주니어 시절엔 이유도 모르고 따라 했던 그 일이, SOX 내부감사라는 이름으로 매년 반복되는 절차였다는 걸, 훗날 전혀 다른 계기로 이해하게 된 이야기입니다.
CPA 공부를 시작하며 다시 마주친 것들
일하면서 미국공인회계사(US CPA) 시험을 준비하게 됐어요. 그중 감사(Auditing & Attestation, AUD) 과목에서 COSO 프레임워크라는 걸 배우게 됐는데, 내부통제를 다섯 가지 요소로 설명하고 있더라고요. 회사 전체가 통제를 얼마나 중요하게 여기는지(통제환경), 어디서 뭐가 잘못될 수 있는지 미리 짚어보고(위험평가), 그걸 막을 절차를 실행하고(통제활동), 관련 정보가 필요한 곳에 잘 전달되는지(정보와 의사소통), 이 모든 게 시간이 지나도 여전히 작동하는지 확인하는 것(모니터링활동)까지, 다섯 단계가 하나로 이어지는 구조였어요.
이걸 읽어 내려가는데, 어느 순간 “어? 이거…” 싶었어요. 주니어 시절 아무것도 모른 채 따라 했던 그 절차들이 하나씩 겹쳐 보이기 시작한 거예요. 본사가 내려준 스코프와 RCM은 어디서 무엇이 잘못될 수 있는지를 미리 짚어보고 그걸 막을 절차까지 정해두는, 그러니까 위험평가와 통제활동이 함께 담긴 작업이었고, 제가 영어로 낑낑대며 썼던 나래이션은 그 통제활동을 실제로 어떻게 실행하고 있는지 구체적으로 글로 옮기는 과정이었어요. 그리고 그 절차대로 실제로 돌아가고 있는지 확인했던 샘플링은 모니터링활동 그 자체였고요.
이론을 몰랐을 땐 그냥 “시키니까 하는 일”이었던 것들이, 이론을 알고 나니 하나의 체계 안에서 딱딱 맞아떨어지는 퍼즐처럼 보이기 시작했어요. 그제서야 왜 그렇게까지 꼼꼼하게 해야 했는지 마음속으로 납득이 되더라고요.
SOX는 한 번 하고 끝나는 게 아니었다
주니어 시절엔 그 프로젝트가 “한 번 통과하면 끝나는 일”인 줄 알았어요. 그런데 실제로는 매년 반복되는 절차였어요. 왜냐하면 SOX가 요구하는 건 “한때 통제가 잘 되어 있었다”가 아니라, **”지금도 여전히 잘 지켜지고 있다”**는 걸 계속 증명하는 거였거든요.
한 번 통과했다고 다음 해엔 안 봐도 되는 게 아니라, 매년 사업연도마다 처음부터 다시 스코프를 확인하고, 나래이션을 최신 프로세스에 맞게 업데이트하고, 새로운 샘플을 뽑아 검증받아야 해요. 담당자 입장에서는 매년 비슷한 시기가 되면 또 이 절차가 돌아온다는 걸 알고 미리 준비하게 되는, 일종의 연례행사 같은 업무예요.
SOX 내부감사, 외부감사와 뭐가 다를까
여기서 헷갈렸던 부분이 하나 있었어요. “감사”라고 하면 보통 매년 회사 밖에서 오는 외부 회계법인(외부감사인)을 떠올리잖아요. 그런데 SOX 내부통제 검증은 회사 안에 있는 내부감사팀이 정기적으로 확인하는 절차였어요.
내부감사인은 제가 예전에 제출했던 것과 같은 방식으로 접근해요. 스코프에 포함된 프로세스마다 나래이션이 실제 업무와 일치하는지 담당자와 인터뷰하고, 샘플을 새로 뽑아 그 기간 동안의 증빙(전표, 승인 이력, 시스템 로그 등)이 제대로 남아 있는지 하나하나 확인해요. 만약 증빙이 빠져 있거나 절차가 지켜지지 않은 게 발견되면, 그건 “미비점(deficiency)”으로 기록되고 개선 조치를 취한 뒤 재검증을 받아야 해요.
외부감사인은 이 내부감사 결과와 회사 전체의 재무제표를 종합해서 별도로 의견을 내는 구조라, 두 감사가 서로 다른 층위에서 같은 걸 이중으로 들여다보는 셈이에요.
지금 다시 이 업무를 맡는다면 챙길 것들
주니어 시절의 저처럼 이 업무를 처음 맡으신 분들을 위해, 지금 알고 있는 걸 바탕으로 정리해봤어요.
- 나래이션을 쓸 때는 “왜 이 절차가 필요한지”를 먼저 이해하려고 해보세요. COSO의 다섯 가지 중 이 절차가 어디에 해당하는지 생각해보면 훨씬 수월해요.
- 감사(Auditing) 업계에서 자주 쓰는 정형화된 표현들이 있으니, 회사 내 예전 자료나 관련 용어집을 미리 찾아보고 시작하면 시행착오를 줄일 수 있어요.
- 샘플링에서 예외 건이 발견되는 건 실패가 아니라 자연스러운 과정이에요. 오히려 미비점을 찾아내고 개선하는 것 자체가 이 제도의 목적이라는 걸 기억해두면 마음이 편해져요.
- 매년 반복되는 절차라는 걸 미리 알아두면, “이번에도 또 하네” 싶을 때 덜 당황할 수 있어요.
지나고 보니 느낀 것
이 모든 과정을 되짚어보면, 결국 회사가 “우리를 믿어달라”고 말로 하는 게 아니라, 매년 같은 절차를 반복하며 증명하는 것 자체가 신뢰를 만드는 방식이더라고요. 처음엔 그저 번거롭고 이해 안 되는 서류 작업이었는데, 이론을 알고 나서 돌아보니 이게 왜 필요한 절차였는지, 그리고 왜 한 번으로 끝나지 않는지도 납득이 됐어요.
주니어 시절엔 이해 안 된 채로 그냥 버텼던 일이, 시간이 지나 전혀 다른 계기(CPA 공부)로 다시 이해가 된다는 게 신기했어요. 그때는 몰라서 답답했던 일이, 지나고 보니 결국 다 이유가 있었던 거더라고요. 지금 비슷한 상황에 계신 분들도, 당장은 이해 안 되더라도 언젠가 자연스럽게 퍼즐이 맞춰지는 순간이 올 거라고 말씀드리고 싶어요.