질문
안녕하세요
ITGC 적용 대상 시스템의 기준에 대해 문의드립니다.
제품 단종처리 관련 승인 통제항목
제품 단종처리시 (A)개발시스템에서 단종처리를 하면 그 내역이 (B)ERP시스템으로 인터페이스가 됩니다
제품 단종처리 관련 승인 통제에서 모집단을 "평가대상 기간에 단종된 제품 리스트"로 정의하고 있는데
(B)ERP시스템에서는 단종처리 여부만 알 수 있고 단종된 날짜는 알 수 없습니다.
결국, 운영평가시에 모집단을 (A)에서 추출해야 합니다.
계획 근무시간과 실제 근태정보를 대사해서 급여에 왜곡이 발생할 위험을 방지하는 통제항목
생산직들의 근태정보가 (C)근태관리시스템에 모여서 (D)인사관리시스템으로 인터페이스가 됩니다
공장 현업부서의 근태정보관리담당자가 월 마감시 (C)와 (D)의 데이터를 확인하는 수동통제항목으로 설정했는데
감사인은 (C)시스템에서 집계된 데이터에 의존하므로 (C)시스템의 ITDM통제가 아니냐는 의견입니다.
<문의사항>
위의 사례에서 (A)와 (C) 시스템과 같이 통제항목 전반에 걸쳐 관련성이 있는 것이 아니라
제한적으로 일부 데이터만 가져오는 시스템의 경우에
In-Scope 에 포함시켜서 권한관리, 변경관리 등 ITGC를 전면적용해야 하는지요?
아니면 데이터의 완전성 및 무결성에 대한 입증만 할 수 있다면 업무부담이 큰 ITGC는 적용하지 않아도 되는지요?
(현재 (B)와 (D)만 ITGC 대상이고, (A)와 (C)는 대상이 아님)
답변
재무보고와 관련이 있는 프로세스를 지원하는 응용시스템은 내부회계관리제도 평가 대상으로 선정되어야 합니다. 다만, 재무보고와 관련이 있는 프로세스를 지원한다고 하더라도 단순히 운영 효율성 제고 목적의 응용시스템일 경우 등, 재무보고와 직접적인 관련이 없으므로 내부회계관리제도 평가 대상에서 제외할 수 있습니다. 또한, 재무제표에 미치는 영향이 중요하지 않거나, 재무제표가 왜곡될 위험이 적은 응용시스템도 내부회계관리제도의 범위에서 제외할 수 있습니다.
예를 들어, 특정 정보가 D 시스템 --> C 시스템 --> B 시스템 --> A 시스템을 거쳐서 중요한 Report에 사용되는 경우에 내부회계관리제도의 범위에 포함될 시스템을 선정하기 위해 다음 사항을 고려할 수 있습니다.
- 해당 report가 재무보고 목적상 중요한지 여부 (재무제표에 중요한 왜곡표시를 발생시킬 정도로 중요한지)
- 해당 정보가 동 Report에 중요한지 여부 (특정 정보의 오류로 재무제표에 중요한 왜곡표시를 발생시킬 정도로 중요한지)
- 해당 정보의 적정성을 확인할 수 있는 다른 통제 활동이 존재하는지 여부(다른 수작업 통제가 합리적으로 오류를 예방 또는 적발할 수 있는지)
상기 3가지에 해당하여, 즉 해당 report와 정보가 재무보고 목적상 중요하고 IT기능에 의존하지 않고 해당 정보의 적정성을 검증할 수 있는 대안이 존재하지 않는다면, 관련된 시스템은 ITGC 대상 시스템에 포함되는 것이 타당한 것으로 판단됩니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=392&rGotoPage=55&rSchText=&rType=1
게시글 번호: 192