외부 회계감사인, 'ITGC(정보기술 일반통제)' 미비점으로 지목

ERP 등 시스템 구축 및 고도화가 해답

'보안⋅변경⋅개발⋅운영' 효율적 통제 가능해야…'더존ERP10' 등 눈길

“입사자와 퇴사자 계정 추가 및 삭제는 어떻게 했나요? 관련 리스트를 보여 주세요”, “물품 납품 거래처를 A회사에서 B회사로 바꾼 절차는 어떻게 되나요?”

내부회계관리제도 적용대상인 A제약사는 최근 감사를 준비하던 도중 당황스러운 주문을 받았다. 생각지도 않았던 시스템 생성⋅삭제, 권한 부여 생성⋅수정⋅삭제, 퇴직자 권한 회수, 프로그램 변경 회수 기록이 제대로 되고 있는지 등 IT 통제 체계와 관련된 내용을 제시해 달라는 요청이었다.

신 외감법 시행에 따라 상장회사의 내부회계관리제도에 대한 인증 수준이 기존 ‘검토’에서 ‘감사’로 한층 강화되고 정보기술 일반통제(ITGC, IT General Controls)까지 대응이 필요해 중견기업 및 중소기업 회계담당자들이 골머리를 앓고 있다.

감사 시계는 ‘째깍째깍’ 돌아가고 있는데, 조직을 신설하거나 시스템을 도입하는 등 준비작업이 더디게 진행되고 있기 때문이다.

◆내부회계관리제도는 왜?

내부회계관리제도는 회사의 재무제표가 회계처리기준에 따라 작성⋅공시됐는지에 대한 합리적 확신을 제고하기 위해 설계⋅운영되는 내부통제제도의 일부분이다. 쉽게 말하면 재무제표 오류와 부정⋅비리를 막기 위해 재무보고와 관련된 회사업무를 관리 통제하는 내부통제시스템이다.

2019회계연도부터 상장법인의 내부회계에 대한 외부감사인 인증 수준이 강화돼 자산 규모에 따라 단계적으로 ‘감사’로 전환됐다. 감사 결과 ‘비적정’ 의견을 받으면 상장 폐지에 영향을 미칠 수도 있다.

내년에는 1천억원 이상~5천억원 미만, 2023년부터는 1천억원 미만 전체 상장사에 적용되면서 상장회사에 비상이 걸린 상태다.

◆내부회계관리제도 코 앞인데 준비는 여전히 미흡

내부회계관리제도는 기존에 운영하는 회사라도 감사 전환에 따른 재정비 등을 감안할 때 약 6개월 전후의 기간이 소요되는 것으로 알려진다. 여기에 사전준비, 현황분석, 통제 설계 및 정비, 운영 준비 등의 과정이 필요하다.

처음으로 도입하는 기업은 새로운 시스템 구축과 시범 운영에 더 많은 시간이 소요될 수밖에 없어 당장 내년 적용기업인 1천억원 이상~5천억원 미만 상장사, 내후년 1천억원 미만 상장사는 시간이 촉박한 실정이다.

제도 도입 초기 한 회계법인의 조사에 따르면, 내년부터 적용 대상인 자산총액 1천억원 이상 5천억원 미만 기업 중 준비가 완료됐다고 응답한 곳은 2%에 불과했고, 도입 진행이 없다고 답한 회사도 39%에 달했다. 2023년 적용대상인 1천억원 미만 기업 10곳 중 7곳도 내부회계관리제도 준비 관련 진행이 없었다고 밝혔다.

게다가 내부회계관리제도를 실제로 운영하는 과정에서 ‘IT환경의 복잡성’을 가장 큰 어려움으로 예상하고 있다.

◆ITGC(정보기술 일반통제, IT General Controls)가 관건

개정 외감법은 내부회계관리제도의 실효성 강화를 규정하고 있는데, 이 중에는 회사로 하여금 내부회계관리제도 목적 달성을 지원하는 정보기술 일반통제(ITGC, IT General Controls)를 선정하고 구축토록 하는 내용이 포함됐다.

ITGC는 IT 인프라, 보안관리, 정보기술의 취득, 개발 및 유지보수에 대한 통제활동으로, 구체적으로 ▷프로그램 개발(시스템 도입, 테스트, 데이터 이관) ▷프로그램 변경(설정 및 이관권한 관리) ▷프로그램 데이터 접근 보안(DB접근관리, 사용자 권한관리, 보안) ▷운영(백업관리, 장애관리)에 대한 통제를 의미한다.

특히 외부 회계감사인은 내부회계관리제도 감사와 관련해 ▷재무제표 작성 프로세스 관련 통제 미비와 함께 ▷정보기술 일반통제(ITGC, IT General Controls)를 통제 미비점으로 지목하고 있는 것으로 나타났다.

예를 들어 정보시스템 사용자 계정등록이 계정신청서에 근거해 결재라인의 승인을 얻었는지, 비일상적 IT운영 및 관련작업을 위해 기존 수준보다 상승된 접근권한을 할당받는 경우 ‘사전 승인-활동이력 기록-접근권한 적시 회수-활동이력 검토’가 이뤄졌는지 등을 꼼꼼하게 감사한다는 얘기다.

◆ERP 등 시스템 구축 및 고도화가 해답…더존 ERP10 눈길

제도 시행이 임박하자 ITGC 감사를 완벽 지원하는 ERP시스템 및 전문솔루션을 찾는 중견⋅중소기업이 늘고 있다. 기존에 구축을 해놓은 기업들도 시스템 업그레이드 및 고도화를 진행하느라 여념이 없다.

현재 시장에는 더존비즈온(ERP10), SAP를 비롯해 코오롱베니트, 인프라웨어, 씨에이에스 등의 제품이 나왔다.

특히 더존비즈온의 ERP10에 관심을 보이는 중견기업 및 중소기업이 많은 것으로 알려진다. 상장사의 재무제표상 통계수치는 결국 ERP시스템을 통해 생산되고, 국내 ERP시장 최대 강자인 더존비즈온의 확장성을 주목하고 있다고 볼 수 있다.

더존 ERP10은 ITGC 대응을 위해 단순 입출력 외에도 대응업무 프로세스 자동화, 재무리스크 관리를 위한 자동화된 상시 모니터링 등을 지원한다. 기업용 ERP 분야 글로벌 기업인 독일 SAP 프로그램과 견줄 만하다는 평가다.

구체적으로 사용자 패스워드 정책 관리, 퇴직자 계정 잠금 설정, 애플리케이션 모니터링(변경이력 설정 메뉴, 변경이력 조회메뉴, 사용자 접속정책 등록, 접속이력 조회, 접속이력 현황) 등을 원활하게 사용할 수 있도록 해 감사 즉각 대응에 초점을 맞췄다.

권한부여⋅삭제⋅이력 관리도 용이하도록 해 감사대응 담당자의 업무부담을 낮췄다. 이외에도 서버⋅APP⋅DB 모니터링, 배치잡 등록·이력조회 관리 등이 지원된다.

더존비즈온(ERP10)은 ITGC 감사와 관련해 업무효율성과 편의성 향상에 초점을 맞춰 전산감사 항목을 그룹핑해 모듈화하는 작업을 진행 중이다. 개발 지식이 없어도 통제항목 맞춤 기능을 원활하게 사용할 수 있도록 지원한다는 목적이다.

국내 대기업들도 이런 점을 높이 평가했다. 국내 대표적 자동차그룹인 H사는 연결회계대응을 위해 더존의 ERP10 플랫폼 기반의 연결회계시스템을 구축 중이며, 상장사 담당자들의 전산감사 및 내부회계 관련 상담이 폭증한 가운데서도 콜센터를 통한 실시간 대응으로 호평을 받고 있다.

업계 한 관계자는 “기업들은 ITGC와 관련해 기존 시스템을 보강 또는 고도화하거나 새로운 시스템을 도입해 대응해야 한다”면서 “외산만 대응이 가능하다는 일부 인식과 달리 해당 기능을 갖춘 국산 프로그램으로도 충분히 대응이 가능하다”고 말했다.