3년차 수습회계사의 이야기(EP.2)
EP 2. 전산감사가 뭔데요?
"어서오세요 회계사님! 잘 오셨어요. 처음오셨으니까 이번 필드에서는 OS랑 DBMS랑 Supporting Tool만 봐주세요! 전기조서 있으니까 어렵지 않으실거에요"
지금도 생생합니다. 저 말을 듣고 눈치와 함께 흔들거리는 멘탈을 부여잡으며 "네..넵! 해보겠습니다!"하고 외치던 광경이 말이죠. 다행히도 계속감사인 회사였고, 전기에 발생한 미비점도 없었던 회사였습니다. 솔직히 경험이 좀 쌓인 지금에서 보면 나름 개꿀 회사죠.
저는 OS와 DBMS는 저년차가 맡기에는 좀 어려운 내용이라고 생각합니다. 하지만 회사가 OS와 DBMS에 대해 접근제어를 잘 구축해뒀다면 훨씬 쉬워지죠. 다행히도 접근제어가 잘 되어 있었던지라 감 좀 잡으라는 의미에서 저한테 OS와 DBMS를 주시지 않으셨나 생각합니다.
자, 제가 왜 멘탈이 흔들거렸냐? 그건 제가 저 문장을 하나도 해석하지 못했기 때문입니다.
사람이 주의력이 결핍되면 타인이 말하는거 100% 다 듣지 못 하는건 너무 당연한 일입니다만, 보통 10중에 2~3은 알아들어야 나중에 7~8을 추측이라도 해서 방향성을 잡을 수 있죠.
근데 저는 "A와 B와 C를 해주세요"라는 말 중에 A도 B도 C도 못 알아들었던 겁니다. 저는 당시 OS가 뭐에요? 하면 Window요 라고 말할 정도 였거든요.
전산감사가 구체적으로 뭘 하는 것이고 어떻게 하면 되는 것인지 설명을 할려합니다. 다만, 이 시리즈의 글에서는 다루지 않고 별도로 실무적인 내용만 가득 담은(그래서 재미 없어서 보고 싶은 사람들만 보게 되는) '문과생과 ITGC 이야기'라는 시리즈로 쓸 예정입니다. 지금 3년차 수습회계사 이야기는 특이점이 와버린 제 커리어에 대한 성찰과 앞으로 출사표 정도의 스토리로 쓰고 싶기도 하고, 한 두 문장 정도 적고 땡칠 이야기는 아니거든요.
하지만 개괄적으로라도 전산감사가 무엇인지, 그리고 왜 회계감사와는 전혀 관련없는 일인지 설명드리려 합니다. 그게 제가 뛰쳐나온 이유니까요.
본격적으로 이야기를 시작해봅시다. 재무제표는 자동으로 만들어집니다. 오해하지 마셔야 할게, 재무제표는 자동으로 만들어지는 게 맞습니다. 전표를 수동으로 치는 것 뿐이죠. DART(전자공시시스템)에 아무 회사나 하나 쳐서 사업보고서를 봅시다. 그거 사람들이 일일히 그리나요? 숫자 일일히 다 적어넣나요? 그러면 회계팀 진작에 싹다 퇴사합니다. 아마 지금보다 연봉을 두 배로 올려줘도 못하겠다는 사람들이 차고 넘칠거에요.
즉, 전표를 입력하는 것은(분개를 치는 것은) 사람이 하는 일이지만, 그 모든 것이 시스템(주로 ERP)에서 좌르르륵 돌아가서 하나의 깔끔한 재무제표로 나오는 그 과정은 자동으로 되는 것이라 이 말입니다.
그럼 감사하는 사람 입장에서는 이런 의문이 생길 수 있습니다. 재무제표를 자동으로 산출하는 저 시스템은 믿을만 한 걸까요? 전표를 입력하는 사람은 몇 명이나 될까요? 그 사람들 말고는 진짜 전표를 입력하면 입력이 안될까요? 거래를 자동으로 기록하는 로직 자체는 어떻게 구현되어 있을까요? 그거 누가 어떻게 수정할 수 있죠? 기록은 남나요? 감가상각비 계산하는 로직 건드렸는데 기록도 안 남으면 어떡하죠?
등등등 정말 수도 없이 많은 의문이 나옵니다. 물론 진짜 IT를 하시는 현업 분들은 아이고 지랄한다 라고 생각하실 겁니다. 시스템을 못 믿겠다 라는 말 자체가 그 분들한테는 '그러면 니네는 컴퓨터는 왜 쓰냐? 쓰지말지'라는 말하고 똑같이 들리거든요. 이거 인터뷰 하면서 실제로 들었던 말을 비슷하게 각색한겁니다.
하지만 이 시스템에 대한 의문이 해결되면 많은 것이 영향을 받게 됩니다. 만약 저 의문에 모두 착실히 대답할 수 있을 만큼 시스템이 잘 관리되고 있다고 해보죠. 그러면 감사팀은 F/S를 산출하는 시스템 자체를 '신뢰할 수 있다'고 판단내릴 것이고(이걸 업계 용어로 '의존 가능하다'라고 표현합니다), 그러면 내부회계관리제도를 감사해서 보고서를 내기 위해, 즉 내부회계관리제도에 대한 의견을 표명하기 위해 훨씬 더 적은 감사 증거를 수집해도 될 겁니다. '자동으로 돌아가고 있다는게' 그게 믿을만 하다잖아요? 얼마나 편하겠습니까?
하지만 만약에 저 시스템에 대한 의문이 해결이 안 되면 어떡할까요? 그럼 F/S를 산출하는 시스템을 '못 믿겠다'는 거고, 이걸 업계용어로는 의존이 불가능하다고 표현합니다. 그러면 어쩔 수 없죠, 회사의 내부회계관리제도에 대한 통제 중 자동통제는 단 하나도 신뢰하지 못하기 때문에 통제가 검토 불가능이 되며, 수동통제만이 검토 대상이 되기 때문에 샘플이 기하급수적으로 늘어납니다.
극단적인 비유로 30개의 통제를 검토해야 하는데, 시스템에 의존이 가능하다면(자동으로 돌아가는 걸 믿을 수 있다면) 그냥 각 통제 당 샘플 1개씩 해서 총 증빙을 30개만 보면되는데, 저 30개를 모두 수동 통제로 돌려서 봐야 한다면 거의 샘플을 5~600개를 봐야할 수도 있다는 얘기죠. 어떤가요? 한 숨만 나옵니다. 괜히 아무 잘못도 없는 기계 덩어리인 노트북 마저 싫어집니다.
요약해봅시다. 배경설명입니다.
"재무제표 감사의 관점에서, 회사에는 재무제표가 산출되도록 도와주는 다양한 프로세스가 있다. 프로세스는 여러가지 '과정'들로 이루어져 있을 것이고, 그 '과정'들 중에는 재무제표에 중요한 왜곡표시를 초래할 수 있는 위험을 가진 과정들이 존재한다. 그런 위험을 적절한 수준으로 통제하기 위해 회사는 '통제'를 심어서 운영하며 이것은 자동적으로 이루어진 통제(Automated Control)일 수도 있고, 수동적으로 사람이 직접 해야하는 통제(Manual Control)일 수도 있다. 이러한 통제들의 집합을 내부통제, 즉 재무제표 산출을 위한 '내부회계관리제도'라고 말한다. 공인회계사는 일반적으로 재무제표에 대한 감사의견을 표명함과 동시에 내부회계관리제도에 대한 감사의견 역시 표명할 의무가 있다"
여기서 전산감사, 흔히 IT감사라고 하는 부분은 저 Automated Control이 '감사대상 기간' 내내 효과적으로 설계 및 이행되고 있는 지를 판단하는 부분입니다. IT감사는 Manual Control하고는 상관 없습니다. 애초에 사람이 직접 해야하는 통제가 전산감사의 대상이 될 수는 없으니까요. 회사의 내부회계관리제도 중 자동적으로 이루어지는 통제만이 IT감사의 대상이 됩니다.
따라서 회계감사와 전산감사(IT감사)는 전혀 다른 업무일 수 밖에 없는 겁니다. 오히려 큰 그림에서는 연결되죠. 재무제표 감사를 하기 위해서 내부회계관리제도 감사를 같이 해야 하는데, 전산감사는 그 내부회게관리제도 감사에서 적지 않은 비중을 차지하고 있으니까요. 하지만 실무적으로 저 두 업무는 접점도 없고, 인차지가 아니면 두 부서는 서로 만날 일도 없습니다.
"회계감사는 F/S감사에 대한 이야기이고, 전산감사(IT감사)는 내부회계관리제도 감사에 대한 이야기이다. 그래서 이 둘은 실무적으로 완전히 다르며, 접점도 없고, 인차지가 아니고서는 일반적으로는 마주칠 일도 없다"
그래서 회계사로 회계법인에 입사한 사람들이 전산감사 팀으로 가게 되면 저처럼 정말 당황을 많이 합니다. 전산감사 팀을 지망해서 오시는 분들이 정말 극소수나마 있기는 한데, 다들 마음 속에서는 회게감사와 밀접하게 연결되어 있는 일이거나 IT감사도 배우면서 회계감사도 같이 배울 수 있는 환경을 기대하고 오거든요.
하지만 회계감사와 전혀 다른 업무라는 걸 깨닫고 누군가는 실망해서 팀을 떠나고, 누군가는 오히려 재밌어하고 계속 눌러앉곤 합니다. 저는 일은 재밌었습니다. 처음에는 힘들었는데 해보니까 공부하는 맛도 있고 IT에 대한 두려움도 좀 없어지고 일도 할만하더라구요. 하지만 회계사 본업에 대한 욕심은 버리지 못하겠고, 그래서 팀을 떠나게 된 것입니다.
