당신의 경리 담당자가 인보이스를 기록하고, 수표에 서명하고, 은행 계좌를 조정합니다. 그리고 그 숫자를 들여다보는 사람은 아무도 없습니다. 이 문장이 당신의 사업을 묘사한다면, 당신은 이미 불편한 진실을 알고 있을 것입니다. 그런 구조에서는 실수 하나를 잡아내지 못하며, 실수가 습관이 되는 것조차 막지 못합니다. 문제는 직원이 500명이 아니라 5명일 때 "제대로 된 통제"가 실제로 어떤 모습이어야 하느냐입니다.
감사인들이 답으로 내미는 것이 COSO 프레임워크입니다. 그것은 상장기업의 사베인스-옥슬리 감사부터 실사 전에 CPA가 건네주는 통제 질문서에 이르기까지, 미국 내 사실상 모든 내부통제 평가의 기준자입니다. 이 가이드는 그것이 무엇인지, 그것을 구성하는 5가지 구성요소와 17가지 원칙, 그리고 소규모 사업에 중요한 부분을 어떻게 적용할지를 다룹니다.
COSO란 무엇이며 감사인이 그것을 표준으로 여기는 이유
COSO는 트레드웨이 위원회 후원기구(Committee of Sponsoring Organizations of the Treadway Commission)의 약자입니다. 1980년대 중반 재무보고 사기 사건들의 물결 이후 설립되었으며, 미국회계학회, AICPA, 재무경영자협회, 내부감사인협회, 관리회계인협회 등 다섯 개 전문 단체가 공동으로 후원합니다.
1992년 COSO는 내부통제–통합 프레임워크(Internal Control–Integrated Framework)를 발표했습니다. 이는 감사인, 경영진, 규제기관이 모두 지목할 수 있는 단일한 내부통제 정의였습니다. 이는 20년간의 변화 — 아웃소싱 운영, 글로벌 공급망, 그리고 무엇보다 통제가 기술로 이전된 흐름 — 를 반영하여 2013년에 개정되었습니다. 상장기업의 경영진이 사베인스-옥슬리의 404조에 따라 통제를 평가할 때, 대부분이 명명하는 기준은 COSO 2013 프레임워크입니다. 비상장기업은 SOX의 적용을 받지 않지만, 대출기관, 인수자, 보조금 지급기관은 점점 더 같은 질문을 던지고 있으며, 감사인의 통제 워크스루도 같은 5가지 구성요소를 중심으로 구성됩니다.
한 가지 분명히 할 점이 있습니다. COSO는 두 가지 프레임워크를 발표합니다. 내부통제–통합 프레임워크(5가지 구성요소, 17가지 원칙)는 통제의 설계와 평가에 관한 것이고, 2017년에 개정된 기업리스크관리(ERM) 프레임워크는 리스크 관리를 전략과 연결합니다. 이 글은 첫 번째 — 모든 감사 뒤에 있는 프레임워크 — 를 다룹니다.
COSO 큐브: 목표, 구성요소, 그리고 구조
COSO는 내부통제를 세 가지 차원을 지닌 큐브로 그립니다. 이 이미지는 마음에 담아둘 가치가 있는데, 프레임워크가 회계와는 전혀 닮지 않은 것들에 대해 묻는 이유를 설명해 주기 때문입니다.
세 가지 목표는 한 면을 따라 놓입니다. 모든 통제는 최소한 그중 하나를 위해 존재합니다:
- 운영 — 사업이 효과적이고 효율적으로 운영되며, 자산이 보호됩니다.
- 보고 — 내부 및 외부 보고서가, 재무든 그 밖의 것이든, 신뢰할 수 있고 시의적절합니다.
- 준법 — 사업이 적용 가능한 법률과 규정을 준수합니다.
5가지 구성요소는 두 번째 면을 따라 놓입니다. 이것이 이 글의 대부분의 주제입니다: 통제 환경, 리스크 평가, 통제 활동, 정보와 의사소통, 그리고 모니터링 활동.
조직 구조 — 기업 전체 수준, 사업부, 운영 단위, 기능 — 는 세 번째 면을 따라 놓입니다. 통제는 재무 부서에서만이 아니라 모든 수준에서 작동해야 합니다.
큐브의 요점은 통제 실패가 결코 단지 "회계 문제"가 아니라는 것입니다. 입고 절차가 없는 창고는 운영 실패이며, 기록되지 않은 재고가 매출원가를 왜곡하는 순간 보고 실패가 됩니다. 프레임워크는 당신에게 세 차원을 동시에 보도록 강제합니다.
구성요소 1: 통제 환경
통제 환경은 토대입니다. 다른 모든 구성요소가 딛고 설 무언가가 있는지를 결정하는 기준, 구조, 기대치입니다. COSO는 이를 최고경영진의 분위기(tone at the top)라고 부르며, 감사인은 이를 가장 먼저 검사합니다. 취약한 환경은 그 위에 쌓인 모든 것을 약화시키기 때문입니다. 그 다섯 가지 원칙은 다음과 같습니다:
- 정직성과 윤리적 가치에 대한 헌신. 조직은 정직한 행위가 어떤 모습인지, 그리고 누군가 그것에서 벗어날 때 어떤 일이 일어나는지를 보여줍니다. 소규모 사업에서 이것이 인쇄된 행동강령인 경우는 드뭅니다. 그것은 사업주가 절차가 불편할 때 절차를 무시하는지 여부입니다. 모든 무시는 직원들에게 통제가 선택 사항임을 가르칩니다.
- 이사회의 독립성과 감독. 이사회는 — 또는 소유주가 경영하는 회사에서는 그 역할을 하는 누군가가 — 통제와 경영진에 대한 감독을 수행합니다. 당신이 소유주이자 경영자라면, 이 원칙은 당신에게 두 번 적용됩니다. 바로 그래서 외부의 시선(CPA 검토, 자문 이사회 구성원)이 보이는 것보다 더 중요합니다.
- 구조, 보고 체계, 책임. 권한과 책임이 모든 중요한 업무에 담당자가 있을 만큼 명확하게 배정됩니다. "누군가가 예금을 처리한다"는 구조가 아닙니다.
- 역량에 대한 헌신. 조직은 통제 업무를 수행할 능력이 있는 사람을 유치하고, 개발하고, 유지합니다. 시간이 남는 사람에게 급여 업무를 맡기는 것은 수표 한 장이 발행되기도 전에 이 원칙을 위반합니다.
- 책임성. 개인은 자신의 통제 의무에 대해 책임을 지며, 그에 따르는 결과가 실제로 뒤따릅니다. 아무도 검토하지 않는 조정은 장식일 뿐입니다.
소규모 사업에서 통제 환경은 두 가지 눈에 보이는 사실로 귀결됩니다. 사업주가 다른 모든 사람과 같은 규칙을 따르는지, 그리고 통제 의무가 가용한 사람이 아니라 이름이 지정된 사람에게 속하는지입니다.
구성요소 2: 리스크 평가
리스크 평가는 세 가지 목표 달성을 방해할 수 있는 것이 무엇인지 식별하고, 그 리스크를 감당할 수 있는 수준과 저울질하는 지속적인 과정입니다. COSO는 이것이 연례 행사가 아니라 연속적임을 분명히 합니다. 리스크는 사업, 시스템, 환경이 변함에 따라 변하기 때문입니다. 그 네 가지 원칙은 다음과 같습니다:
- 충분히 명확하게 명시된 목표. 무엇을 달성하려는지 말하기 전에는 리스크를 평가할 수 없습니다. "매월 10일까지 신뢰할 수 있는 월간 재무제표"는 평가 가능한 목표이고, "좋은 장부"는 그렇지 않습니다.
- 리스크 식별과 분석. 경영진은 사업 전반의 리스크를 식별하고, 이를 관리하는 방법을 결정하기 위한 근거로 분석합니다. 프리랜서에게 이것은 15분짜리 작업일 수 있습니다. 노트북이 고장 나면, 고객이 인보이스에 이의를 제기하면, 결제 처리업체가 지급을 동결하면 무엇이 무너지는가?
- 사기 리스크 평가. 조직은 사기의 가능성 — 유인, 기회, 합리화 — 을 구체적으로 고려하고 대응을 설계합니다. 이것은 원칙 7의 각주가 아니라 그 자체로 별도의 원칙이라는 점에 주목하십시오. 감사인은 경영진이 통제를 어떻게 무시할 수 있는지를 포함하여 이것을 직접 질문할 것입니다.
- 중대한 변화의 식별과 분석. 새 소프트웨어, 새 직원, 새 제품 라인, 새 규정 — 변화는 통제가 조용히 작동을 멈추는 지점입니다. 이 원칙은 작년의 통제가 여전히 맞다고 가정하는 대신, 상황이 바뀔 때마다 리스크를 재검토할 것을 요구합니다.
여기서 가장 흔한 소규모 사업의 실패는 리스크 평가를 일회성 행사로 취급하는 것입니다. 사업에 두 사람이 있을 때 절차를 세우고, 열두 명이 되었을 때 — 구매를 승인하던 사람이 더 이상 각 구매가 무엇을 위한 것인지 아는 사람이 아니게 되었을 때 — 다시 검토하지 않습니다.
구성요소 3: 통제 활동
통제 활동은 대부분의 사람들이 "내부통제"라는 말을 들을 때 떠올리는 것입니다. 승인, 권한 부여, 검증, 조정, 검토, 그리고 직무 분리로, 리스크 대응을 사업의 모든 수준에서 실행에 옮깁니다. 실제로 프레임워크의 대부분을 차지합니다. 그 세 가지 원칙은 다음과 같습니다:
- 리스크를 완화하도록 선택된 통제 활동. 조직은 구성요소 2에서 식별된 리스크를 실제로 다루는 활동을 설계하며, 이를 운영, 보고, 준법 목표에 대응시킵니다. 리스크로 거슬러 올라가지 않는 통제는 관료주의이고, 통제가 없는 리스크는 노출입니다.
- 기술에 대한 일반 통제. 조직은 프로세스를 운영하는 기술에 대한 통제를 개발합니다: 접근 보안, 변경 관리, 시스템 운영. 장부가 클라우드 소프트웨어에 있다면, 관리자 암호를 가진 사람이 소프트웨어가 수행하는 모든 통제 활동의 열쇠를 쥐고 있는 것입니다. 원칙 11은 감사인이 사용자 접근 목록과 누가 전기된 거래를 편집할 수 있는지를 묻는 이유입니다.
- 정책과 절차를 통한 배포. 통제는 무엇이 기대되는지를 말하는 정책과 그것을 어떻게 하는지를 말하는 절차에 문서화됩니다 — 언제 일어나는지, 누가 하는지, 예외가 발생하면 어떤 시정 조치가 따르는지를 포함하여. 누군가의 머릿속에만 존재하는 통제는 그들이 휴가를 가는 날 실패합니다.
직무 분리는 소규모 사업이 가장 자주 위반하고 가장 쉽게 변명하는 통제이기 때문에 특별한 주의가 필요합니다. 고전적인 양립 불가능한 삼인조 — 자산의 보관, 거래의 승인, 기록 — 는 한 사람에게 있어서는 안 됩니다. 인원이 그것을 불가능하게 만들 때에도 COSO는 여전히 대응을 기대합니다: 보완 통제, 대개 사업주에 의한 직접 검토입니다. 경리가 은행 계좌를 조정하기 전에 사업주가 은행 명세서를 여는 것은 교과서적인 보완 통제이며, 한 달에 약 10분이 듭니다.
구성요소 4: 정보와 의사소통
통제는 정보 위에서 작동하며, 정보는 사용 가능한 형태로 적합한 사람에게 전달될 때에만 도움이 됩니다. 이 구성요소는 데이터와 채널 모두를 다룹니다. 그 세 가지 원칙은 다음과 같습니다:
- 관련성 있고 품질 높은 정보. 조직은 통제를 뒷받침하는 정보를 얻거나 생성합니다 — 그리고 그 정보는 사용할 수 있을 만큼 정확하고, 시의적절하고, 최신이며, 완전해야 합니다. 월말로부터 6주 후에 전달되는 손익 보고서는 어떤 결정도 뒷받침할 수 없으므로, 아무리 정확하더라도 이 원칙을 충족하지 못합니다.
- 내부 의사소통. 통제 책임, 목표, 기대치가 조직 내부에서, 상향 보고를 포함하여, 전달됩니다. 직원은 — 자신의 상사의 준법 문제를 포함한 — 문제를 보복에 대한 두려움 없이 보고할 방법이 필요합니다. 열 명 규모의 회사에서 그 채널은 사업주가 진심으로 묻고 경청하는 것만큼 단순할 수 있습니다.
- 외부 의사소통. 조직은 관련 사항을 외부 당사자 — 고객, 공급업체, 규제기관, 대출기관 — 와 소통하고 그들의 의견을 받습니다. 당신이 알아보지 못하는 잔액을 보여주며 도착한 공급업체 명세서는 무료로 통제 작업을 해 주는 외부 의사소통입니다. 다만 누군가 그것을 열어보고 후속 조치를 할 때만 그렇습니다.
이 구성요소에 대한 실용적인 테스트: 지난달 재무제표에서 아무 숫자나 골라, 그것을 원본 증빙까지 거슬러 추적하는 데 얼마나 걸릴지 물어보십시오. 답이 "기억하는 경리에게 물어보면 된다"라면, 원칙 13과 14 모두에 공백이 있습니다. 보고서에서 영수증까지 감사 추적이 있는 읽기 쉬운 장부가 바로 이 구성요소가 소규모 규모에서 보이는 모습입니다.
구성요소 5: 모니터링 활동
모니터링은 나머지 넷을 정직하게 유지하는 구성요소입니다. 통제가 존재하고, 작동하며, 여전히 목적에 맞는지를 확인하는 지속적 및 주기적 평가입니다. 그 두 가지 원칙은 다음과 같습니다:
- 지속적 및 개별 평가. 조직은 내재된 모니터링(감독 검토, 예외 보고서, 업무의 일부로 수행되는 조정)과 별도의 평가(주기적 워크스루, 외부 검토)를 변화의 속도와 관련된 리스크에 맞춰 혼합하여 통제를 평가합니다.
- 결함의 평가와 의사소통. 통제 공백은 심각도에 따라 평가되고 — 중대한 결함은 경영진과 이사회에까지 보고되어 — 서류로 묶이는 것이 아니라 고쳐지도록 합니다. 아무도 조치하지 않는 결함 기록은 당신이 알고 있었다는 증거이며, 이는 모르는 것보다 더 나쁩니다.
소유주가 경영하는 사업에서 모니터링은 부서가 아니라 월간 루틴입니다: 은행 조정을 검토하고, 연체 매출채권을 훑어보고, 실제 지출을 예산과 비교하고, 낯선 것에 대해 질문합니다. 규율은 정교함이 아니라 규칙성에 있습니다 — 매달 수행되는 단순한 체크리스트는 누군가 기억할 때마다 수행되는 정교한 검토를 능가합니다.
합리적 확신과 어떤 프레임워크도 제거하지 못하는 한계
COSO는 절대적 확신이 아니라 합리적 확신을 약속하며, 이 구분은 중요합니다. 어떤 내부통제 시스템도 목표 달성을 보장할 수 없는데, 모든 시스템은 같은 내재적 한계를 공유하기 때문입니다: 인간의 판단은 실패하고, 사람들은 지시를 오해하며, 실수는 일어납니다 — 그리고 결심한 두 사람은 그러지 않을 것이라는 가정 위에 설계된 통제를 무력화하기 위해 공모할 수 있습니다. 경영진의 무시는 소규모 사업에서 감사인이 가장 걱정하는 한계입니다. 사업주는 말 한마디로 건물 안의 모든 통제를 우회할 수 있기 때문입니다.
이러한 한계가 통제를 무의미하게 만들지는 않습니다. 통제가 무엇을 위한 것인지를 정의할 뿐입니다. 좋은 시스템은 사기가 기회가 아니라 공모를 요구하도록 만들고, 오류가 연말이 아니라 며칠 안에 드러나도록 하며, 정직한 실수를 부정직한 것과 구별 가능하게 만듭니다. 합리적 확신이란 잔여 리스크가 당신이 한 번도 검토하지 않은 수준이 아니라 의식적으로 수용한 수준에 머문다는 뜻입니다.
준법 부서 없이 COSO를 활용하기
프레임워크는 그 용어가 암시하는 것보다 더 잘 축소됩니다. 그것을 적용하는 데 GRC 플랫폼이나 내부감사 기능이 필요한 것이 아니라, 리스크에 비례하여 5가지 구성요소가 다뤄지면 됩니다. 실행 가능한 소규모 사업 버전은 다음과 같습니다:
- 환경: 각 금전 업무 — 인보이스 발행, 청구서 지불, 급여, 입금, 조정 — 의 담당자가 누구인지 적고, 직원에게 정한 것과 동일한 승인 규칙을 따르십시오.
- 리스크 평가: 1년에 한 번, 그리고 중대한 변화가 있을 때마다 현금, 기록, 준법에 무엇이 잘못될 수 있는지 — 사기를 포함하여 — 나열하십시오.
- 통제 활동: 가능한 곳에서는 승인, 보관, 기록을 분리하고, 그럴 수 없는 곳에서는 사업주 검토를 보완 통제로 추가하십시오. 모든 계정을 매달 조정하십시오.
- 정보와 의사소통: 정해진 일정에 따라 장부를 마감하고, 모든 보고서를 원본 증빙까지 추적 가능하게 유지하며, 직원에게 문제를 알릴 안전한 방법을 마련하십시오.
- 모니터링: 정해진 월간 검토 — 은행 조정, 매출채권 연령 분석, 예산 비교 — 를 수행하고, 발견한 것과 그에 대해 한 조치를 기록하십시오.
장부에서의 통제 활동으로서의 조정
조정은 원칙 10과 16의 교차점에 있습니다. 그것은 통제 활동이자 지속적 모니터링의 한 형태입니다. 플레인 텍스트 원장에서 통제는 기계적입니다 — 잔액 단언은 장부가 현실에서 벗어나면 크게 실패합니다:
2026-10-01 balance Assets:Checking:Operating 12,480.22 USD그 한 줄이 월말 통제를 인코딩합니다: 장부 잔액은 그 날짜의 은행 명세서 잔액과 같아야 하며, 그렇지 않으면 파일이 검증을 거부합니다. 중요한 각 분리에 별도의 계정을 짝지으십시오 — 운영 현금은 급여 현금과 분리하고, 사업주 인출은 사업 비용과 분리하여 — 그러면 계정과목표 자체가 직무 분리를 강제하기 시작합니다. 문서는 잔액 단언과 계정 구조를 더 깊이 다루며, 대시보드는 월간 검토를 시각화합니다: 거기서 잔액과 추세를 훑어보고, 원장에서 세부 사항을 확인하십시오.
각 구성요소를 약화시키는 흔한 실수
몇 가지 실패 패턴이 모든 규모의 사업에서 나타나며, 이는 프레임워크에 깔끔하게 대응합니다:
- 환경: 사업주가 "딱 이번만"이라며 승인을 반복적으로 무시하고, 결국 직원들이 묻기를 멈춥니다.
- 리스크 평가: 3년 전 사업에 맞춰 설계된 통제가 새 소프트웨어, 새 직원, 새 수익원 이후에도 다시 검토되지 않습니다.
- 통제 활동: 한 사람이 보관, 승인, 기록을 모두 쥐고 보완 검토가 없음 — 또는 공유 관리자 로그인으로 모든 기술 통제를 검증 불가능하게 만듦.
- 정보와 의사소통: 결정을 뒷받침하기보다 과거를 서술할 만큼 늦은 월말 보고서, 그리고 받은편지함에 흩어진 원본 증빙.
- 모니터링: 조정은 수행되지만 검토되지 않아, 아무도 감사 때까지 읽지 않는 파일에 오류가 쌓입니다.
이들 중 어느 것도 고치는 데 큰 예산이 필요하지 않습니다. 각각은 통제가 정해진 일정에 수행될 만큼 중요하다고 결정하는 것을 요구합니다 — 결국 그것이야말로 통제 환경이 처음부터 줄곧 말해 온 것입니다.
다음 단계
노출이 가장 큰 곳에서 시작하십시오: 사업의 모든 금전 업무를 나열하고, 각 업무 옆에 그것을 하는 사람의 이름을 적고, 같은 이름이 보관, 승인, 기록을 모두 쥐고 있는 모든 곳에 동그라미를 치십시오. 그 동그라미들이 당신의 첫 번째 통제 프로젝트입니다 — 분리할 수 있는 것은 분리하고, 분리할 수 없는 것 위에 사업주 검토를 두고, 매달 계정을 조정하여 숫자가 그 배치가 작동함을 확인하게 하십시오. 그 한 가지 작업이 소규모 사업의 규모에서 다섯 가지 구성요소를 모두 다루며, 바로 그것이 감사인이 보여 달라고 요청할 워크스루입니다.
