질문
안녕하세요, 담당자님.
내부회계관리 업무 수행 중 외부서비스제공자와 관련하여 이견이 있어 운영위원회의 의견을 확인하고자 글 올렸습니다.
Aset A22, A106문단 및 Dset 16.8에 따르면, 내부회계관리제도 수행 법인은 외부서비스제공자의 내부통제에 대한 감독을 수행하여야 합니다. 이 때,
- 외부서비스제공자의 범위는 어떻게 되는지 문의드립니다.
내부회계관리제도 범위에 포함되는 프로세스 중 일부를 외부에 아웃소싱하였을 때 해당 아웃소싱을 수행하는 기업-을 외부서비스제공자라고 생각하고 있습니다만, 기준이 애매모호하여 외부감사인과 현업 간에 어떤 업체가 외부서비스제공자인지에 대한 이견이 있을 수 있습니다.
외부서비스제공자의 종류 및 범위를 확실하게 구분하여 알려주시면 감사드리�母윱求�. - 외부서비스제공자의 내부통제 확인 방법에 대하여 문의드립니다.
SOC report를 받는 방법이 가장 간단한 방법이겠습니다만 적지 않은 돈이 드는 것으로 알고 있습니다. 만약 외부서비스제공자가 상장기업이라서 매년 말에 내부회계관리제도에 대한 감사를 받는 경우, SOC report 대신 해당 보고서를 확인하는 것으로 갈음할 수 있을지요?
또한, 반드시 매년 외부서비스제공자의 내부통제를 확인하여야 하는지, 그렇다면 인증보고서와 직접평가 외에 어떤 방법이 있을지 알려주시면 감사드리겠습니다.
감사합니다.
답변
(외부서비스제공자의 범위)
질의에서와 같이 내부회계관리제도와 관련된 통제 또는 프로세스를 해당 회사가 직접 수행하지 않고 아웃소싱(업무위탁)하는 경우, 아웃소싱(업무위탁)을 받은 회사가 외부서비스제공자에 해당합니다. 외부서비스제공자의 범위는 각 회사의 환경에 따라 다양하게 판단될 수 있습니다. 예를 들어 외부서비스제공자가 수행하는 업무의 내용, 해당 업무와 회사의 재무제표에 미치는 영향의 정도 등을 고려하여 내부회계관리제도 목적 상 외부서비스제공자에 해당하는지를 판단하여야 할 것입니다.
(외부서비스제공자가 수행한 프로세스의 통제운영의 효과성 확인방법)
일반적으로 외부서비스제공자가 수행한 프로세스 통제운영의 효과성은 ‘서비스조직의 통제에 대한 인증보고서(3402 보고서 등)’통해 확인될 수 있습니다.
외부서비스제공자의 내부회계관리제도에 대한 감사의견은 외부서비스제공자의 재무보고와 관련된 통제를 대상으로 하기 때문에, 외부서비스제공자가 고객사에게 제공하는 서비스와 관련된 통제의 적정성에 대한 의견으로 보기 어렵습니다. 따라서 외부서비스제공자에 대한 내부회계관리제도 감사의견은 일반적으로 모범규준 문단 100에 따른 3402 보고서(서비스조직의 통제에 대한 인증보고서)를 대체할 수 없다고 판단됩니다.
다만, 외부서비스제공자의 내부회계관리제도 범위에 아웃소싱된 통제가 포함되어 있는 경우 그와 관련된 자료(평가근거 등)를 외부서비스제공자로부터 징구하여 확인하는 방법을 고려할 수 있습니다.
만약 관련 인증보고서 등이 존재하지 않는다면, 외부서비스제공자의 주요 통제를 회사가 직접 평가하거나, 외부서비스제공자의 통제활동을 충분히 모니터링할 수 있는 통제활동을 수립하고 주기적인 평가를 수행하는 방법을 고려할 수 있습니다. 예를 들어, 급여의 계산을 외부서비스제공자에게 아웃소싱하여 운영하고 있는 상황(중요한 통제활동이 8개로 구성된다고 가정)에서 관련 인증보고서가 발행되지 않는다면, 사용자기업이 해당 8개의 통제활동을 매년 평가대상에 포함하여 직접 평가하거나, 8개의 통제활동을 모니터링하기 위한 2개의 통제활동(사용자기업의 통제활동)을 수립하고 매년 평가 대상으로 포함하는 것입니다. 이러한 모니터링 통제활동은 IT 시스템의 경우 상세한 수준의 SLA(Service level Agreements)등에 포함되기도 하는 등 다양한 방식으로 구현될 수 있습니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=227&rGotoPage=69&rSchText=&rType=1
게시글 번호: 52