장부는 맞아떨어진다. 은행 조정도 일치한다. 그런데도 매달 돈이 빠져나가고 있다.
이것이 소규모 사업에서 가장 오래된 두 가지 현금 사기 뒤에 숨은 불편한 현실이다. 스키밍은 현금이 회계 기록에 들어오기 전에 훔치는 것이고, 래핑은 그 theft을 몇 달 또는 몇 년 동안 숨겨두는 은폐 기법이다. 미국공인부정조사관협회(ACFE)의 2024 Report to the Nations에 따르면, 조직은 연간 매출의 약 5%를 직무상 사기로 잃으며, 사건당 손실 중간값은 145,000달러, 누군가 눈치채기까지의 수법 지속 기간 중간값은 12개월이다. 소규모 사업이 가장 큰 타격을 입는다. 이들은 감사, 사기 신고 핫라인, 적절한 내부통제를 갖출 가능성이 가장 낮다.
좋은 소식은 두 수법 모두 흔적을 남기며, 이를 막는 통제는 거의 비용이 들지 않는다는 것이다. 각 수법이 어떻게 작동하는지, 자신의 숫자에서 주의해야 할 위험 신호는 무엇인지, 그리고 현금을 조용히 훔치기를 거의 불가능하게 만드는 간단한 루틴을 살펴보자.
스키밍이란 실제로 무엇인가
스키밍은 회계 시스템에 기록되기 전에 현금을 훔치는 것이다. 입금이 장부에 들어오지 않으므로 찾아야 할 누락된 분개가 없다. 기록상 그 거래는 존재하지 않는다. 이것이 스키밍을 "장부 외" 사기로 만들며, 기록된 후에 현금을 훔치는 현금 횡령(cash larceny)과 구분짓는 점이다. 횡령은 기록된 현금과 보유 현금 사이의 불일치를 만든다. 스키밍은 거래 자체를 완전히 숨긴다.
스키밍은 고객이 현금으로 결제하는 곳이면 어디서나 번성한다. 식당, 푸드트럭, 세차장, 미용실, 농산물 직판장, 그리고 금전등록기 서랍이 있는 모든 사업이 자연 서식지다. 특히 직원 이직률이 높은 곳에서 흔한데, 의심스러운 배경을 가진 신입 직원이 배경 조사나 교육이 따라잡을 수 있는 속도보다 빠르게 현금 취급 업무를 거쳐 가기 때문이다. 개별 절도는 작을 수 있다. 여기서 20달러, 저기서 기록되지 않은 현금 판매 하나. 그러나 몇 달 또는 몇 년에 걸치면 손실은 수만 달러로 불어난다.
불편한 각주 하나: 때때로 스키밍하는 사람이 바로 사업주다. 현금 판매를 착복하면 보고 이익이 줄고 따라서 소득세도 줄어든다. 이는 절도를 탈세로 바꾼다. 혹시라도 유혹을 받는다면, 세무 조사관에게는 보고되지 않은 현금 소득을 재구성하는 특수 목적 도구가 있으며 그 벌칙이 절약한 세금을 훨씬 능가한다는 점을 이해하라.
스키밍이 일어나는 세 가지 지점
스키밍은 하나의 수법이 아니다. 실제로는 세 가지 패턴으로 나뉜다.
- 판매 스키밍. 현금 판매가 아예 등록되지 않는다. 영수증이 발행되지 않고 분개도 이루어지지 않으며, 현금은 서랍 대신 주머니로 들어간다. 언더링잉(50달러 판매를 30달러로 기록)은 같은 발상의 더 조용한 변형이다.
- 매출채권 스키밍. 고객의 외상 대금 결제가 전기되기 전에 가로채여 착복된다. 고객은 지불했는데도 잔액이 미결로 남는다. 바로 이것이 래핑이 해결하려는 문제다.
- 환불 및 할인 스키밍. 정상으로 보이는 환불, 취소, 할인이 서랍에서 현금이 나가는 것을 정당화하기 위해 입력되고, "환불된" 현금은 착복된다. 분개가 일상적으로 보이기 때문에 대충 검토해도 살아남는다.
래핑: 스키밍을 살려두는 은폐 수법
래핑은 사실 별개의 절도가 아니라, 매출채권 스키밍이 무한정 이어지게 하는 은폐 방법이다. 그 메커니즘을 단계별로 살펴보자.
- 고객 A가 1,000달러를 지불한다. 직원은 현금을 착복하고 고객 A의 계정에 아무것도 전기하지 않는다.
- 고객 B가 1,200달러를 지불한다. 직원은 그중 1,000달러를 고객 A의 계정에 전기하고(A가 정상으로 보이게 함) 나머지 200달러를 착복한다.
- 고객 C가 900달러를 지불한다. 일부는 B가 연체되지 않도록 B의 계정에 전기되고 나머지는 사라진다.
새로운 입금 각각이 이전 절도를 덮는다. 지붕 위에 겹쳐진 슁글처럼 — 그래서 이런 이름이 붙었다. 이 수법은 입금이 느려지거나, 고객이 이미 지불한 잔액에 대해 불평하거나, 누군가 실제 예금과 전기된 내용을 비교할 때만 무너진다.
래핑은 정확히 한 가지 조직적 조건에서 번성한다. 한 사람이 매출채권 주기의 전부를 통제하는 것 — 우편 개봉, 입금 수령, 고객 계정 전기, 청구 관련 고객 불만 처리까지. 한 쌍의 손이 이 네 가지 일을 모두 하면, 도둑은 입금을 가로채고, 이후 영수증을 전용해 빈틈을 메우고, 패턴을 드러낼 불만을 달래거나 억누를 수 있다. 소규모 사업은 기본적으로 여기에 해당한다. 1인 회계 부서가 예외가 아니라 규칙이기 때문이다.
소규모 사업이 가장 쉬운 표적인 이유
사기 조사관들은 수십 년간 이 패턴을 연구해왔고, 결론은 일관된다. 소규모 사업이 직무상 사기에 가장 취약하다는 것이다. 세 가지 구조적 이유가 이를 설명한다.
- 직무 분리 부재. 사무직 직원이 두세 명이면, 같은 사람이 현금을 받고, 기록하고, 은행 계정을 조정하고, 연체 잔액을 추심하는 경우가 많다. 이 모든 짝짓기가 한 자리에서 훔치고 은폐할 기회다.
- 독립적 검토 부재. 소규모 사업은 내부 또는 외부 감사를 받을 가능성이 가장 낮다. 현금 주기를 보는 제2의 눈이 없으면 수법은 중간값 12개월의 수명을 다하거나 훨씬 더 오래 지속될 수 있다.
- 신고 채널 부재. 대부분의 직무상 사기는 제보를 통해 적발되지만, 소규모 사업에는 핫라인이나 직원, 거래처, 고객이 의심을 신고할 공식적 방법이 거의 없다. 뭔가 잘못됐음을 가장 알아채기 쉬운 사람들이 말할 곳이 없다.
이 중 어느 것도 고치기 위해 많은 직원이나 값비싼 시스템이 필요하지 않다. 아래 통제는 사업주가 동시에 관리자, 감사자, 인사 부서인 사업에 맞춰진 규모다.
자신의 장부에서 발견할 수 있는 위험 신호
초기 증상을 알아채기 위해 법의학적 훈련이 필요하지 않다. 다음 패턴을 주시하라.
"받지 못했다"는 입금에 대한 고객 불만
이것이 전형적인 래핑의 단서다. 고객은 지불했다고 주장하고 취소된 수표나 이체 확인서를 제시하는데, 계정에는 잔액이 남아 있거나 지불한 금액이 잘못된 청구서에 적용되어 있다. 이런 불만 하나는 사무 착오다. 특히 같은 직원이 조용히 처리한 불만이 여러 건이면 조사할 가치가 있는 패턴이다.
매출은 그대로인데 매출채권 연령이 흘러가는 경우
매출이 정체 또는 성장 중인데 매출채권 중 60일 및 90일 구간으로 밀리는 비중이 늘어난다면 이유를 물어라. 래핑 수법에서는 각 입금이 이전 절도를 덮는 데 전용되므로 고객 계정이 현실보다 영구적으로 뒤처진다. 매출채권 회수 기간을 월별로 비교하라. 설명되지 않는 완만한 상승은 설명이 필요하다.
현금 판매와 비현금 판매 사이의 벌어지는 격차
현금 판매 대비 카드 및 전자 판매의 비율을 시간에 따라 추적하라. 전자 결제는 결제 처리업체의 기록이 장부와 독립적으로 존재하므로 스키밍하기 어렵다. 방문객 수와 카드 판매가 그대로인데 매출에서 현금 비중이 줄어든다면, 그 현금 일부는 기록되기 전에 빠져나가고 있을 수 있다.
급증하는 할인, 취소, 크레딧, 대손상각
허위 환불을 통한 스키밍에는 가짜 상계 분개가 필요하다. 모든 취소, 할인, 반품, 크레딧 메모의 월별 보고서를 뽑아라 — 누가 입력했고, 어느 고객이며, 금액은 얼마인지. 한 직원이 발행한 딱 떨어지는 숫자의 크레딧이 집중되거나, 고객이 지불했다고 맹세하는 소액 잔액의 상각은 더 자세히 볼 가치가 있다.
결코 휴가를 가지 않는 직원
이것은 숫자가 아니라 행동에 관한 것이지만, 조사관들은 끊임없이 이를 지적한다. 래핑 수법은 매일의 유지가 필요하다. 부재할 때마다 대체자가 입금을 올바르게 전기해 사슬을 끊을 위험이 있다. 휴가를 거부하고, 교차 훈련에 저항하며, 자신만이 "자기" 계정을 처리할 수 있다고 주장하는 직원은 단지 성실할 수도 있다. 위의 어떤 신호든 결합되면 그것은 더 이상 칭찬이 아니다.
현금 검증 테스트: 가장 강력한 적발 도구
이런 수법을 잡는 가장 강력한 단일 기법은 현금 검증(proof of cash) — 감사인들이 여러 세대에 걸쳐 사용해온 4열 은행 조정이다. 표준 은행 조정은 기말 장부 잔액과 은행 기말 잔액만 맞춘다. 현금 검증은 더 나아간다. 기초 잔액, 총 입금, 총 지출, 기말 잔액을 조정하며, 가로와 세로 양 방향으로 모든 열에서 장부와 은행 수치가 일치하는지 확인한다.
왜 이것이 중요한가? 스키밍과 래핑은 드러나는 방식으로 서로 다른 열을 깨뜨리기 때문이다.
- 기록되지 않은 예금(현금을 받았지만 장부에 잡히지 않음)은 해당 기간에 은행 입금이 장부 입금을 초과할 때 나타난다.
- 기록되지 않거나 잘못 기록된 지출은 지출 열이 불일치할 때 드러난다.
- 타이밍 조작 — 빈틈을 덮기 위해 잘못된 기간에 기록된 예금 — 은 연속된 월 간의 조정을 깨뜨리며, 그래서 조사관들은 한 기간이 아니라 여러 기간에 걸쳐 현금 검증을 실행한다.
래핑을 직접 잡는 더 간단한 동반 테스트가 있다. 기록된 현금 입금의 세부 내역을 은행의 검증된 예금 전표 사본과 비교하라. 래핑 수법에서는 총 예금액은 맞아 보이지만 고객별 세부 내역이 틀리다 — 고객 B의 수표가 고객 A의 계정 예금에 들어가 있는 식이다. 수법을 운영하는 사람은 누구도 은행의 예금 전표 사본을 바꿀 수 없으므로, 그 비교는 말로 얼버무릴 수 없는 통제다.
두 테스트의 간소화된 버전을 매달 직접 실행할 수 있다. 현금 입금 분개장을 내보내고, 은행의 예금 이미지를 가져와, 모든 예금의 날짜, 금액, 지불인 세부 정보가 장부와 일치하는지 확인하라. 한 시간의 규율 있는 비교가 총액을 신뢰하는 1년을 이긴다. 기록이 평문 원장에 있다면 이 습관을 지키기가 훨씬 쉽다. 모든 분개를 검색하고, 비교하고, 버전 관리할 수 있으므로, 나중에 변조된 영수증은 눈에 보이는 흔적을 남긴다. Beancount 문서는 이런 월말 검증을 영웅적 작업이 아닌 일상으로 만들어주는 원장 워크플로를 설명한다.
두 수법을 거의 불가능하게 만드는 통제
예방은 언제나 비용 면에서 적발을 앞선다. 이 통제 중 어느 것도 사람을 새로 고용할 필요가 없다.
두 명만 있어도 현금 주기를 분리하라
황금률: 들어오는 현금을 취급하는 사람이 그것을 기록하는 사람이어서는 안 되며, 둘 다 은행 계정을 조정해서는 안 된다. 작은 사무실에서는 다음과 같이 직무를 분리하라.
- 사업주(또는 두 번째 직원)가 우편을 열고 받은 모든 수표를 기록한 후 회계 담당자에게 전기용으로 넘긴다.
- 은행 명세서는 개봉하지 않은 채 사업주에게 가거나, 회계 담당자가 조정하기 전에 사업주가 온라인으로 검토한다.
- 고객 명세서와 연체 통지는 입금을 전기하는 사람이 아닌 다른 사람이 작성하거나 최소한 검토한다.
부분적 분리만으로도 잠재적 도둑은 단독 행동이 아니라 공모를 해야 하며, 이는 대다수 수법을 시작하기 전에 막는다.
휴가를 의무화하라 — 그리고 그 기간에 업무를 교대하라
의무적인 연속 휴가(영업일 기준 5일이 표준 권장)와 부재 중인 직원의 업무를 다른 사람이 수행하게 하는 것은 현존하는 가장 수익률 높은 통제 중 하나다. 대부분의 래핑 수법은 가해자의 부재 후 며칠 내에 드러난다. 대체자가 입금을 정직하게 전기하면서 은폐된 부족액이 즉시 모습을 드러내기 때문이다.
사전 번호가 인쇄된 영수증을 사용하고 일일 예금 대사를 하라
받은 모든 입금에 사전 번호가 인쇄된 영수증을 발행하고, 독립적인 누군가가 영수증 일련번호에 빈틈이 없는지, 각 날의 영수증이 그날의 예금과 정확히 일치하는지 확인하게 하라. 스키밍은 흔적을 남기지 않는 거래에 의존한다. 빈틈 없는 영수증 일련번호는 누락된 영수증 자체가 증거가 됨을 의미한다.
고객을 추적 가능한 결제로 유도하라
카드, ACH, 전신환, 또는 락박스로 들어오는 모든 입금은 장부가 일치해야 하는 제3자 기록을 만든다. 전자 결제 옵션을 눈에 띄게 제공하고, 고객 수표가 사무실을 전혀 거치지 않도록 은행 락박스 사용을 고려하며, 현금 결제를 고집하는 고객층은 보존할 편의가 아니라 관리할 위험으로 대하라.
현금을 불시에 계산하고 예외 보고서를 검토하라
예고 없는 현금 계산은 금전등록기 서랍을 정직하게 유지한다. 취소, 환불, 할인, 크레딧 메모, 상각된 잔액에 대한 월별 사업주 검토 — "이것들 각각의 증빙 서류를 보여달라"고 요구하는 것 — 는 환불 스키밍 경로를 닫는다. 두 작업 모두 오래 걸리지 않으며, 직원들이 이것이 일어난다는 것은 알되 언제인지는 모를 때 훨씬 더 효과적이다.
추가 안전장치: 신원보증 보험과 신고 채널
신원보증 보증서나 직원 부정행위 보험은 절도를 예방하지 못하지만, 적발된 손실을 사업을 끝내는 사건에서 회수 가능한 청구로 바꿔준다. 그리고 사업주만 모니터링하는 이메일 주소나 의견함 같은 비공식적 신고 채널이라도 마련하라. 뭔가를 알아챈 직원과 고객이 말할 곳을 갖게 된다. 제보는 여전히 사기가 적발되는 가장 흔한 방법이다.
일어나고 있다고 의심되면 무엇을 해야 하는가
위험 신호가 누군가를 가리킨다면, 즉시 대질하고 싶은 충동을 억제하라. 성급한 고발은 용의자에게 귀띔을 주고, 틀렸을 경우 부당 해고나 명예훼손 청구의 위험을 초래하며, 맞을 경우 증거를 파괴할 수 있다. 대신:
- 조용히 기록을 확보하라. 무엇이든 변경되거나 삭제되기 전에 은행 명세서, 예금 전표, 영수증 장부, 회계 파일, 관련 이메일을 보존하라. 사본으로 작업하라.
- 먼저 직접 테스트를 실행하라. 입금 대비 영수증 비교와 여러 달에 걸친 현금 검증이 보통 의심을 빠르게 확인하거나 해소한다.
- 외부 도움을 불러라. 사기 조사 경험이 있는 CPA — 이상적으로는 공인부정조사관(Certified Fraud Examiner) — 는 보험사와 법 집행 기관에서 인정받을 수 있는 방식으로 손실을 산정할 수 있다. 용의자를 면담하거나 경찰에 연락하기 전에 법률 고문을 참여시켜라.
- 청구하고 통제를 고쳐라. 신원보증 보험사에 즉시 통지한 후, 수법을 허용한 빈틈을 — 보통 위에서 설명한 직무를 분리함으로써 — 닫아, 다음 신입 직원이 신뢰에만 의존하지 않는 시스템을 물려받게 하라.
첫날부터 현금을 장부에 잡아라
스키밍과 래핑은 모두 같은 약점을 이용한다. 아무도 독립적으로 검증하지 않는 현금 이동이다. 해결책은 팀에 대한 의심이 아니라, 모든 입금이 기록되고, 모든 예금이 대사되며, 기록하는 사람이 유일한 확인자가 결코 아닌 루틴이다. 금액이 작고 장부가 단순할 때 지금 그 습관을 시작하라. 그러면 성장과 함께 확장되고, 성장 속에서 무너지지 않는다.
명확하고 완전한 재무 기록은 이 모든 통제가 기대는 토대다. Beancount.io는 재무 데이터에 대한 완전한 투명성과 통제를 제공하는 평문 회계를 제공한다 — 블랙박스도, 벤더 종속도 없다. 무료로 시작하라 그리고 개발자와 재무 전문가들이 왜 평문 회계로 전환하는지 확인하라.
