독립적 내부감사부서 둔 기업, 10곳 중 1곳에도 못 미쳐

이상적인 3차 방어선의 이중적 보고체계 /사진=삼정KPMG

국내 기업 중 독립적인 내부감사 부서를 운영하는 기업이 10곳 중 1곳에도 미치지 못하는 것으로 조사됐다.

2일 삼정KPMG 감사위원회지원센터와 한국감사협회(IIA Korea)가 발표한 '2024 내부감사기능 서베이'에 따르면 응답 기업 중 8%가 세계내부감사인협회(IIA)에서 요구하는 '3차 방어선 모델'에 부합하는 독립적 내부감사부서를 둔 것으로 집계됐다. 국내 기업 171개사를 대상으로 설문 조사한 결과다.

보고서는 세계내부감사인협회의 3차 방어선 모델을 기반으로 실질적인 독립성 요건 충촉 여부를 조사했다. 독립성 요건은 △감사(위원회) 직속 편제 △내부감사기능에 관한 사안 감사(위원회)에 보고 △내부감사기능 수행에 관한 행정적 보고 경영진에게 실시 등이다. 세 요건을 모두 충족한 기업은 8%에 그쳤다.

응답자들은 내부감사 부서 독립성을 위한 개선 과제로 독립적 내부감사 부서 설치의 법제화(59%)를 꼽았다. 기업지배구조 모범규준의 '감사위원회 또는 감사를 보좌하고 실무업무를 수행하는 내부감사부서를 설치' 규정이 강제성이 없다는 점을 한계로 지목했다.

삼정KPMG 내부감사컨설팅 조직 리더 김유경 전무는 "감사위원회는 3분의 2 이상이 비상근 사외이사로 구성되기 때문에 활동에 한계가 있다"며 "감사위원회의 경영감독 책무를 효과적·효율적으로 수행하기 위해서는 독립적인 내부감사 부서의 감사위원회 지원업무가 필수"라고 말했다.

내부감사 부서의 역량 측면에서 IT(정보기술) 감사와 데이터분석 감사를 실시한다고 응답한 기업은 각각 34%, 21%로 나타났다. 내부감사 부서 내 IT 전문가, 데이터 분석가, 시스템 전문가를 보유했다는 응답도 각각 9~21%로 낮은 수준에 머물렀다.

사이버보안을 중점 감사영역으로 고려하는 비중은 1%대로, 북미(10%)의 6분의 1 수준에 그쳤다. 2024년 세계내부감사인협회 조사 결과 해외 내부감사 실무책임자가 주목하고 있는 리스크 분야 1위로 사이버보안이 꼽힌 것과 대조된다.

이욱희 한국감사협회장은 "사이버보안은 세계내부감사인협회가 주목하는 핵심 리스크 감독 분야이고, 디지털 대변혁 또한 주요 리스크 감독 분야로 그 중요성이 부각되고 있다"며 "국내의 내부감사 부서들도 IIA의 국제내부감사표준을 참고해 IT·데이터 전문성을 정기적으로 점검하고 관련 역량을 키워나가야 한다"고 말했다.