이메일을 봤는데 따로 뭐 개인적인 사항이 없으셔서 다른분들도 보시라고 여기 올려둘게요.
일단 내부감사는, 회사가 외부감사를 받기 이전에 management 스스로 회사의 프로세스 및 financial statement 를 점검하고 문제가 없는지 살펴보는 작업입니다.
이게 그냥 한줄 설명하자면 저렇게 간단한데….실상은…..
신경쓸게 한 두가지가 아닙니다….
다수의 내부감사는 ERM (enterprise risk management) 으로 시작합니다.
ERM은 쉽게 말하자면, financial statement 가 잘 못 표기될 위험성…..을 분석하는 과정인데요.
회사의 산업과 주요업무, 자산 규모 등등 모든걸 고려해서, risk를 분석하고 감사계획을 정리하는 일입니다.
어느정도 예를 들어보자면…
제 클라이언트 중의 하나는 oil & gas 인더스트리고, nuclear plant energy production 이 가장 주된 업무 입니다.
financial statement 의 대부분도 핵발전소와 연관이 있고, financial statement 외에도 FERC NERC 등등 각종 regulation 이 판치는 부분이라, 매우 고 위험도의 항목이라 할 수 있는데요.
그렇다면 핵발전소를 둘러싼 현금흐름, 자원흐름, 인력흐름 등등 이 모든게 잘 돌아가고 있는가? -> 이게 내부감사의 일입니다.
현금흐름 쪽을 보자면, 예산 편성 및 예산 집행이 제대로 이루어 졌고, GAAP을 잘 따르고 있으며, SoD 가 올바르고 financial statement 에 정확히 표기가 되었느냐? 이런 세세한 하나하나의 control 을 분석하고 테스트 하고 그에 따른 총 결과를 평가하구요.
자원흐름 쪽을 보자면, 사용하는 ERP가 믿을만 한가? 자동화된 프로그램들은 모두 정상 작동 하는가? spoilage 는 제대로 반영이 되었으며, AP 관리 및 intereest 는 제대로 계산이 되는가 등등의 control을 분석 및 테스트
인력 흐름쪽을 보자면, 오직 허가된 인력들 만이 출입이 가능하고 ERP 액세스가 가능한가 (ITGC – Logical Security + Physical security), 회사를 떠난 직원들은 그에맞게 액세스가 제한되는가 등등
네.. 무지하게 많습니다..
저렇게 많은 프로세스 중에 위험도를 분석해서 우선순위를 정하고,
테스트 이후에 문제없다/문제있다 보고 하는게 내부감사 일입니다.
외부 감사 시즌이 시작되면, 외부감사 결과를 같이 해석하며, 이건 이러이러해서 우리가 이미 알고 있던거고, 이 문제에 대한 해답은 이러이러 하다… 라든지
위험도가 낮은 control 같은 경우에는 아예 외부감사에서 따로 테스트 없이 내부감사 자료를 토대로 결과물을 해석하는 등…
여러가지 합니다..
