내부통제 실패하면 기업 하루아침에 망가져
향후 내부통제 핵심은 AI 활용한 예방과 교육
내부통제 고도화를 전략적 투자로 생각해야
내부통제 시스템이 작동이 안 되면 잘 나가던 기업도 하루아침에 파국을 맞을 수 있다.
뉴욕에 근무할 당시의 일이다. 2001년 9·11사태가 발생한 지 얼마 되지 않아 미국 유력 에너지기업 엔론의 회계 조작 사건이 터졌다. 엔론은 '미국에서 가장 혁신적인 기업' '일하기 좋은 100대 회사'에 올랐던 기업이었는데 이 회사 회계장부가 조작됐다는 충격적인 사건이었다. 이 일로 거대기업 엔론은 결국 파산하고 경영진들은 구속됐다. 같은 해 미국 제2의 통신사 월드컴 역시 회계 부정 사건으로 연이어 파산하게 된다. 운영비용을 자본적 지출로 재분류해 장기에 걸쳐 상각함으로써 당기순이익을 부풀렸다. 엔론과 월드컴의 외부 회계감사를 맡았던 글로벌 5대 회계법인인 아서앤더슨 역시 문을 닫았다.
미 의회는 미국 자본시장의 신뢰 회복을 위해 2002년 서둘러 사베인스-옥슬리 법안(Sarbanes-Oxley Act)을 제정하고 최고경영자(CEO)·최고재무책임자(CFO)에 대한 재무제표 최종서명과 책임 강화, 외부감사인의 내부통제 시스템의 연간평가 의무화, 외부감사인의 독립성 강화 등의 조치를 취한 바 있다.
최근 6년(2020년~2026년 4월)에 걸친 국내 금융회사 금융사고 발생 건수 및 규모는 609건, 1조2429억원으로 집계됐고 금융사고는 매년 늘어나는 추세다. 내부통제에 대한 기업 차원의 노력이 계속됨에도 왜 사고는 줄지 않고 도리어 늘어나는 것일까. 대출사기, 횡령, 배임 등 반복되는 비슷한 유형의 사고를 어떻게 해야 미리 예방하고 조기에 적발할 수 있는 시스템을 갖출 수 있을까. 왜 사고는 발생하는 곳에서 반복되어 발생할까.
최근 국내 금융기관마다 책무구조도 시스템을 도입하여 내부통제에 관한 책무와 책임을 보다 명확하게 강화하는 추세다. 인공지능(AI) 시대에 접어든 지금은 워런 버핏이 내부통제의 실패가 재무적 손실보다 기업의 신뢰와 평판에 훨씬 더 치명적이라며 "평판을 쌓는 데는 20년이 걸리지만 무너뜨리는 데는 5분이면 충분하다"고 한 말을 되새겨야 할 때다.
내부통제시스템을 효과적으로 가동하려면
두말할 것 없이 내부통제는 회사의 생존과도 연결되는 이슈이므로 거버넌스상 주주총회-이사회-이사회 산하 소위원회-CEO 및 경영진에 이르기까지 각각 맡은 역할에 따라 내부통제 기준과 전략을 세우고 실행을 점검 평가하며 그 책임에 따라 책무구조도를 적용하는 등 전사적인 거버넌스로 대처해야 한다. 감독기관도 이를 규정화하고 있다.
최근 인공지능(AI) 시대에 접어들면서 내부통제를 효과적으로 수행하는 데 있어 책무구조도의 변경사항, 규정의 개정사항, KYC(Know your customer), AML(Anti -money laundering) 상시점검, 금융소비자 보호를 위해 준수해야 하는 사항 등 AI 도움이 절대적으로 필요하게 됐다. 업무분장이 올바로 되어 있는지, 승인, 대사, 접근 통제 등 핵심 이슈가 잘 실행되고 있는지를 AI 에이전트 도움으로 자동 점검하도록 하는 추세다.
오랜 조직생활 가운데 실제로 효과를 거둔 것으로 판단되는 내부통제시스템 몇 가지를 소개하고자 한다.
첫째는 내부고발자(whistling) 제도다. 사건 사고는 내부감시자가 있다는 사실만으로도 발생 건수가 줄어든다. 사건 사고는 조기 발견이 될수록 사태 수습도 간단하고 조직의 손실도 축소된다. 발견이 늦어지면 사고 규모가 기하급수적으로 커지게 마련이고 내부통제망도 점점 크게 뚫린다. 내부고발자 제도를 성공적으로 운영하기 위해 회사에서는 내부고발자에 대한 철저한 비밀보장과 보상이 중요하다. 회사의 문화가 한낱 감시와 투서로 이어지지 않고 정도 윤리경영을 찾아가도록 만드는 의식과 교육이 중요하다.
둘째는 명령휴가 제도의 철저한 실행과 업무 백업시스템의 운영이다. 미국 FRB가 은행 검사를 위해 은행을 방문하면 첫날 첫 번째로 요구하는 자료가 이 두 가지다. 명령휴가는 리스크관리 차원에서 일정 기간 휴가로 업무를 강제로 떠나있게 하는 제도인데 이를 지키지 않고 계속 일한 사람들을 찾아내 그 이유와 위험 가능성을 체크한다. 명령휴가를 떠나야 백업을 맡은 사람이 그 업무를 맡아 무리 없이 수행하고 전임자가 한 업무의 잘잘못도 살펴볼 수 있게 된다. 내부통제에 효과를 보려면 어느 기업이든지 내부고발자 제도, 명령휴가제, 업무백업 운영을 철저하게 지키는 일부터 시작하기를 바란다.
내부통제의 핵심은 AI 활용한 예방과 교육
향후 기업의 내부통제 핵심은 첫째 AI 에이전트를 활용한 업무자동화 및 검증시스템 구축이다. 반복적인 교육을 통한 윤리적 조직문화 형성은 두 번째다. 최근 AI가 현업부서와 내부통제 부서의 업무수행 시 업무의 법적 정합성을 검증하는 지원업무를 수행해 주고 있다. 또한 AI 기반 기술로 이상징후를 사전에 감지하고 통보해주는 시스템도 개발돼 금융사고 발생을 예방해 주고 있다. 기업마다 AI 기반의 상시감시 자동점검이 도입돼 내부통제시스템이 예방, 예측, 자동화의 프로세스로 고도화되고 있다. 과거에 사람이 인지하지 못하고 관리하지 못했던 항목을 AI가 인지하고 알려주고 시스템에 넣는 과정을 담당하는 것이다. 과거 내부통제는 주로 재무 회계 중심이었다면 최근 기업들이 직면한 내부통제 이슈는 ERP시스템 접근권한 관리 실패, 랜섬웨어 해킹 등으로 인한 데이터 유출 등 천문학적 손해배상과 연결되는 디지털 IT 이슈다. 이러한 리스크를 통제하려면 IT 보안이나 AI 자동화 모니터링 시스템에 대한 지속적 투자가 불가피하다.
내부통제의 또 다른 핵심은 지속적이고 실제적인 교육에 있다. AI 기반의 내부통제 시스템이 아무리 잘 갖춰져 있어도 경영진이 솔선하지 않고 직원들이 사용자로서 준수하지 않으면 시스템은 사상누각에 지나지 않고 사고는 늘 발생하게 된다. 내부통제가 기업의 브랜드와 미래 기업가치를 결정하는 핵심 요소임을 인식하고 서로 지키고자 노력하기 위해 지속적으로 교육에 참여해서 무사고의 조직문화를 이뤄가야 한다.
실제로 미국 마이크로소프트(MS)는 내부통제 핵심 시스템을 잘 갖추고 준수하는 성공사례로 평가받고 있다. 이 회사의 내부통제는 4단계로 중첩적인 통제를 시행하고 있는데 독립적인 내부감사가 1차 역할을 담당하고 이사회와 감사위원회가 정기적으로 보고를 받으며 강력한 감독 기능을 2차로 수행한다. 이에 더하여 외부 제3자에 의해 컴플라이언스를 검증받는 리뷰를 정례적으로 실시하고 있으며 마지막으로 강도 높은 내부고발자제도도 운영되고 있다. 사고가 난 후에 대응을 잘하는 것도 필요하지만, MS처럼 철저한 예방과 선제적 감독으로 내부통제 조직문화를 만들어가야 한다.
내부통제 고도화는 기업의 전략적 투자
내부통제 시스템을 고도화하는 일은 기업에 안전벨트를 차게 하는 일과 같다. 사고가 나지 않았을 때는 불필요해 보이나 사고가 났을 때는 생사를 가르게 되기 때문이다. 따라서 내부통제시스템 투자를 단순한 비용으로 인식해서는 안 되고 경쟁력과 브랜드를 높이는 전략적 투자로 생각해야 한다.
미국 내부통제 연합조직인 COSO Framework에는 불문율처럼 내려오는 '통제는 비용이 아니라 보험이다(Controls are not a cost, they are insurance)'는 격언이 있다. 이에 따라 글로벌 금융사들이 데이터 분석을 바탕으로 AI 전문가, 보안 전문가, 내부통제 전문가가 팀을 이루어 내부통제 프로세스를 고도화하는 트렌드에 있다. 우리도 이를 주목하고 적극 내부통제 시스템 투자에 나설 때다.
엔론이나 월드컴 등의 사례에서 보았듯 내부통제는 서류나 규정상의 제도 완비, 시스템상의 점검 등 업무 통제 고도화 외에 경영진과 직원들의 솔선수범이 살아있는 조직문화로 이어져야 성공한다. 결국 내부통제 시스템의 고도화는 기업의 지속 성장을 위한 인프라이며 기업의 품격있는 브랜드와 조직문화를 결정하는 요체임을 명심해야 한다.
윤만호 금융 칼럼니스트(전 산은금융지주 사장)