1. 내부통제시스템의 의의
| 가. | 내부통제의 정의 |
| □ | 내부통제제도(Internal Control)는 회사가 효율적인 업무운영, 정확하고 신뢰성 있는 재무보고 체제의 유지, 관련법규 및 내부정책ㆍ절차의 준수 등과 같은 목표를 달성하는데 합리적 확신(reasonable assurance)을 주기 위하여 회사 내부에서 고안되어 이사회, 경영진 및 직원 등 회사의 모든 구성원들에 의해 지속적으로 실행되는 일련의 통제과정(process)을 의미함. |
| 나. | 내부통제의 목적 |
| □ | 업무의 효과성 및 효율성(Effectiveness and Efficiency of Operation) |
| ◦ | 회사 자산과 자원을 효율적으로 사용하고 회사를 손실 발생으로부터 보호하는 등 영업활동과 관련한 효율성을 달성 |
| ◦ | 내부통제는 과도한 비용을 유발하지 않고 금융회사의 이익을 최우선적으로 고려하면서 모든 구성원들이 효율성을 가지고 회사의 목표달성을 위해 노력하도록 보장하는 과정임. |
| □ | 재무보고의 신뢰성(Reliability of Financial Reporting) |
| ◦ | 조직에서 경영의사결정을 위한 시의적절하고, 신뢰성 있고, 합목적적인 각종 보고서를 마련하여 주주, 감독당국, 기타 외부 이해관계자에게 신뢰성 있는 재무제표 및 기타 재무 관련사항을 공시하도록 하기 위한 목적임. |
| ◦ | 이와 같이 경영진, 감독당국, 기타 이해 관계자 등의 정보이용자에게 전달된 정보는 이들이 의사결정에 유용하게 이용될 수 있는 질적 수준을 갖추어야 함. |
| □ | 각종 법규 등의 준수(Compliance with Applicable Laws and Regulations) |
| ◦ | 금융회사의 모든 활동이 관련법규, 감독기준, 당해 금융회사의 제반정책 및 절차를 준수하면서 이루어지도록 하기 위한 목적으로 금융회사의 영업권과 지명도를 보호할 수 있어야 함. |
| 다. | 내부통제의 중요성 |
| □ | 금융회사는 내부통제제도의 운영을 통해 회사 자산의 보전, 신뢰성 있는 재무보고체계의 유지, 법규준수 등을 효과적으로 이루면서 회사의 목표를 달성할 수 있으며, 영업활동과 관련한 중요한 오류 및 일탈행위의 가능성을 감소시키고 오류 등이 실제로 발생하는 경우 이를 시의적절하게 감지하여 시정조치 취할 수 있음. |
| □ | 반면, 부적절한 내부통제 환경이나 정보시스템 등과 같이 취약하고 비효율적인 내부통제시스템은 금융회사의 영업손실을 야기하고 재무적인 안전성을 위협하게 됨. |
| □ | 궁극적으로 금융회사는 효과적인 내부통제제도의 운영을 통해 제반 리스크를 효과적으로 관리함으로써 회사의 목표를 달성하고 재무적 생존능력을 유지할 수 있음. |
| 라. | 내부통제의 운영주체 |
| □ | 금융회사의 내부통제제도는 이사회, 경영진, 감사(위원회) 및 중간관리자와 일반직원에 이르기까지 조직 내 모든 구성원들에 의해 운영됨. |
| □ | 이사회 |
| ◦ | 이사회는 적절하고 효율적인 내부통제시스템이 구축ㆍ유지될 수 있도록 할 최종적인 책임을 지며 아래와 같이 내부통제시스템의 운영에 관한 전반적인 사항을 지휘, 통제함. |
| ① | 주기적으로 경영진과 내부통제시스템의 유효성을 협의 |
| ② | 경영진, 내ㆍ외부감사인 및 감독당국에 행해지는 내부통제제도 운영에 대한 평가결과를 점검 |
| ③ | 내ㆍ외부감사인 및 감독당국의 내부통제에 대한 권고사항이 경영진에 의해 적절하게 조치되고 있는지를 모니터링 |
| ④ | 주기적으로 금융회사의 경영전략과 리스크 한도를 점검 |
| □ | 경영진 |
| ◦ | 경영진은 이사회가 승인한 사업전략 및 정책을 집행하는 역할을 수행하며, 회사 설립목표의 효율적인 달성을 위해 적절한 내부통제시스템을 구축ㆍ유지ㆍ운영할 책임이 있음. |
| ◦ | 경영진은 조직 내 각 업무분야에서 내부통제와 관련된 제반정책 및 절차가 잘 지켜질 수 있도록 각 조직 단위별로 적절한 통제 의무와 책임을 부여하여야 함. |
| ◦ | 한편, 경영진은 중간관리자로 하여금 각 업무분야 내에서 효과적인 내부통제 절차를 마련하여 시행토록 하는 한편, 모든 직원들이 내부통제제도와 관련한 자신의 역할을 이해하고 부여된 역할을 적절하게 수행토록 감독하여야 함. |
| □ | 준법감시인(Compliance Officer) |
| ◦ | 준법감시인은 경영진의 입장에서 법령을 준수하고 자산운용을 건전하게 하며 예금자를 보호하기 위하여 당해 금융회사의 임원 및 직원이 그 직무를 수행함에 있어서 따라야 할 기본적인 절차와 기준, 즉 내부통제기준(준법감시제도)에 대하여 그 준수여부를 점검(monitoring)하고 내부통제기준을 위반하는 경우 조사(inspection)를 실시하여 감사위원회에 보고함. |
| □ | 감사(위원회) |
| ◦ | 감사(위원회)는 경영진이 내부통제제도를 적절하게 운영하는지를 평가하고 평가결과 및 미비점을 이사회에 보고하는 역할을 수행함. |
| ◦ | 감사(위원회)는 재무보고 및 내부통제시스템 운영상황을 평가하는 책임을 지며, 내부감사부서의 활동을 지휘하고 이사회, 고위 경영진, 외부감사인 및 감독당국과의 주요한 의사소통 채널이 됨. |
| ◦ | 감사(위원회)는 내부통제가 적절하게 운영되는지를 확인하기 위해 필요한 모든 자료 및 기록에 자유롭게 접근할 수 있어야 함. |
| □ | 직원 |
| ◦ | 직원은 직무를 수행함에 있어서 자신의 역할을 이해하고 관계법령, 내부통제기준 및 윤리강령 등 관련법규를 충실히 이행하며, 준법감시인의 법규준수 관련 연수프로그램에 주기적으로 참여하고 또한 위반행위 발견시 보고의 책임이 있음. |
| 마. | 내부통제의 주요수단 |
| □ | 명확한 권한과 책임을 가진 자질 있고 정직한 인력 |
| ◦ | 명확한 책임과 권한의 부여는 개인의 주의를 환기시키고 개인의 업무를 효율적으로 이루어지게 하여 문제점이 노출될 경우 경영진에 의한 적절한 시정조치를 가능토록 함. |
| □ | 적절한 직무분리 |
| ◦ | 영업책임과 기록유지 책임의 분리 : 각 영업부서가 자신의 영업활동 결과를 기록하고, 결과에 대한 보고서를 작성할 경우 나타날 수 있는 편향된 정보의 생산 가능성을 완화하기 위한 직무분리 |
| ◦ | 자산관리(custody)와 회계 책임의 분리 : 개인적인 이득을 위해 자산을 처분하고, 회계기록을 조작하는 등의 사기행위를 막기 위한 직무분리 |
| ◦ | 거래 승인과 관련자산의 관리책임의 분리 : 거래 승인권자가 자산에 대한 통제권을 가질 경우 발생할 수 있는 사기행위를 방지하기 위한 직무분리 |
| ◦ | 회계기능 내 직무분리 : 한 사람에게 거래 체결부터 총계정원장에 전기하기에 이르기까지 모든 권한을 부여함으로써 발생할 수 있는 비의도적인 오류나 부적절한 업무수행을 방지하기 위한 직무분리 |
| □ | 적절한 승인절차 |
| ◦ | 일반승인(general authorization) : 권한, 절차에 의해 관리자에 대한 한도 등의 포괄적 승인 |
| 예) | 전결규정에 의한 직급별 전결한도, 부점별 전결한도 |
| ◦ | 개별승인(specific authorization) : 예외적인 사항, 일반승인 한도 초과사항 등에 대한 건별 승인 |
| 예) | 전결규정에 의한 직원 및 해당 팀ㆍ점 전결한도 초과, 전결규정외의 사항 |
| □ | 적절한 서류 구비와 기록유지 |
| ◦ | 거래내용을 충분히 이해할 수 있도록 함과 동시에 간단명료해야 함. |
| ◦ | 자료 분실을 방지하고 이용을 용이하게 하기 위해 사전 문서 일련번호 부여 |
| ◦ | 신뢰성 증진 및 오류 가능성을 감소시키기 위해 신속한 기록 유지 등 |
| □ | 자산과 기록에 대한 물리적 통제 |
| ◦ | 화재 안전장치 및 도난방지 장치 |
| ◦ | 재무자료 등 각종 기록 및 문서에 대한 물리적 보호장치 등 |
| □ | 독립적인 성과 검증 |
| ◦ | 위의 통제수단들이 제대로 작동되고 있는지에 대한 주의 깊고 지속적인 점검이 행해져야 하며, 이를 수행하는 인력은 검증대상이 되는 업무와는 독립적인 위치에 있어야 함. |
| ◦ | 검증의 수단에는 직무분리, 이중통제 등과 같이 업무프로세스에 내장된 방법과 독립적인 내부감사 또는 외부감사에 의한 방법이 있음. |
| 바. | 내부통제 구성 요소 |
| 1) | 통제 환경(Control Environment) 및 통제문화 |
| □ | 내부통제에 적합한 조직구조, 효과적인 내부통제가 이루어지도록 유인하는 보상체계, 적절한 인사정책 및 교육정책 등과 같이 내부통제시스템의 효율적인 운영을 위한 환경적 요인의 구비정도를 의미함. |
| □ | 통제환경에 영향을 미치는 주요 요소 |
| ① | 금융회사의 조직구조 : 조직구조가 중앙집권적 혹은 분권적인지, 권한과 책임이 명확한지, 보고관계가 효과적으로 설계되어 있는지 등 |
| ② | 경영진의 철학과 영업스타일 : 경영전략이 공식적인지 비공식적인지, 철학과 영업스타일이 보수적인지 공격적인지, 리스크 전략이 성공적이었는지 등 |
| ③ | 조직구성원들의 신의 성실, 윤리적 가치 및 자질 |
| ④ | 금융회사의 영업활동과 리스크관리에 영향을 미치는 외부요인(외부감사기능 등) |
| ⑤ | 이사회와 소위원회(특히 감사위원회 및 리스크관리위원회)가 내부통제시스템 운영에 대해 보이는 관심정도와 방향 |
| ⑥ | 인적자원 관리에 관한 내부정책 및 절차의 효과성 |
| 2) | 리스크 평가(Risk Assessment) |
| □ | 금융회사가 직면한 모든 종류의 리스크를 인식, 측정, 분석하는 것을 의미하는데, 효과적인 내부통제시스템이 되기 위해서는 금융회사의 목표달성에 부정적인 영향을 미칠 수 있는 중요한 리스크 요소를 인식하고 평가하는 것이 중요함. |
| □ | 통제되지 않는 리스크는 금융회사의 목적 달성을 방해하고 영업성과를 악화시킬 수 있기 때문에 경영진은 금융회사가 직면하고 있는 모든 종류의 리스크(신용리스크, 국가리스크, 시장리스크, 금리리스크, 유동성리스크, 운영리스크, 법규리스크, 평판리스크 등)를 평가하여야 함. |
| * | 참고사항 |
| ① | 신용리스크 |
| - | 금융회사의 기본업무인 신용공여에서 야기되는 리스크로서 거래상대방이 채무불이행(default) 또는 신용등급의 악화 등으로 대출, 유가증권, 파생상품 등의 계약에 명시된 의무를 이행하지 못하게 되어 경제적 손실을 입게 될 위험 |
| ② | 시장리스크 |
| - | 금리, 주가, 환율과 같은 시장리스크요인(market risk factors)의 변동이 금융회사의 부내 및 부외계정에 영향을 주어 손실이 발생할 수 있는 위험 |
| ◦ | 금리리스크 |
| - | 금융회사의 자금조달 및 운용 구조가 복잡하고 다양화되어 있는 상태에서 이자율의 변동으로 인해 비트레이딩 계정(non-trading book)의 순이자소득(net interest income)이 하락할 가능성 또는 경제적 가치(economic value)가 감소할 가능성이 있는 위험 |
| ◦ | 가격변동리스크 |
| - | 금리, 주가 등의 변동으로 인해 주식, 채권 등의 보유 유가증권 가격이 변화하여 자산가치가 감소하는 위험 |
| ◦ | 환리스크 |
| - | 환율의 불리한 변동으로 인하여 외화표시 자산 및 부채의 순포지션에서 손실이 발생하는 위험 |
| ③ | 유동성리스크 |
| - | 자금조달 및 운용상 만기 불일치 또는 예기치 않은 자금의 유출 등으로 대외 지급능력(예금유동성)이 부족하게 되거나 자금부족으로 인한 대출수요(대출유동성)에 부응하지 못하는 위험을 의미함. |
| ④ | 비재무리스크 |
| ◦ | 경영관리리스크 |
| - | 경영에 대한 판단 오류, 경영전략의 시행착오, 금융환경 변화에 따른 대응실패 등으로 인하여 발생하는 위험 |
| ◦ | 운영리스크 |
| - | 정보시스템 또는 내부통제시스템의 결함으로 예상치 못한 손실이 발생하는 위험으로 이러한 운영리스크는 인적 오류(human error), 사기(fraud), 전산시스템 고장 및 부적절한 업무처리절차, 통제과정 등에 기인함. |
| ◦ | 평판리스크 |
| - | 경영부진, 금융사고, 사회적 물의 야기 등으로 금융회사에 대한 고객, 주주 등 외부 여론이 악화됨으로 인해 금융회사에게 경제적 손실을 발생시키는 위험 |
| ◦ | 법규리스크 |
| - | 법률, 감독규정 및 윤리적 기준 등을 충족하지 못함으로써 벌금, 과태료 또는 계약의 불리한 파기 등을 초래하게 되는 위험 |
| □ | 리스크 평가과정에서 새로운 유형의 리스크나 그 동안 무시되었던 리스크가 발견된 경우에는 이들 리스크를 적절히 통제할 수 있는 방향으로 내부통제 시스템을 반드시 보완하여야 함. |
| □ | 리스크 평가과정에서 확인하여야 할 내부 및 외부요인 |
| ① | 내부요인 : 조직구조의 복잡성, 영업활동의 특성, 인력의 질, 조직구조의 변경, 직원의 이직률 등 |
| ② | 외부요인 : 경제상황, 산업별 동향, 기술진보 등 |
| 3) | 직무분리, 자체평가 등 통제 활동(Control Activity) |
| □ | 모든 구성원이 이사회와 경영진이 제시한 경영방침이나 지침에 따라 일상 업무를 수행할 수 있도록 정책 및 절차를 마련하고 이러한 정책 및 절차가 준수되도록 확인하는 제반활동을 의미함. |
| □ | 기본적인 형태의 통제활동 |
| ① | 영업성과보고서 및 예외사항보고서(exception report)의 검토 |
| ② | 특정거래 및 영업활동에 대한 승인 |
| ③ | 개인의 부정행위 혹은 오류의 은폐를 막기 위한 직무분리 |
| ④ | 사고개연성이 높은 직위의 관리자 및 직원에 대한 명령휴가 실시 |
| ⑤ | 모든 거래 내용이 올바로 기록되도록 하는 양식 및 기록장치의 운영 |
| ⑥ | 실물자산과 거래기록에 대한 물리적 접근 및 이용에 대한 통제장치 |
| ⑦ | 주어진 직무가 올바로 수행되는지 그리고 거래기록이 정확한지에 대해 독립적인 제3자에 의한 검증 |
| □ | 통제활동은 회사 내 최고 경영진에서부터 일선 창구직원에 이르기까지 모든 구성원에 의해 상시적으로 이루어져야 함. |
| □ | 자체평가는 동 부서에 근무하는 직원에 의해 자체적으로 내부통제활동이 적절히 이루어지고 있는지 여부를 부서별 혹은 영업부문별로 평가하는 것임. |
| 4) | 회계, 정보 및 의사소통시스템(Information & Communication) |
| □ | 이사회, 경영진 및 직원들이 그들의 책임을 적절하게 수행할 수 있도록 시의 적절한 정보를 수집ㆍ제공하는 역할을 하는데, 적절한 정보의 생산 및 의사소통은 내부통제시스템의 원활한 작동을 위해서 필수적임. |
| □ | 회계시스템은 금융회사의 모든 거래를 인식, 수집, 분석, 분류, 기록, 보고하는 방법에 관한 것임. |
| □ | 정보시스템은 경영진 및 이사회가 회사경영을 위한 의사결정에 필요한 영업활동, 재무, 법규준수에 관한 정보 및 보고서를 생산함. |
| □ | 의사소통시스템은 정보시스템에 의해 생산된 정보를 회사 내부관계자 또는 감독당국, 감사인, 주주, 고객과 같은 외부의 관계자에게 제공하는 역할을 함. |
| □ | 효과적인 내부통제시스템이 되기 위해서는 회사의 모든 중요한 활동을 커버하는 신뢰성 있는 정보시스템이 전제되어야 하며, 동 시스템은 보안이 잘 유지되고, 독립적으로 모니터링되며, 장애발생에 대비한 적절한 비상대책(contingency plan)이 수립되어야 함. |
| □ | 전산정보시스템의 운용 및 정보기술의 사용과 관련한 리스크를 적절히 통제하기 위해서는 다음 2가지의 통제를 모두 포함하여야 함. |
| ① | 일반통제(general control) |
| - | 메인프레임, client/server시스템 등과 같은 컴퓨터 시스템 자체에 대한 통제로써, 시스템이 지속적으로 적절히 작동되도록 하기 위해 자체 백업 및 복구절차, 소프트웨어 개발 및 구입 정책, 시스템 유지절차, 물리적/논리적 보안 통제 등을 갖추는 것이 이에 해당됨. |
| ② | 응용통제(application control) |
| - | 매 거래 및 영업활동의 이행과정을 통제하는 응용소프트웨어내의 전산화된 절차 및 여타 매뉴얼화 된 절차임. |
| □ | 정보의 전달방법 |
| ① | 상향 전달 : 이사회 및 경영진은 회사의 제반 리스크와 영업성과 등을 이해하게 됨. |
| ② | 하향 전달 : 이사회 및 경영진이 수립한 회사의 경영목표, 전략, 제반 정책 및 절차 등이 효과적으로 일반 직원에게 전달됨. |
| ③ | 수평 전달 : 특정부서가 취득ㆍ보유한 정보가 여타 관련부서에 전달되어 공유할 수 있음. |
| 5) | 모니터링(Monitoring) |
| □ | 내부통제시스템 운영상황에 대한 자체의 감독 및 평가활동을 의미함. |
| □ | 상시 모니터링(ongoing monitoring)은 내부통제기준이 올바로 준수되고 있는지 여부를 점검하는 활동으로서 회사의 일상적인 영업활동의 대해 상시적으로 이루어져야 함. 상시모니터링은 내부통제시스템의 문제점을 신속하게 탐지하여 시정할 수 있으며 일상적인 분개장 검토 및 승인, 예외사항보고서에 대한 경영진의 검토 및 승인 등이 이에 해당됨. |
| □ | 모니터링시스템의 일부로써 내부 및 외부감사기능은 내부통제 시스템의 설계 및 운영상황의 적정성 및 유효성에 대해 독립적인 평가를 실시하는 역할을 수행함. 개별적인 정기평가(separate evaluation)는 사후적으로 문제점을 탐지하지만, 모니터링 활동을 포함한 내부통제시스템의 유효성에 대한 종합적인 평가를 가능하게 함. |
| □ | 잘 훈련받은 유능한 감사조직을 회사의 일상 영업활동과는 독립적으로 운영하면서 내부통제시스템에 대한 효과적이고 포괄적인 감사업무를 수행토록 하여야 하며, 내부감사업무는 내부통제시스템에 대한 모니터링 기능의 일부로써 내부감사인은 감사(위원회)에 내부감사실시 및 결과를 보고하여야 하고, 내부통제시스템 평가결과를 감사위원회의 심의를 거쳐 이사회에 보고해야 함. |
| □ | 경영진은 지적된 내부통제시스템 운영상의 문제점에 대해 즉시 시정조치를 취하여야 하며, 내부감사인은 지적된 문제점에 대한 시정조치 여부를 점검하고 시정되지 않은 사항이 있을 경우 이를 감사(위원회)에 보고해야 함. |
| 사. | 내부통제 구성요소간 상호관계 |
| □ | 통제환경 및 통제문화, 리스크 평가, 통제활동 등의 내부통제 시스템을 구성하는 각각의 요소들은 상호 밀접하게 연관되어 있으며, 개별 요소들 간의 상호연관 및 시너지 효과를 통하여 변화하는 상황에 능동적으로 대처할 수 있는 적절한 내부통제 시스템을 형성하게 됨. |
| □ | 강력한 통제문화를 바탕으로 한 내부통제 시스템의 효율적인 운영을 위해서는 우수한 인력의 확보(통제환경), 효과적인 리스크 인식과 분석(리스크 평가), 권한과 의무의 적절한 배분 및 위임(통제활동), 정확하고 시의 적절한 정보흐름(정보 및 의사소통시스템), 모니터링 활동 및 적절한 시정조치 등의 후속조치(모니터링) 등이 원활하게 작동해야함. |
