질문
안녕하세요.
application별로 통제를 설계해야만하나요?
예를들어, SAP / In-house / 제3자제공 시스템 package / 의 경우 각각 분리하여 통제를 설계해야하는지요?
답변
통제활동을 구분하여 설계할 것인지, 통합할 수 있는지 여부는 통제활동의 동질성(동일한 성격 및 방법 등을 고려) 여부에 따라 달라집니다.
회사의 ITGC와 관련된 프로세스와 통제활동이 각 시스템마다 다른 부분은 개별적인 통제활동을 설계/운영하고, 동일한 부분은 종합적으로 설계/운영합니다.
이에, 일반적으로 회사는 자체적으로 개발한 시스템들의 경우는 동일한 방식으로 관리하는 부분이 많이 존재하므로 동 부분은 종합적인 공통통제로 설계할 수 있습니다. 그러나, 이러한 경우에도 개별 시스템마다의 특징으로 인해 Process, Control, Supporting tool (형상관리, DB 관리 등)이 다른 경우는 개별적으로 설계하는지 고려하는 것이 필요합니다.
SAP나 Oracle과 같은 시스템의 경우에도 다른 프로세스와 통제활동을 통하여 관리되는 경우에는 통제활동을 구분하여 적용합니다. 물론 프로그램 변경절차 등의 프로세스와 통제가 동일(homogeneous) 한 경우에는 통제활동을 구분하지 않고 동일한 통제활동으로 통합관리할 수 있습니다. 이러한 사항은 회사마다 통제활동을 설계한 방식이 다르므로 회사마다의 판단이 필요합니다.
그리고, 제3자 제공 시스템 Package로 회사의 시스템 수정이 극히 제한적이거나 없는 경우에도 프로세스가 많이 다릅니다. 예를 들어 프로그램변경 자체가 없기 때문에, 존재한다(외부 요청) 하더라로 Risk가 적은 편이므로 좀 더 간단한 통제활동의 적용이 가능하고 바람직합니다. 따라서, 구분하여 설계하는 것이 일반적입니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=339&rGotoPage=60&rSchText=&rType=1
게시글 번호: 146