질문
안녕하세요, 통제위험 등급을 변경하고자 하는데 궁금한 사안이 있어 글을 쓰게 되었습니다.
RCM상의 통제위험등급(L,M,H)를 변경해달라는 감사인의 요청에 따라서, 위험도를 변경하고자 하는 상황입니다.
전사수준통제활동 수준
통제의 유형(예: 수동 또는 자동)과 운영빈도
통제의 복잡성
경영진의 통제무시 위험
....
...
....
등등 총 11개의 요인에 대해서 위험등급을 L,M,H 중 하나로 정하면 L,M,H의 각 개수에 따라서 엑셀수식이 자동으로 그 통제의 종합적인 위험등급(L,M,H)을 설정하게됩니다.
제가 궁금한 사안은, 현재 종합적으로 위험등급 L인 통제를 H로 바꿔달라는 감사인의 요청에 따라, 각 11개의 요인을 재검토하여 몇가지 요인에 대한 등급을 H로 바꿔야 종합등급을H로 바꿀수있는데,,,, 위 11개의 요인을 어떻게 판단해서 L, M H 를 정하는지 모르겠습니다.
예를들면 '경영진의 통제무시 위험'이 현재 L인데 어떤 기준으로 H로 바꿔야할까요..?
그냥 경영진이 통제무시를 하기 쉬워보이니까 H로 바꾸자,,,이렇게 바꾸진 않을텐데 혹시 참고할만한 기준 같은 것이 있을까요,,?
답변
내부회계관리제도의 평가 및 보고와 관련된 사항은 금융감독원으로 이관되었으므로, 자세한 내용은 금융감독원에 문의하여 주시기 바랍니다.
- 참고자료
[내부회계관리제도 평가 및 보고 가이드라인 문단 31 (통제위험의 평가)]
가. 선정된 핵심통제에 대해서는 이미 평가된 계정과목 및 프로세스의 고유위험 및 통제실패위험을 고려한 통제위험을 평가하여 효과성 평가시 수집해야 할 증거량 및 평가 방안을 결정한다. 위험평가에 기반한 핵심통제 선정과 내부회계관리제도의 효과성 평가 계획은 일정한 형식에 따라 문서화하고 내부회계관리자의 검토 및 감사(또는 감사위원회)의 평가 과정을 거쳐 확정되어야 한다.
나. 통제위험 평가시에는 통제와 관련된 계정과목 및 프로세스의 고유위험 평가 결과와 통제실패위험 평가결과를 함께 고려하여야 한다. 고유위험 평가시에는 문단 10 및 문단 11에서 설명하는 양적, 질적 요소를 고려하며 통제실패위험 평가시에는 다음의 항목을 고려한다.
(1) 통제의 유형(수동통제, 자동통제)과 수행빈도
(2) 통제의 복잡성
(3) 경영진의 권한남용으로 인한 통제 무시 위험
(4) 통제의 수행에 필요한 판단의 정도
(5) 통제를 수행하는 인력의 역량
(6) 통제를 수행하는 핵심 구성원의 변동
(7) 통제가 예방 또는 적발하고자 하는 왜곡표시의 성격과 중요성
(8) 통제가 다른 통제의 효과성에 의존하는 정도(예를 들어, 정보기술 일반통제)
(9) 과거 연도 통제 운영의 효과성 평가 결과
다. 특수관계자 거래, 추정이나 판단이 개입되는 재무보고요소들은 일반적으로 높은 왜곡표시 위험을 가진 것으로 평가된다. 이러한 재무보고요소들과 관련된 통제의 속성이 경영진의 통제 무시 위험에 취약하고 중요한 판단을 수반하거나 복잡할 때 해당 통제의 통제위험은 높은 것으로 평가되어야 한다.
라. 재무보고요소의 위험에 적절히 대처하기 위해 둘 이상의 통제를 조합하여 설계·운영하는 경우 경영진은 통제 각각의 위험 특성이 다를 수 있으므로 개별 통제의 위험을 각각 평가하여야 한다. 예를 들어, 중요한 추정을 수반하는 재무보고요소에는 원천데이터를 집계하는 자동통제와 높은 수준의 판단이 필요한 수동통제의 조합이 필요할 수 있다. 이러한 경우, 큰 변화가 없는 시스템의 효과적인 정보기술 일반통제에 의존하는 자동통제는 낮은 위험을 가진다고 평가될 수 있는 반면, 수동통제는 높은 위험을 가진다고 평가된다.
마. 통제위험 평가 시에는 관련된 전사적 수준의 통제 및 정보기술 일반통제의 효과성을 함께 고려한다. 예를 들어, 통제가 효과적으로 운영되지 못할 가능성에 대한 경영진의 판단은 통제환경의 효과성에 의해 영향을 받을 수 있고 이로 인하여 해당 통제를 평가하기 위한 증거에 영향을 미칠 수 있다. 하지만, 잘 갖추어진 통제환경이라 하더라도 직접적이지 않은 전사적 수준의 통제를 근거로 통제 운영에 대한 평가를 수행하지 않을 수는 없다.
바. 전사적 수준의 통제의 설계와 운영의 효과성을 평가하는 방식은 거래수준 통제의 효과성 평가방식과 크게 다르지 않다. 회사의 통제 기술방식이 회사의 정책과 절차만을 기술하는 것은 바람직하지 않으며, 관련된 정책과 절차가 존재한다는 사실만으로 관련된 원칙과 회사의 중점고려사항이 적절히 준수되고 있다고 할 수 없음을 유의한다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=993&rGotoPage=1&rSchText=&rType=0
게시글 번호: 969