질문
ITGC In-scope시스템은 개발과 운영이 직무분리 되는 것이 원칙임을 알고 있습니다.
앞서 유사한 질의 사항에 대한 답변 있는 것도 확인했습니다.
※ 설계·운영 개념체계 문단 47.6에 따라 양립할 수 없는 직무는 분리가 원칙
※ 첨부파일 : 21.2.18일 질의 및 응답 건
회사는 2019년부터 내부회계관리제도 외부감사를 받았습니다.(19~22년 : A 감사인, 23년 : B 감사인, 주기적 감사인 지정제로 변경)
저희 회사는 ITGC 대상 시스템이 개발과 운영 환경은 분리되어있지만, 개발자와 운영자 직무는 분리되어있지 않습니다.
이에 대해 전임 감사인은 관련 직무의 수행 이력에 대한 IT시스템 모니터링을 요구하였고,
지난 감사연도 동안 회사는 IT시스템 모니터링 업무를 수행하였습니다.
수행하였던 주요 모니터링은 1. 운영서버 배포(이관)이력, 2. DML(데이터변경언어)수행이력 등 2가지였습니다.
올해 변경된 감사인은 1. 배치잡 등록/수정 내역, 3. 배치잡 오류 내역 등도 모니터링을 추가로 요구하였고,
회사는 이를 받아들여 올해 보고서에 반영하여 작성 중에 있습니다.
전임 감사인은 상급자의 직무 수행 모니터링을 보완통제로 인식하고, IT시스템이 신뢰가 되고, 유효하다는 입장이었지만,
변경된 감사인은 입장이 다릅니다.
현 감사인 입장은 개발과 운영 직무미분리는 ITGC 시스템 미비점에 해당하며, 위에 모니터링은 이 미비점의 단계를 낮추는 경감요소 정도로 판단하고 있습니다.(보완통제로는 안보는 것 같습니다.)
ITGC 감사로는 최소 단순 미비점이며, 해당 시스템 관련한 PLC(업무수준통제)의 AC(자동통제)는 신뢰성이 없고, 유효성 확보가 안되어, PLC에서 별도 수동통제를 식별 및 신설하여 평가해야 된다는 의견을 고수 하고 있습니다.
당장은 분리가 불가능하여, 위에 같이 AC(자동통제) 신뢰 못하여, PLC에서 별도 수동통제 신설을 해서 넘긴다해도, 내년에라도 계속적으로 직무분리를 요구하는 상황이며, 아닐시 미비점이다 라고 주장하고 있습니다.
개발과 운영 직무분리를 하려면, 시스템 운영부서의 조직을 효율화하는 부분 외에도 인력충원이 되어야하는 상황인 만큼 녹록치 않은게 현실입니다.
과연 현 감사인의 의견대로, 직무 미분리에 따른 것은 ITGC 미비점이고, 위와 같은 방식으로 해결되어야 하는게 맞는 지,
아님 기존에 답변 주신 대로나 저희의 전임 감사인과 같이 '투자나 인력 충원이 제한된 상황에서 업무의 상호 검토나 상급자의 직무수행 모니터링' 등으로 해결을 하면 안되는 건지 등을 문의드립니다.
확인 부탁드립니다.
답변
이전 답변과 같이 양립할 수 없는 직무는 분리가 원칙이지만, 업무분장 적용이 가능하지 않을 경우 대체적인 통제활동을 선택하고 구축할 수 있으므로 그 수준에 대해서는 감사인과 협의하실 것을 권고 드립니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=679&rGotoPage=28&rSchText=&rType=1
게시글 번호: 467