[기타] 제2절 IT감사업무 수행단계별 준수사항

2026.10.27 - [Law/기타법률] - [기타] 제1절 IT내부통제 기반사항

[기타] 제1절 IT내부통제 기반사항

이어서 작성

---

Ⅰ. 계획단계(14개 항목)

 

1.1. IT내부통제체계 명확화 및 수행근거 확보

■ IT내부통제는 감사조직만의 영역이 아닌 IT현업, 정보보호 등 IT부문 모든 조직이 체계적으로 각자 역할을 분담하여 수행하여야 하며, 내규 등으로 각 통제사항별 수행주체 및 근거 등을 명확히 하여 통제누락을 방지하여야 함

 

■ 이때, 내규 등에는 일반적으로 다음과 같은 내용이 포함되어야 함

• IT내부통제를 수행하는 조직 및 역할
• IT(자체)감사 대상범위, 감사종류별(정기, 일상, 수시 등) 감사항목, 수행주기 및 절차 등
• IT리스크평가에 관한 사항(수행주체, 방법, 주기 등)
• IT(자체)감사계획 수립‧이행에 관한 사항

1.2. IT(자체)감사업무에 필요한 권한 확보

■ IT감사인은 정기 IT감사계획 혹은 수시 IT특별감사계획에 대하여 감사위원 또는 감사위원회의 승인을 득하여야 함

■ IT자체감사인은 CIO, CISO 등 소속 경영진으로부터 IT자체감사계획에 대한 승인을 득하여야 함

■ 감사명령권자는 IT(자체)감사계획을 승인함으로써 IT(자체)감사인에게 다음과 같은 권한을 부여하여야 함

• IT(자체)감사업무에 필요한 자료를 감사대상에 징구할 권한
• 경영진에 대한 공식적인 의견제출 및 시정을 요구할 권한
• 필요시 IT감사 관련 중요사항을 감사명령권자가 아닌 이사회 및 경영진에 직접 보고할 수 있는 권한
• 필요시 IT자체감사 관련 중요사항을 감사명령권자가 아닌 감사 및 감사위원회에 직접 보고할 수 있는 권한

1.3. IT(자체)감사범위, 특성 등을 고려하여 충분한 감사자원 산정

■ 감사명령권자는 IT(자체)감사계획에 포함된 정기‧일상‧수시감사의 대상범위 및 실시 횟수가 IT리스크평가결과에 대비하여 적절한 지 검토하여야 함

■ IT(자체)감사의 목표를 명확히 설정하고, 관련한 조직‧인원‧업무‧시스템 등 주요 감사대상이 누락되지 않도록 사전검토를 수행하여야 함

• 지난 감사이력 등을 참고하여 목표에 따른 감사인력 투입공수, 기간 등 필요자원을 적정하게 산정
• 내부자원이 부족할 경우 외부자원 투입을 검토하는 등 감사계획에 따른 충분한 감사자원을 사전에 확보
• 이때, 가용자원 대비 과도한 범위의 감사계획을 수립하여 형식적인 감사에 그치지 않도록 주의

1.4. IT(자체)감사업무에 필요한 직무능력 명확화

■ 감사대상 특성에 따라 시스템 실사 등 IT전문성이 필요한 영역과 계약절차 등 일반 영역으로 구분하여 요구되는 직무능력을 명확히 해야 함

• IT전문영역에 필요한 직무능력은 학력(전공), 경력, 자격증, 직무경험, 교육이력 등 객관적 요건에 따라 평가
• 일반영역에 대해서는 IT전문성을 가진 인력을 반드시 요하지 않음

■ 감사조직은 필요시 내부 감사자원으로 활용할 수 있도록 IT감사업무를 수행할 수 있는 인력을 식별하여 상시적으로 관리

• IT감사 직무능력에 필요한 교육과정을 운영하고, 자격증 취득 우대 등 내부 감사자원을 지속적으로 양성하기 위한 계획을 수립‧운영

1.5. IT(자체)감사업무에 적합한 직무능력을 갖춘 감사인력 할당

■ IT(자체)감사계획에 따라 감사인력을 할당시 해당 감사업무에 대한 적합성을 사전에 검토해야 함

• 개발, 운영, 보안 등 세분화된 업무영역에 따라 내부통제 적정성을 검토할 수 있는 IT전문성을 가진 감사인을 감사인원에 포함
• 감사인의 전문성이 부족한 것으로 판단되는 경우 감사결과 외부(제3자) 검증 등의 보완방안을 마련하여 감사 신뢰도를 제고

1.6. IT(자체)감사인의 업무 독립성 확보

■ IT감사인은 감사업무를 수행함에 있어서 감사 혹은 감사위원회의 직접 지시를 받아야 함

• IT감사인은 감사결과를 감사 혹은 감사위원회 보고하기 전에 경영진 등 이해관계자에게 중간 보고하지 않아야 함
• IT감사인의 감사업무 수행 직전, 직후 IT현업부서에 대한 인사이동을 일정기간 제한하여 이해상충을 방지
• IT감사인이 필요에 따라 이사회 등에 감사 관련 중요사항을 직접 보고할시, 관리자나 상임이사가 참석하는 경우 의결권 제한 등 이해상충 방지를 위한 조치가 필요

■  IT자체감사인은 감사업무를 수행함에 있어서 CIO, CISO 등 감사명령권자의 직접 지시를 받아야 함

• IT자체감사인은 감사결과를 CIO, CISO 등 감사명령권자 보고 전에 피감조직 관리자 등에게 중간 보고하지 않아야 함
• IT자체감사인의 감사업무 수행에 대한 평가는 감사명령권자가 직접 하며, 피감조직 관리자 등이 인사고과에 개입하지 않아야 함
• IT자체감사인도 원칙적으로 피감업무 수행을 제한하여야 하나, IT리스크 평가결과에 따라 확보된 감사자원이 적어 완전한 직무분리가 어려운 경우는 소속조직 외 타 조직(최고책임자 책무 기준) 및 본인 업무에 대한 자체감사를 제한하여 이해상충을 방지

1.7. IT감사업무편람의 마련 및 정기적인 현행화

■ 감사조직은 IT감사업무에 관한 지식을 누적관리하여 감사품질을 제고할 수 있도록 IT감사업무편람을 마련하여야 함

• 단순 법규 나열식이 아닌 각 금융회사 내부 IT환경에 적합한 IT감사기법, 감사목적에 따른 주요 점검사항 등 실무적이고 구체적인 내용 위주로 구성
•  최신성 및 준거성 확보를 위하여 최소 연 1회 이상 검토 및 개정 관리를 수행
• IT감사업무편람의 내용이 피감조직에 노출되지 않도록 보안에 유의

1.8. 체계적인 방식의 IT감사계획 수립

■ IT감사계획 수립시 IT사업계획을 참조하여 감사대상의 근무활동과 신규 IT사업에 따른 리스크 등을 종합적으로 고려하여야 함

• 리스크가 큰 것으로 평가된 신규 사업의 경우 필요시 착수-수행-종료 시점에 맞추어 적합한 감사방식을 채택
• 감사대상의 근무활동이 집중되는 시기에 감사를 수행하여 감사대상의 업무가 지나치게 과중되거나 사업수행 자체에 차질이 생기지 않도록 주의

■ IT감사계획은 반드시 IT리스크평가결과에 기반하여 수립되어야 함

• IT리스크평가는 기존 감사결과 취약영역, 장기간 동안 검사를 실시하지 않은 업무영역, 신사업 영역 등 내부환경과 신기술, 규제 동향 등 외부환경에 대한 업무영향도, 발생가능성 등을 종합적으로 고려하여 자체적인 방식으로 수행
• 최신 IT리스크평가결과에 따라 식별된 고위험 사업 혹은 업무를 우선적으로 감사대상에 고려
• 사후적 지적이 아닌 사전적 위험관리에 중점을 둔 예방감사 관점에서 IT감사계획을 수립하고, IT감사계획 보고시 IT리스크평가결과를 첨부
• IT리스크평가결과에 따라 수립된 IT감사계획을 근거로 필요한 감사자원을 산정

1.9. IT감사 연속성 확보 및 감사대상 편중 방지

■ IT부문의 업무는 한 번 정립된 상태가 고정적으로 유지되는 특성이 있기 때문에 동일한 업무영역에 대해서는 감사이력을 확인하여 감사주기‧방식 등을 조정할 필요가 있음

• 지난 감사활동의 결과 발견된 문제점에 대하여 적정한 후속조치가 이행되었는지 확인하고, 지난 감사활동의 범위, 품질 및 결과가 현재 업무 목표에서도 신뢰할 수 있는지 검토
• 동일한 감사대상에 대하여 기존과 다른 새로운 감사기법을 도입하거나 정기‧수시‧일상감사 등 감사방식을 변경할 필요성에 대하여 검토
• 또한, 그간 리스크가 낮다고 평가하여 상당기간 감사를 수행하지 않은 영역에 대한 감사 필요성을 일정 주기로 검토

1.10. IT계약, 서비스, 자산 및 사용자 등 현황에 대한 모니터링

■ IT(자체)감사조직은 IT부문 현황에 대한 정보를 상시적으로 관리하여 현황 파악에 따른 공수를 절감하고 누락을 방지하여야 함

• IT부문 현황정보는 IT리스크평가 및 IT감사계획 수립시 대상 서비스, 자산 등의 세부범위를 특정할 때 기초자료로 활용
• 현황정보는 정보기술계획서 등 기존 자료를 통하여 수집하되, 필요한 정보를 규격화하여 피감대상에 정기적으로 자료 제출을 요구하는 방법 등으로 관리
• 일정규모 이상의 IT계약, 시스템 변경 등 주요 현황에 대한 정보는 일상감사 대상으로 지정하여 관리

1.11. IT감사대상과 관련한 제어 환경 및 통제 정책 파악

■ IT(자체)감사인은 감사계획으로 특정된 감사대상에 대하여 감사 착수 이전에 세부적인 내부절차를 사전에 숙지하여 효율적으로 감사를 수행하여야 함

• IT감사대상 관련 법규 및 이슈사항
• IT감사대상 업무에 관련한 내규, 매뉴얼 및 감사대상 시스템의 세부 운영기준, 통제정책 등

1.12. IT감사대상과 관련한 고유위험 및 제어위험 요소 분석

■ IT(자체)감사인은 사전에 파악한 감사대상의 현황정보 및 제어 환경, 통제 정책을 기반으로 내포된 위험 요소가 있는지 검토해야 함

• 내부 기준 및 절차가 법규와 부합하지 않거나 권고사항을 충족하지 않아 발생할 수 있는 위험
• 시스템, 자산 등의 관리주체가 불분명하여 관리누락이 발생할 위험
• 중요 업무가 수작업으로 수행되어 실수 등이 발생할 위험
• 업무 승인권한이 특정인에게 편중되어 실질적인 검토가 수행되지 않을 위험 등
• 특정 업무가 특정인에 편중되어 인력변동에 따라 업무 영향이 발생할 위험 등

1.13. 감사대상에 대한 중점 감사사항(목표) 설정

■ IT(자체)감사인은 일률적인 체크리스트 기반의 감사를 지양하고, 감사대상의 고유위험 및 제어위험을 고려하여 감사항목을 선정해야 함

• 감사항목과 관련한 주요 업무인력 및 필요한 핵심자료를 식별하여 중점 감사사항에 대한 심층적인 감사를 수행

1.14. 감사계획에 대한 승인

■ 제3자가 IT(자체)감사의 목표, 범위, 접근방식 및 방법론을 이해할 수 있도록 구체적인 감사계획을 문서화하여야 함

• 이때, 해당 감사계획을 수행하기 위하여 조직, 인력, 예산 등의 충원이 반드시 필요하나 경영상의 이유로 불가한 경우 그러한 사실에 대하여경영진 및 이사회의 의사결정을 받아야 함