2. 내부감사제도
| 가. | 내부감사의 의의 |
| □ | 내부감사(Internal Audit)란 특정 조직이나 기업 외부의 감사전문가가 실행하는 외부감사와는 달리 조직 내부에 있는 감사 담당자가 조직의 목표를 효율적으로 달성하기 위하여 내부통제조직을 조사ㆍ평가하고 조직 내부의 각 단위의 효율성을 측정하는 한편 회계기록 및 기타 경영에 관한 모든 기록을 점검하여 그 결과를 경영진, 주주 등 이해관계자에게 전달하고 필요시 적절한 조치를 하도록 하는 과정임. |
| * | IIA(The Institute of Internal Auditors)의 내부감사의 정의(1999 6월 IIA 이사회) |
내부감사(Internal Audit)는 기업의 가치를 제고하고 업무운영을 개선하기 위해 독립적, 객관적으로 운영되는 확신 및 컨설팅 활동(assurance and consulting activity)이며 동 제도는 리스크 관리, 내부통제 및 지배구조 운영의 유효성에 대해 체계적, 전문적으로 평가하고 개선토록 함으로써 기업의 목표를 달성할 수 있도록 지원함.
| ◦ | 따라서 상법상 회사의 기관인 監事나 감사위원회가 주관하여 실시하는 감사 외에 경영진이 필요에 의해 자체적으로 운영하는 감사도 내부감사에 포함됨. |
| - | 영미법 계통의 국가에서는 내부감사가 최고경영자를 보조하는 역할을 수행하며 감사결과를 최고경영자에게 보고하도록 하고 있어 감사가 주주총회에서 선출되고 주주에게 최종 책임을 지도록 하는 우리나라의 감사제도와는 차이가 있음. |
| 나. | 내부감사의 목적 |
| □ | 내부감사제도를 운영하는 목적은 일반적으로 다음과 같음. |
| ◦ | 회사의 회계, 업무 및 경영 등에 대한 관리(accounting, operational and administrative controls)의 신뢰성, 적정성 및 유효성을 평가 |
| ◦ | 내부통제시스템에 의해 각종 거래가 신속ㆍ정확하게 기록되고 회사 자산이 적절하게 보존되는지를 확인, 평가 |
| ◦ | 조직내의 모든 활동이 관련 법규나 내부지침을 준수하고 경영정책에 부합하게 이루어지고 있는지, 그리고 경영진이 내부통제의 취약점을 해결하기 위한 적절한 조치를 취하고 있는지를 확인, 평가 |
| ◦ | 이러한 평가결과를 경영진 및 주주 등 관계자에게 통보하여 필요한 조치를 취하도록 하거나 의사결정에 반영토록 함으로써 조직의 목표를 효율적으로 달성하고 이해관계자를 보호 |
| □ | 최근의 내부감사는 이러한 목적 외에도 경영진에 대해 조언하고 컨설팅하는 기능을 수행하는 방향으로 나아가고 있어 그 중요성이 증대하고 있음. |
| ◦ | 경영진이 새로운 경영정책 또는 절차를 개발하거나 기존의 경영정책이나 절차를 변경하고자 할 때 또는 새로운 상품이나 서비스를 개발할 때 건설적인 조언을 함. |
| ◦ | 이사회 또는 경영진이 은행의 합병, 영업양수도 등 전략적 경영의사결정을 하거나 이를 추진하는 과정에서 회사의 자산보전 및 내부통제가 제대로 이루어질 수 있도록 컨설팅하는 역할을 수행 |
| <참고> | 은행의 내부감사 업무내용 (바젤위원회)* | |
| | | |
| ① 내부통제시스템의 적정성 및 유효성에 대한 감사 및 평가 ② 리스크관리 절차 및 리스크 평가 기법의 운용 및 그 유효성에 대한 검토 ③ MIS 및 재무정보시스템과 전자정보시스템, 전자금융서비스에 대한 검토 ④ 회계기록 및 재무보고서의 정확성 및 신뢰성 검토 ⑤ 자산보전 방안에 대한 검토 ⑥ 리스크를 감안한 자기자본 평가 시스템의 적정성 검토 ⑦ 영업활동의 경제성 및 효율성 평가 ⑧ 거래내용 및 관련 내부통제절차의 작동상태에 대한 감사 ⑨ 관련법규 및 윤리기준의 준수, 경영방침 및 절차의 이행 시스템의 검토 ⑩ 감독당국앞 보고(regulatory reporting)의 신뢰성과 적시성에 대한 감사 ⑪ 특별조사(special investigation) 업무 | ||
| * | 바젤위원회의 "은행의 내부감사기능 및 감독당국과 감사인간의 관계"("Internal Audit in Banks and the Supervisor''s Relationship with Auditors", 2001 8월) |
| 다. | 내부감사의 종류(BIS) |
| □ | 재무감사(financial audit) |
| ◦ | 회계제도와 정보 및 재무제표의 신뢰성을 평가하기 위해 수행하는 감사 |
| □ | 준법감사(compliance audit) |
| ◦ | 특정 조직이 준수하여야 할 법률이나 규칙 또는 자체 설정한 정책이나 절차를 제대로 준수하고 있는지 여부를 점검하고 평가하는 감사 |
| □ | 업무감사(operational audit) |
| ◦ | 조직의 목표 달성과 관련하여, 시스템과 절차가 얼마나 효과적이고 효율적으로 작동되고 있는가, 조직 구조는 적정한가, 방법과 자원은 적정한가 등을 평가할 목적으로 수행하는 감사 |
| □ | 경영감사(management audit) |
| ◦ | 조직의 목적과 관련하여 경영진의 위험에 대한 접근과 통제방식의 적정성을 평가하기 위해 실시하는 내부감사 |
| 라. | 내부감사의 중요성 |
| □ | 회사는 그 규모와 활동범위가 확대되고 업무가 전문화됨에 따라 권한의 위임 등에 의해 분권관리를 하는 것이 일반적임. |
| ◦ | 분권관리 하에서 회사가 목표를 효율적으로 달성하기 위해서는 적절한 내부통제시스템을 구축하여 운영하여야 함. |
| ◦ | 내부감사는 객관적인 입장에서 이러한 내부통제시스템의 구축 및 운영의 적정성을 평가하여 개선방안을 제시하는 기능을 담당하므로 결국 회사의 목적을 원활히 달성하는데 중요한 역할을 함. |
| □ | 이를 좀 더 세부적으로 설명하면 내부감사의 기능은 다음과 같은 측면에서 중요성이 있음. |
| ① | 회사의 모든 임직원들이 경영목표를 철저히 이해하고 있고, 목표에 부합하는 시책을 마련하여 효과적으로 시행하고 있는지 검토ㆍ평가하여 회사의 원활한 목표달성을 촉진 |
| ② | 내부통제 시스템의 구축ㆍ운영상황을 검토ㆍ평가하여, 시스템을 충실하고 효율적ㆍ효과적으로 작동될 수 있도록 정비 |
| ③ | 업무활동을 검토ㆍ평가하여 경영활동이 한층 합리적으로 이루어지도록 촉진 |
| ④ | 다수의 부서가 관련되는 업무수행 상황과 유기적 협조 여부를 검토ㆍ평가하여, 조직전체의 원활한 업무운영과 효율화를 촉진 |
| ⑤ | 정보시스템의 신뢰성, 안전성, 효율성을 제고하는 방향으로 운영될 수 있도록 촉진 |
| □ | 한편 금융회사는 일반제조업과 달리 고객에 대한 신용이 무엇보다 중요하므로 신용 유지를 위해서는 금융사고 예방이 매우 중요함. |
| ◦ | 금융회사는 현금 및 유동자산의 비중이 매우 높고 거래 규모 및 횟수가 많아 금융사고의 개연성이 매우 많고 사고 규모도 상대적으로 큰 편임. |
| ◦ | 금융회사에 사고가 발생하면 사고로 인한 직접적 손실도 클 뿐만 아니라 신용상태가 악화되어 고객의 외면을 받게 되므로 해당 금융회사의 생존이 위협을 받게 됨. |
| ◦ | 따라서 금융사고를 미연에 방지하여 사고에 따른 손실을 예방하고 고객의 신뢰를 쌓아 건전한 금융회사로 계속 발전하기 위해서는 적정한 내부통제제도를 구축ㆍ운영하여야 할 뿐 아니라 이에 대한 평가 및 조언을 담당하는 감사기능이 원활히 작동될 수 있어야 함. 이러한 측면에서 금융회사 내부감사의 중요성이 강조되어야 함. |
| 마. | 내부감사의 운영원칙 |
(Internal audit in banks and the supervisor''s relationship with auditors - 2001.8월 바젤위원회)
| * | 본 내부감사 운영원칙은 바젤위원회에서 은행을 대상으로 마련한 것이나 실제내용 면에서 모든 금융회사에 대해 적용 가능한 일반원칙임 |
| 1) | 지속성(Permanent Function - Continuity) |
| □ | 은행은 영속적인 내부감사기능을 갖추어야 하며, 고위 경영진은 내부감사기능이 영업규모 및 영업특성 등에 따라 적정하게 계속 유지될 수 있도록 인적 및 물적 자원을 지원하는 등 필요한 조치를 취하여야 함. |
| ◦ | 대형은행의 경우에는 내부감사부서에 전담인력을 두어 내부감사업무를 수행토록 하여야 하며, 소형은행의 경우에는 내부감사기능을 외부전문기관에 아웃소싱하거나 핵심 내부통제에 대한 독립적인 검토시스템을 운영함으로써 내부감사를 대체할 수도 있음. |
| 2) | 독립성(Independent Function) |
| □ | 내부감사기능은 감사대상이 되는 영업활동 기능 및 일상적인 내부통제과정상의 여러 기능과 독립적으로 운영되어야 함. 이는 내부감사조직이 조직 내에서 독립적인 지위를 보장받아 객관적이고 공정하게 임무를 수행해야 함을 의미 |
| ◦ | 내부감사부서는 모든 부서, 설비 및 기능에 대해 독자적인 판단 하에 감사활동을 수행할 수 있어야 하고, 발견사항 및 평가결과를 은행 내에서 자유롭게 보고하고 공개할 수 있어야 함. |
| - | 이러한 독립성 보장을 위해 내부감사부서는 감사위원회의 직접적인 통제 하에서 감사활동을 수행하여야 함. |
| ◦ | 내부감사 부서장은 자신이 원할 경우 내부 감사규정에서 정하는 바에 따라 언제든지 직접 이사회, 이사회 의장, 감사위원회 위원 또는 외부감사인과 협의 또는 보고할 수 있어야 함. 동 협의나 보고내용에는 경영진의 관련법규에 위배되는 의사결정 등도 포함되어야 함. |
| ◦ | 내부감사인은 독립성을 유지하기 위해 은행과 이해상충의 관계를 가져서는 안되며, 내부감사인에 대한 보상계획은 내부감사의 목적과 일치해야 함. |
| - | 한편, 은행은 내부감사기능이 적절하게 운영되고 있는지를 독립적으로 검토하는 시스템을 구축해야 하며, 외부감사인과 같은 독립적인 제3자 또는 감사위원회가 이러한 업무를 수행할 수 있음. |
| 3) | 명료성 - 권한과 책임의 문서화(Audit Charter) |
| □ | 내부감사기능이 조직 내에서 가지는 지위 및 권한을 규정하는 내부감사규정을 마련하여 시행하여야 함. |
| ◦ | 감사규정에는 다음 사항이 포함되어야 함. |
| - | 내부감사기능의 목적 및 범위 |
| - | 조직 내에서의 내부감사부서의 지위, 권한 및 책임, 여타 내부통제기능과의 관계 |
| - | 내부감사 부서장의 책임 |
| ◦ | 내부감사부서는 감사규정을 작성하고 주기적으로 검토하여 수정ㆍ보완하여야 함. 규정은 이사회 또는 감사위원회의 승인을 받아야 함. |
| ◦ | 감사규정에는 내부감사부서가 감사업무를 수행하는 데 필요한 임직원과의 의사소통, 모든 영업활동 및 영업부서의 업무에 대한 감사, 경영정보 및 의사결정 기구의 의사록 등 모든 기록 및 자료에 대한 접근 등의 권한을 명시하여야 함. |
| - | 또한, 감사규정에는 내부감사부서가 컨설팅 및 조언기능을 수행하거나 기타 특별한 임무를 수행해야 하는 조건과 상황을 명시하여야 함. |
| ◦ | 은행의 모든 임직원은 감사규정을 숙지하여 내부감사기능의 은행내 지위 및 역할에 대해 이해하고 감사활동에 적극 협조하여야 함. |
| 4) | 공정성(Impartiality) |
| □ | 내부감사기능은 편견이나 외부의 간섭 없이 객관적이고 공정하게 수행되어야 함. |
| ◦ | 객관성과 공정성은 내부감사부서가 감사업무 수행과 관련하여 이해상충관계가 없어야 한다는 것을 의미함. |
| - | 이를 위해 내부감사 부서 직원의 담당업무를 가능한 정기적으로 교대하고, 타부서에서 내부감사부서로 전입한 직원은 과거 12개월 이내에 자신이 수행했던 업무나 기능에 대해 감사하지 못하도록 하여야 함. |
| ◦ | 내부감사부서는 은행의 영업활동이나 내부통제수단의 선택이나 시행에 관여하지 말아야 함. 이는 영업활동 등에 관여할 경우 이러한 활동에 대한 책임을 부담하게 되어 감사와 관련한 판단상의 독립성이 저해될 수 있기 때문임. |
| - | 경영진은 중요한 조직구조의 변경, 위험이 큰 신규사업 투자나 신규업체의 신설, 위험관리시스템ㆍ경영정보시스템 또는 정보기술시스템의 구축 및 수정 등 내부통제기준과 관련한 특정사안에 대하여 내부감사부서에 의견을 요청할 수 있고 내부감사부서는 이에 응할 수 있음. |
| - | 그러나 이와 관련한 의사결정의 최종책임은 고위경영진에게 있으며, 내부감사부서의 컨설팅 기능은 내부감사부서의 기본적인 직무와 책임, 그리고 업무수행의 독립성을 침해하지 않는 범위 내에서 수행되어야 함. |
| 5) | 전문성(Professional Competence) |
| □ | 감사업무의 적절한 수행을 위해서는 각 내부감사인 및 내부감사부서가 감사업무에 대한 전문성을 갖추어야 함. |
| ◦ | 각 내부감사인이 지속적인 교육을 통해서 전문성을 갖춤과 동시에 내부감사부서 전체 차원에서도 은행이 수행하는 모든 업무분야를 감사할 수 있는 충분한 자질, 지식 및 경험을 가진 직원을 고르게 채용하여야 내부감사기능이 효율적으로 운영될 수 있음. |
| ◦ | 내부감사인의 전문성을 평가할 때는 담당 감사업무와 관련 정보 수집능력, 감사ㆍ평가능력 및 관계자와의 의사소통 능력 등을 종합적으로 감안하여야 함. |
| - | 또한, 은행 업무가 갈수록 복잡해지고, 금융산업이 발전함에 따라 감사 기법도 다양해질 수밖에 없는 점도 고려하여야 함. |
| * | 내부감사인이 감사업무를 효과적으로 수행하기 위해 갖추어야 하는 필수적인 자질에는 통상 다음과 같은 사항이 포함됨(OCC; Comptroller''s Handbook) |
| - | 적절한 교육수준 및 경력 |
| - | 부여된 임무를 완수할 수 있는 조직관리 능력 및 기법 보유 |
| - | 구두 또는 서면에 의한 능숙한 의사소통능력 |
| - | 회계기준 및 원칙, 감사기준 및 원칙, 감사기법 등에 대한 이해 |
| - | 건전한 업무처리 관행으로부터 벗어난 특정 상황의 중요성을 인식하고 평가하는 능력 |
| - | 이미 드러났거나 내재되어있는 문제점을 발굴하여 해결방안을 강구하는 능력 |
| ◦ | 내부감사인이 유사한 업무나 단순 반복적인 업무를 장기간 계속 수행하는 경우 중요사항에 대한 판단능력이 저하될 수 있음. |
| - | 이러한 현상을 방지하기 위해 내부감사인력을 감사부서 내에서 순환배치하는 것이 바람직하며, 이러한 직무순환시에는 내부감사인의 독립성이 침해되지 않도록 유의하여야 함. |
| ◦ | 은행은 내부감사인력이 전문성을 유지토록 하기 위해 교육을 지속적으로 실시하여야 하며, 이들이 감사기법 및 은행업무에 대한 최신 지식을 충분히 습득할 수 있도록 지원하여야 함. |
| 6) | 내부감사 대상범위(Scope of Activity) |
| □ | 내부감사는 조직 내 모든 업무 및 모든 부서(지점 및 자회사, outsourcing된 업무 등 포함)를 대상으로 하여야 함. 또한, 내부감사부서는 업무 수행에 필요한 경우 경영정보 및 의사결정기구의 의사록 등 은행의 모든 기록, 문서 또는 자료에 접근할 수 있어야 함. |
| ◦ | 일반적으로 내부감사에서는 내부통제시스템과 직무수행방법의 적정성 및 효율성에 대한 감사 및 평가를 하며, 이는 주로 은행의 내부통제시스템 운영측면에서의 리스크 요인 분석을 의미함. |
| ◦ | 내부감사를 실시할 때 특히 다음 사항을 중점 평가하여야 함. |
| - | 경영정책의 이행상황 및 계량ㆍ비계량 리스크의 통제상황 |
| - | 재무정보 및 경영정보의 신뢰성과 적시성 |
| - | 전산정보시스템의 연속성 및 신뢰성 |
| - | 지원부서(staff departments) 기능의 원활한 작동여부 |
| ◦ | 내부감사부서는 감사업무 수행시 금융감독 관련 법규(감독당국의 감독정책, 규정, 기준 등 포함)의 준수여부에 대하여도 관심을 기울여야 함. |
| - | 다만 이런 경우에도 내부감사부서가 준법기능(compliance function)에 대한 책임을 지는 것은 아님. |
| ◦ | 금융회사가 별도의 통제담당 부서를 두어 업무활동이나 자회사 등을 통제하고 모니터링하는 경우에도 내부감사부서는 통제부서의 통제대상 업무나 자회사 등에 대한 감사를 실시하지 않아도 되거나 동 감사관련 책임이 면제 또는 완화되는 것은 아님. |
| - | 내부감사부서는 효율적인 업무 수행을 위해 통제담당 부서의 통제활동 결과 보고서 내용을 활용할 수는 있으나 관련 업무 및 자회사 등의 내부통제시스템 구축ㆍ운영의 적정성을 감사하고 평가할 책임은 내부감사부서가 부담해야 함. |
| ◦ | 경영상 중요한 해외지점을 운영하고 있는 경우 효율적이고 지속적인 감사업무 수행을 위해 현지에 감사조직을 운영하는 것이 바람직 함. |
| - | 현지 감사조직은 내부감사조직의 일부로서 내부감사부서와 동일한 기준에 의해 조직되고 운영되어야 함. |
| ◦ | 금융회사가 지주회사 또는 모회사의 자회사인 경우에도 법적으로 독립된 실체로서 독자적인 내부통제시스템과 내부감사기능을 구축하여야 함. |
| - | 다만 지주회사 또는 모회사의 내부감사부서가 자회사의 내부감사를 수행할 수는 있음. |
| - | 자회사의 내부감사부서는 내부감사 결과를 지주회사 또는 모회사의 내부감사부서에 보고하여야 하며, 지주회사 또는 모회사는 동 내부감사부서가 자회사의 모든 업무 및 부서에 대해 제약없이 접근하고, 정기적으로 임점감사를 수행할 수 있도록 필요한 모든 조치를 취해야 함. |
| ◦ | 모회사는 해외에 있는 지점 및 자회사에 대하여 통일된 내부감사 기준을 제시하여야 함. |
| - | 모회사가 그룹 전체의 감사지침을 마련하고 모회사 내부감사부서는 현지 내부감사인의 임명 및 평가에 관여하여야 함. |
| 7) | 내부 자본평가절차(Internal Capital Assessment Procedure) |
| □ | 내부감사부서는 내부자본이 리스크와 연계되어 적정하게 유지될 수 있도록 리스크관리시스템과 적정자본 유지 모니터링 시스템에 대해 정기적, 독립적으로 평가를 실시해야 함. |
| ◦ | 금융회사의 리스크 인식 및 자본 평가과정은 리스크관리 과정과는 상이함. |
| - | 리스크 관리과정은 리스크와 보상간 상충관계(risk/reward trade-off) 하에서 이윤 극대화를 추구하는 영업전략의 적정성을 검토하는데 중점을 둠. |
| ◦ | 금융회사는 자본 평가절차의 적정성 검토를 담당할 직원 또는 부서를 명확히 지정하여야 함. |
| - | 내부감사부서 또는 금융회사의 일상 업무와는 독립된 다른 직원이나 부서로 하여금 수행토록 할 수 있음. |
| 바. | 내부통제(internal control)와 내부감사(internal audit) |
― COSO(Committee of Sponsoring Organization of the Treadway Commission)보고서 내용을 중심으로 ―
| □ | 내부통제의 기본 구성요소는 통제환경(control environment), 위험평가(risk assessment), 통제활동(control activities), 정보와 의사소통(information and communication), 모니터링(monitoring) 등 5가지임. |
(세부내용은 제 II편 제5장 내부통제시스템의 적정성 평가 참조)
| ◦ | 내부통제시스템 구축 및 운영의 기본적 책임은 이사회에 있으며 이사회는 내부통제에 관한 기본정책을 정하고 경영진은 이사회가 정한 내부통제 기본정책을 기준으로 세부적인 이행방안을 마련하여 제도를 운영할 책임이 있음. |
| ◦ | 내부감사는 내부통제의 5번째 기본 요소인 모니터링에 포함된다고 할 수 있으며, 모니터링은 일상적 모니터링과 수시ㆍ독립적 모니터링으로 구분될 수 있음. |
| - | 일상적 모니터링은 매일매일 일상적으로 행해지는 사무에 대한 감사, 즉 부서 자체감사 및 경영진에 의한 자점감사 등을 의미함. |
| - | 수시ㆍ독립적 모니터링은 일상적 모니터링에서 커버할 수 없는 부분을 독립적인 감시기구를 통해 감사하는 것을 말함. |
| * | 감사조직에 의해 실시되는 내부감사는 이 범주에 속한다고 할 수 있으며, 일상적인 모니터링이 제대로 기능하고 있는지를 검토하는 것도 내부감사의 의무라 할 수 있음 |
| □ | 바꾸어 말하면, 내부통제(internal control)는 내부감사(internal audit)는 물론 통제환경의 구축, 위험평가체제, 통제활동, 정보와 의사소통체계 등 조직의 풍토와 구조를 망라한 매우 포괄적인 개념으로써 내부감사기능의 제고가 내부통제의 강화로 직결되지는 않음. |
| ◦ | 다만 내부감사기능은 내부통제시스템의 구축 및 운영의 적정성에 대하여 객관적이고 독립적인 입장에서 평가하고 적절한 개선방안을 제시하는 역할을 담당하므로 내부감사기능을 강화함으로써 내부통제시스템의 효율화를 도모할 수 있음. |
| 사. | 리스크 중심의 감사방법 |
(The Office of the Comptroller of the Currency(OCC)의 Comptroller''s Handbook 참조)
| 1) | 개 요 |
| □ | 금융회사의 업무에 수반되는 리스크의 내용이 점차 복잡해짐에 따라 금융회사의 감사기능도 금융회사의 리스크를 평가(risk assessment)하고 동 리스크를 기초로 한 감사(risk-based audit)를 운영하는 것이 필요함. |
| ◦ | 리스크 평가는 금융회사가 직면하고 있는 각종 리스크를 측정하고, 동 리스크에 상응하여 리스크를 관리, 통제하기 위한 시스템을 적정하게 구축하여 운영하고 있는지를 평가하는 것이며, |
| ◦ | 리스크 중심의 감사는 이러한 리스크 및 그 관리시스템에 대한 평가결과를 기초로 리스크가 큰 부문에 감사업무의 우선순위를 두고 집중적으로 감사를 함으로써 제한된 감사자원을 효율적으로 활용하고자 하는 것임. |
| □ | 금융회사는 모든 업무를 대상으로 리스크 중심의 감사제도를 운영하는 것이 바람직하며, 업무별 리스크 평가결과인 리스크 매트릭스(Risk Matrix)를 바탕으로 해당 분야에 대한 감사 빈도 및 감사의 강도(depth) 등 세부적인 감사계획을 수립ㆍ운영하여야 함. |
| ◦ | 또한, 분야별 리스크 동향을 지속적으로 모니터링하여 기존의 리스크 매트릭스에 반영하여 수정ㆍ보완하고 이에 따라 감사계획 등을 적의 수정함으로써 변화하는 환경에 적절히 대응해야 함. |
| □ | 금융회사는 영업규모, 업무의 복잡성 및 범위, 직원의 자질, 내부통제기능의 적정성 등 회사별 특성에 적합한 리스크 중심의 감사제도를 개발 운영함이 바람직함. |
| ◦ | 이러한 리스크 중심의 감사제도를 적절히 구축ㆍ운영함으로써 감사업무의 효율성을 증대시킬 수 있음. |
| 2) | 업무 절차 |
| □ | 리스크 중심의 감사프로그램은 금융회사의 규모 및 영업특성 등에 따라 다양한 형태를 가질 수 있으나 기본적으로 다음의 시스템 및 절차를 포함하여 수행될 수 있도록 프로그램을 설계하여야 함. |
| ① | 금융회사의 사업, 상품, 서비스 및 기능을 세부적으로 구분 |
| ② | 세분된 사업부, 상품, 서비스 및 기능 가운데서 감사대상 분야를 선정 |
| ③ | 중요한 사업부, 부서 및 상품의 세부 내용과 관련 리스크에 관한 사항을 세부적으로 기록하고 리스크관리 및 내부통제 시스템의 구조를 문서화 |
| ④ | 중요한 사업단위의 업무관련 리스크 및 리스크 통제에 대한 등급을 부여하고 평가를 실시한 후 그 결과를 바탕으로 리스크 매트릭스를 작성 |
| ⑤ | 감사대상 분야에 대해 리스크 매트릭스를 기초로 감사일정, 감사주기, 감사업무의 범위 및 감사자원의 배분 등 감사계획을 마련 |
| ⑥ | 감사계획 수립, 감사실시, 감사결과보고 및 사후관리 등을 이행 |
| ⑦ | 중요한 사업단위별, 부서별, 상품별 리스크 평가상황을 1년에 1회 이상 정기적으로 모니터링하여 리스크 매트릭스를 수정ㆍ보완하는 시스템을 운영 |
| 3) | 리스크 스코어링 시스템(Risk Scoring System) |
| □ | 리스크 중심의 감사프로그램이 성공적으로 운영되기 위해서는 객관적으로 리스크를 인식ㆍ평가할 수 있는 효과적인 리스크 스코어링 시스템이 구축되어야 함. |
| ◦ | 리스크 스코어링 시스템을 구축할 때 주관적 판단을 최소화하고 객관성을 높일 수 있도록 연관성이 있는 리스크 요인(risk factor)을 모두 고려하여야 함. |
| □ | 리스크 스코어링 시스템 구축시 고려하여야 할 일반적인 리스크 요인(risk factor)은 다음과 같음. 각 금융회사는 영업특성 등에 따라 적절한 리스크 요인을 선정하여야 함. |
| ① | 거래의 특성(거래빈도, 거래규모 및 유동성 등) |
| ② | 영업환경의 특성(거래의 복잡성, 거래규모의 변화, 업무처리 및 보고시스템의 중앙집중화 정도, 경제환경 및 규제환경 등) |
| ③ | 내부통제, 보안 및 경영정보시스템 |
| ④ | 인적자원(경영진 및 직원의 경력, 이직률, 자질, 권한의 위임정도 등) |
| ⑤ | 경영진의 감독수준 |
| 4) | 리스크 평가기준 |
| □ | 리스크 관리제도 운영과 관련하여 리스크 요소와 리스크 평가수단의 선정 및 운영에 관한 기준을 명문화하여 이사회의 승인을 받아야 하며, 감사인은 동 기준에 따라 주요 업무분야별로 평가결과를 바탕으로 리스크 매트릭스를 작성함. |
| ◦ | 이러한 평가기준의 형식이나 세부 내용은 금융회사의 규모, 업무의 복잡성 및 업무범위 등에 따라 달라짐. |
| ◦ | 평가기준에는 동일 권역 금융회사의 관행 또는 자사의 과거 사례 등을 고려하여 평가결과를 점수화하는 기준을 설정 |
| - | 평가결과 등급을 3단계(low, medium, high) 또는 5단계(1～5등급) 등으로 구분하여 정의하여야 함 |
| □ | 리스크 평가기준은 다음 사항에 관해 세부적으로 규정하여야 함 |
| ① | 리스크 평가결과 등급 및 점수에 따른 감사주기의 결정 |
| - | 통상 리스크가 높은 업무분야에 대해서는 12개월 미만, 리스크가 보통인 업무분야에 대해서는 24개월 미만, 리스크가 낮은 업무분야에 대해서는 24개월 이상의 주기로 감사를 실시하며, 다만 금융회사가 처한 여건과 자체 판단에 따라 감사주기가 달라질 수 있음. |
| ② | 리스크 평가업무의 예외 운영이 가능한 경우 및 예외 운영시 이의 승인권자(이사회, 감사위원회 또는 상근감사위원 등)에 대한 기준, 예외사항 운영시 관련내용을 보고하고 문서화하기 위한 기준 |
| ③ | 개별부서 또는 영업활동 단위별 리스크 평가의 시기 |
| - | 원칙적으로 매년 1회 이상 리스크를 평가하여야 하며 금융회사의 외형 또는 특정상품이 과도하게 성장하고 있거나, 업무 담당자 구성 또는 업무 내용에 상당한 변화가 발생한 경우에는 보다 평가주기를 단축하도록 하는 것이 바람직 |
| ④ | 점수(등급) 및 평가결과에 관한 입증서류의 문서화 기준 |
| 5) | 운영책임 |
| □ | 일상적인 리스크 중심 감사업무를 관리ㆍ운영할 책임은 상근감사위원 또는 감사부서장에게 있으며, 상근감사위원이나 감사부서장은 감사범위와 리스크 상황을 점검ㆍ평가하여 감사에 포함되는 범위가 적절히 유지되도록 해야 함. |
| ◦ | 상근감사위원 또는 감사부서장은 각 업무분야에 대한 리스크 평가등급, 감사범위에 관한 계획 및 감사주기에 대하여 보고하여야 함. |
| ◦ | 감사부서장은 매년 1회 이상 리스크 스코어링 시스템과 리스크 매트릭스의 신뢰성을 검증하여야 하며 부서 또는 기능에의 중요한 변화가 발생한 때에도 검증을 실시하여야 함. |
| □ | 내부감사인은 리스크를 평가할 때 금융회사내 각 부서 또는 업무단위별 관리자와 상호 긴밀히 협력하여야 함. |
| ◦ | 각 부서의 관리자는 동 부서에 대한 리스크 평가결과가 적정한지를 검토해야 하며, |
| ◦ | 내부감사인은 주기적으로 내부통제과정에서 나타난 결과를 검토하고, 재무 및 업무관련 데이타를 분석하여 이들이 리스크 평가 또는 가중치 적용 등에 미치는 영향을 평가해야 함. |
| ◦ | 따라서, 은행 경영진은 내부감사인이 이러한 역할을 원활히 수행할 수 있도록 신상품의 도입, 새로운 시스템의 운영, 조직 혹은 인력 운영의 변경 등과 같은 경영활동상의 중요한 변화가 있을 경우 그 내용을 내부감사인에게 즉시 통보하여야 함. |
