기준서 315 중요왜곡표시위험의 식별과 평가

이 감사기준서는 기업의 내부통제 등 기업과 기업환경에 대한 이해를 통하여 재무제표의 중요왜곡표시위험을 식별하고 평가할 감사인의 책임을 다룬다.

이 감사기준서는 2023년 1월 1일 이후 개시하는 보고기간의 재무제표에 대한 감사부터 시행된다.

이 감사기준서와 관련된 감사인의 목적은 기업의 내부통제 등 기업과 기업환경의 이해를 통하여 재무제표 및 경영진주장 수준의 부정이나 오류로 인한 중요왜곡표시위험을 식별하고 평가하는 것이며, 이에 따라 평가된 중요왜곡표시위험에 대한 대응을 설계하고 실행하기 위한 근거를 제공하게 된다.

이 감사기준서에서 사용하는 용어의 정의는 다음과 같다.

(a)

(경영진)주장- 재무제표에 나타난 경영진의 명시적이거나 그렇지 아니한 진술을 말하며, 감사인이 발생가능한 서로 다른 형태의 잠재적 왜곡표시를 고려할 때 사용된다.

(b)

사업위험- 기업의 목적을 달성하고 경영전략을 집행하는 능력에 부정적인 영향을 줄 수 있는 유의적 상황, 사건, 환경, 행동하거나 행동하지 않음으로 인하여 발생하는 위험 또는 기업이 부적합한 목적과 전략을 수립하여 발생하는 위험

(c)

내부통제- 재무보고의 신뢰성, 경영의 효과성 및 효율성, 그리고 관련 법규의 준수에 관련된 기업의 목적 달성에 관한 합리적 확신을 제공할 목적으로 지배기구, 경영진 및 기타의 인원에 의해 설계, 실행, 유지되고 있는 절차. “통제”라는 용어는 내부통제 구성요소 중 하나 이상의 어떤 측면을 말한다.

(d)

위험평가절차- 내부통제 등 기업과 기업환경을 이해하고, 재무제표 및 경영진주장 수준에서 부정이나 오류로 인한 중요왜곡표시위험을 식별하고 평가하기 위하여 수행하는 감사절차

(e)

유의적 위험- 감사인이 판단할 때 감사상 특별한 고려가 요구되는 것으로 식별되고 평가된 중요왜곡표시위험

감사인은 재무제표 및 경영진주장 수준의 중요왜곡표시위험의 식별과 평가에 대한 근거를 제공하기 위하여 위험평가절차를 수행하여야 한다. 그러나, 위험평가절차 그 자체만으로는 감사의견의 근거가 되는 충분하고 적합한 감사증거를 제공하지는 않는다. (문단 A1-A5 참조)

위험평가절차에는 다음 사항이 포함되어야 한다.

(a)

경영진, (기능이 존재한다면) 내부감사기능 내의 적합한 담당자 그리고 부정이나 오류로 인한 중요왜곡표시위험을 식별할 때 도움이 될 수 있는 정보를 가지고 있다고 판단되는 기업 내부의 관련자에 대한 질문 (문단 A6-A13 참조)

(b)

분석적절차 (문단 A14-A17 참조)

(c)

관찰과 검사 (문단 A18 참조)

감사인은 감사업무의 수용 또는 유지의 절차에서 입수된 정보가 중요왜곡표시위험의 식별에 관련성이 있는지 여부를 고려하여야 한다.

업무수행이사가 해당 기업에 대하여 감사 외의 다른 업무를 수행하는 경우, 입수된 정보가 중요왜곡표시위험의 식별에 관련성이 있는지 여부를 고려하여야 한다.

감사인이 기업에 대한 과거의 경험 그리고 과거의 감사에서 수행된 감사절차로부터 얻은 정보를 이용하고자 하는 경우, 감사인은 과거의 감사 이후 당기감사와의 관련성에 영향을 미칠 수 있는 변화가 발생하였는지 여부를 결정하여야 한다. (문단 A19-A20 참조)

업무수행이사와 다른 주요업무팀원은 기업의 재무제표가 중요하게 왜곡표시될 가능성, 그리고 해당 재무보고체계를 기업의 실질과 상황에 맞게 적용하는 문제를 토의하여야 한다. 업무수행이사는 토의에 참여하지 않은 업무팀원들에게 어떤 사항을 커뮤니케이션할 것인지 결정하여야 한다. (문단 A21-A24 참조)

감사인은 다음 사항을 이해하여야 한다.

(a)

해당 재무보고체계를 포함하여 관련 산업적 요인, 규제적 요인 및 기타 외부적 요인 (문단 A25-A30 참조)

(b)

재무제표에 예상되는 거래유형, 계정잔액 및 공시 등의 이해를 위한 기업의 성격. 여기에는 다음과 같은 사항들이 포함된다. (문단 A31-A35 참조)

(i)

기업의 경영활동

(ii)

기업의 소유 및 지배 구조

(iii)

특수목적기업에 대한 투자 등 기업이 진행 중이거나 계획하고 있는 투자의 유형

(iv)

기업의 조직구조와 자금조달 방식

(c)

회계정책의 선택 및 적용과 회계정책의 변경 시 그 이유. 감사인은 기업의 회계정책이 해당 기업의 사업에 적합한지, 그리고 그것이 해당 재무보고체계 및 관련 산업에서 적용되는 회계정책과 일관성이 있는지 여부를 평가하여야 한다. (문단 A36 참조)

(d)

기업의 목적과 전략 및 중요왜곡표시위험을 초래할 수 있는 관련 사업위험 (문단 A37-A43 참조)

(e)

재무성과의 측정과 검토 (문단 A44-A49 참조)

감사인은 감사에 관련된 내부통제를 이해하여야 한다. 감사와 관련된 통제는 대부분 재무보고와 관계가 있지만, 재무보고와 관계가 있는 통제가 모두 감사에 관련되는 것은 아니다. 어떤 통제가 개별적으로 혹은 다른 통제와 결합하여 감사와 관련성이 있는지 여부는 감사인의 전문가적 판단사항이다. (문단 A50-A73 참조)

감사인은 감사와 관련된 통제를 이해할 때, 해당 기업의 관련자들에 대한 질문 외에 추가적인 절차를 수행함으로써 이러한 통제의 설계를 평가하고, 또 통제가 실제로 실행되고 있는지 여부를 결정하여야 한다. (문단 A74-A76 참조)

감사인은 통제환경을 이해하여야 한다. 감사인은 이러한 이해의 일부로 다음 사항을 평가하여야 한다.

(a)

경영진이 지배기구의 감시와 더불어 정직하고 윤리적으로 행동하는 문화를 창조하고 유지하는지 여부

(b)

통제환경 요소들의 강점이 내부통제의 다른 구성요소들에 대하여 집합적으로 적절한 기반을 제공하고 있는지 여부, 그리고 이들 내부통제의 구성요소들이 통제환경의 미비점에 의해 손상되고 있지 않은지 여부 (문단 A77-A87 참조)

감사인은 기업이 다음 사항들을 위한 절차를 갖추고 있는지 여부에 대하여 이해하여야 한다.

(a)

재무보고 목적에 관련된 사업위험의 식별

(b)

해당 사업위험의 유의성에 대한 추정

(c)

해당 사업위험의 발생가능성에 대한 평가

(d)

해당 사업위험에 대처하기 위한 행동의 결정 (문단 A88 참조)

기업이 위험평가절차 (이하 단순히“절차”라고도 한다)를 갖추고 있는 경우 감사인은 그 절차와 이에 따른 결과를 이해하여야 한다. 경영진이 식별하지 못한 중요왜곡표시위험을 감사인이 식별한 경우, 감사인은 기업의 위험평가절차에 의해 식별되었을 것으로 예상되는 것과 같은 종류의 근원적인 위험이 존재했는지 여부를 평가하여야 한다. 만약 이러한 위험이 존재한다면, 감사인은 기업의 위험평가절차가 이를 식별하지 못한 이유를 이해하고, 해당 절차가 기업의 상황에 적합한지 여부를 평가하여야 한다. 또는 기업의 위험평가절차와 관련하여 유의적 내부통제 미비점이 존재하는지 여부를 결정하여야 한다.

기업이 이러한 절차를 갖추고 있지 않거나 임시방편의 절차만을 갖추고 있는 경우, 감사인은 재무보고 목적에 관련된 사업위험이 식별되었는지 그리고 이러한 위험에 대하여 어떻게 대처하였는지 경영진과 토의하여야 한다. 감사인은 기업에 문서화된 위험평가절차가 없는 경우 이것이 해당 상황에 적합한지 여부를 평가하여야 한다. 또는 이것이 유의적 내부통제 미비점을 나타내는 것인지 여부를 결정하여야 한다. (문단 A89 참조)

감사인은 관련 사업프로세스 등 재무보고에 관련된 정보시스템을 이해하여야 하며, 이에는 다음과 같은 사항이 포함된다. (문단 A89-A90 참조)

(a)

기업의 경영활동에서 재무제표에 유의적인 거래유형

(b)

정보기술 및 수작업시스템 내에서 거래가 개시, 기록, 처리되고, 필요한 수정이 이루어져 총계정원장으로 전기되고 재무제표에 보고되는 절차

(c)

거래의 개시, 기록, 처리, 보고에 이용되는 관련 회계기록과 증빙 그리고 재무제표 내의 특정 계정. 이에는 부정확한 정보의 수정과 정보가 총계정원장으로 전기되는 방법이 포함된다. 기록은 수작업 형태일 수도 있고 전자적 형태일 수도 있다.

(d)

정보시스템이 제반 거래 외에도 재무제표에 유의적인 사건과 상황을 포착하는 방법

(e)

유의적 회계추정과 공시 등 기업의 재무제표 작성에 이용되는 재무보고절차

(f)

비반복적이고 비경상적인 거래 또는 조정사항을 기록할 때 이용되는 비표준적인 분개 등 분개를 둘러싼 통제 (문단 A92-A95 참조)

재무보고에 대한 정보 시스템의 이해에는 재무제표에 공시되는 총계정원장과 보조원장 내에서 또는 외부에서 입수한 정보에 대한 정보시스템의 관련 측면을 포함한다.

감사인은 다음 사항들을 포함하여 기업이 재무보고의 역할과 책임 및 재무보고와 관련된 유의적 사항들을 어떻게 커뮤니케이션하는지 이해하여야 한다. (문단 A97-A98 참조)

(a)

경영진과 지배기구간의 커뮤니케이션

(b)

규제기관과 같은 외부와의 커뮤니케이션

감사인은 경영진주장 수준의 중요왜곡표시위험을 평가하고 평가된 위험에 대응하는 추가감사절차를 설계하기 위하여 이해할 필요가 있다고 판단되는, 감사에 관련성이 있는 통제활동을 이해하여야 한다. 감사는 재무제표에 유의적인 각 거래유형, 계정잔액 및 공시 또는 이들과 관련된 모든 경영진주장에 대하여 그 모든 통제활동을 이해할 것을 요구하지는 아니한다. (문단 A99-A106 참조)

감사인은 기업의 통제활동을 이해할 때 기업이 정보기술로부터 발생하는 위험에 대하여 어떻게 대응해 왔는지 이해하여야 한다. (문단 A107-A109 참조)

감사인은 감사에 관련된 통제활동과 관계가 있는 활동 등 기업이 재무보고와 관련된 내부통제를 모니터링하기 위해 사용하는 주요 활동, 그리고 기업이 그러한 통제의 미비점에 대하여 어떻게 개선조치를 취하는지 이해하여야 한다. (문단 A110-A112 참조)

기업이 내부감사기능1) 을 가지고 있다면, 감사인은 내부감사기능에 대한 책임, 조직상태 그리고 수행됐거나 수행될 활동의 성격을 이해하여야 한다. (문단 A113-A120 참조)

1. 감사기준서 610 "내부감사인이 수행한 업무의 활용" 문단 14(a)에서 해당 감사기준서의 목적인 "내부감사기능"의 용어를 정의한다.

감사인은 기업의 모니터링 활동에 사용되는 정보의 원천, 그리고 경영진이 해당 정보가 그러한 목적을 위해 충분히 신뢰할 수 있다고 고려하는 근거를 이해하여야 한다. (문단 A1121 참조)

감사인은 추가감사절차의 설계와 수행에 대한 근거를 제공하기 위하여 다음과 같은 수준에서의 중요왜곡표시위험을 식별하고 평가하여야 한다.

(a)

재무제표 수준 (문단 A122-A125 참조)

(b)

거래유형, 계정잔액 및 공시에 대한 경영진주장 수준 (문단 A126-A131 참조)

감사인은 이 같은 목적을 위하여 다음 절차를 수행하여야 한다. (a) 해당 위험과 관련된 통제 등 기업과 기업환경을 이해하는 전 과정에서, 그리고 재무제표의 거래유형, 계정잔액 및 공시(공시의 양적 또는 질적 측면 포함)를 고려함으로써 위험을 식별함 (문단 A131-A134 참조)

(b) 식별된 위험을 평가하며, 그러한 위험이 재무제표 전체에 더 전반적으로 관련되어 있는지 여부와 다수의 경영진주장에 잠재적으로 영향을 미치는지 여부를 평가함

(c) 감사인이 테스트하려는 관련 통제를 고려하여 식별된 위험을 경영진주장 수준의 오류가능성과 연결시킴 (문단 136-A138 참조)

(d) 복합적 왜곡표시의 가능성 등 왜곡표시의 발생가능성과 그러한 잠재적 왜곡표시가 중요한 왜곡표시가 될 만큼 규모가 큰 것인지 여부를 고려함(문단 139 참조)

문단 25에서 설명하고 있는 위험평가의 일부로서, 감사인은 식별된 위험 중에 유의적이라고 판단되는 것이 있는지를 결정하여야 한다. 감사인은 이러한 판단을 할 때 해당 위험과 관련하여 식별된 통제의 영향은 배제하여야 한다.

감사인은 어떤 위험이 유의적 위험에 해당되는지 판단할 때 최소한 다음 사항을 고려하여야 한다.

(a)

해당 위험이 부정위험인지 여부

(b)

해당 위험이 최근의 유의적인 경제·회계 또는 기타의 변화와 관련되어 특별한 주의를 요하는지 여부

(c)

거래의 복잡성

(d)

해당 위험이 특수관계자들과의 유의적 거래와 관련된 것인지 여부

(e)

해당 위험과 관련된 재무정보의 측정에 있어 주관성의 정도. 특히, 그러한 측정에 광범위한 불확실성이 내포되어 있는 경우

(f)

해당 위험이 그 기업의 정상적 사업과정을 벗어나거나, 비경상적으로 보이는 유의적 거래와 관련되어 있는지 여부 (문단 A140-A144 참조)

감사인은 유의적 위험이 존재한다고 결정한 경우, 통제활동 등 해당 위험과 관련된 기업의 통제를 이해하여야 한다. (문단 A145-A147 참조)

일부 위험의 경우, 감사인은 실증절차만으로는 충분하고 적합한 감사증거를 입수할 수 없거나 실행가능하지 않다고 판단할 수 있을 것이다. 이러한 위험은 일상적인 유의적 거래유형이나 계정잔액의 부정확하거나 또는 불완전한 기록과 관련될 수 있는데, 이들은 그 특성상 종종 수작업이 거의 또는 전혀 개입되지 않는 고도로 자동화된 방식으로 처리가 이루어진다. 이 경우 이러한 위험에 대한 기업의 통제는 감사와 관련성이 있으며, 따라서 감사인은 이러한 통제를 이해하여야 한다. (문단 A148-A150 참조)

경영진주장 수준의 중요왜곡표시위험에 대한 감사인의 평가는 추가적인 감사증거가 입수됨에 따라 감사의 진행 중에 변경될 수 있다. 감사인은 추가감사절차를 수행하면서 최초 평가의 근거가 된 감사증거와 일관성이 없는 감사증거나 새로운 정보를 입수한 경우에는, 기존의 평가를 수정하고 따라서 계획된 추가감사절차도 변경하여야 한다. (문단 A151 참조)

감사인은 다음 사항을 감사문서에 포함하여야 한다.2)

(a)

문단 10의 요구에 따른 업무팀원간의 토론내용 및 도달된 유의적 결정사항

(b)

문단 11에 열거된 기업과 기업환경의 각 측면 및 문단 14 - 24에 열거된 각각의 내부통제 구성요소와 관련하여 얻은 이해의 주요요소, 그러한 이해를 얻은 정보의 원천 및 수행된 위험평가절차

(c)

문단 25의 요구에 따라 재무제표 수준과 경영진주장 수준에서 식별되고 평가된 중요왜곡표시위험

(d)

문단 27 - 30의 요구에 따라 식별된 위험 및 감사인이 이해한 관련 통제 (문단 A152-A155 참조)

2. 감사기준서 230 "감사문서" 문단 8-11, A6

감사인은 경영진주장 수준의 중요왜곡표시위험 중 실증절차만으로는 충분하고 적합한 감사증거를 제공할 수 없는 위험이 있는지 결정하여야 한다. (문단 A222-A225 참조)

통제의 운영효과성을 테스트할 계획인 경우, 감사인은 통제위험을 평가하여야 한다. 통제의 운영효과성을 테스트하지 않을 계획인 경우, 감사인은 중요왜곡표시위험이 고유위험과 동일하게 평가되도록 통제위험을 평가하여야 한다. (문단 A226-A229 참조)

감사인은 위험평가절차에서 입수한 감사증거가 중요왜곡표시위험의 식별과 평가에 대한 적절한 근거를 제공하는지 여부를 평가하여야 한다. 만약 그렇지 않다면, 감사인은 그러한 근거를 제공하는 감사증거가 입수될 때까지 추가적인 위험평가절차를 수행하여야 한다. 중요왜곡표시위험을 식별하고 평가할 때, 감사인은 경영진주장을 확인하는 증거이든 경영진주장과 상반되는 증거이든 위험평가절차에서 입수한 모든 감사증거를 고려하여야 한다. (문단 A230-A232 참조)

유의적인 거래유형, 계정잔액 또는 공시로 결정되지 않은 중요한 거래유형, 계정잔액 또는 공시에 대하여, 감사인은 감사인의 결정이 여전히 적합한지에 대하여 평가하여야 한다. (문단 A233-A235 참조)

최초 중요왜곡표시위험을 식별하고 평가하는 데 근거가 된 감사증거와 일관성이 없는 새로운 정보를 입수한 경우, 감사인은 그러한 식별 또는 평가를 수정하여야 한다. (문단 A236 참조)

감사인은 다음 사항을 감사문서에 포함하여야 한다.13) (문단 A237-A241 참조)(a)업무팀원 간의 토의내용 및 도달된 유의적 결정사항(b)문단 19, 21, 22, 24 및 문단 25에 따른 감사인의 이해의 주요 요소, 감사인이 이해를 얻은 정보의 원천, 그리고 수행한 위험평가절차(c)문단 26에 따라 식별된 통제의 설계에 대한 평가와 그러한 통제가 실행되었는지 여부에 대한 결정(d)식별되고 평가된 재무제표 수준과 경영진주장 수준의 중요왜곡표시위험. 유의적 위험과 실증절차만으로 충분하고 적합한 감사증거를 제공할 수 없는 위험 및 유의적 판단의 근거를 포함한다.13) 감사기준서 230 “감사문서” 문단 8-11, A6

내부통제 등 기업과 기업환경을 이해하는 것(이하 “기업에 대한 이해”라고 언급한다)은 감사의 전 과정에 걸쳐 정보를 입수, 갱신, 분석하는 연속적이고 동적인 과정이다. 이러한 이해는 감사인이 감사를 계획하고 감사의 전 과정에 걸쳐 전문가적 판단을 수행할 때 적용될 준거체계을 이룬다. 예를 들어 다음과 같은 경우이다.

•

재무제표의 중요왜곡표시위험의 평가

•

감사기준서 320에 따른 중요성의 결정3)

•

회계정책의 선택과 적용의 적합성 및 재무제표 공시의 적절성에 대한 고려

•

예를 들어 특수관계자와의 거래, 계속기업으로서의 존속능력에 대한 경영진의 평가 등 감사상 특별한 고려가 필요한 재무제표상 금액이나 공시와 관련된 분야의 식별, 또는 거래의 사업목적에 대한 고려

•

분석적절차의 수행에 사용되는 기대치 도출

•

충분하고 적합한 감사증거를 입수하기 위한 추가감사절차의 설계와 수행 등 평가된 중요왜곡표시위험에 대한 대응

•

제 가정들과 경영진의 구두 또는 문서화된 진술의 적절성 등 입수된 감사증거의 충분성과 적합성에 대한 평가

3. 감사기준서 320 "감사의 계획수립과 수행에 있어서의 중요성"

감사인은 위험평가절차 및 관련 활동을 수행하여 입수한 정보를 중요왜곡표시위험에 대한 평가를 뒷받침하는 감사증거로 사용할 수 있다. 뿐만 아니라, 그러한 위험평가절차가 구체적으로 실증절차나 통제테스트로 계획되지 않은 경우에도, 감사인은 거래유형, 계정잔액 또는 공시, 그리고 이들과 관련된 경영진주장에 대한 감사증거와, 그리고 통제의 운영효과성에 대한 감사증거를 얻을 수 있을 것이다. 또, 감사인은 그렇게 하는 것이 효율적이라면 위험평가절차와 동시에 실증절차나 통제테스트를 수행할 수도 있다.

감사인은 요구되는 이해의 범위를 결정하기 위해 전문가적 판단을 이용한다. 감사인이 우선적으로 고려할 점은 감사인이 얻은 이해가 이 감사기준서에 기술된 목적을 달성할 만큼 충분한지 여부이다. 감사인에게 요구되는 전반적인 이해의 깊이는 해당 기업을 경영하는 경영진이 가지고 있는 이해보다는 낮다.

평가할 위험은 부정으로 인한 위험과 오류로 인한 위험 모두가 포함되며, 이들 위험은 이 감사기준서에서 다루어지고 있다. 그러나, 부정의 유의성으로 인하여 추가적인 요구사항과 관련 지침이 감사기준서 240에 포함되어 있으며, 부정으로 인한 중요왜곡표시위험의 식별에 사용되는 정보를 입수하기 위한 위험평가절차 및 관련 활동과 관계가 있다.4) 4) 감사기준서 240 "재무제표감사에서의 부정에 관한 감사인의 책임" 문단 13-25

감사인은 해당 기업에 대하여 요구되는 이해(문단 11-24 참고)를 얻는 과정에서 문단 6에 기술된 모든 위험평가절차를 수행하도록 요구되지만, 그러한 이해의 각 측면에 대하여 모든 위험평가절차를 수행하도록 요구되지는 않는다. 다른 절차로부터 얻는 정보가 중요왜곡표시위험의 식별에 도움이 되는 경우에는 그러한 절차가 수행될 수 있을 것이다. 예를 들면 다음과 같다.

•

무역과 경제 잡지, 재무분석가, 은행 또는 신용평가기관의 보고서, 규제기관이나 금융기관의 발간물과 같이 외부원천으로부터 얻은 정보를 검토함

•

해당 기업의 외부 법률고문 또는 그 기업이 이용한 평가 전문가에게 질문함

감사인이 질문으로 얻는 정보는 대부분 경영진과 재무보고 책임자로부터 입수된다. 기업 내부에 내부감사기능 등이 있는 경우, 감사인은 내부감사기능에게 질문하여 정보를 입수할 수 있다.

감사인은 기업 내부의 관련자 및 기타 다양한 직급의 구성원들에게 질문함으로써, 중요왜곡표시위험을 식별하기 위한 정보 또는 상이한 견해를 입수할 수도 있다. 예를 들어 다음과 같다.

•

지배기구에 대한 질문은 감사인이 재무제표가 작성되는 환경을 이해하는 데 도움이 될 수 있음. 감사기준서 260은 이와 관련하여 감사인이 지배기구로부터 정보를 입수하는데 도움을 주는 효과적인 양방향 커뮤니케이션의 중요성을 식별함

•

복잡하고 비경상적인 거래의 개시, 처리, 기록에 관여하는 종업원에 대한 질문은 감사인이 특정 회계정책의 선택과 적용의 적합성을 평가하는 데 도움이 될 수 있음

•

내부 법률고문에 대한 질문은 소송, 법규준수, 기업에 영향을 미치는 부정 또는 의심되는 부정에 대한 지식, 품질보증, 매각 후 의무사항, 사업파트너와의 약정(조인트 벤처 등) 및 계약조건의 의미 등에 대한 정보를 제공할 수 있음

•

마케팅이나 영업 담당자에 대한 질문은 기업의 마케팅 전략, 매출추이 또는 고객과의 약정의 변경에 대한 정보를 제공할 수 있음

•

위험관리기능(또는 그런 역할을 수행하는 사람)에 대한 질문은 재무보고에 영향을 미칠 수 있는 영업 및 규제 위험에 대한 정보를 제공할 수 있음

•

정보시스템구성원에 대한 질문은 시스템 변경, 시스템 또는 통제 실패, 또는 다른 정보시스템과 관련한 위험에 대한 정보를 제공할 수 있음

기업과 그 환경을 이해하는 것은 연속적이고 동적인 과정이므로, 감사인의 질문은 감사업무 전 과정에 걸쳐 발생할 수 있다.

기업에 내부감사기능이 있는 경우, 내부감사기능 내 적합한 담당자에 대한 질문은 감사인이 기업과 그 환경을 이해하고 재무제표 및 경영진주장 수준의 중요왜곡표시위험을 식별 및 평가하는데 유용한 정보를 제공할 수 있다. 내부감사기능은 업무를 수행하면서 기업의 영업 및 사업위험에 대한 통찰을 얻었을 수 있으며, 감사인의 기업에 대한 이해, 감사인의 위험평가, 또는 감사의 다른 측면에 가치 있는 정보를 제공할 수 있는 식별된 통제미비점이나 위험과 같이 그들 업무에 기초한 발견사항이 있을 수 있다. 따라서 감사인이 수행할 감사절차의 성격이나 시기를 변경하거나 그 범위를 축소시키기 위해 내부감사기능이 수행한 업무의 활용을 기대하는지 여부에 대한 감사인의 질문이 이루어진다.5) 목적적합한 질문이란 내부감사기능이 지배기구와 함께 제기한 사항 및 내부감사기능의 자체 위험평가절차의 결과에 대한 사항일 수 있다. 5) 관련 요구사항은 감사기준서 610 에 포함됨.

감사인의 질문에 대한 답변을 기초로 하여, 기업의 재무보고 및 감사와 관련될 수 있는 발견사항들이 있다고 보이는 경우, 감사인은 내부감사기능의 관련 보고서를 열람하는 것이 적합하다고 고려할 수 있다. 관련이 있을 수 있는 내부감사기능 보고서의 예시로는 내부감사기능의 전략 및 계획 문서 그리고 경영진이나 지배기구를 위하여 내부감사기능이 조사한 발견사항을 기술한 보고서가 포함된다.

뿐만 아니라, 감사기준서 2406) 에 따라, 내부감사기능이 감사인에게 실제로 발생하였거나 의심되는 또는 혐의가 있는 부정에 관한 정보를 제공하는 경우, 감사인은 부정으로 인한 중요왜곡표시위험을 식별함에 있어 이 점을 고려한다. 6) 감사기준서 240 문단 20

감사인의 질문을 받는 내부감사기능 내의 적합한 담당자는 감사인 판단에 따라, 내부감사임원 (또는 상황에 따라 내부감사기능 내 다른 담당자)과 같이 적합한 지식, 경험 및 권위를 가진 사람이다. 감사인은 이런 담당자들과 정기적인 회의를 가지는 것이 적합한지를 고려할 수 있다.

공공부문의 감사인은 종종 내부통제 및 법규의 준수와 관련하여 추가적인 책임을 진다. 내부감사기능의 적합한 담당자에 대한 질문은 감사인이 법규의 중요한 위반에 대한 위험 및 재무보고의 내부통제 미비점에 대한 위험을 평가하는데 도움을 줄 수 있다.

위험평가절차로 수행되는 분석적절차는 감사인이 알지 못한 기업의 측면들을 식별하게 할 수 있고, 위험평가에 대한 대응을 설계하고 실행하는 근거를 제공하기 위해 중요왜곡표시위험을 평가하는 데 도움을 줄 수 있다. 위험평가절차로서 수행되는 분석적절차에는 예를 들어, 매출액과 판매장 면적 또는 판매량간의 관계와 같이 재무적 비재무적 정보 모두가 포함될 수 있다.

분석적절차는 감사상 시사점이 있는 사항을 나타내는 것일 수 있는 비경상적인 거래나 사건, 금액, 비율 그리고 추세의 존재를 식별하는 데 도움을 줄 수 있다. 비경상적이거나 예상하지 못한 상관관계는 감사인이 중요왜곡표시위험, 특히 부정에 의한 중요왜곡표시위험을 식별하는 데 도움을 줄 수 있다.

그러나, 이러한 분석적절차에 상위수준으로 요약된 데이터가 이용되는 경우(이는 위험평가절차로서 분석적절차를 수행하는 상황일 수 있음), 분석적절차의 결과는 중요왜곡표시위험의 존재 여부에 대하여 광범위한 초기적 징후만을 제공한다. 따라서 이러한 경우에는, 분석적절차의 결과와 더불어 중요왜곡표시위험의 식별을 위한 절차를 통하여 입수된 기타의 정보를 함께 고려하는 것이 감사인이 분석적절차의 결과를 이해하고 평가하는 데 도움이 될 수 있다.

일부 소규모기업들은 분석적절차 목적으로 사용될 수 있는 중간 또는 월간 재무정보를 가지고 있지 않을 수 있다. 이러한 상황에서 감사인은 감사의 계획을 위해 제한된 분석적절차를 수행하거나 질문을 통해 일부 정보를 입수할 수 있지만, 감사인은 기업의 재무제표 초안이 이용가능할 때 중요왜곡표시위험을 식별하고 평가하기 위한 분석적절차의 수행계획을 수립할 필요가 있다.

관찰과 검사는 경영진 등에 대한 질문으로 뒷받침할 수 있으며, 기업 및 기업환경에 대한 정보를 제공할 수도 있다. 이러한 감사절차에는 예를 들어 다음 사항에 대한 관찰이나 검사가 포함된다.

•

기업의 영업

•

문서(사업계획과 사업전략 등), 기록 및 내부통제매뉴얼

•

경영진이 작성한 보고서 (분기경영보고서, 중간재무제표 등)과 지배기구가 작성한 보고서(이사회 회의록 등)

•

기업의 건물과 대지, 공장설비

기업에 대한 감사인의 과거 경험과 과거의 감사에서 수행된 감사절차는 감사인에게 다음과 같은 사항에 대한 정보를 제공할 수 있다.

•

과거의 왜곡표시 및 그 왜곡표시가 적시에 수정되었는지 여부

•

기업과 기업환경의 성격, 내부통제의 미비점 등 기업의 내부통제

•

과거의 보고기간 이후에 기업이나 사업부문이 겪은 유의적인 변화. 이는 감사인이 중요왜곡표시위험을 식별하고 평가하기 위해 기업을 충분히 이해하는 데 도움을 줄 수 있다.

•

감사인이 그 복잡성 등으로 인해 필요한 감사절차를 수행하는데 어려움을 겪은 특수한 형태의 거래와 기타 사건 및 계정잔액(그리고 관련 공시)

감사인이 당기감사를 위해 과거의 보고기간에서 입수된 정보를 이용하려는 경우, 감사인은 그 정보가 여전히 관련성이 있는지 결정하도록 요구된다. 예를 들어, 통제환경의 변화는 과거의 보고기간에서 입수된 정보의 관련성에 영향을 미칠 수 있기 때문이다. 감사인은 이러한 정보의 관련성에 영향을 미치는 변화가 발생하였는지 여부를 결정하기 위하여, 질문을 하거나 관련 시스템의 추적조사와 같은 기타의 적합한 감사절차를 수행할 수 있다.

기업의 재무제표가 중요하게 왜곡표시될 가능성에 대한 업무팀 내의 토의는 다음과 같은 기능을 한다.

•

업무수행이사 등 경험이 많은 업무팀원들이 기업에 대한 지식에 기초하여 가지고 있는 통찰을 서로 공유하는 기회를 제공함

•

업무팀원들이 기업에 영향을 미치는 사업위험에 대한 정보와 재무제표의 어느 부분이 부정과 오류에 의한 왜곡표시위험에 어떻게 취약한지에 대하여 정보를 교환할 수 있게 함

•

업무팀원들이 자신에게 배정된 특정 분야의 중요한 왜곡표시 가능성을 더 잘 이해하게 하고, 업무팀원들이 수행하는 감사절차의 결과가 추가감사절차의 성격, 시기 및 범위의 결정 등 감사절차의 다른 측면에 어떻게 영향을 미칠 수 있는지 이해하게 함

•

업무팀원들이 중요왜곡표시위험의 평가 또는 이러한 위험에 대처하기 위해 수행되는 감사절차에 영향을 미칠 수 있는 새로운 정보를 감사의 전 과정에 걸쳐 입수하는 경우, 이를 공유하고 커뮤니케이션할 수 있는 기초를 제공함

감사기준서 240은 부정위험에 대한 업무팀 내의 토의와 관련하여 추가적인 요구사항과 관련 지침을 제공한다.7) 7) 감사기준서 240 문단 16

문단 10에서 요구되는 업무팀 내의 토의의 일환으로, 해당 재무보고체계의 공시 요구사항의 검토는 공시에 관련하여 있을 수 있는 중요왜곡표시위험을 감사 초기에 식별하는 데 도움을 줄 수 있다. 업무팀이 토의할 사항의 예는 다음과 같다.

•

새로운 또는 개정된 유의적인 공시로 이어질 수 있는 재무보고 요구사항의 변경

•

예를 들어 감사대상 기간 중 발생한 유의적인 사업결합과 같은 새로운 또는 개정된 유의적인 공시로 이어질 수 있는 기업의 환경, 재무 상황이나 활동의 변경

•

과거에 충분하고 적합한 감사증거의 입수가 어려웠던 공시

•

공시할 정보에 대한 유의적인 경영진의 판단이 수반되는 공시 등 복잡한 사항에 대한 공시

어떤 토의에 모든 업무팀원들을 참석시키는 것이 항상 필요하거나 실무적인 것은 아니며 (예를 들어, 여러 장소에서 수행되는 감사의 경우), 또한 토의에서 내려진 모든 결정을 반드시 모든 업무팀원들에게 알릴 필요가 있는 것도 아니다. 업무수행이사는 사안을 주요업무팀원(적합하다고 고려되면 특정한 기술 또는 지식을 가진 사람 및 부문감사의 책임자를 포함)과 토의할 수 있으며, 업무팀 전체에 걸친 커뮤니케이션의 필요 범위를 고려하여 다른 자들에게 토의를 위임할 수 있다. 이 경우 업무수행이사가 동의한 커뮤니케이션 계획이 유용할 것이다.

다수의 소규모기업 감사는 전적으로 업무수행이사(개인개업자일 수도 있다)에 의해 수행된다. 이러한 경우, 부정이나 오류에 의한 중요한 왜곡표시의 가능성을 고려할 책임자는 감사계획을 직접 수립하였던 업무수행이사이다.

기업의 관련 산업적 요인에는 경쟁 환경, 공급자와 소비자와의 관계, 기술개발과 같은 산업상황이 포함된다. 감사인이 고려할 사항들은 예를 들어 다음과 같다.

•

수요, 생산능력 및 가격 경쟁 등 시장과 경쟁상황

•

순환적 또는 계절적 활동

•

기업의 제품과 관련된 기술

•

에너지의 수급과 원가

기업이 속해 있는 산업은 사업의 성격 또는 규제의 정도에 따라 특정의 중요왜곡표시위험을 발생시킬 수 있다. 예를 들어, 장기계약은 수익과 비용에 대한 유의적 추정 문제를 발생시켜 중요왜곡표시위험을 야기할 수 있다. 이러한 경우, 업무팀에는 관련 지식과 경험이 충분한 팀원을 포함시키는 것이 중요하다.8) 8) 감사기준서 220 "재무제표감사의 품질관리" 문단 14

관련 규제적 요인에는 규제환경이 포함된다. 규제환경은 특히 해당 재무보고체계 그리고 법적, 정치적 환경을 포괄한다. 감사인이 고려할 사항은 예를 들어 다음과 같다.

•

회계원칙, 산업 특유의 실무관행

•

공시에 대한 요구사항을 포함한 규제산업에서의 규제 법규

•

직접적 감독을 포함하여, 기업경영에 유의적인 영향을 미치는 법규

•

조세제도(법인세 및 기타)

•

기업경영에 영향을 미치고 있는 외환규제 등 통화정책, 재정정책, 재무적 인센티브(예, 정부보조금 제도)와 관세 또는 무역규제 정책과 같은 정부 정책

•

산업전반 및 해당 기업의 경영에 영향을 미치는 환경 관련 요구사항

감사기준서 250은 기업과 그 기업이 속한 산업 또는 부문에 적용되는 법규에 관한 구체적인 요구사항을 포함한다.9) 9) 감사기준서 250 "재무제표감사에서의 법률과 규정의 고려" 문단 13

공공부문의 감사에 있어서는 법규 또는 다른 권위있는 기관은 해당 기업의 운영에 영향을 미친다. 이러한 요소들은 그 기업과 그 기업이 처한 환경을 이해할 때 본질적으로 고려할 사항이다.

기업에 영향을 미치는 기타 외부적 요인으로서 감사인이 고려할 사항은 예를 들어 일반적인 경제여건, 이자율과 자금조달 가능성, 인플레이션 또는 통화재평가가 있다.

기업의 성격에 대한 이해는 감사인이 다음과 같은 사항들을 이해할 수 있게 한다.

•

기업이 복잡한 구조인지 여부(예를 들어, 여러 지역에 종속기업이나 기타 부분을 가지고 있는 경우). 복잡한 구조는 종종 중요왜곡표시위험을 유발하는 쟁점을 제기하기도 한다. 이러한 쟁점에는 영업권, 조인트벤처, 투자 또는 특수목적기업의 회계처리 적절성 여부와 재무제표에 그러한 쟁점에 대한 적절한 공시가 이루어졌는지 여부가 포함될 것이다.

•

소유권과, 소유주와 다른 사람 또는 다른 기업과의 관계. 이에 대한 이해는 특수관계자와의 거래가 적합하게 식별되고 회계처리 되었으며 재무제표에 적절하게 공시되었는지를 결정하는 데 도움을 준다. 감사기준서 55010) 에서는 감사인이 특수관계자와 관련된 요구사항을 정하고 관련 지침을 제공한다.

10. 감사기준서 550 "특수관계자"

감사인이 기업의 성격을 이해할 때 고려할 요소는 예를 들어 다음과 같다. • 영업활동에 관한 사항

• 수익의 원천, 해당 제품 또는 서비스, 및 시장 (인터넷을 통한 판매와 마케팅 활동 등 전자상거래의 수행 정도 포함)

• 사업의 수행 (예를 들어, 생산의 절차 및 방법, 환경적 위험에 노출된 활동)

• 제휴, 조인트벤처, 외주활동

• 지리적 분산의 정도, 산업구분

• 생산설비, 창고, 사무실의 위치 및 재고자산의 소재와 수량

• 제품과 서비스의 주요 고객과 공급자, 고용약정(노동조합계약, 연금과 기타 퇴직 후 복리후생, 스톡옵션이나 인센티브상여 약정, 고용사항과 관련된 정부규제 등)

• 연구개발 활동과 지출

• 특수관계자와의 거래

• 투자와 투자활동에 관한 사항

• 계획 중인 또는 최근에 실행한 취득 또는 매각

• 주식과 채권의 투자와 처분

• 자본투자 활동

• 파트너십, 조인트벤처, 특수목적기업 등 연결대상에서 제외되는 기업들에 대한 투자

• 자본조달과 재무활동에 관한 사항

• 주요 종속기업과 관계기업(연결대상 또는 연결대상에서 제외되는 구조 포함)

• 부외 금융약정과 리스약정 등 채무구조 및 관련 조건

• 수익자(국내, 국외, 사업평판과 경험)와 특수관계자

• 파생금융상품의 이용

• 재무보고에 관한 사항

• 예를 들어 은행의 대여금과 투자, 제약업의 연구개발비같은 산업특유의 유의적 거래 유형, 계정잔액 및 재무제표의 공시 등, 회계원칙과 산업특유의 실무

• 수익인식

• 공정가치 회계처리

• 외화자산, 외화부채 및 외화거래

• 예를 들어 주식기준 보상에 대한 회계처리와 같이 논란이 있거나 새로 대두된 분야 등, 비경상적이거나 복잡한 거래에 대한 회계처리

기업의 과거 보고기간으로부터의 주요 변화는 중요왜곡표시위험을 야기시키거나 이를 변화시킬 수 있다.

특수목적기업 (특수목적기구라고도 함)은 금융자산에 대한 리스 또는 유동화를 실행하거나 연구개발활동을 수행하는 것과 같이 일반적으로 협의의 명확한 목적을 위해 설립된 기업이다. 이는 법인, 신탁, 파트너십 또는 조합의 형태를 띌 수 있다. 기업은 특수목적기업을 설립하기 위해 종종 해당 특수목적기업에 자산을 양도하고 (예를 들어, 그 일환으로 금융자산의 제거거래가 수반됨), 특수목적기업의 자산을 사용할 권리를 얻거나 특수목적기업을 위해 서비스를 수행할 권리를 취득하는데, 이와 달리 해당 특수목적기업에 자금을 제공하는 경우도 있다. 감사기준서 550에서 언급한 바와 같이, 특수목적기업은 어떤 상황에서는 해당 기업의 특수관계자일 것이다.11) 11) 감사기준서 550 문단 A7

재무보고체계에서는 종종 지배관계로 보는 세부적인 요건 또는 특수목적기업을 연결대상에 포함시키도록 요구하는 경우를 규정한다. 그러한 재무보고체계의 요구사항을 해석할 때는 종종 특수목적기업과 관련된 계약에 대하여 세부적인 지식이 요구된다.

회계정책의 선택과 적용에 대한 이해에는 다음과 같은 사항이 포함된다.

•

기업이 유의적이고 비경상적인 거래에 대한 회계처리를 위해 적용하는 방법론

•

논란이 있거나 새로 대두된 분야의 경우, 권위있는 지침이나 합의가 없을 때의 유의적인 회계정책의 영향

•

기업의 회계정책 변경

•

해당 기업에 새로 적용되는 재무보고기준 및 법규, 그리고 기업이 해당 요구사항을 언제 어떻게 채택할 것인지에 관한 사항

기업은 산업적 요인, 규제적 요인 및 기타 내·외부적 요인의 환경하에서 사업을 수행한다. 기업의 경영진 또는 지배기구는 이러한 요인들에 대응하기 위해 제반 목적을 정의하는데, 이것이 곧 기업의 전반적인 계획이다. 기업의 전략이란 경영진이 이러한 목적을 달성하기 위해 적용하는 접근방법이다. 기업의 목적과 전략은 시간의 경과에 따라 변화할 수 있다.

재무제표의 중요왜곡표시위험도 사업위험에 포함되지만, 사업위험은 이보다 더 광범위하다. 사업위험은 변화 또는 복잡성으로부터 발생할 수 있다. 변화의 필요성을 인식하지 못하는 것 역시 사업위험의 원인이 될 수 있다. 사업위험은 예를 들어 다음으로부터 발생한다.

•

실패의 가능성 있는 신제품이나 새로운 서비스의 개발

•

성공적인 개발에도 불구하고 제품과 서비스를 뒷받침하기에 부적절한 시장

•

배상책임 또는 평판위험을 초래할 수 있는 제품 및 서비스상의 결함

대부분의 사업위험은 결국 재무적 결과로 귀결되어 재무제표에 영향을 미칠 것이므로, 기업이 당면 사업위험을 이해하는 것은 중요왜곡표시위험의 식별가능성을 증가시킨다. 그러나, 모든 사업위험이 중요왜곡표시위험을 초래하는 것은 아니기 때문에 감사인이 모든 사업위험을 식별하고 평가할 책임은 없다.

감사인이 기업의 목적과 전략 그리고 재무제표의 중요왜곡표시위험을 초래할 수 있는 관련 사업위험을 이해하는 데 고려할 사항은 예를 들어 다음과 같다. (괄호는 관련되는 잠재적 사업위험을 나타낸 것이다.)

•

산업동향(예를 들어, 기업에 산업의 변화에 대처할 수 있는 인력이나 전문가가 없음)

•

신제품과 새로운 서비스(예를 들어, 제품 하자배상책임의 증가)

•

사업의 확장(예를 들어, 수요예측이 정확하지 못함)

•

새로운 회계처리 요구사항(예를 들어, 불완전하거나 부적절한 실행 또는 비용의 증가)

•

규제 요구사항 (예를 들어, 법률적 위험에 대한 노출의 증가)

•

현재와 미래의 재무적 요구사항(예를 들어, 기업이 이러한 요구사항을 충족시키지 못할 때의 재무적 손실)

•

정보기술의 사용(예를 들어, 시스템과 처리절차가 양립불가능함)

•

전략의 실행에 따른 영향, 특히 새로운 회계적 사항이 요구될 영향 (예를 들어, 불완전하거나 부적절한 실행)

사업위험은 경영진주장 수준 또는 재무제표 수준에서 거래유형과 계정잔액 및 공시에 대한 중요왜곡표시위험에 즉각 영향을 미칠 수 있다. 예를 들어, 계약고객 중심의 거래에서 생기는 사업위험은 매출채권의 평가와 연관하여 중요왜곡표시위험을 증가시킬 수 있다. 그러나, 같은 위험이 특히 경기침체와 결합되는 경우에는 보다 장기적인 결과로 이어질 수 있으므로, 감사인은 계속기업가정의 적절성을 평가할 때 이러한 위험을 고려한다. 따라서, 사업위험이 중요왜곡표시위험을 초래할 수 있는지 여부에 대해서는 그 기업의 환경에 비추어 고려해야 한다. 중요왜곡표시위험을 나타내는 것일 수 있는 상황과 사건은 보론 2에 예시되어 있다.

일반적으로, 경영진은 사업위험을 식별하고 그러한 위험에 대응하기 위한 방법을 수립한다. 이 같은 위험평가절차는 내부통제의 일부분이며 문단 15와 문단 A87-A88에서 논의된다.

공공부문 감사의 경우, “경영진의 목적”은 공적 책임에 관한 사항에 영향을 받을 것이며, 법규 또는 기타의 공적 근거에서 나온 목적들을 포함할 것이다.

경영진 등은 당사자들이 중요하다고 여기는 사항을 측정하고 검토할 것이다. 성과측정은 내·외부와 관계없이 기업에 압력을 가한다. 이에 따라 이러한 압력은 경영진이 사업성과를 개선시키거나 재무제표를 왜곡시키는 행동을 취할 동기를 제공할 수 있다. 따라서 감사인이 기업의 성과측정에 대하여 이해하는 것은, 경영진에게 목표성과를 달성해야 하는 압력에 따라 부정에 의한 왜곡표시 등 중요왜곡표시위험을 증가시키는 행동을 일으킬지 여부를 고려할 때 도움이 된다. (부정위험과 관련된 요구사항 및 지침은 감사기준서 240을 참고)

그 목적은 다음과 같이 중복될 수 있지만, 재무성과의 측정과 검토는 통제의 모니터링(문단 A106-A117에서 내부통제의 구성요소로서 논의됨)과 동일하지 않다.

•

재무성과의 측정과 검토는 사업성과가 경영진(또는 제3자)이 설정한 목적에 부합하는지 여부를 대상으로 함

•

통제의 모니터링은 구체적으로 내부통제의 효과적 운영에 관심을 둠

그러나 성과지표는 경우에 따라 경영진이 내부통제의 미비점을 식별할 수 있는 정보도 제공한다.

경영진이 재무성과를 측정하고 검토하기 위해 사용하며, 감사인도 고려하게 될 내부적으로 생성된 정보의 예는 다음과 같다.

•

주요 성과지표(재무적, 비재무적)와 주요 비율, 추세, 운영상의 통계

•

기간별 재무성과분석

•

예산, 예측, 차이분석, 부문정보, 사업부나 부서 또는 기타 수준의 성과보고서

•

종업원 성과측정 및 성과보상정책

•

경쟁기업과의 성과 비교

외부인이 기업의 재무성과를 측정하고 검토할 경우도 있다. 예를 들어, 투자분석가나 신용평가기관의 보고서 같은 외부 정보는 감사인에게 유용한 정보를 제공할 것이다. 이러한 보고서는 종종 감사대상기업으로부터도 입수될 수 있다.

내부적인 측정은 예상되지 않은 결과나 추세를 부각시켜 경영진이 그 원인을 규명하고 시정조치(경우에 따라서는 왜곡표시의 시기적절한 발견과 수정 등)를 취하게 할 수 있다. 성과측정치는 감사인에게 재무제표정보와 관련된 왜곡표시위험의 존재를 나타내는 것일 수 있다. 예를 들어, 성과측정의 결과 감사대상 기업이 동종산업의 다른 기업과 비교했을 때 비경상적으로 빠르게 성장하였거나 또는 높은 이익을 실현하였음을 나타낼 수 있을 것이다. 이러한 정보는 성과기준에 의한 상여금 또는 인센티브 보상과 같은 다른 요인과 결합하여 재무제표 작성에 있어 경영진의 편의에 대한 잠재적 위험을 나타내는 것일 수 있다.

소규모기업은 종종 재무성과를 측정하거나 검토하는 절차를 구비하고 있지 않다. 감사인은 경영진에게 질문하여 경영진이 재무성과를 측정하고 적합한 조치를 취하기 위해 따르고 있는 주요 특정지표를 알 수 있을 것이다. 이러한 질문 결과 성과측정 제도나 성과검토제도가 존재하지 않는다는 것이 나타나면, 왜곡표시가 발견되거나 수정되지 않을 위험이 증가될 수 있다.

내부통제에 대한 이해는 감사인이 잠재적인 왜곡표시의 유형 및 중요왜곡표시위험에 영향을 미치는 요인을 식별하고 추가감사절차의 성격, 시기 및 범위를 결정하는 데 도움을 준다.

이 보론의 내부통제에 대한 적용자료는 다음과 같이 네 부분으로 이루어진다.

•

내부통제의 일반적인 성격과 특성

•

감사와 관련된 통제

•

관련 통제에 대한 이해의 성격과 범위

•

내부통제의 구성요소

내부통제는 다음과 관련된 기업의 목적달성에 위협을 주는 것으로 식별된 사업위험에 대처하기 위하여 설계, 실행 및 유지된다.

•

기업재무보고의 신뢰성

•

기업경영의 효과성과 효율성

•

관련 법규의 준수

내부통제가 설계, 실행 및 유지되는 방식은 기업의 규모와 복잡성에 따라 다양하다.

소규모기업은 기업의 목적 달성을 위하여 덜 조직화된 수단 및 보다 단순한 과정과 절차를 적용할 것이다.

내부통제는 아무리 효과적이어도 기업의 재무보고목적 달성에 대하여 합리적 확신 만을 제공할 수 있다. 이러한 목적을 달성할 수 있을 가능성은 내부통제의 고유한계에 영향을 받는다. 내부통제의 고유한계는 의사결정에 있어 인적인 판단이 잘못될 수 있는 가능성 및 인적 오류 때문에 내부통제가 와해될 수 있다는 현실을 포함하는 것이다. 예를 들어, 통제의 설계 또는 변경 과정에 오류가 있을 수 있다. 또한, 정보의 검토책임자가 정보의 목적을 이해하지 못하거나 적합한 조치를 취하지 않기 때문에 내부통제의 목적으로 생성된 정보(예, 예외사항 보고서)가 효과적으로 사용되지 못하는 경우처럼 통제가 효과적으로 운영되지 못할 수 있다.

또한, 2명 이상이 공모하거나 경영진이 부적합하게 내부통제를 무시함으로써 내부통제가 무력화될 가능성이 있다. 예를 들어, 경영진이 기업의 판매계약상 표준적 계약조건을 변경하여 고객과 별도의 이면 약정을 맺음으로써 수익이 부당하게 인식되는 결과를 초래할 수 있다. 또는, 신용한도를 초과하여 이루어진 거래를 식별하고 보고하기 위해 설계된 소프트웨어의 점검기능 역시 무력화되거나 작동하지 못할 수 있다.

경영진은 또 통제를 설계하고 실행할 때, 실행하려는 통제의 성격과 범위, 그리고 책임질 위험의 성격과 범위에 대하여 판단을 내릴 것이다.

소규모기업은 종종 종업원의 수가 적기 때문에 업무분장의 실행가능한 범위에 한계가 있다. 그러나, 소유주가 경영하는 소규모기업에 있어서 소유경영자는 규모가 큰 기업보다 더 효과적인 감시를 수행할 수 있다. 이러한 감시는 일반적으로 업무분장 기회가 보다 제한되고 있는 것을 보완할 수 있을 것이다.

이와 반대로, 소유경영자는 내부통제제도가 덜 조직화되어 있기 때문에 보다 쉽게 통제를 무력화할 수 있다. 감사인은 부정에 의한 중요왜곡표시위험을 식별할 때 이 점을 고려하게 된다.

이 감사기준서의 목적상 내부통제를 다음과 같이 다섯 가지 구성요소로 구분하는 것은, 감사인이 내부통제의 서로 다른 측면들이 어떻게 감사에 영향을 미치는지 고려하는 데 유용한 체계를 제공한다.

(a)

통제환경

(b)

기업의 위험평가절차

(c)

관련 사업프로세스 등 재무보고에 관련된 정보시스템과 커뮤니케이션

(d)

통제활동

(e)

통제의 모니터링

이러한 구분이 반드시 기업이 내부통제를 어떻게 설계, 실행 및 유지하는지 또는 어떤 특정 구성요소를 어떻게 분류하는지를 반영하는 것은 아니다. 이 감사기준서에 기술된 구성요소 모두에 대하여 대처한다면, 감사인은 내부통제의 다양한 측면들과 그러한 측면이 감사에 미치는 영향을 기술하는 데 이 감사기준서에서 사용된 용어나 체계와 다른 용어나 체계를 사용할 수 있을 것이다.

재무제표감사와 관련된 내부통제의 다섯 가지 구성요소에 관한 보론의 적용자료는 아래의 문단 A76-A117에 제시되어 있다. 보론 1은 내부통제의 구성요소에 대하여 보다 자세한 설명을 제공한다.

기업의 내부통제제도는 수작업 요소뿐 아니라 종종 자동화 요소도 포함한다. 수작업 또는 자동화 요소의 특성은 감사인의 위험평가와 이에 근거한 추가감사절차와 관련된다.

내부통제의 수작업 요소 또는 자동화 요소도 그 선택에 따라 다음과 같이 거래의 개시, 기록, 처리 및 보고 방식에 영향을 미친다.

•

수작업시스템에 의한 통제로는 거래의 승인과 검토, 차이조정 및 조정항목의 사후점검 같은 절차들을 들 수 있음. 이와 달리, 기업은 거래의 개시, 기록, 처리 및 보고를 위해 자동화된 절차를 이용할 수도 있다. 이 경우, 전자형태의 기록이 종이문서를 대체한다.

•

정보기술시스템에 의한 통제는 자동화된 통제(예를 들어, 컴퓨터 프로그램에 내재된 통제)와 수작업 통제가 결합되어 구성됨. 수작업 통제는 정보기술과 별개일 수도 있고, 정보기술에서 생성된 정보를 이용하는 것일 수도 있으며, 정보기술과 자동화된 통제가 효과적으로 작동하도록 모니터링하는 것과 예외사항을 다루는 것에 국한될 수도 있다. 재무제표에 계상되는 거래나 기타 재무데이터를 개시하고, 기록하고, 처리하거나 보고하는 데 정보기술이 사용될 경우에는, 그러한 시스템과 프로그램은 중요한 계정들에 대한 경영진의 주장에 관련된 통제들을 내장하고 있거나, 정보기술에 의존하는 수작업 통제의 효과적인 작동에 결정적인 역할을 할 수도 있다.

자동화된 통제와 수작업 통제의 구성비율은 기업이 사용하는 정보기술의 성격과 복잡성에 따라 달라진다.

일반적으로, 정보기술은 다음과 같은 기능을 통하여 그 기업의 내부통제에 도움을 준다.

•

사전에 정의된 사업규칙을 일관되게 적용하고 방대한 양의 거래나 데이터를 처리할 때 복잡한 계산을 수행할 수 있음.

•

정보의 적시성, 이용가능성, 정확성을 향상시킬 수 있음.

•

정보의 추가적인 분석을 용이하게 함.

•

기업의 활동과 정책 및 절차의 수행에 대한 모니터링 능력을 향상시킬 수 있음.

•

통제가 무력화될 위험을 감소시킬 수 있음.

•

응용소프트웨어, 데이터베이스, 운영시스템에 대한 보안통제의 실행을 통해 효과적인 업무분장을 달성하는 능력을 향상시킬 수 있음.

정보기술은 예를 들어 다음과 같이 내부통제의 특유한 위험을 발생시키기도 한다.

•

데이터를 부정확하게 처리하거나, 부정확한 데이터를 처리하는 (또는 두 가지 모두에 해당되는) 시스템이나 프로그램에 의존

•

승인받지 않고 데이터에 접근하여 승인되지 않았거나 발생하지 않은 거래를 기록하거나 부정확하게 거래를 기록하는 등 데이터의 파괴나 부당한 변경을 초래할 수 있음. 다수의 사용자가 하나의 공통된 데이터베이스를 사용하는 경우 특별한 위험이 발생할 수 있다.

•

정보기술 담당자가 자신의 직무수행에 필요한 수준을 넘어서는 특권적인 접근권한을 가지게 됨으로써 업무분장이 와해될 가능성

•

마스터파일 내 데이터의 승인받지 않은 변경

•

시스템과 프로그램의 승인받지 않은 변경

•

시스템과 프로그램에 대하여 필요한 변경을 하지 못함

•

부적합한 수작업의 개입

•

데이터의 잠재적 손실 또는 필요한 데이터에 대한 접근불가

내부통제의 수작업 요소는 다음과 같이 판단과 재량적 결정이 요구되는 상황에서 더 적합할 수 있다.

•

규모가 크거나 비경상적 또는 비반복적인 거래

•

오류를 사전에 정의하거나, 예측 또는 예상하기 어려운 상황

•

기존의 자동화된 통제의 범위를 벗어난 통제 대응이 요구되는 가변적 환경에 처한 경우

•

자동화된 통제의 효과성을 모니터링 하는 경우

내부통제의 수작업 요소들은 더 쉽게 간과되거나 묵살 또는 무시될 수 있고, 또 단순한 오류와 실수의 발생가능성이 더 많기 때문에, 자동화된 요소에 비해 신뢰성이 낮을 수 있다. 그러므로, 수작업 통제 요소의 적용에 있어서는 일관성이 기대될 수 없다. 다음과 같은 환경에서 수작업 통제 요소는 덜 적합할 것이다.

•

대량의 거래나 반복적인 거래, 또는 예측 또는 예상이 가능한 오류들을 자동화된 통제지표로 예방하거나 발견 및 수정할 수 있는 경우.

•

통제의 구체적인 수행 방법들을 적절하게 설계하고 자동화시킬 수 있는 통제활동

내부통제에 대한 위험의 범위와 성격은 기업의 정보시스템의 성격과 특성에 따라 다르다. 기업은 정보시스템의 특성에 비추어 효과적인 통제를 설정함으로써 내부통제의 정보기술 요소 또는 수작업 요소의 사용으로부터 발생하는 위험에 대응한다.

기업의 목적 그리고 이러한 목적의 달성에 대한 합리적인 확신을 제공하기 위해 실행되는 통제 간에는 직접적인 관련성이 존재한다. 기업의 목적과 이에 따른 통제는 재무보고와 경영활동 및 법규준수와 관계가 있다. 그러나, 이러한 목적과 통제가 모두 감사인의 위험평가와 관련성이 있는 것은 아니다.

감사인이 어떤 통제가 개별적으로 또는 다른 통제와 결합되어 감사에 관련되는지 판단할 때 관련되는 요소에는 다음과 같은 사항들이 포함된다.

•

중요성

•

관련된 위험의 유의성

•

기업의 규모

•

기업의 조직과 소유의 특성 등 사업 성격

•

기업 영업활동의 다양성 및 복잡성

•

제반 법규의 요구사항

•

제반 상황 및 내부통제의 관련 구성요소

•

서비스조직의 이용 등 기업의 내부통제를 구성하는 시스템의 성격과 복잡성

•

특정 통제가 개별적으로 또는 다른 통제와 결합되어 중요한 왜곡표시를 예방 또는 발견, 수정하고 있는지 여부 및 그 방법

기업이 생성하는 정보의 완전성과 정확성에 대한 통제는 감사인이 추가절차를 설계하고 수행할 때 그 정보를 이용할 의도가 있으면 감사와 관련성이 있을 것이다. 경영 및 법규준수 목적과 관련된 통제도 감사인이 감사절차를 적용할 때 평가하거나 사용하는 데이터와 관련되어 있다면, 감사와 관련성이 있을 것이다.

승인되지 않은 취득, 사용, 처분으로부터 자산을 보호하는 내부통제는 재무보고목적과 경영활동목적 모두와 관련된 통제를 포함할 수 있다. 이러한 통제에 대하여 감사인이 고려할 사항은 일반적으로 재무보고의 신뢰성에 관련된 것에 국한된다.

일반적으로 기업은 감사에 관련되지 않아 감사인이 고려할 필요가 없는 목적과 관련된 통제를 가지고 있다. 예를 들어, 기업은 효율적이고 효과적인 경영활동을 위해 정교하며 자동화된 통제시스템(예를 들어, 비행일정을 지원하는 항공사의 자동화된 통제시스템)에 의존할 수 있으나, 이러한 통제는 통상 감사와 관련되지 않을 것이다. 또한, 내부통제는 기업 전체 또는 기업의 사업단위나 사업프로세스에 적용되지만, 기업의 개별적인 사업단위나 사업프로세스에 관련된 내부통제에 대한 이해는 감사에 관련되지 않을 수 있다.

공공부문 감사인은 예를 들어 제정된 업무규범의 준수에 대한 보고와 같이, 종종 내부통제에 관한 추가적인 책임을 지기도 한다. 또한 공공부문 감사인은 법규 또는 기타 공적 근거의 준수여부에 대한 보고책임을 질 수도 있다. 결과적으로 감사인의 공공부문 내부통제에 대한 검토는 보다 광범위하고 세부적일 수 있다.

통제의 설계에 대한 평가를 할 때는 해당 통제가 개별적으로 또는 다른 통제와 결합하여 중요한 왜곡표시를 효과적으로 예방하거나 발견하고 수정할 수 있는지 여부에 대하여 고려할 필요가 있다. 어떤 통제를 실행한다는 것은 통제가 존재하고 있으며 기업이 그 통제를 이용하고 있다는 것을 의미한다. 효과적이지 않은 통제의 실행을 평가하는 것은 거의 의미가 없으므로, 가장 먼저 통제가 적절하게 설계되었는지를 고려할 필요가 있다. 부적절하게 설계된 통제는 내부통제의 유의적 미비점을 의미할 수 있다.

관련 통제의 설계와 실행에 대한 감사증거를 입수하기 위한 위험평가절차에는 다음과 같은 것들이 포함될 수 있다.

•

기업 관련자들에 대한 질문

•

특정 통제적용의 관찰

•

문서 및 보고서의 조사

•

재무보고에 관련된 정보시스템을 통한 거래추적

그러나, 질문만 수행하는 것은 이러한 목적에 충분하지 아니하다.

통제가 일관되게 운영되기 위한 어떠한 자동화 시스템이 마련되어 있지 않은 경우라면, 기업의 통제를 이해하는 것으로 통제의 운영효과성을 테스트하기에는 충분하지 않다. 예를 들어, 특정 시점에 입수한 수작업통제의 실행에 대한 감사증거는 감사기간 중 다른 시점의 운영효과성에 대한 감사증거는 되지 않는다. 그러나 정보기술에 의한 처리는 고유의 일관성이 있으므로(문단 A62 참고), 자동화된 통제의 실행 여부를 결정하기 위한 감사절차를 수행하는 것은 해당 통제가 효과적으로 운영되고 있는지 테스트하는 역할이 될 수도 있다. 그러나 이는 프로그램변경에 대한 통제 등 통제에 대한 감사인의 평가 및 테스트에 따라 달라질 수 있다. 통제의 운영효과성에 대한 테스트는 감사기준서 330에서 자세히 설명되고 있다.12) 12) 감사기준서 330 "평가된 위험에 대한 감사인의 대응"

통제환경은 기업지배 및 경영기능, 내부통제와 그 중요성에 관한 지배기구 및 경영진의 태도와 의식 및 행동이 포함된다. 통제환경은 조직의 문화를 결정하며 통제에 대한 구성원들의 의식에 영향을 준다.

통제환경을 이해할 때 관련되는 통제환경의 요소들은 다음과 같다. (a) 성실성과 윤리적 가치에 대한 커뮤니케이션과 실천 – 이들은 통제의 설계, 관리, 모니터링의 효과성에 영향을 주는 본질적 요소들이다.

(b) 적격성의 구비 – 특정 직무를 위한 적격성 수준 및 그러한 적격성 수준이 필수적 지식과 기술로 구체화되는 방법에 대한 경영진의 고려사항

(c) 지배기구의 참여 – 다음과 같은 지배기구의 속성

• 경영진으로부터의 독립성

• 경험과 성숙도

• 지배기구의 참여 범위와 보고받는 정보의 범위, 그리고 제반 활동에 대한 조사

• 어려운 문제를 제기하고 경영진과 이를 처리하는 정도 등 지배기구의 행위의 적절성 그리고 내부감사인 및 외부감사인과의 상호작용의 적절성

(d) 경영진의 철학과 경영방식 – 경영진의 특성

• 사업위험을 감수하고 관리하는 접근방법

• 재무보고에 대한 태도와 행동

• 정보처리기능, 회계기능 그리고 그 인원에 대한 태도

(e) 조직구조 – 기업의 목적을 달성하기 위해 기업의 활동을 계획, 실행, 통제 및 검토하는 체계

(f) 권한과 책임의 위임 – 경영활동을 위하여 권한과 책임을 위임하는 방법과 보고관계와 승인체계를 설정하는 방법

(g) 인적자원에 대한 정책과 실무 – 예를 들어 채용, 적응교육, 훈련, 평가, 상담, 승진, 보상, 상벌관리 등과 관련된 정책과 실무

관련된 감사증거는 관찰과정에서의 확인적 질문이나 문서의 검사와 같이 질문과 다른 위험평가절차를 결합하여 입수할 수 있다. 예를 들어 감사인은 경영진과 종업원에 대한 질문을 통해, 경영진이 경영실무와 윤리적 행동에 대한 자신의 관점을 종업원에게 어떻게 커뮤니케이션하는지 이해할 수 있다. 감사인은 예를 들어 경영진이 문서화된 행동규범을 구비하고 있고 그 규범에 부합되는 방식으로 행동하는지 고려함으로써, 관련 통제가 실행되고 있는지 결정할 수 있을 것이다.

또한, 감사인은 경영진이 감사와 관련 있는 식별된 내부통제 미비점과 관련된 내부감사기능의 발견사항 및 권고사항에 경영진이 어떻게 대응하는지를 고려할 수 있다. 여기에는 해당 대응이 실행되었는지 여부와 실행 방법, 그리고 이를 내부감사기능이 후속적으로 평가하였는지 여부가 포함된다. 통제환경이 중요왜곡표시위험 평가에 미치는 영향

통제환경의 어떤 요소들은 중요왜곡표시위험을 평가하는 데 전반적인 영향을 미친다. 예를 들어, 통제에 대한 기업의 인식은 지배기구에 의해 많은 영향을 받는 데, 이는 지배기구의 역할 중 하나가 재무보고와 관련하여 시장의 요구 또는 보상제도로부터 발생할 수 있는 경영진에 대한 압력을 상쇄시키는 것이기 때문이다. 따라서, 지배기구의 참여와 관련된 통제환경의 설계효과성은 다음과 같은 사항에 영향을 받는다.

•

지배기구의 경영진으로부터의 독립성과 경영진의 활동을 평가하는 지배기구의 능력

•

지배기구가 기업의 거래를 이해하는지 여부

•

재무제표가 적절한 공시를 포함하는지를 포함하여 해당 재무보고체계에 따라 작성되었는지에 대하여 지배기구가 평가하는 범위

적극적이고 독립적인 이사회는 고위 경영진의 경영철학과 경영방식에 영향을 미칠 수 있다. 그러나 다른 요소들이 미치는 영향은 보다 제한적일 수 있을 것이다. 예를 들어 역량 있는 재무, 회계, 정보기술 인력을 채용하는 인적자원 정책과 실무는 재무정보처리의 오류를 감소시킬 수 있지만, 이익을 과대계상하려는 최고경영진의 강한 편의를 완화시킬 수는 없을 것이다.

만족스러운 통제환경의 존재는 감사인이 중요왜곡표시위험을 평가할 때 긍정적인 요인이 될 수 있다. 그러나, 만족스러운 통제환경은 부정위험을 감소시키는 데 도움이 될 수 있지만, 부정에 대한 완벽한 제지수단은 아니다. 반대로, 통제환경에 미비점이 있으면 특히 부정과 관련된 통제효과성을 약화시킬 수도 있다. 예를 들어, 경영진이 정보기술의 보안위험을 다룰 수 있는 자원을 충분히 확보하지 못한 경우에는, 컴퓨터 프로그램이나 데이터의 부당한 변경이나 승인되지 않은 거래의 처리를 허용함으로써 내부통제에 부정적인 영향을 미칠 수 있다. 감사기준서 330에서 설명하는 바와 같이, 통제환경 역시 감사인의 추가절차의 성격, 시기와 범위에 영향을 준다.13) 13) 감사기준서 330 문단 A2-A3

통제환경 그 자체가 중요한 왜곡표시를 예방하거나 이를 발견하고 수정하지는 않는다. 그러나, 통제환경은 감사인이 다른 통제들(예를 들어, 통제의 모니터링과 특정 통제활동의 수행)의 효과성을 평가하는 데 영향을 미침으로써 감사인이 중요왜곡표시위험을 평가하는 데 영향을 줄 수 있다.

소규모기업의 통제환경은 대규모기업과 다를 것이다. 예를 들어, 소규모기업의 지배기구에는 독립적인 사람이나 기업 외부의 인원이 구성원으로 포함되지 않을 수 있으며, 다른 소유주가 없는 경우 1인의 소유경영자가 직접적으로 감시역할을 맡을 수 있다. 통제환경의 성격은 다른 통제나 그 부재의 유의성에도 영향을 미칠 수 있다. 예를 들어, 소유경영자의 적극적인 관여는 소규모기업에서 업무분장의 결여로부터 발생하는 특정 위험을 완화시킬 수 있지만, 통제를 무력화할 위험 등 다른 위험을 증가시킬 수 있다.

또한, 특히 경영진과 종업원간의 커뮤니케이션이 비공식적이지만 효과적으로 이루어지는 경우 소규모기업의 통제환경 요소에 대한 감사증거는 문서화된 형태로 존재하지 않을 수도 있다. 예를 들어, 소규모기업은 문서화된 행동규범을 가지고 있지 않은 대신, 구두로 전달하거나 경영진이 모범을 보임으로써 성실성과 윤리적 행동의 중요성을 강조하는 문화를 조성할 수 있을 것이다.

따라서, 경영진 또는 소유경영자의 태도와 의식 및 행동은 감사인이 소규모기업의 통제환경을 이해하는 데 특히 중요하다.

기업의 위험평가절차는 경영진이 관리대상 위험을 어떻게 결정하는지에 대한 근거를 형성한다. 그 절차가 기업의 특성, 규모 및 복잡성 등 해당 상황에 적합한 경우, 이러한 절차는 감사인이 중요왜곡표시위험을 식별하는 데 도움을 준다. 기업의 위험평가절차가 기업의 상황에 적합한 지는 감사인의 판단사항이다.

소규모기업의 경우 위험평가절차가 수립되어 있지 않을 수 있다. 이러한 경우, 경영진은 사업에 직접적으로 참여함으로써 위험을 식별할 것이다. 그러나 이러한 상황과 관계없이, 식별된 위험 그리고 이에 대하여 경영진이 어떻게 대처하는지에 대한 질문은 여전히 필요하다.

회계시스템 등 재무보고목적에 관련된 정보시스템은 다음 목적을 위해 설계되고 수립된 절차와 기록으로 구성된다.

•

(사건과 상황을 포함한) 거래의 개시, 기록, 처리 및 보고 그리고 관련 자산, 부채, 자본에 대한 수탁책임의 유지

•

예를 들어 자동으로 계류되고 있는 파일과 이를 적시에 처리하기 위해 따르는 절차와 같이, 거래에 대한 부정확한 처리의 해결

•

시스템의 무력화나 통제의 우회에 대한 과정과 규명

•

거래처리시스템에서 총계정원장으로 정보의 전기

•

자산의 감가상각 및 매출채권 회수가능성의 변화와 같이, 거래 외의 사건이나 상황에 대한 재무정보 관련 정보의 포착

•

해당 재무보고체계에 따라 공시되어야 할 정보가 축적, 기록, 처리, 집계되어 재무제표에 적합하게 보고되도록 함

재무제표는 총계정원장과 보조원장 외부에서 입수한 정보를 포함할 수 있다. 그러한 정보의 예는 다음과 같다. • 갱신권 또는 미래 지급리스료와 같은 리스계약서에서 입수한 재무제표에 공시된 정보

• 갱신권 또는 미래 지급리스료와 같이 리스계약서에서 입수하여 재무제표에 공시된 정보

• 기업의 위험관리 시스템에서 생산되어 재무제표에 공시된 정보

• 경영진측 전문가가 작성하여 재무제표에 공시된 공정가치 정보

• 재무제표에 인식되거나 공시된 추정치를 개발하기 위해 사용된 모형이나 기타 산식에서 입수되어 재무제표에 공시된 정보. 기초 데이터에 대한 정보와 모형에서 사용된 다음과 같은 가정을 포함한다.

° 자산의 내용연수에 영향을 줄 수 있는 내부적으로 개발된 가정

° 이자율과 같이 기업이 통제할 수 없는 요소에 영향을 받는 데이터

• 경영진이 가정의 대안을 고려하였다는 것을 보여주는 정보로서, 재무모형에서 도출된 민감도 분석에 관하여 재무제표에 공시된 정보

• 기업의 세금 신고 기록에서 입수되어 재무제표에 인식되거나 공시된 정보

• 계속기업으로서의 존속능력에 대하여 유의적 의문을 초래할 수 있을 것으로 식별된 사건이나 상황과 관련된 공시와 같이 계속기업으로서의 존속능력에 대한 경영진의 평가를 뒷받침하기 위해 준비된 분석에서 입수되어 재무제표에 공시된 정보.14)

14. 감사기준서 570 "계속기업" 문단 19-20 참고

이 감사기준서 문단 18에서 요구되는 재무보고와 관련된 정보 시스템의 이해(총계정원장과 보조원장 내에서 또는 외부에서 입수되어 재무제표에 공시된 정보와 관련된 시스템의 관련 측면에 대한 이해 포함)는 감사인의 전문가적인 판단사항이다. 예를 들어 기업의 재무제표의 특정 금액이나 공시(신용위험, 유동성 위험, 및 시장 위험과 같은 공시)는 기업의 위험관리 시스템에서 입수된 정보에 기초를 둘 수 있다. 그러나 감사인이 위험관리 시스템의 모든 측면을 이해하도록 요구되는 것은 아니며 필요한 이해를 결정하는 데 전문가적 판단을 사용한다.

기업의 정보시스템에는 반복적으로 발생하는 거래를 기록할 때 요구되는 표준적 분개가 전형적으로 내장되어 있다. 매출, 매입 및 현금지출을 총계정원장에 기록하는 분개, 또는 회수불능 채권에 대한 추정의 변경과 같이 경영진에 의해 주기적으로 이루어지는 회계추정을 기록하기 위한 분개들이 이러한 예이다.

기업의 재무보고절차에는 비반복적이고 비경상적인 거래 또는 조정사항을 기록하기 위한 비표준적인 분개가 포함되기도 한다. 이러한 분개는 예를 들어 연결조정이나 기업합병 또는 매각을 위한 분개, 또는 자산손상과 같은 비반복적인 추정 등이 포함된다. 수작업 총계정원장 시스템에서 비표준적인 분개는 원장, 분개장 및 관련 증빙에 대한 검사를 통해 식별될 수 있다. 총계정원장을 유지하고 재무제표를 작성하는 데 자동화된 절차가 사용되는 경우, 이러한 분개는 전자적 형태로만 존재하므로 컴퓨터를 이용한 감사기법을 사용하여 보다 용이하게 식별될 수 있을 것이다.

기업의 사업프로세스란 다음을 위해 설계된 활동을 말한다.

•

제품과 서비스의 개발, 구매, 생산, 판매 및 유통

•

제반 법규의 준수

•

회계와 재무보고 정보 등 제반 정보의 기록

사업프로세스는 거래로 귀결되며, 이는 정보시스템에 기록, 처리 및 보고된다. 거래가 어떻게 시작되는지 등 기업의 사업프로세스를 이해하는 것은 감사인이 재무보고와 관련성이 있고 해당 기업의 상황에 적합한 정보시스템을 이해하는 데 도움을 준다.

총계정원장과 보조원장 내에서 또는 외부에서 입수되어 재무제표에 공시된 정보와 관련된 시스템의 관련 측면을 포함한 소규모기업의 재무보고와 관련된 정보시스템 및 관련 사업프로세스는 대규모기업보다 덜 정교할 수 있지만, 그 역할은 마찬가지로 중요하다. 경영진이 적극적으로 관여하는 소규모기업은 회계절차에 관한 상세한 기술이나, 정교한 회계기록, 문서화된 정책이 필요하지 않을 수 있다. 따라서 소규모기업의 감사에서는 재무보고와 관련된 기업의 정보시스템에 대한 이해가 더 용이하며, 문서의 검토보다 질문에 더 의존할 수 있을 것이다. 그러나 일반적 이해의 필요성은 여전히 중요하다.

기업이 재무보고의 역할과 책임, 재무보고와 관련된 유의적 사항들을 커뮤니케이션할 때는 재무보고에 대한 내부통제와 관련된 개인의 역할과 책임을 이해하는 것이 수반된다. 이러한 커뮤니케이션에는 구성원들이 재무보고 정보시스템에서 자신의 활동이 다른 사람의 업무와 어떻게 관련되는지에 대한 이해의 정도, 그리고 기업 내의 적절한 상급자에게 예외사항을 보고하는 방법과 같은 것이 포함된다. 커뮤니케이션에 관한 사항은 정책매뉴얼과 재무보고매뉴얼 같은 형태를 취할 수도 있을 것이다. 개방적인 커뮤니케이션 통로는 예외사항이 확실하게 보고되고 조치되도록 하는 데 도움을 준다.

소규모기업에서는 대규모기업에 비해 직급의 수가 적고 경영진의 가시성 및 접근성이 더욱 크므로, 덜 조직적이지만 더 용이하게 커뮤니케이션을 할 수 있을 것이다.

통제활동은 경영진의 지시가 확실하게 이행되도록 도와주는 정책과 절차이다. 정보기술 또는 수작업 시스템 내의 통제활동은 다양한 목적을 가지고 있으며, 다양한 직급과 직능 수준에서 적용된다. 구체적인 통제활동은 예를 들어 다음에 관련된 것들이 포함된다.

•

승인

•

성과검토

•

정보처리

•

물리적 통제

•

업무분장

감사에 관련된 통제활동은 다음 중 하나이다.

•

문단 29와 30에서 요구하는 바와 같이, 유의적 위험과 관련이 있어 감사에 관련된 것으로 다루도록 요구되는 통제활동과, 실증절차만으로는 충분하고 적합한 감사증거를 제공하지 못하는 위험과 관계가 있는 통제활동

•

감사와 관련이 있는 것으로 감사인이 판단한 통제활동

어떤 통제활동이 감사와 관련되는지 여부에 대한 판단은 감사인이 식별한 위험이 중요왜곡표시위험을 초래할 수 있는지 그리고 감사인이 실증테스트의 범위를 결정할 때 통제의 운영효과성을 테스트하는 것이 적합한지 여부에 의해 영향을 받는다.

감사인은 중요왜곡표시위험이 더 높을 것으로 고려하는 분야에 대응하는 통제활동을 식별하고 이해하는 데 중점을 둘 수 있을 것이다. 다수의 통제활동이 각각 동일한 목적을 달성하는 경우, 그러한 목적에 관계된 각각의 통제활동을 이해할 필요는 없다.

감사와 관련된 통제활동에는 계정 잔액과 거래와 관련된 위험에 대응하는 통제 외에 공시가 해당 재무보고체계에 따라 작성되지 않는 것과 관련된 중요왜곡표시위험에 대응하는 경영진이 설정한 통제를 포함할 수 있다. 그러한 통제 활동은 총계정원장과 보조원장 외부에서 입수된 재무제표에 포함된 정보와 관련되어 있을 수 있다.

감사인이 내부통제의 다른 구성요소들에 대한 이해 과정에서 얻은 통제활동의 존재 또는 부재에 대한 지식은, 통제활동을 이해할 때 추가적으로 주의해야 될 필요가 있는지 여부를 결정하는 데 도움을 준다.

통제활동의 기본적 개념은 소규모기업과 대규모기업이 서로 유사하지만, 통제활동이 운용되는 형식은 다양할 수 있다. 또한, 소규모기업은 경영진이 어떠한 통제를 수행하므로 특정 유형의 통제활동은 관련성이 없다고 인식할 수도 있다. 예를 들어, 고객에게 신용등급을 부여하고 유의적 구매를 승인하는 경영진의 독자적 권한은 중요한 계정잔액과 거래에 대하여 강력한 통제를 제공하는 것이며, 따라서 보다 더 세부적인 통제활동은 그 필요성이 감소되거나 제거될 것이다.

소규모기업의 감사와 관련된 통제활동은 수익, 구매, 급여와 같은 주요 거래의 순환과정과 관계가 있을 것이다.

정보기술의 사용은 통제활동이 실행되는 방식에 영향을 준다. 기업이 정보의 완전성과 시스템이 처리하는 데이터의 보안을 유지하고 있고, 효과적인 정보기술 일반통제와 응용통제를 포함하고 있는 경우, 감사인의 관점상 정보기술시스템에 대한 통제는 효과적이다.

정보기술 일반통제는 다수의 응용소프트웨어와 응용통제의 효과적인 작동을 지원하는 정책과 절차이다. 이들은 메인프레임, 미니프레임 및 최종사용자 환경에 모두에 적용된다. 정보의 완전성과 데이터의 보안을 유지하는 정보기술 일반통제는 공통적으로 다음 사항에 대한 통제를 포함한다.

•

데이터 센터와 네트워크 운용

•

시스템 소프트웨어의 취득, 변경 및 유지

•

프로그램 변경

•

접근 보안

•

응용시스템의 취득, 개발 및 유지

이러한 정보기술 일반통제는 일반적으로 문단 A63에서 언급된 위험을 다루기 위해 실행된다.

응용통제는 수작업 또는 자동화된 절차로서 전형적으로 사업프로세스 수준에서 운영되며 개별 응용시스템에 의한 거래를 처리할 때 적용된다. 응용통제는 본질적으로 예방 또는 발견 기능을 수행할 수 있고, 회계기록의 완전성이 확보되도록 설계된다. 따라서, 응용통제는 거래나 기타 재무정보의 개시, 기록, 처리 및 보고에 사용되는 절차들과 관계가 있다. 이러한 통제들은 발생된 거래가 승인되고, 완전하고 정확하게 기록되며 처리되도록 도와준다. 이러한 예로는 입력데이터의 편집점검이나 일련번호 점검, 그리고 이에 따른 예외보고서의 수작업 후속조치나 데이터 입력시점의 수정이 있다.

통제의 모니터링은 지속적으로 내부통제의 성과에 대한 효과성을 평가하는 절차다. 이는 적시에 통제의 효과성을 평가하고 필요한 개선조치를 취하는 것을 포함한다. 경영진은 일상적인 활동이나 별도의 평가 또는 이 두 가지를 결합하여 통제를 모니터링한다. 일상적인 모니터링 활동은 종종 기업의 정상적인 반복활동에 내재되어 있으며, 정규적인 경영활동과 감독활동이 포함된다.

경영진의 모니터링 활동에는 문제를 나타내거나 개선이 필요한 분야를 강조하는 것일 수 있는 고객의 고충이나 규제기관의 지적과 같이 외부당사자의 커뮤니케이션에서 얻은 정보를 이용하는 것도 포함될 수 있을 것이다.

경영진의 모니터링 활동은 종종 경영진 또는 소유경영자가 경영활동에 밀접하게 참여함으로써 이루어진다. 이러한 참여를 통해 종종 기대치와의 유의적 편차 또는 재무데이터의 부정확성을 식별하여 통제에 개선조치를 취하게 한다.

기업에 내부감사기능이 있는 경우, 감사인의 내부감사기능에 대한 이해는 특히 내부감사기능이 수행하는 기업이 재무보고에 대한 내부통제를 모니터링하는 내부통제를 포함한 기업과 그 환경을 이해하는데 도움을 준다. 문단 6(a)의 감사인 질문으로 입수한 정보와 함께, 이러한 이해는 감사인의 중요왜곡표시위험의 식별 및 평가에 직접적으로 관련된 정보를 제공할 수 있다.

내부감사기능의 권한과 책임을 포함하여 내부감사기능의 목적과 범위, 내부감사기능 책임의 성격 그리고 조직 내 위상은 매우 다양하며 기업의 규모와 구조, 경영진(해당되는 경우 지배기구 포함)의 요구사항에 따라 달라진다. 이러한 사항은 내부감사헌장이나 위임사항에서 정해질 수 있다.

내부감사기능의 책임에는 위험관리, 내부통제 및 기업지배 관련 절차들의 설계와 그 효과성에 대하여 경영진 및 지배기구에게 확신을 제공하는 절차들을 수행하고 그 결과를 평가하는 것을 포함한다. 만약 그렇다면, 내부감사기능은 기업이 재무보고에 대한 내부통제를 모니터링 하는데 중요한 역할을 수행할 수 있다. 그러나, 내부감사기능의 책임은 운영의 경제성, 효율성 및 효과성 평가에 중점을 둘 수 있으며, 만약 그렇다면, 내부감사기능이 수행한 업무는 기업의 재무보고와 직접적으로 관련되지 않을 수 있다.

문단 6(a)에 따라 내부감사기능 내 적합한 담당자에 대한 감사인의 질문은 감사인이 내부감사기능의 책임의 성격을 이해하는데 도움이 된다. 감사인이 내부감사기능의 책임이 기업의 재무보고와 관련된다고 결정하는 경우, 감사인은 보고기간에 대한 내부감사기능의 감사계획을 검토하거나, 경우에 따라, 내부감사기능 내 적합한 담당자와 그러한 계획을 토의함으로써, 내부감사기능이 수행했거나 수행할 활동들을 더 잘 이해할 수 있다.

내부감사기능의 책임의 성격 및 인증 활동이 기업의 재무보고와 관련이 있는 경우, 감사증거를 입수하는데 감사인이 직접 수행할 감사절차의 성격이나 시기를 변경하거나 그 범위를 축소시키기 위하여 감사인은 내부감사기능이 수행한 업무를 활용할 수 있다. 예를 들어, 과거의 감사경험 또는 감사인의 위험평가절차를 기초로 하여, 기업의 내부감사기능이 기업규모 및 사업의 성격에 비례하여 적절하고 적합하게 자원을 보유하고 지배기구에 직접 보고하는 관계를 가진 기업의 경우, 감사인은 내부감사기능이 수행한 업무를 활용할 가능성이 더 있을 수 있다.

내부감사기능에 대한 감사인의 예비적 이해에 기초하여, 감사인이 수행될 감사절차의 성격이나 시기를 변경하거나, 그 범위를 축소시키기 위하여 내부감사기능이 수행한 업무를 활용할 것으로 기대하는 경우, 감사기준서 610이 적용된다.

감사기준서 610에서 추가로 논의되는 바와 같이, 내부감사기능의 활동들은 기업이 왜곡표시를 예방하고 적발하는 방법에 도움을 주기 위해 설계된 경영진의 회계정보 검토처럼, 재무보고와 관련될 수 있는 다른 모니터링 통제와는 구별된다.

감사 초반에 기업의 내부감사기능 내 적합한 담당자와의 커뮤니케이션을 구축하고 감사의 전 과정에 걸쳐 그러한 커뮤니케이션을 유지하는 것은 효과적인 정보공유를 용이하게 할 수 있다. 그러한 사항들이 감사인이 수행하는 업무에 영향을 미칠 수 있는 경우, 이는 내부감사기능이 주목할 수 있는 유의적 사항들을 감사인에게 알려줄 수 있는 환경을 조성한다. 감사기준서 200에서는 감사증거로 사용될 문서 및 질의에 대한 답변의 신뢰성에 의문을 갖게 하는 정보에 주의를 유지하는 것을 포함하여, 감사인이 전문가적 의구심을 가지고 감사를 계획하고 수행하는 것의 중요성에 대하여 논의한다. 따라서, 감사 전 과정에 걸친 내부감사기능과의 커뮤니케이션은 내부감사인이 그러한 정보에 감사인이 주의하도록 하는 기회를 제공할 수 있다. 그러면 감사인은 중요왜곡표시위험의 식별 및 평가에 있어 그러한 정보를 고려할 수 있다.

모니터링에 사용되는 정보는 대부분 기업의 정보시스템에 의해 생성될 수 있다. 만약 경영진이 모니터링에 사용되는 정보가 아무런 근거도 없이 정확하다고 가정한다면, 정보에 존재할 수 있는 오류로 인하여 잠재적으로 경영진이 모니터링 활동으로부터 내리는 결론이 부정확하게 될 가능성이 있다. 따라서, 감사인은 내부통제의 구성요소인 기업의 모니터링 활동에 대한 이해의 일부로 다음 사항을 이해하도록 요구된다.

•

기업의 모니터링 활동과 관계된 정보의 원천

•

경영진이 그러한 목적을 위하여 해당 정보가 충분히 신뢰할 수 있다고 고려한 근거

재무제표 수준의 중요왜곡표시위험은 재무제표 전체에 전반적으로 관련된 위험을 말하며, 잠재적으로 다수의 경영진주장에 영향을 미친다. 이러한 성격의 위험은 거래유형과 계정잔액 및 공시 수준의 특정 경영진주장에서 반드시 식별될 수 있는 위험이 아니다. 오히려, 이러한 위험은 (예를 들어 경영진이 내부통제를 무력화하는 것을 통해) 경영진주장수준의 중요왜곡표시위험이 증가될 수 있는 상황을 나타내는 것이다. 재무제표 수준의 위험은 감사인이 특히 부정에 의한 중요왜곡표시위험을 고려할 때 관련이 있을 수 있다.

재무제표 수준의 위험은 (경기침체 상태와 같은 다른 요소들과 관련될 수도 있지만) 특히 미비된 통제환경으로부터 비롯될 수 있다. 예를 들어, 경영진의 적격성 부족이나 재무제표 작성에 대한 감시 부족과 같은 미비점은 재무제표에 보다 전반적인 영향을 미칠 수 있으며, 감사인의 전반적인 대응이 요구될 수 있다.

내부통제에 대한 감사인의 이해 결과에 따라서는 해당 기업의 재무제표에 대한 감사의 수행가능성에 대한 의문이 생길 수 있다. 예를 들어 다음과 같다.

•

감사인은 경영진의 정직성에 대한 우려가 매우 심각하여 경영진이 재무제표를 왜곡표시할 위험이 감사를 수행할 수 없다고 결론을 내릴 수 있을 것이다.

•

감사인은 기록의 상태와 신뢰성에 대한 우려로 인하여 재무제표에 대하여 적정의견을 뒷받침할 수 있는 충분하고 적합한 감사증거의 입수가 가능할 것 같지 않다고 결론을 내릴 수 있을 것이다.

감사기준서 70515) 는 감사인이 한정의견이나 의견거절을 고려하거나, 관련 법규상 가능한 경우에는 감사업무를 해지할 필요가 있는지 여부를 결정할 때의 요구사항을 정하고 관련 지침을 제공한다. 15) 감사기준서 705 "감사의견의 변형"

거래유형과 계정잔액 및 공시에 대한 경영진주장 수준의 중요왜곡표시위험을 고려할 필요가 있는 것은 이것이 충분하고 적합한 감사증거를 입수하는 데 필요한 경영진주장 수준의 추가감사절차의 성격, 시기 및 범위를 결정하는 데 직접적으로 도움이 되기 때문이다. 감사인은 경영진주장 수준의 중요왜곡표시위험을 식별하고 평가할 때, 식별된 위험이 재무제표 전체에 더욱 전반적으로 관련되어 있고 잠재적으로 다수의 경영진주장에 영향을 미친다고 결론을 내릴 수도 있을 것이다.

경영진은 재무제표가 해당 재무보고체계에 따르고 있다고 진술할 때, 묵시적으로 또는 명시적으로 거래유형과 사건, 계정잔액 및 공시의 인식, 측정, 표시에 대한 주장을 한다.

감사인은 경영진주장을 문단 A129(a)-(b)에 기술된 대로 이용할 수도 있고, 위에 기술된 모든 측면이 포괄되었다면 다르게 표현할 수도 있다. 예를 들어, 감사인은 거래 유형과 사건 및 관련 공시에 대한 경영진주장을 계정잔액 및 관련 공시에 대한 경영진주장과 결합시킬 수도 있을 것이다.

감사인이 여러 가지 발생가능한 잠재적인 왜곡표시의 유형들을 고려하기 위해 이용하는 경영진주장은 다음과 같이 구분될 수 있다. (a) 감사대상기간의 거래 및 사건의 유형과 관련 공시에 대한 경영진주장

(i) 발생사실 –기록되거나 공시된 거래와 사건은 발생되었고 기업에 귀속됨

(ii) 완전성 – 기록되어야 하는 모든 거래와 사건은 기록되었으며 재무제표에 포함되어야 하는 모든 관련 공시는 재무제표에 포함되었음

(iii) 정확성 – 기록된 거래와 사건에 관련된 금액 및 기타 데이터는 적합하게 기록되었고 관련 공시는 적합하게 측정되고 기술되었음

(iv) 기간귀속 –거래와 사건은 해당 보고기간에 기록되었음

(v) 분류 – 거래와 사건은 적절한 계정으로 기록되었음

(vi) 표시 – 거래와 사건은 적합하게 합해지거나 세분화되고 명확하게 기술되었으며 관련 공시는 해당 재무보고체계의 요구사항의 측면에서 관련성이 있으며 이해가능함

(b) 보고기간말 계정잔액 및 관련 공시에 대한 경영진주장

(i) 실재성 – 자산, 부채 및 주주지분은 실재함

(ii) 권리와 의무 – 기업은 자산에 대한 권리를 보유하거나 통제하고 있으며 부채는 기업의 의무임

(iii) 완전성 – 기록되어야 하는 자산, 부채 및 주주지분은 모두 기록되었으며 재무제표에 포함되어야 하는 모든 관련 공시는 재무제표에 포함되었음

(iv) 정확성, 평가 및 배분 – 자산, 부채 및 주주지분은 적합한 금액으로 재무제표에 계상되어 있고 평가나 배분의 결과는 적합하게 기록되어 있으며, 관련 공시는 적합하게 측정되고 기술되어 있음.

(v) 분류 – 자산, 부채 및 주주지분은 적절한 계정으로 기록되었음

(vi) 표시 – 자산, 부채 및 주주지분은 적합하게 합산되거나 세분화되고 명확하게 기술되었으며 관련 공시는 해당 재무보고체계의 요구사항의 측면에서 관련성이 있으며 이해가능함

문단 A129(a)-(b)에서 기술된 경영진주장은, 적합하게 적용된다면, 기록된 거래나 사건의 유형 또는 계정잔액과 관련되지 않은 공시에서 발생할 수 있는 다양한 형태의 잠재적 왜곡표시를 고려할 때에도 사용될 수 있을 것이다. 그러한 공시의 예로, 기업은 위험의 원천, 위험관리의 목적, 정책 및 절차 그리고 위험 측정에 사용되는 방법 등 금융상품에서 발생하는 위험에 대한 노출을 기술할 필요가 있을 수 있다.

공공부문의 재무제표에 대한 경영진주장의 경우, 경영진은 종종 문단 A124에 제시된 경영진주장에 추가하여 법규 또는 기타 공적 근거의 요구에 따라 거래와 사건이 수행되었다고 주장할 수 있다. 그러한 경영진주장은 재무제표감사 범위에 포함될 것이다.

통제설계를 평가하고 그러한 통제의 실행여부에 대한 결정을 통하여 입수된 감사증거 등 위험평가절차의 수행으로부터 입수된 정보는 위험평가를 뒷받침하는 감사증거로 이용된다. 위험평가는 수행될 추가감사절차의 성격, 시기 및 범위를 결정한다. 재무제표에 대한 중요왜곡표시위험의 식별에 있어 감사인은 감사기준서 20016) 에 따른 전문가적 의구심을 발휘한다. 16) 감사기준서 200 "독립된 감사인의 전반적인 목적 및 감사기준에 따른 감사의 수행" 문단 15

보론 2는 중요왜곡표시위험(공시에 대한 중요왜곡표시위험 포함)을 나타내는 것일 수 있는 상황과 사건을 예시한다.

감사기준서 32017) 에서 기술된 바와 같이 거래유형, 계정잔액 및 공시의 중요왜곡표시위험을 식별하고 평가할 때 중요성과 감사위험이 고려된다. 감사인의 중요성 결정은 전문가적 판단사항이며 재무제표 이용자의 재무보고 수요에 대한 감사인의 인식에 영향을 받는다18) . 17) 감사기준서 320 문단 A1 18) 감사기준서 320 문단 4

위험을 식별할 때 재무제표의 공시에 대한 감사인의 고려는 왜곡표시가 중요할 수 있는 양적인 공시와 질적인 공시를 포함한다. (일반적으로 전체적인 재무제표에 기초한 이용자의 경제적 의사결정에 영향을 줄 것이라고 합리적으로 예상되는 경우 왜곡표시는 중요하다). 기업과 감사업무의 상황에 따라, 질적인 측면이 있는 공시로서 중요왜곡표시위험을 평가할 때 관련성이 있을 수 있는 공시의 예는 다음과 같다.

•

재무적 곤경 시 기업의 유동성과 부채비율 약정

•

손상을 인식하게 되는 사건이나 상황

•

미래에 대한 가정 등 추정 불확실성의 주요 원천

•

회계정책 변경의 성격과, 예를 들어 새로운 재무보고 요구사항이 기업의 재무상태와 재무성과에 유의적인 영향을 줄 것으로 기대될 때와 같이 해당 재무보고체계에서 요구되는 기타 관련 공시

•

인식된 금액이 어떻게 결정되었는지에 정보와 기타 관련 공시를 포함한 주식기준보상 약정

•

특수관계자 및 특수관계자 거래

•

인식되거나 공시된 금액의 측정 불확실성을 이용자가 이해할 수 있게 하기 위한, 기업의 평가기법에 사용된 가정 변동의 영향을 포함한 민감도 분석

소규모기업의 재무제표의 공시는 덜 자세하거나 덜 복잡할 수 있다(일부 재무보고체계에서는 소규모기업에 더 적은 재무제표의 공시를 허용한다). 그러나 이것이 감사인으로 하여금 기업의 내부통제 등 기업과 그 환경을 이해할 책임을 경감하는 것은 아니다.

감사인은 위험평가를 수행할 때 특정 경영진주장의 중요한 왜곡표시를 예방하거나, 발견 또는 수정할 가능성이 높은 통제를 식별할 수 있을 것이다. 개별적 통제활동은 종종 어떤 위험에 대하여 자체적으로 대처하지 못하기 때문에, 일반적으로 그러한 통제가 이루어지고 있는 절차와 시스템의 흐름에서 해당 통제를 이해하고 이러한 이해를 경영진주장과 연관시키는 것이 유용하다. 종종 어떤 위험에 대하여는 내부통제의 다른 구성요소와 더불어 복수의 통제활동에 의해서만 충분히 대처할 수 있는 경우도 있다.

반대로, 어떤 통제활동은 특정 거래유형이나 계정잔액에 내재된 개별적 경영진주장에 대하여 특히 영향을 미칠 수 있다. 예를 들어, 기업이 종업원들에게 연말 재고자산의 실사 시 수량을 정확하게 파악하여 기록하도록 설정한 통제활동은 재고자산 계정잔액의 실재성과 완전성이라는 경영진주장과 직접적으로 연결된다.

통제는 어떤 경영진주장과 직접적으로 또는 간접적으로 연결될 수 있다. 그 관계가 간접적일수록 해당 통제는 경영진주장의 왜곡표시를 예방 또는 발견 및 수정하는 데 덜 효과적일 수 있다. 예를 들어, 지역별 매장의 판매활동 요약에 대한 판매관리자의 검토는 일반적으로 매출액에 대한 완전성 주장과 간접적으로 연관될 수 있을 뿐이다. 따라서, 이것은 선적서류와 청구서류의 대조와 같이 경영진의 완전성 주장과 더 직접적으로 연결된 통제보다는 해당 주장에 대한 위험을 감소시키는 데 덜 효과적일 수 있다.

각 재무제표와 공시의 잠재적인 왜곡표시는 크기나, 성격 또는 상황으로 인해 중요한 것으로 판단될 수 있다. (문단 26(d) 참조)

유의적 위험은 종종 유의적 비일상적인 거래 또는 판단사항과 관련이 있다. 비일상적인 거래는 규모나 성격 면에서 비경상적인 거래로서 발생빈도가 적은 거래이다. 판단사항에는 그 측정에 유의적 불확실성이 존재하는 회계추정치를 도출하는 것이 포함될 것이다. 시스템적 처리과정을 거치는 일상적이고 복잡하지 않은 거래들은 유의적 위험을 발생시킬 가능성이 적다.

유의적인 비일상적 거래의 경우에는 다음과 같은 사항으로 인하여 중요왜곡표시위험이 더욱 커질 수 있다.

•

회계처리를 특정하기 위한 경영진 개입의 증가

•

데이터의 수집과 처리에 대한 수작업 개입의 증가

•

복잡한 계산이나 회계원칙

•

위험에 대하여 기업이 효과적인 통제를 실행하기 어렵게 만들 수 있는 비일상적인 거래의 성격

회계추정치의 도출에 있어 요구되는 유의적 판단사항의 경우 다음과 같은 사항으로 인하여 중요왜곡표시위험은 더욱 커질 수 있다.

•

회계추정 또는 수익인식에 대한 회계원칙이 상이하게 해석될 수 있음

•

예를 들어 공정가치에 관한 판단과 같이, 요구되는 판단이 주관적이거나 복잡하며 미래 사건의 영향에 관한 가정이 필요할 수 있음

감사기준서 330는 유의적이라고 식별한 위험이 추가감사절차에 미치는 영향을 기술한다.19) 19) 감사기준서 330 문단 15, 21

감사기준서 240은 부정에 의한 중요왜곡표시위험의 식별과 평가와 관련하여 추가적인 요구사항과 관련 지침을 제공한다. 20) 20) 감사기준서 240 문단 26-28

비일상적이거나 판단을 요하는 유의적 사항에 관련된 위험들은 종종 일상적인 통제를 덜 받기도 하지만, 경영진은 이러한 위험들을 처리하기 위한 다른 대응수단을 마련할 수 있을 것이다. 따라서, 감사인이 비일상적 사항 또는 판단사항으로부터 발생하는 유의적 위험에 대하여 기업이 설계 및 실행하고 있는 통제를 이해할 때는 경영진이 그러한 위험에 대응하고 있는지, 그렇다면 어떻게 대응하고 있는지를 포함한다. 이러한 대응에는 다음 사항이 포함될 수 있다.

•

제 가정들에 대하여 고위 경영진이나 전문가들의 검토를 받는 것과 같은 통제활동

•

추정에 대한 문서화된 절차

•

지배기구의 승인

감사의 진행 중에, 감사인은 위험평가의 근거가 된 정보와 유의적으로 차이가 있는 정보에 주목할 수 있다. 예를 들어, 위험평가는 특정 통제가 효과적으로 운용되고 있다는 기대에 근거하여 이루어질 것이다. 이러한 통제를 테스트할 때, 감사인은 감사 중에 통제가 적시에 효과적으로 운용되고 있지 않다는 감사증거를 입수할 수 있을 것이다. 마찬가지로, 실증절차를 수행할 때 감사인은 감사인의 위험평가보다 그 금액이나 빈도가 더 큰 왜곡표시를 발견할 수도 있다. 이러한 상황에서 위험평가는 기업의 진실한 상황을 적합하게 반영하지 않을 수 있고, 계획된 추가감사절차는 중요한 왜곡표시를 발견하는 데 효과적이지 않을 수 있다. 추가적인 지침은 감사기준서 330을 참고한다.

예를 들어, 유의적 소송에 대한 소송통보서의 수령과 같이 일회성 사건이 발생하는 경우, 기업의 대응에 대한 고려에는 적합한 전문가(내부 또는 외부의 법률고문 등)에게 일을 맡겼는지 여부, 잠재적인 영향에 대하여 평가가 이루어졌는지 여부, 그리고 그러한 상황이 어떻게 재무제표에 공시되어야 하는지를 검토하였는지 여부와 같은 사항들이 포함될 수 있을 것이다.

어떤 경우, 경영진은 이러한 유의적 위험에 대한 통제의 실행에 의하여도 중요한 왜곡표시의 유의적 위험에 적합하게 대응하지 못하였을 수도 있다. 경영진이 그러한 통제를 실행하지 못하는 것은 유의적 내부통제 미비점을 나타내는 징후다. 21) 21) 감사기준서 265 "내부통제 미비점에 대한 지배기구와 경영진과의 커뮤니케이션" 문단 A7

중요왜곡표시위험은 일상적인 거래유형이나 계정잔액의 기록, 그리고 신뢰성있는 재무제표의 작성과 직접적으로 관련될 수 있다. 이러한 위험에는 기업의 수익, 구매, 현금수입 및 지출과 같은 일상적이고 유의적 거래유형을 부정확하거나 불완전하게 처리할 위험이 포함될 것이다.

이러한 일상적인 사업거래가 수작업 개입이 거의 또는 전혀 없는 고도의 자동화된 처리과정을 거친다면, 그러한 위험과 관련하여 실증절차만을 수행하는 것은 가능하지 않을 수 있다. 예를 들어, 감사인은 기업의 통합시스템과 같이 상당량의 기업정보가 전자적 형태로만 개시, 기록, 처리 또는 보고되는 상황이 이러한 때에 해당된다고 고려할 수 있을 것이다. 이 경우에는 다음과 같게 된다.

•

감사증거는 단지 전자적 형태로만 이용가능하고, 증거의 충분성과 적합성은 일반적으로 정확성과 완전성에 대한 통제의 효과성에 따라 다름

•

부적절한 거래 개시나 정보의 변조가 발생하였으나 발견되지 않을 가능성은 적합한 통제가 효과적으로 운영되지 않는 경우에 더욱 커질 수 있음

이러한 위험의 식별 결과 추가감사절차에 미치는 영향은 감사기준서 330에 기술되어 있다.22) 22) 감사기준서 330 문단 8

문단 32에서 요구하는 사항을 문서화하는 방식은 감사인이 전문가적 판단을 통해 결정한다. 예를 들어, 소규모기업의 감사에 있어 이러한 문서화는 감사인이 전반감사전략과 감사계획을 문서화할 때에 포함시킬 수 있다.23) 마찬가지로, 예를 들어 위험평가결과는 별도로 문서화하거나 감사인의 추가절차에 대한 문서화의 일부로서 포함될 수도 있다.24) 문서화의 형태와 범위는 기업의 성격, 규모 및 복잡성과 기업의 내부통제, 해당기업 정보의 이용가능성과 감사 중에 적용된 감사방법 및 감사기법에 영향을 받는다. 23) 감사기준서 300 "재무제표감사의 계획수립" 문단 7, 9 24) 감사기준서 330 문단 28

재무보고와 관련하여 복잡하지 않은 사업과 절차를 운영하고 있는 기업의 경우, 문서화는 형태 면에서 단순하고 비교적 간결할 수 있을 것이다. 기업과 기업에 관련된 사항에 대하여 감사인이 이해한 모든 사항을 문서화할 필요는 없다. 감사인이 이해한 사항 중 문서화를 해야 하는 주요요소에는 감사인의 중요왜곡표시위험의 평가에 근거가 된 사항들이 포함된다.

문서화의 범위에는 업무팀원의 경험과 역량이 반영될 수도 있다. 감사기준서 230의 요구사항이 충족되는 한, 경험이 적은 팀원들로 구성된 업무팀에 의해 수행되는 감사에서는 이들이 기업을 적절하게 이해하는 데 도움이 될 수 있도록 경험이 많은 인원으로 구성된 업무팀의 경우보다 더 자세한 문서화가 요구될 수 있다.

계속감사에 있어 어떤 문서는 다음 보고기간으로 이월하고, 기업의 사업이나 절차의 변화를 반영하는 데 필요한 갱신을 할 수 있을 것이다.

종업원의 수가 적은 덜 복잡한 기업에서 업무분장을 설정하는 것은 실행가능성이 낮을 수 있다. 그러나 소유경영자 기업에서 소유경영자는 직접적인 관여를 통하여 대규모 기업보다 효과적인 감시가 가능하며 이는 일반적으로 업무분장의 기회가 제한되는 점을 보완할 수 있다. 하지만 감사기준서 240에서도 설명한 바와 같이, 한 개인에 의한 경영진의 지배는 경영진에 의한 통제무력화의 기회가 되므로 통제의 잠재적인 미비점일 수 있다.38) 38) 감사기준서 240 문단 A28

감사인이 유의적 위험에 대처하는 통제의 운영효과성을 테스트할 계획인지 여부에 관계없이, 이러한 위험에 대처하는 경영진의 접근법에 대하여 얻은 이해는 감사기준서 330에 따라 유의적 위험에 대응하는 실증절차를 설계하고 수행하는 데 근거를 제공해 줄 수 있다.39) 비록 비일상적이거나 판단이 필요한 유의적 사항들과 관련된 위험은 많은 경우에 일상적인 통제의 대상이 될 가능성이 낮지만, 경영진은 그런 위험들을 다루기 위해 의도된 다른 대응을 마련하였을 수 있다. 따라서, 기업이 비일상적이거나 판단이 필요한 사항에서 발생하는 유의적 위험에 대한 통제를 설계하고 실행하였는지 여부에 대한 감사인의 이해는 경영진이 그러한 위험에 대응하는지 여부와 그 방법을 포함한다. 그러한 대응의 예는 다음과 같다.•고위경영진 또는 전문가에 의한 가정의 검토와 같은 통제•회계추정치에 대한 문서화된 절차•지배기구의 승인예시: 유의적인 소송의 통지를 받는 것과 같은 일회성 사건이 있는 경우, 기업의 대응에 대한 고려사항에는 적절한 전문가(예: 내부 또는 외부 법률 고문)에게 의뢰하였는지, 잠재적 영향을 평가하였는지, 그리고 재무제표에 해당 상황을 어떻게 공시할 계획인지를 포함한다.39) 감사기준서 330, 문단 21

감사기준서 24040)은 감사인에게 평가된 부정으로 인한 중요왜곡표시위험(유의적 위험으로 다루어진다) 과 관련된 통제를 이해하도록 요구하고 있으며, 감사인이 부정을 예방하고 적발하기 위하여 경영진이 설계, 실행 및 유지한 통제를 이해하는 것이 중요하다고 설명하고 있다.40) 감사기준서 240 문단 28, A33

경영진주장 수준의 중요왜곡표시위험에 대처하는 통제 중 모든 감사에서 식별될 것으로 예상되는 통제는 분개에 대한 통제이다. 이것은 기업이 거래 처리의 정보를 총계정원장에 통합하는 방법은 일반적으로 표준이든 비표준이든 혹은 자동화되었든 수작업이든 분개의 사용을 수반하기 때문이다. 그 밖의 통제가 식별되는 정도는 기업의 특성과 추가감사절차에 대한 감사인의 계획된 접근법에 따라 달라질 수 있다.예시: 덜 복잡한 기업에 대한 감사에서 기업의 정보시스템은 복잡하지 않을 수 있고 감사인은 통제의 운영효과성에 의존할 계획이 없을 수도 있다. 또한 감사인은 통제의 설계를 평가하고 통제가 실행되었음을 결정할 필요가 있는 유의적 위험이나 중요왜곡표시위험을 식별하지 않았을 수 있다. 이러한 감사에서 감사인은 분개에 대한 기업의 통제 외에 식별된 통제가 없다고 결정할 수 있다.

수작업 총계정원장 시스템에서 비표준적인 분개는 원장, 분개장과 이를 뒷받침하는 문서에 대한 검사를 통하여 식별될 수 있다. 총계정원장을 유지하고 재무제표를 작성할 때 자동화된 절차가 사용된다면 그러한 분개는 전자적 형태로만 존재하며 따라서 자동화된 기법을 사용하여 더욱 쉽게 식별할 수 있다.예시: 덜 복잡한 기업의 감사에서 감사인은 모든 분개의 전체 목록을 간단한 스프레드시트에 추출할 수 있다. 그리고 감사인은 화폐금액이나, 작성자나 검토자의 이름, 재무상태표만 증가시키거나 손익계산서만 증가시키는 분개와 같이 다양한 필터를 적용하여 분개를 정렬하거나 분개가 총계정원장으로 전기된 일자별로 목록을 볼 수 있으며 이는 감사인이 분개와 관련하여 식별된 위험에 대한 대응을 설계하는 데 도움을 준다.

감사인은 실증절차만으로는 충분하고 적합한 감사증거를 입수할 수 없는 경영진주장 수준의 중요왜곡표시위험이 있는지 여부를 결정한다. 감사인은 감사기준서 33041)에 따라 경영진주장 수준에서 실증절차만으로 충분하고 적합한 감사증거를 입수할 수 없을 때 그러한 중요왜곡표시위험에 대처하는 통제에 대한 테스트를 설계하고 수행하도록 요구된다. 결과적으로 이러한 위험에 대처하는 통제가 존재할 때, 통제는 식별되고 평가되어야 한다.41) 감사기준서 330 문단 8(b)

다른 경우에, 감사인이 감사기준서 330에 따라 실증절차의 성격, 시기 및 범위를 결정하는데 통제의 운영효과성을 고려할 계획일 때, 감사기준서 33042)에서 감사인이 그러한 통제에 대한 테스트를 설계하고 수행하도록 요구하고 있으므로 그러한 통제 또한 식별되어야 한다.예시: 감사인은 다음과 같은 통제의 운영효과성을 테스트하고자 계획할 수 있다.•일상적인 거래유형에 대한 통제. 그러한 테스트는 대량의 동질적인 거래에 있어 좀 더 효과적이거나 효율적일 수 있기 때문이다.•기업에 의해 생성된 정보의 완전성과 정확성에 대한 통제(예: 시스템에서 생성된 보고서의 작성에 대한 통제). 감사인이 이러한 통제의 운영효과성을 고려하여 추가감사절차를 설계하고 수행할 의도일 때 정보의 신뢰성을 결정하기 위함.•감사인이 감사절차를 적용할 때 감사인이 평가하거나 사용하는 데이터와 관련되어 있는 운영 및 준수목적과 관련된 통제42) 감사기준서 330 문단 8(a)

통제의 운영효과성에 대한 감사인의 테스트 계획은 식별된 재무제표 수준의 중요왜곡표시위험에 의해서도 영향을 받을 수 있다. 예를 들어, 통제환경에 관한 미비점이 발견된 경우, 직접통제의 운영효과성에 대한 감사인의 전반적인 기대에 영향을 줄 수 있다.

감사인이 식별하고 설계를 평가하며 실행을 결정하는 것이 적절할 것으로 생각하는 기타 통제의 예는 다음과 같다.•고유위험의 범위에서 높은 지점으로 평가되지만 유의적 위험으로 결정되지 않은 위험에 대처하는 통제•세부기록과 총계정원장의 차이조정과 관련된 통제•서비스조직을 이용하는 경우 보충적인 이용자기업 통제43)43) 감사기준서 402 “서비스조직을 이용하는 기업에 관한 감사 고려사항”

IT 사용으로 인한 위험과 이러한 위험에 대처하기 위하여 기업에 의해 실행된 IT 일반통제는 다음에 영향을 줄 수 있다.•경영진주장 수준의 중요왜곡표시위험에 대처하는 통제의 운영효과성을 테스트할지 여부에 대한 감사인의 결정예시: IT 일반통제가 효과적으로 설계되지 않거나 IT의 사용으로 인한 위험에 대처하기에 적절하게 실행되지 않은 경우(예: 적절하게 승인되지 않은 프로그램 변경이나 IT 응용프로그램에 대한 승인되지 않은 접근을 예방하거나 발견하지 못하는 통제), 이것은 그 영향을 받는 IT 응용프로그램 내의 자동화된 통제에 의존하려는 감사인의 판단에 영향을 줄 수 있다.•경영진주장 수준의 통제위험에 대한 감사인의 평가예시:정보처리 통제의 지속적인 운영효과성은 IT 정보처리 통제에 대한 승인되지 않은 프로그램 변경을 예방하고 적발하는 IT 일반통제에 의존할 수 있다(즉 관련 IT 응용프로그램에 대한 프로그램 변경통제). 그런 상황에서 IT 일반통제의 기대되는 운영효과성(또는 그 결여)은 통제위험에 대한 감사인의 평가에 영향을 줄 수 있다(예: 통제위험은 IT 일반통제가 비효과적이거나 감사인이 그 IT 일반통제를 테스트하지 않을 계획인 경우 높을 수 있다).•기업의 IT 응용프로그램에 의해서 혹은 IT 응용프로그램의 정보로 기업이 생성한 정보에 대한 감사인의 테스트 전략예시:기업이 생성하여 감사증거로 사용될 정보가 IT 응용프로그램에 의해 생성되는 경우, 감사인은 시스템에서 생성된 보고서에 대한 통제를 테스트(적절하지 않거나 승인되지 않은 프로그램 변경이나 보고서에 대한 직접적인 데이터 변경의 위험에 대처하는 IT 일반통제를 식별하고 테스트하는 것을 포함)하기로 결정할 수 있다.•경영진주장 수준의 고유위험에 대한 감사인의 평가예시:새로운 혹은 개정된 해당 재무보고체계의 보고 요구사항에 대처하기 위한 유의적이거나 광범위한 프로그램 변경이 있다면, 이것은 새로운 요구사항의 복잡성과 기업의 재무제표에 대한 영향을 나타내는 징후일 수 있다. 광범위한 프로그램이나 데이터 변경이 발생한 경우 IT 응용프로그램에는 IT의 사용으로 인한 위험이 따를 수 있을 것이다.•추가감사절차의 설계예시:정보처리 통제가 IT 일반통제에 의존하는 경우, 감사인은 IT 일반통제의 운영효과성을 테스트하기로 결정할 수 있으며, 이는 그러한 IT 일반통제에 대한 통제테스트의 설계를 요구할 것이다. 같은 상황에서 감사인이 IT 일반통제의 운영효과성을 테스트하지 않기로 결정하거나, IT 일반통제가 비효과적일 것으로 예상되는 경우, IT의 사용으로 발생하는 관련 위험을 실증절차의 설계를 통해 대처하여야 할 수 있다. 그러나 IT의 사용으로 인한 위험이 실증절차만으로는 충분하고 적절한 감사증거를 제공하지 못하는 위험과 관련된 경우 그러한 위험에 대처할 수 없을 수 있다. 이러한 상황에서 감사인은 감사의견에 대한 시사점을 고려할 필요가 있을 수 있다.

정보시스템과 관련된 IT 응용프로그램의 경우, 기업이 보유하고 있는 특정 IT 프로세스와 IT 일반통제의 특성과 복잡성에 대한 이해는 감사인이 기업의 정보시스템에서 정보를 정확하게 처리하고 정보의 무결성을 유지하기 위하여 기업이 의존하는 IT 응용프로그램을 결정하는 데 도움이 될 수 있다. 이러한 IT 응용프로그램에는 IT의 사용으로 인한 위험이 따를 수 있다.

IT의 사용으로 인한 위험이 따르는 IT 응용프로그램을 식별하려면 감사인이 식별한 통제를 고려하여야 한다. 왜냐하면 그러한 통제는 IT 사용을 수반하거나 IT에 의존할 수 있기 때문이다. 감사인은 IT 응용프로그램에 경영진이 의존하고 있으며 감사인이 식별한 자동화된 통제가 포함되는지 여부에 초점을 맞출 수 있다. 여기에는 실증절차만으로는 충분하고 적합한 감사증거를 제공하지 못하는 위험에 대처하는 통제를 포함한다. 감사인은 또한 유의적인 거래유형, 계정잔액 및 공시와 관련된 정보시스템에서 정보를 저장하고 처리하는 방법과 경영진이 해당 정보의 무결성을 유지하기 위하여 IT 일반통제에 의존하는지 여부를 고려할 수 있다.

감사인이 식별한 통제는 시스템에서 생성된 보고서에 의존할 수 있으며, 이 경우 해당 보고서를 생성하는 IT 응용프로그램에는 IT의 사용으로 인한 위험이 따를 수 있다. 다른 경우에, 감사인은 시스템에서 생성된 보고서에 대한 통제에 의존할 계획이 없으며, 이러한 보고서의 입출력을 직접 테스트할 계획을 세울 수 있다. 이 경우 감사인은 관련 IT 응용프로그램에 IT에서 발생하는 위험이 따르는 것으로 식별하지 않을 수 있다.

기업이 IT 일반통제를 갖추고 있는 정도를 포함한 IT 프로세스에 대한 감사인의 이해 정도는 기업과 기업환경의 성격과 상황, 그리고 감사인이 식별한 통제의 성격과 범위에 따라 다양할 것이다. IT의 사용으로 인한 위험이 따르는 IT 응용프로그램의 수도 이러한 요인에 따라 달라진다.예시: •상용 소프트웨어를 사용하고 프로그램을 변경하기 위해 소스 코드에 접근할 수 없는 기업은 프로그램 변경을 위한 절차를 갖출 가능성은 낮지만 소프트웨어를 구성하기 위한 프로세스나 절차(예: 계정 목록, 보고 매개변수 또는 임계값)를 갖출 수는 있다. 또한 기업은 소프트웨어에 대한 접근을 관리하기 위한 프로세스나 절차(예: 상용 소프트웨어에 대한 관리자 접근권한을 가진 지정된 개인)를 가질 수 있다. 이러한 상황에서 기업은 공식화된 IT 일반통제를 가지거나 필요로 할 가능성이 낮다.•대조적으로, 대규모기업은 IT에 크게 의존할 수 있고 IT 환경은 여러 IT 응용프로그램을 포함할 수 있으며 IT 환경을 관리하는 IT 프로세스는 복잡할 수 있다(예: 프로그램 변경사항을 개발 및 구현하고 접근권한을 관리하는 전담 IT 부서가 존재함). 또한 IT 프로세스에 대해 공식화된 IT 일반통제를 실행하고 있을 수 있다.•경영진이 거래를 처리하거나 데이터를 유지하기 위해 자동화된 통제 또는 IT 일반통제에 의존하지 않고, 감사인이 자동화된 통제 또는 기타 정보처리 통제(또는 IT 일반통제에 의존하는 통제)를 식별하지 않은 경우, 감사인은 기업이 IT를 사용하여 생성한 정보를 직접 테스트하겠다고 계획하고 IT의 사용으로 인한 위험이 따르는 IT 응용프로그램을 식별하지 않을 수도 있다.•경영진이 데이터를 처리하거나 유지 관리하기 위해 IT 응용프로그램에 의존하고 데이터의 규모가 유의적이며 경영진이 자동화된 통제(감사인도 식별한 통제)를 수행하기 위하여 IT 응용프로그램에 의존하는 경우 IT 응용프로그램에는 IT의 사용으로 인한 위험이 따를 것이다.

기업의 IT 환경이 더 복잡할수록 IT 응용프로그램과 IT 환경의 기타 측면을 식별하고 IT의 사용으로 인한 관련 위험을 결정하며 IT 일반통제를 식별하는 데는 IT에 대한 전문적인 기술을 가진 업무팀원의 참여가 필요할 가능성이 높다. 복잡한 IT 환경의 경우 그러한 참여는 필수적이며 광범위할 수도 있다.

IT의 사용으로 인한 위험이 따르는 IT 환경의 기타 측면에는 네트워크, 운영 체제와 데이터베이스, 그리고 특정 상황의 경우 IT 응용프로그램 간의 인터페이스를 포함한다. 감사인이 IT의 사용으로 인한 위험이 따르는 IT 응용프로그램을 식별하지 않은 경우 IT 환경의 기타 측면은 일반적으로 식별되지 않는다. 감사인이 IT의 사용으로 인한 위험이 따르는 IT 응용프로그램을 식별한 경우, IT 환경의 기타 측면(예: 데이터베이스, 운영 체제, 네트워크)은 식별된 IT 응용프로그램을 뒷받침하고 상호작용하기 때문에 식별될 것이다.

IT의 사용으로 인한 위험을 식별할 때, 감사인은 식별된 IT 응용프로그램 또는 IT 환경의 기타 측면의 성격과 이들에 IT의 사용으로 인한 위험이 따르는 원인을 고려할 수 있다. 일부 식별된 IT 응용프로그램 또는 IT 환경의 기타 측면에 대하여, 감사인은 주로 승인되지 않은 접근 또는 승인되지 않은 프로그램 변경과 관련된 위험과 부적절한 데이터 변경과 관련된 위험(예: 데이터베이스에 직접 접근하거나 직접 정보를 조작할 수 있어 데이터를 부적절하게 변경할 위험)을 IT의 사용으로 인한 해당 위험으로 식별할 수 있다.

IT의 사용으로 인한 해당 위험의 범위와 성격은 식별된 IT 응용프로그램과 IT 환경의 기타 측면의 성격과 특성에 따라 다양하다. 해당 IT 위험은 기업이 식별된 IT 환경의 일부 측면에 대하여 내부나 외부의 서비스제공자를 이용할 때(예: IT 환경 호스팅을 제3자에게 아웃소싱하거나 그룹 내 IT 프로세스의 중앙 관리를 위해 공유 서비스 센터를 사용하는 것) 발생할 수 있다. IT의 사용으로 인한 해당 위험은 또한 사이버보안과 관련하여 식별될 수 있다. 자동화된 응용통제가 많거나 복잡하고 경영진이 거래를 효과적으로 처리하거나 기초 정보의 무결성을 효과적으로 유지하기 위해 그러한 통제에 더 많이 의존하는 경우, IT의 사용으로 인한 위험이 더 많을 가능성이 더 높다.

식별된 통제의 설계에 대한 평가는 통제가 개별적으로 또는 다른 통제와 결합하여 중요한 왜곡표시를 효과적으로 예방하거나 발견하고 수정할 수 있는지(즉 통제 목적)에 대한 감사인의 고려를 포함한다.

감사인은 통제가 존재하며 기업이 그것을 사용하고 있다는 것을 확인함으로써 통제의 실행을 결정한다. 감사인이 효과적으로 설계되지 않은 통제의 실행을 평가하는 것은 의미가 거의 없다. 따라서 감사인은 통제의 설계를 먼저 평가한다. 부적절하게 설계된 통제는 통제 미비점을 나타낼 수 있다.

통제활동 구성요소에서 식별된 통제의 설계와 실행에 대한 감사증거를 입수하기 위한 위험평가절차의 예는 다음과 같다.•기업의 인원에 대한 질문•특정 통제의 적용에 대한 관찰•문서와 보고서의 검사그러나 질문만으로는 이러한 목적에 충분하지 않다.

감사인은 이전 감사의 경험이나 당기의 위험평가절차에 기초하여 경영진이 유의적 위험에 대처하기 위한 통제를 효과적으로 설계하거나 실행하지 않을 것으로 예상할 수 있다. 그러한 경우 문단 26(d)의 요구사항을 다루기 위하여 수행되는 절차는 그러한 통제가 효과적으로 설계되거나 실행되지 않았다고 결정하는 것으로 이루어질 수 있다. 절차의 결과가 통제가 새롭게 설계되거나 실행되었음을 나타내는 경우, 감사인은 새로 설계되거나 실행된 통제에 대하여 문단 26(b)‒(d)의 절차를 수행하여야 한다.

감사인은 실증절차를 설계할 때 효과적으로 설계되고 실행되는 통제의 운영효과성을 고려하기 위하여 통제를 테스트하는 것이 적절하다고 결론을 내릴 수 있다. 그러나 통제가 효과적으로 설계되거나 실행되지 않을 경우에는 통제를 테스트하는 데 아무런 이점이 없다. 감사인이 통제를 테스트하려고 계획할 때, 통제가 중요왜곡표시위험에 대처하는 정도에 대해 얻은 정보는 감사인이 경영진주장 수준에서 통제위험을 평가할 때 입력정보가 된다.

통제활동 구성요소에서 식별된 통제의 설계를 평가하고 실행을 결정하는 것만으로는 통제의 운영효과성을 테스트하기에 충분하지 않다. 그러나 자동화된 통제의 경우, 감사인은 자동화된 통제에서 직접적으로 운영효과성 테스트를 수행하는 대신 자동화된 통제의 일관된 운영을 지원하는 IT 일반통제를 식별하고 테스트함으로써 자동화된 통제의 운영효과성을 테스트하기로 계획할 수 있다. 특정 시점에 수작업 통제의 실행에 대한 감사증거를 입수하는 것은 감사 대상 기간 동안의 다른 시점의 통제의 운영효과성에 대한 감사증거를 제공하지 않는다. 간접통제의 테스트를 포함한 통제의 운영효과성 테스트는 감사기준 33044)에 추가적으로 설명되어 있다.44) 감사기준서 330 문단 8-11

감사인이 식별된 통제의 운영효과성을 테스트할 계획이 없는 경우에도, 감사인의 이해는 관련 중요왜곡표시위험에 대응하는 실증감사절차의 성격, 시기 및 범위를 설계하는 데 여전히 도움을 준다.예시: 이러한 위험평가절차의 결과는 감사표본을 설계할 때 감사인이 모집단에서 발생할 수 있는 이탈을 고려하는 데 근거를 제공할 수 있다.

내부통제시스템의 구성요소 각각에 대한 평가를 수행할 때45) 감사인은 한 구성요소의 기업의 정책의 일부가 기업의 성격과 상황에 적합하지 않다고 결정할 수 있다. 그러한 결정은 감사인이 통제 미비점을 식별하는 데 도움을 주는 징후일 수 있다. 하나 이상의 통제 미비점을 식별하였다면, 감사인은 이러한 통제 미비점이 감사기준서 330에 따른 추가감사절차의 설계에 미치는 영향을 고려할 수 있다.45) 문단 21(b), 22(b), 24(c),25(c) 및 26(d)

감사인이 하나 이상의 통제 미비점을 식별한 경우, 감사기준서 26546)에서는 감사인이 개별적으로 또는 결합하여 미비점이 유의적 미비점을 구성하는지 결정하도록 요구하고 있다. 감사인은 미비점이 유의적 통제 미비점을 나타내는지 여부를 결정할 때 전문가적 판단을 내린다.47)예시: 유의적 통제 미비점이 존재함을 나타내는 상황에는 다음과 같은 사항이 포함된다.•규모와 관계없이 고위경영진이 관여한 부정이 식별됨•내부감사에서 발견된 미비점을 보고하고 커뮤니케이션하는 것과 관련하여 내부 프로세스가 부적절함•이전에 커뮤니케이션한 미비점을 경영진이 적시에 시정하지 않음•유의적 위험에 대한 경영진의 대응 실패. 예를 들어, 유의적 위험에 대한 통제가 실행되지 않음•이전에 발행된 재무제표의 재작성46) 감사기준서 265 “내부통제 미비점에 대한 지배기구와 경영진과의 커뮤니케이션” 문단 847) 감사기준서 265 문단 A6-A7은 유의적 미비점의 징후와 미비점 또는 미비점들의 결합이 유의적 미비점을 구성하는지를 결정하기 위하여 고려하여야 할 사항을 제시하고 있다.

감사인은 충분하고 적합한 감사증거를 입수하는 데 필요한 추가감사절차의 성격, 시기 및 범위를 결정하기 위하여 중요왜곡표시위험을 식별하고 평가한다. 이러한 증거는 감사인이 수용가능한 낮은 감사위험 수준에서 재무제표에 대한 의견을 표명할 수 있게 한다.

위험평가절차를 수행하여 입수한 정보는 중요왜곡표시위험의 식별과 평가에 근거를 제공하는 감사증거로 이용된다. 예를 들어, 통제활동 구성요소에서 식별된 통제의 설계를 평가하고 이러한 통제가 실행되었는지를 평가할 때 입수한 감사증거는 위험평가를 뒷받침하는 감사증거로 이용된다. 그러한 증거는 또한 감사인이 평가된 재무제표 수준의 중요왜곡표시위험에 대처하는 전반적인 대응을 설계하는 근거를 제공해 주며, 감사기준서 330에 따라 평가된 경영진주장 수준의 중요왜곡표시위험에 대응하여 추가감사절차의 성격, 시기 및 범위를 설계하고 수행하는 근거를 제공해 준다.

중요왜곡표시위험의 식별은 관련 통제에 대한 고려 이전에 수행되며(즉 고유위험), 왜곡표시가 발생할 가능성과 발생한다면 중요할 가능성 모두 합리적 가능성이 있는지에 대한 감사인의 예비적 고려에 기초한다.48)48) 감사기준서 200 문단 A16

중요왜곡표시위험의 식별은 또한 관련경영진주장에 대한 감사인의 결정에 근거를 제공해주며, 감사인이 유의적인 거래유형, 계정잔액 및 공시를 결정하는 데 도움을 준다.

중요왜곡표시위험을 식별하고 평가할 때, 감사인은 다양한 형태의 발생가능한 잠재적 왜곡표시를 고려하기 위하여 경영진주장을 이용한다. 감사인이 관련 중요왜곡표시위험을 식별한 경영진주장은 관련경영진주장이다.

중요왜곡표시위험을 식별하고 평가할 때, 감사인은 문단 A190(a)-(b)에서 기술된 경영진주장의 범주를 이용할 수 있고, 아래 기술된 모든 측면이 포함된다면 이를 다르게 표현할 수도 있다. 감사인은 거래유형과 사건 및 관련 공시에 대한 경영진주장을 계정잔액 및 관련 공시에 대한 경영진주장과 결합하기로 선택할 수도 있다.

감사인이 여러 가지 발생가능한 잠재적인 왜곡표시의 유형들을 고려하기 위해 이용하는 경영진주장은 다음과 같이 구분될 수 있다.(a)감사대상기간의 거래 및 사건의 유형과 관련 공시에 대한 경영진주장(i)발생사실 – 기록되거나 공시된 거래와 사건은 발생되었고 기업에 귀속됨(ii)완전성 – 기록되어야 하는 모든 거래와 사건은 기록되었으며 재무제표에 포함되어야 하는 모든 관련 공시는 재무제표에 포함되었음(iii)정확성 – 기록된 거래와 사건에 관련된 금액 및 기타 데이터는 적합하게 기록되었고 관련 공시는 적합하게 측정되고 기술되었음(iv)기간귀속 – 거래와 사건은 해당 보고기간에 기록되었음(v)분류 – 거래와 사건은 적절한 계정으로 기록되었음(vi)표시 – 거래와 사건은 적합하게 합해지거나 세분화되고 명확하게 기술되었으며 관련 공시는 해당 재무보고체계의 요구사항의 측면에서 관련성이 있으며 이해가능함(b)보고기간말 계정잔액 및 관련 공시에 대한 경영진주장(i)실재성 – 자산, 부채 및 주주지분은 실재함(ii)권리와 의무 – 기업은 자산에 대한 권리를 보유하거나 통제하고 있으며 부채는 기업의 의무임(iii)완전성 – 기록되어야 하는 자산, 부채 및 주주지분은 모두 기록되었으며 재무제표에 포함되어야 하는 모든 관련 공시는 재무제표에 포함되었음(iv)정확성, 평가 및 배분 – 자산, 부채 및 주주지분은 적합한 금액으로 재무제표에 계상되어 있고 평가나 배분의 결과는 적합하게 기록되어 있으며, 관련 공시는 적합하게 측정되고 기술되어 있음(v)분류 – 자산, 부채 및 주주지분은 적절한 계정으로 기록되었음(vi)표시 – 자산, 부채 및 주주지분은 적합하게 합산되거나 세분화되고 명확하게 기술되었으며 관련 공시는 해당 재무보고체계의 요구사항의 측면에서 관련성이 있으며 이해가능함

문단 A190(a)-(b)에서 기술된 경영진주장은, 적합하게 적용된다면, 기록된 거래나 사건의 유형 또는 계정잔액과 직접적으로 관련되지 않은 공시에서 발생할 수 있는 다양한 형태의 잠재적 왜곡표시를 고려할 때에도 사용될 수 있을 것이다.예시: 그러한 공시의 예로 해당 재무보고체계에서 기업이 위험의 원천, 위험관리의 목적, 정책 및 절차 그리고 위험 측정에 사용되는 방법 등 금융상품에서 발생하는 위험에 대한 노출을 기술하도록 요구할 수 있다.

공공부문의 재무제표에 대한 경영진주장은 많은 경우, 경영진이 문단 A190(a)-(b)에 제시된 경영진주장에 추가하여 법규 또는 기타 지침의 요구에 따라 거래와 사건이 수행되었다고 주장할 수 있다. 그러한 경영진주장은 재무제표감사 범위에 포함될 것이다.

감사인은 위험이 재무제표에 전반적인 영향을 주는지 그리고 감사기준서 330에 따른 전반적인 대응을 요구하는지 여부를 결정하기 위하여 재무제표 수준의 중요왜곡표시위험을 식별한다.49) 49) 감사기준서 330 문단 5

재무제표 수준의 중요왜곡표시위험은 또한 개별 경영진주장에 영향을 미치며 이러한 위험을 식별하는 것은 감사인이 경영진주장 수준의 중요왜곡표시위험을 식별하고 식별된 위험에 대처하는 추가감사절차를 설계하는 데 도움을 준다.

재무제표 수준의 중요왜곡표시위험은 재무제표 전체에 전반적으로 관련된 위험을 말하며, 잠재적으로 다수의 경영진주장에 영향을 미친다. 이러한 성격의 위험은 거래유형과 계정잔액 및 공시 수준의 특정 경영진주장에서 반드시 식별될 수 있는 위험이 아니다(예: 경영진의 통제무력화 위험). 그보다 이러한 위험은 경영진주장 수준의 중요왜곡표시위험이 전반적으로 증가될 수도 있는 상황을 나타낸다. 식별된 위험이 재무제표에 전반적으로 관련되는지 여부에 대한 감사인의 평가는 재무제표 수준의 중요왜곡표시위험에 대한 감사인의 평가를 뒷받침한다. 다른 경우에는 다수의 경영진주장이 이러한 위험에 취약한 것으로 식별될 수 있으며 따라서 경영진주장 수준의 중요왜곡표시위험에 대한 감사인의 위험 식별과 평가에 영향을 줄 수 있다.예시: 기업이 영업손실과 유동성 문제를 겪고 있으며 아직 확보되지 않은 자금조달에 의존하고 있다. 그러한 상황에서 감사인은 계속기업가정의 회계처리가 재무제표 수준의 중요왜곡표시위험을 야기한다고 판단할 수 있다. 이런 경우 회계체계는 청산기준을 사용하여 적용될 필요가 있을 수 있으며 이것은 모든 경영진주장에 전반적으로 영향을 줄 것이다.

재무제표 수준의 중요왜곡표시위험에 대한 감사인의 식별과 평가는 기업의 내부통제시스템에 대한 이해의 영향을 받으며 특히 통제환경, 기업의 위험평가절차 및 내부통제시스템을 모니터링하는 기업의 절차에 대한 이해와 다음 사항에 대한 이해의 영향을 받는다.•문단 21(b), 22(b), 24(c), 25(c)에서 요구되는 관련 평가의 결과•문단 27에 따라 식별된 모든 통제 미비점특히 재무제표 수준의 위험은 통제환경의 미비점이나 경제상황의 침체와 같은 외부 사건이나 상황에서 발생할 수 있다.

부정으로 인한 중요왜곡표시위험은 재무제표 수준의 중요왜곡표시위험에 대한 감사인의 고려와 특히 관련될 수 있다.예시: 감사인은 경영진에 대한 질문을 통해서 운전자본의 유지를 위한 추가적인 자금조달을 위하여 대주와의 논의에 기업의 재무제표가 사용된다는 것을 이해한다. 따라서 감사인은 고유위험에 영향을 주는 부정위험요소로 인해 왜곡표시 가능성이 더 높다고 결정할 수 있다(즉, 자금조달을 확실히 이루기 위한 자산과 수익의 과대계상과 부채 및 비용의 과소계상과 같은 부정한 재무보고 위험 때문에, 재무제표가 중요하게 왜곡표시 될 위험).

통제환경과 내부통제시스템의 다른 구성요소에 대한 감사인의 이해와 관련 평가 결과 감사의견의 기초가 되는 감사증거를 입수하는 감사인의 능력에 의문이 들 수 있으며 해당 법규에서 해지가 가능한 상황에서는 계약 해지의 원인이 될 수 있다.예시: •기업의 통제환경을 평가한 결과 감사인은 기업 경영진의 성실성에 대하여 우려할 수 있으며, 그 우려가 매우 심각하여 경영진이 재무제표를 왜곡표시할 위험이 감사를 수행할 수 없을 정도라고 결론짓게 될 수 있다.•기업의 정보시스템과 커뮤니케이션에 대한 평가 결과, IT 환경의 유의적인 변화가 경영진이나 지배기구의 감시 없이 부실하게 관리되었다고 결정할 수 있다. 감사인은 기업의 회계기록의 상태와 신뢰성에 유의적인 우려가 있다고 결론지을 수 있다. 그러한 상황에서 감사인은 재무제표에 대한 적정의견을 뒷받침할 수 있는 충분하고 적합한 감사증거의 입수가 가능할 것 같지 않다고 결론을 내릴 수 있다.

감사기준서 70550)는 감사인이 한정의견이나 의견거절을 고려하거나, 관련 법규상 가능한 경우에는 감사업무를 해지할 필요가 있는지 여부를 결정할 때의 요구사항을 정하고 관련 지침을 제공한다.50) 감사기준서 705 “감사의견의 변형”

공공부문 실체의 경우 재무제표 수준의 위험 식별에는 정치적 환경, 공공의 이익 그리고 프로그램의 민감도와 관련된 사항에 대한 고려를 포함할 수 있다.

재무제표에 전반적으로 관련되지 않은 중요왜곡표시위험은 경영진주장 수준의 중요왜곡표시위험이다.

관련경영진주장과 유의적인 거래유형, 계정잔액 및 공시를 결정하는 것은 문단 25(a)에 따라 입수하여야 하는 기업의 정보시스템에 대한 감사인의 이해 범위를 위한 근거를 제공한다. 이러한 이해는 나아가 감사인이 중요왜곡표시위험을 식별하고 평가하는 데 도움을 준다. (문단 A86 참고)

감사인은 유의적인 거래유형, 계정잔액 및 공시를 식별하는 데 도움을 주는 자동화된 기법을 이용할 수 있다.예시: •자동화된 도구와 기법을 이용하여 거래의 전체 모집단을 분석하여 거래의 성격, 원천, 규모 그리고 양을 이해할 수 있다. 자동화된 기법을 적용하여 감사인은 예를 들어 기말 시점에 ‘0’의 잔액을 가진 계정이 기중에 수많은 상계 거래와 분개로 이루어져 있는 것을 식별할 수 있으며 이것은 계정잔액이나 거래유형이 유의적임을 나타낸다(예: 급여청산계정). 동일한 급여청산계정에서 경영진(및 기타 직원)에 대한 비용정산이 식별될 수도 있으며 이는 특수관계자에 대한 지급이기 때문에 유의적인 공시일 수 있다.•수익 거래의 전체 모집단의 흐름을 분석함으로써 감사인은 이전에 식별하지 못하였던 유의적인 거래유형을 좀 더 쉽게 식별할 수 있다.

유의적인 공시는 하나 이상의 관련경영진주장이 있는 질적, 양적 공시 모두를 포함한다. 질적 측면의 공시이면서 관련경영진주장이 있을 수 있어서 감사인이 유의적이라고 고려할 수 있는 공시의 예시는 다음 사항에 대한 공시를 포함한다.•재무적 곤경에 처한 기업의 유동성과 채무약정•손상을 인식하게 되는 사건이나 상황•미래에 대한 가정 등 추정불확실성의 주요 원천•회계정책 변경의 성격과, 예를 들어 새로운 재무보고 요구사항이 기업의 재무상태와 재무성과에 유의적인 영향을 줄 것으로 기대될 때와 같이 해당 재무보고체계에서 요구되는 기타 관련 공시•주식기준보상 약정. 인식된 금액이 어떻게 결정되었는지에 대한 정보와 기타 관련 공시를 포함함•특수관계자 및 특수관계자 거래•인식되거나 공시된 금액의 측정 불확실성을 이용자가 이해할 수 있게 하기 위한, 기업의 평가기법에 사용된 가정 변동의 영향을 포함한 민감도 분석

왜곡표시가 발생할 가능성과 왜곡표시의 발생 시 잠재적인 왜곡표시의 규모의 결합의 유의성에 따라 식별된 위험이 고유위험의 범위상 어느 지점으로 평가되는지 결정되며 이는 위험에 대처하기 위한 추가감사절차를 설계하는 데 필요한 정보를 제공한다. 따라서 감사인은 식별된 중요왜곡표시위험에 대하여 왜곡표시의 가능성과 규모를 평가한다.

식별된 중요왜곡표시위험의 고유위험에 대한 평가는 또한 감사인이 유의적 위험을 결정하는 데 도움을 준다. 감사인은 감사기준서 330과 다른 감사기준서에 따라 유의적 위험에 대한 구체적인 대응이 요구되기 때문에 유의적 위험을 결정한다.

고유위험요소는 감사인이 식별된 경영진주장 수준의 중요왜곡표시위험에 대하여 왜곡표시의 가능성과 규모를 평가하는 데 영향을 미친다. 거래유형, 계정잔액 또는 공시가 중요하게 왜곡표시될 가능성의 정도가 클수록 고유위험 평가는 더 높아질 것이다. 고유위험요소가 경영진주장의 왜곡표시 가능성에 영향을 주는 정도를 고려하는 것은 감사인이 경영진주장 수준의 중요왜곡표시위험에 대한 고유위험을 평가하고 그러한 위험에 더 정밀한 대응을 설계하는 데 도움을 준다.

고유위험을 평가할 때 감사인은 전문가적 판단을 하여 왜곡표시의 가능성과 규모의 결합의 유의성을 결정한다.

특정 경영진주장 수준의 중요왜곡표시위험과 관련된 평가된 고유위험은 고유위험의 범위의 낮은 지점에서 높은 지점까지의 범위 내에서의 판단을 나타낸다. 범위 내의 어느 지점으로 고유위험이 평가되는지에 대한 판단은 기업의 성격, 규모 및 복잡성에 근거하여 달라질 수 있으며 왜곡표시의 가능성과 규모에 대한 평가와 고유위험요소를 고려한다.

왜곡표시의 가능성을 고려할 때 감사인은 고유위험요소에 대한 고려를 바탕으로 왜곡표시가 발생할 가능성을 고려한다.

왜곡표시의 규모를 고려할 때 감사인은 가능한 왜곡표시의 질적, 양적 측면을 고려한다(즉 거래유형, 계정잔액 또는 공시에 대한 경영진주장의 왜곡표시는 규모, 성격 또는 상황 때문에 중요한 것으로 판단될 수 있다).

감사인은 고유위험의 범위상 어느 지점으로 고유위험을 평가할지 결정할 때 가능한 왜곡표시의 가능성과 규모의 결합의 유의성을 이용한다. 가능성과 규모의 결합이 더 높을수록 고유위험이 더 높게 평가되며, 가능성과 규모의 결합이 낮을수록 고유위험이 더 낮게 평가된다.

위험이 고유위험의 범위상에서 높은 수준으로 평가되었다는 것이 왜곡표시의 규모와 가능성 모두가 높은 것으로 평가될 필요가 있다는 것을 의미하는 것은 아니다. 대신, 평가된 고유위험이 고유위험의 범위상 높은 수준인지 낮은 수준인지 여부를 결정하는 것은 고유위험의 범위상에서 중요한 왜곡표시의 규모와 가능성이 교차하는 지점이다. 높은 고유위험 평가는 또한 가능성과 규모의 다양한 결합에서 발생할 수 있다. 예를 들어 가능성은 낮지만 규모가 매우 큰 경우 고유위험이 높다고 평가될 수도 있다.

중요왜곡표시위험에 대응하기 위한 적합한 전략을 도출하기 위하여, 감사인은 고유위험에 대한 평가에 기초하여 중요왜곡표시위험을 고유위험의 범위를 따라 놓여 있는 범주 내에 지정할 수 있다. 이러한 범주는 다양한 방식으로 기술될 수 있다. 범주화의 방법에 관계없이, 경영진주장 수준의 식별된 중요왜곡표시위험에 대처하는 추가감사절차의 설계와 실행이 고유위험의 평가와 평가의 이유에 적합하게 대응한다면 감사인의 고유위험 평가는 적합하다.

식별된 경영진주장 수준의 중요왜곡표시위험을 평가할 때 감사인은 일부 중요왜곡표시위험이 재무제표 전체에 더 전반적으로 관련되며 잠재적으로 다수의 왜곡표시에 영향을 준다고 결론지을 수 있다. 이런 상황에서 감사인은 재무제표 수준의 중요왜곡표시위험의 식별을 갱신할 수 있다.

중요왜곡표시위험이 다수의 경영진주장에 미치는 전반적인 영향으로 인하여 재무제표 수준의 위험으로 식별되면서 동시에 특정 경영진주장에서도 식별될 수 있는 상황에서 감사인은 해당 경영진주장 수준의 중요왜곡표시위험에 대한 고유위험을 평가할 때 이러한 위험을 고려하여야 한다.

중요왜곡표시위험의 평가에 대한 전문가적 판단을 할 때, 공공부문 감사인은 규정과 지침의 복잡성 및 지침 등의 위반에 따른 위험을 고려할 수 있다.

유의적 위험을 결정하면 감사인은 다음과 같은 구체적으로 요구되는 대응을 수행함으로써 고유위험의 범위의 위쪽 끝에 있는 이러한 위험에 좀 더 주의를 기울일 수 있다.•유의적 위험에 대처하는 통제는 문단26(a)(i)에 따라 식별되어야 하며, 문단 26(d)에 따라 통제가 효과적으로 설계되었고 실행되었는지 여부를 평가하여야 한다.•감사기준서 330은 유의적 위험에 대처하는 통제를 (감사인이 그러한 통제의 운영효과성에 의존하고자 하는 경우) 당기에 테스트하고, 식별된 유의적 위험에 구체적으로 대응하는 실증절차를 수행할 것을 요구한다.51)•감사기준서 330은 감사인의 위험평가가 높을수록 감사인이 더 설득력 있는 감사증거를 입수할 것을 요구한다.52)•감사기준서 260은 감사인이 식별한 유의적 위험에 대하여 지배기구와 커뮤니케이션할 것을 요구한다.53)•감사기준서 701은 감사인이 핵심감사사항이 될 수 있는 감사인의 주의를 요하는 사항들을 결정할 때 유의적 위험을 고려하도록 요구한다.54)•감사 과정의 적절한 단계에서 업무수행이사에 의한 감사문서의 시의적절한 검토는 유의적 위험을 포함한 유의적 사항들을 감사보고서일 이전에 적시에 업무수행이사가 만족하도록 해결할 수 있게 한다.55)•감사기준서 600은 유의적 위험이 그룹감사 내 부문과 관련된 경우 그룹업무수행이사가 더 많이 관여하고 그룹업무팀이 해당 부문에서 부문감사인이 수행할 업무를 지시하도록 요구한다.56)51) 감사기준서 330 문단 15, 2152) 감사기준서 330 문단 7(b)53) 감사기준서 260 문단 1554) 감사기준서 701, “감사보고서 핵심감사사항 커뮤니케이션” 문단 955) 감사기준서 220, 문단 17, A1956) 감사기준서 600, 문단 30, 31

유의적 위험을 결정할 때 감사인은 먼저 고유위험의 범위에서 더 높게 평가된 중요왜곡표시위험을 식별하여 어떤 위험이 위쪽 끝에 근접할 수 있는지 고려하는 근거를 형성할 수 있다. 고유위험의 범위의 위쪽 끝에 근접하는지는 기업마다 다를 것이며, 기간마다 반드시 같지는 않을 것이다. 이는 위험이 평가되는 기업의 성격과 상황에 따라 달라질 수 있다.

평가된 중요왜곡표시위험 중 어떤 위험이 고유위험의 위쪽 끝에 근접하였고 따라서 유의적 위험인지 결정하는 것은, 해당 위험이 다른 감사기준서의 요구사항에 따라 유의적 위험으로 다루어지도록 명시된 종류가 아닌 한, 전문가적 판단사항이다. 감사기준서 240은 부정으로 인한 중요왜곡표시위험의 식별과 평가에 관한 추가적인 요구사항과 지침을 제공한다.57)예시: •슈퍼마켓 소매점의 현금은 (현금이 유용될 위험이 있기 때문에) 일반적으로 왜곡표시의 가능성이 높다고 결정되겠지만, 왜곡표시의 규모는 일반적으로 (매장에서 취급되는 물리적 현금이 적기 때문에) 매우 낮을 것이다. 고유위험의 범위에서 이러한 두 요소의 결합을 고려하면 현금의 실제성이 유의적 위험으로 결정되는 결과로 이어질 가능성은 낮을 것이다.•기업은 특정 사업 부문을 매각하기 위해 협상 중이다. 감사인은 영업권 손상에 미치는 영향을 고려하며, 주관성, 불확실성, 경영진편의 가능성 또는 그 밖의 부정 위험요소 등의 고유위험요소의 영향으로 인하여 왜곡표시의 가능성과 규모가 크다고 판단할 수 있다. 이로 인해 영업권 손상이 유의적 위험으로 결정될 수 있다.57) 감사기준서 240 문단 26-28

감사인은 또한 고유위험을 평가할 때 고유위험요소의 상대적인 영향을 고려한다. 고유위험요소의 영향이 낮을수록 평가된 위험이 낮을 것이다. 고유위험이 높다고 평가되어 유의적 위험으로 결정될 수 있는 중요왜곡표시위험은 다음과 같은 사항에서 발생할 수 있다.•주관성이 있어 복수의 회계처리가 허용되는 거래•추정불확실성이 높거나 모델이 복잡한 회계추정치•계정잔액을 뒷받침하는 데이터 수집과 처리의 복잡성•복잡한 계산이 수반되는 계정잔액이나 양적 공시•다양한 해석이 따르는 회계원칙•회계의 변경이 수반되는 기업의 사업의 변화. 예를 들면, 인수합병

중요왜곡표시위험과 이에 대처하는 통제활동의 성격으로 인하여 일부 상황에서는 충분하고 적합한 감사증거를 입수하는 유일한 방법은 통제의 운영효과성을 테스트하는 것이다. 따라서 감사기준서 330에 따른 경영진주장 수준의 중요왜곡표시위험에 대처하는 추가감사절차의 설계와 수행에 대한 시사점 때문에 감사인에게 그러한 위험이 있는 경우 식별하도록 하는 요구사항이 있다.

문단 26(a)(iii)는 또한 실증절차만으로는 충분하고 적합한 감사증거를 제공하지 못하는 위험에 대처하기 위한 통제의 식별을 요구한다. 감사인은 감사기준서 330에 따라58) 그러한 통제에 대한 테스트를 설계하고 수행하여야 하기 때문이다.58) 감사기준서 330 문단 8

일상적인 사업거래가 수작업 개입이 거의 또는 전혀 없는 고도의 자동화된 처리과정을 거친다면, 그러한 위험과 관련하여 실증절차만을 수행하는 것은 가능하지 않을 수 있다. 기업의 IT 응용프로그램에 대한 고도의 통합이 이루어지는 정보시스템의 경우와 같이 상당량의 기업의 정보가 전자적 형태로만 개시, 기록, 처리 또는 보고되는 상황이 이러한 때에 해당된다고 고려할 수 있을 것이다. 이 경우는 다음과 같다.•감사증거는 단지 전자적 형태로만 이용가능하고, 증거의 충분성과 적합성은 일반적으로 정확성과 완전성에 대한 통제의 효과성에 따라 다름•부적절한 거래 개시나 정보의 변조가 발생하였으나 발견되지 않을 가능성은 적합한 통제가 효과적으로 운영되지 않는 경우에 더욱 커질 수 있음예시: 일반적으로 통신기업의 수익과 관련되어 실증절차만으로 충분하고 적합한 감사증거를 입수하는 것은 가능하지 않다. 왜냐하면 통화나 데이터활동의 증거는 관찰가능한 형태로 존재하지 않기 때문이다. 대신에 통화의 발생과 완료, 그리고 데이터활동(통화시간 또는 다운로드 용량)이 정확하게 포착되고 기업의 청구 시스템에 정확하게 기록되는지 결정하기 위하여 일반적으로 상당한 통제 테스트가 수행된다.

감사기준서 540은 실증절차만으로는 충분하고 적합한 감사증거를 제공하지 않는 위험에 대하여 회계추정치와 관련된 추가적인 지침을 제공한다.59) 회계추정치와 관련하여 이것은 자동화된 처리에 국한되지 않고 복잡한 모델에도 해당될 수 있다.59) 감사기준서 540 문단 A87-89

통제의 운영효과성을 테스트할 감사인의 계획은 통제가 효과적으로 운영될 것이라는 기대에 근거하며 감사인의 통제위험의 평가에 대한 근거를 형성할 수 있다. 통제의 운영효과성에 대한 최초의 기대는 통제활동 구성요소에서 식별된 통제의 설계에 대한 감사인의 평가와 실행에 대한 판단에 기초한다. 일단 감사인이 감사기준서 330에 따라 통제의 운영효과성을 테스트하였다면, 감사인은 통제의 운영효과성에 대한 최초의 기대를 확인할 수 있을 것이다. 통제가 기대한 대로 효과적으로 운영되지 않는다면 감사인은 문단 37에 따라 통제위험평가를 갱신할 필요가 있을 것이다.

통제위험에 대한 감사인의 평가는 선호하는 감사 기법과 방법론에 따라 다양한 방식으로 수행될 수 있으며 다양한 방식으로 표현될 수 있다.

감사인이 통제의 운영효과성을 테스트할 계획이라면 통제가 효과적으로 운영되고 있다는 감사인의 기대를 확인하기 위하여 통제의 결합을 테스트할 필요가 있을 수 있다. 감사인은 IT 일반통제를 포함한 직접통제와 간접통제를 모두 테스트할 수 있으며 그러한 경우 통제위험을 평가할 때 통제의 결합된 기대효과를 고려한다. 테스트할 통제가 평가된 고유위험에 완전히 대처하지 않는 한, 감사인은 감사위험을 수용가능한 낮은 수준으로 낮추기 위하여 추가감사절차의 설계에 미치는 영향을 결정한다.

감사인이 자동화된 통제의 운영효과성을 테스트할 계획인 경우, 감사인은 IT의 사용으로 인한 위험에 대처하고 자동화된 통제가 전체 기간에 걸쳐 효과적으로 운영된다는 감사인의 기대에 대한 근거를 제공하기 위하여 그 자동화된 통제의 지속적인 작동을 뒷받침하는 관련 IT 일반통제의 운영효과성도 테스트하기로 계획할 수 있다. 감사인이 IT 일반통제가 비효과적이라고 기대한다면 이러한 결정은 경영진주장 수준의 통제위험의 평가에 영향을 줄 수 있으며 감사인의 추가감사절차는 IT의 사용으로 인한 해당 위험에 대처하는 실증절차를 포함할 필요가 있을 수 있다. 이러한 상황에서 감사인이 수행할 수 있는 절차에 대한 추가적인 지침은 감사기준서 330에 제공된다.60)60) 감사기준서 330 문단 A29-30

위험평가절차를 수행하여 입수한 감사증거는 중요왜곡표시위험의 식별과 평가에 대한 근거를 제공한다. 이것은 감사인이 감사기준서 330에 따라 경영진주장 수준의 평가된 중요왜곡표시위험에 대응하여 추가감사절차의 성격, 시기 및 범위를 설계하는 데 근거를 제공한다. 따라서 위험평가절차에서 입수한 감사증거는 재무제표 수준과 경영진주장 수준에서 부정이나 오류로 인한 중요왜곡표시위험을 식별하고 평가하기 위한 근거를 제공한다.

위험평가절차에서 입수한 감사증거는 경영진의 주장을 뒷받침하고 확인하는 정보와 경영진주장과 상반된 정보 모두로 이루어진다.61)61) 감사기준서 500 문단 A1

위험평가절차에서 입수한 감사증거를 평가할 때, 감사인은 중요왜곡표시위험을 식별할 수 있도록 기업과 기업환경, 해당 재무보고체계 및 기업의 내부통제시스템에 대하여 충분한 이해를 하였는지 여부와 중요왜곡표시위험을 나타낼 수 있는 상반된 증거가 있는지 여부를 고려한다.

감사기준서 32062)에서 설명한 것처럼, 중요성과 감사위험은 거래유형, 계정잔액 및 공시의 중요왜곡표시위험을 식별하고 평가할 때 고려된다. 감사인의 중요성의 결정은 전문가적 판단 사항이며 재무제표이용자의 재무정보 요구에 대한 감사인의 인식에 영향을 받는다.63) 이 감사기준서와 감사기준서 330의 문단 18의 목적상, 거래유형, 계정잔액 또는 공시는 이에 대한 정보의 생략, 왜곡 또는 모호화가 재무제표 전체에 기초한 이용자의 경제적 의사결정에 영향을 줄 것으로 합리적으로 기대된다면 중요하다.62) 감사기준서 320 문단 A163) 감사기준서 320 문단 4

중요하지만 유의적인 거래유형, 계정잔액 또는 공시로 결정되지 않은 거래유형, 계정잔액 또는 공시가 있을 수 있다(즉 식별된 관련경영진주장이 없음).예시: 기업이 임원 보상을 공시하였으나 감사인은 해당 공시에서 중요왜곡표시위험을 식별하지 않을 수 있다. 그러나 감사인은 이 공시는 문단 A233의 고려에 근거하였을 때 중요하다고 결정할 수 있다.

중요하지만 유의적인 것으로 결정하지 않은 거래유형, 계정잔액 또는 공시에 대처하는 감사절차는 감사기준서 330에서 다룬다.64) 거래유형, 계정잔액 또는 공시가 문단 29에서 요구되는 것처럼 유의적인 것으로 결정되었다면, 이것은 감사기준서 330 문단 18의 목적상 중요한 거래유형, 계정잔액 또는 공시이다.64) 감사기준서 330 문단 18

감사과정에서 위험평가절차의 근거가 되는 정보와 유의적으로 다른 새로운 정보나 기타 정보가 감사인의 주의를 끌 수 있다.예시: 해당 기업의 위험평가는 특정 통제가 효과적으로 운영되고 있다는 기대에 근거할 수 있다. 이러한 통제에 대한 테스트를 수행하면서 감사인은 해당 통제가 감사 기간 동안 관련 시점에 효과적으로 운영되지 않고 있다는 감사증거를 입수할 수 있다. 이와 유사하게 감사인은 실증절차를 수행하면서 감사인의 위험평가와 일관되지 않은 금액이 더 크거나 빈도가 더 빈번한 왜곡표시를 발견할 수 있다. 그러한 상황에서 위험평가는 기업의 실제 상황을 적절하게 반영하지 않을 수 있으며 계획된 추가적인 감사절차가 중요한 왜곡표시를 적발하는 데 효과적이지 않을 수 있다. 감사기준서 330의 문단 16과 17은 통제의 운영효과성을 평가하는 데 대한 추가적인 지침을 제공한다.

계속감사의 경우 특정 문서를 이월하여 기업의 사업이나 절차의 변화를 반영하는 데 필요한 갱신을 할 수 있다.

감사기준서 230에서는 감사인이 전문가적 의구심의 행사를 문서화하는 방법이 한 가지만 있는 것은 아니지만 그럼에도 감사문서는 감사인의 전문가적 의구심의 행사에 대한 증거를 제공할 수 있다고 설명하고 있다.65) 예를 들어, 위험평가절차에서 입수한 감사증거에 경영진의 주장을 확인하는 증거와 경영진의 주장과 상반되는 증거가 모두 포함된다면, 문서화에는 감사인이 감사증거가 중요왜곡표시위험의 식별과 평가를 위한 충분하고 적합한 근거를 제공하는지 여부에 대한 평가를 할 때 내린 전문가적 판단을 포함하여 그 증거를 어떻게 평가하였는지를 포함할 수 있다. 감사인에 의한 전문가적 의구심 행사의 증거를 제공하는 문서화에 대한 이 감사기준서의 기타 요구사항의 예시는 다음과 같다.•문단 13. 감사인이 위험의 존재를 확인하는 감사증거를 입수하고 위험의 존재와 상반되는 감사증거를 배제하는 쪽으로 편향되지 않은 방식으로 위험평가절차를 설계하고 수행하도록 요구한다.•문단 17. 해당 재무보고체계의 적용과 기업의 재무제표가 중요하게 왜곡표시될 가능성에 대하여 주요 업무팀원들 간의 토의를 요구한다.•문단 19(b)와 문단20. 감사인이 기업의 회계정책의 변화의 이유를 이해하고 회계정책이 해당 재무보고체계에 적합하고 일관되는지 평가하도록 요구한다.•문단 21(b), 22(b), 23(b), 24(c), 25(c), 26(d), 27. 감사인이 요구되는 이해에 근거하여 기업의 내부통제시스템의 구성요소가 기업의 성격과 복잡성을 고려하였을 때 기업의 상황에 적합한지 여부를 평가하고 하나 이상의 통제 미비점이 식별되었는지 결정하도록 요구한다.•문단 35. 감사인이 경영진의 주장에 대하여 확인적이거나 상반되거나 간에 위험평가절차에서 입수한 모든 감사증거를 고려하고 위험평가절차에서 입수한 감사증거가 중요왜곡표시위험의 식별과 평가에 대한 적합한 근거를 제공하는지 여부를 평가하도록 요구한다.•문단 36. 해당되는 경우 중요한 거래유형, 계정잔액 또는 공시에 대한 중요한 왜곡표시가 없다는 감사인의 결정이 여전히 적합한지 여부를 평가하도록 요구한다.65) 감사기준서 230 문단 A7

문단 38의 요구사항이 문서화되는 방식은 감사인이 전문가적 판단을 사용하여 결정한다.

어려운 판단에 대한 근거를 뒷받침하기 위해서는 해당 감사에 대한 이전 경험이 없는 숙련된 감사인이 수행된 감사절차의 성격, 시기 및 범위를 이해하도록 하기에 충분한 더욱 자세한 문서화가 요구될 수 있다.

덜 복잡한 기업의 감사에서 문서화의 형태와 범위는 단순하고 상대적으로 간략할 수 있다. 감사인의 문서화의 형태와 범위는 기업의 성격, 규모 및 복잡성, 기업의 내부통제시스템, 기업으로부터 정보의 이용가능성, 감사과정에 사용되는 감사방법론과 기술의 영향을 받는다. 기업과 기업에 관련된 사항들에 대한 감사인의 이해를 모두 문서화할 필요는 없다. 감사인이 문서화할 이해의 핵심요소66)는 중요왜곡표시위험의 평가에 근거가 된 사항들이 포함된다. 그러나, 감사인이 경영진주장 수준의 중요왜곡표시위험의 식별과 평가에 고려한 모든 고유위험요소를 문서화하도록 요구되지는 않는다.예시: 덜 복잡한 기업의 감사에서 감사문서화는 감사인이 전반감사전략과 감사계획을 문서화할 때에 포함시킬 수 있다.67) 마찬가지로, 예를 들어 위험평가결과는 별도로 문서화하거나 감사인의 추가감사절차에 대한 문서화의 일부로써 포함될 수도 있다.68)66) 감사기준서 230 문단 867) 감사기준서 300 “재무제표감사의 계획수립” 문단 7, 9, A1168) 감사기준서 330 문단 28