013년 제정된 NEW COSO 프레임워크에 기반한다. 기존의 COSO 프레임워크(Framework)는 내부통제 구성요소별로 관련된 정의를 나열하는 방식으로 기술했다. 그러나 개정된 NEW COSO 프레임워크는 구성요소별로 달성되>