질문
흡수합병으로 인해 현재 ERP 시스템이 2가지(SAP, Oracle)로 운영이 되고 있습니다.
하기 내용의 질의로 문의를 드렸던 사항이나, 추가로 확인이 필요하여 문의 남깁니다.
내부회계관리제도 모범규준 등 적용 FAQ 41
Q) 지점 등 복수의 장소에서 수행되는 동일한 통제의 효과성 평가는 각 장소(지점) 단위로 수행하나요?
A) 중앙의 본사 차원에서 설계되어 전체 사업부 또는 지점에서 일관되게 수행되도록 의도된 통제를 동질적 통제(homogeneous control) 또는 공통통제(common control)라고 합니다. 동질적 통제 또는 공통통제의 경우 설계평가는 본사 차원에서 한 번 수행하고, 운영평가는 전체 사업부 또는 지점을 모집단으로 두고 표본을 추출하여 테스트하는 것이 가능합니다.
예를 들어, 4개의 지점에서 매달 1회씩 수동통제를 수행한다면 연간 총 48개의 모집단에 해당하는 표본을 추출하여 운영의 효과성을 테스트하면 됩니다. 참고로, 표본을 추출할 지점을 선정할 때에는 각 지점의 양적 및 질적 위험요소를 함께 고려하는 것이 바람직합니다.
한편, 동질적 통제 또는 공통통제를 판단할 때 고려할 사항들은 다음과 같습니다.
- 해당 통제가 본사 차원에서 설계되어 일부 또는 전체 사업부(또는 지점)이 수정 없이 적용하도록 요구되는가? 해당 통제에 대한 상세한 설명이나 관련된 정책과 절차가 본사 차원에서 개발되고 관리되며 적용되는 사업부(또는 지점)에 공유되는가?
- 해당 통제가 비슷한 수준의 역량이나 전문성, 권한을 가진 개인에 의해 수행되는가?
- 해당 통제가 자동통제라면 해당 사업장(또는 지점)이 동일한 시스템 설정(Configuration)이 적용된 동일한 응용프로그램에서 작동하는가?
- 해당 통제가 정보시스템에서 산출되는 정보를 사용한다면, 해당 사업장(또는 지점)이 동일한 정보시스템을 사용하는가?
- 해당 통제를 수행하기 위해 요구되는 판단이나 추정의 정도가 높지 않은가?
질의1번 (3,4)번의 사항이 ITGC로 한정하여 해당되는 것인지?
질의2번 (3,4)번의 사항이 일반 통제항목도 별도로 RCM을 생성하여 가지고 가야하는 것인지?
→ 예를들면, 전표의 승인과 관련한 동일통제항목을 SAP 시스템의 RCM과 Oracle 시스템의 RCM으로 각각 생성하여 통제해야하는지
아니면 1개의 통제항목으로 통제를 하되, 별도의 모집단으로 통제를 진행하면 되는지에 대해 문의드립니다.
답변
답변1
해당 사항은 특정 통제활동이 동질적 통제 또는 공통통제인지 여부를 판단하기 위한 고려사항 중 일부로서, 해당 고려사항은 수동통제/자동통제나 프로세스 통제/IT일반통제 등 통제 유형에 관계없이 고려될 수 있는 사항입니다.
답변2
회사의 ITGC와 관련된 프로세스와 통제활동이 각 시스템마다 다른 부분은 개별적인 통제활동을 설계/운영하고, 동일한 부분은 종합적으로 설계/운영합니다.
SAP나 ORACLE과 같은 시스템의 경우에도 다른 프로세스와 통제활동을 통하여 관리되는 경우에는 통제활동을 구분하여 적용합니다. 물론 프로그램 변경절차 등의 프로세스와 통제가 동일(HOMOGENEOUS) 한 경우에는 통제활동을 구분하지 않고 동일한 통제활동으로 통합관리할 수 있습니다.
운영평가 측면에서 예로 드신 “전표 승인” 통제가 동일한 통제활동으로 판단이 되는 경우에는 SAP와 ORACLE에서 처리된 전표 리스트 각각을 모집단으로 하되, 2개의 시스템이 종합적으로 고려되게 통합하여 샘플 수(예: 30개)를 결정할 수 있지만, 그렇지 않은 경우에는 SAP와 ORACLE 개별 시스템에서 처리된 전표 리스트 모집단에서 각각 샘플 (예: SAP 30개, ORACLE 30개)를 선정하여야 합니다.
이러한 사항은 회사마다 통제활동을 설계한 방식이 다르므로 회사마다의 판단이 필요합니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=546&rGotoPage=41&rSchText=&rType=1
게시글 번호: 336