이 강 혁SCM DirectorApplications Sales Consulting Oracle Korea

2003. 9. 2

회계개혁법안 및 대응 방안-- DC&P 를 중심으로

(*) DC&P : Disclosure Controls & Procedures

정 운 섭 이사

Global Risk Management Solutionswsjung@samil.co.kr

목 차

1. 최근의 변화모습

2. DC&P 및 서약 절차

3. 타사의 동향

4. 고려 사항

최근의 변화모습

1. Sarbanes-Oxley Act 개요

2002년 7월 30일 최종 승인된 The Sarbanes-Oxley Act 는 기업의 투명성과 그 책임에

대한 새로운 근간을 제시하고 있으며, 최근 들어 기업에 미치는 파장이 가장 큰 법률 개혁

으로 평가되고 있음.

특히 동법 302조 ‘재무보고에 대한 회사책임과, 404조 ‘내부통제에 대한 경영진 평가’조항은 경영진의 책임을 증가시키고 있음.

1장. 상장회사 회계 감독 위원회(Public Company Accounting Oversight Board)

2장. 외부 감사인의 독립성 (Auditor Independence)

3장. 회사의 책임 (Corporate Responsibility)

4장. 강화된 재무 정보 공시 (Enhanced Financial Disclosure)

5장. 증권 분석가의 이해 상충 (Analyst Conflicts of Interest)

6장. 위원회의 인력재원과 권한 (Commission Resources and Authority)

7장. 조사와 보고 (Studies and Reports)

8장. 법인과 범죄 사기 책임 (Corporate and Criminal Fraud Accountability)

9장. 범죄 처벌 강화 (White-Collar Crime Penalty Enhancement)

10장. 법인세 환급 (Corporate Tax Return)

11장. 법인 사기와 책임 (Corporate Fraud and Accountability)

302조재무보고에대한 책임

404조내부통제에 대한

경영진 평가

1. Sarbanes-Oxley Act 302조 및 404조

Section 302 : CEO/CFO CertificationCEO/CFO는 매 분기 (Foreign Private Issuer 는 매년) 서약 (Certification) 의무가 있음.

분기 및 연간 보고서의 모든 내용이 정확하고 완전함.

재무상태 및 운영실적에 대한 모든 중요한 부분이 적절히 공시되었음.

회사의 공시 통제 및 관련 절차 (DC&P: Disclosure Controls and Procedures)에 대한 책임은CEO/CFO에 있다 는 선언

외부로 보고되는 중요한 정보의 신뢰성을 보장하기 위한 공시 통제 및 관련 절차가 설계되어있음.

보고서 제출기한 90일 이전 이내에 공시 통제 및 관련 절차에 대한 효과성에 대한 평가 했음.

특정일 현재 평가를 기초로 내부 통제 효과성에 대한 평가결과를 보고서에 제시

내부통제상의 중요한 결함 및 이슈들이 감사위원회 및 감사인 들에게 통보되었음.

내부통제관련 중요한 역할을 수행하는 자가 개입된 부정(중요성 불문)이 감사위원회 및 감사인에게통보되었음.

Section 404: Management Assessment 내부통제에 대한 경영진 평가(Assessment) - 회사 연례보고서에 대한 내부통제 보고 포함.

재무보고를 위한 적절한 내부통제 구조와 및 절차 (internal controls and procedures relating to financial reporting) 를 설치하고 유지하는데 따른 관리상의 책임을 기술

발행인의 최근 회계연도 말 기준, 재무보고를 위한 발행인의 내부통제 구조와 절차의 유효성 평가(Assessment) 를 포함.

이러한 내부통제 평가는 외부 감사인에 의해 인증(Attestation)되어야 함.

1. Sarbanes-Oxley Act 영향

Sarbanes-Oxley Act로 인해 회사 뿐만 아니라 CEO/CFO의 개인적 책임이 증가함에 따라, 공시통제 절차(DC&P)의 완전성 및 정확성을 갖출 수 있는 대비가 필요한 상황임.

2002.7.30 법률안 통과

SARBANESSARBANES--OXLEY ACT

형사상 책임

고의적 증빙 파기, 변형,은닉 에

대해 5백만불 이하의 벌금 이나

20년 이하의 징역 (또는 두

가지의 병과)

OXLEY ACT서약의무 부과

CEO, CFO 등 최고경영진에

공시통제절차에 대해 서약

을 통 해 직 접 적 이 고 개 인 적

책임을 부과

회사의 대응

US IPO 기업의 경우 S-O Act에서 요구하는 일정을

준수하기 위하여 즉각적인 대응을 하고 있음

The Impact of Sarbanes-Oxley – CEO/CFO의 책임 증가

2. 회계개혁법안 최근 동향

한국은 기업의 투명성 확보라는 세계적인 회계환경의 변화에 대응하기 위하여 미국의

Sarbanes-Oxley Act 와 유사한 형태로 회계제도 개혁안을 마련중임.

회계개혁안은 증권거래법, 주식회사의외부감사에관한법률 (“외감법”), 공인회계사법

및 증권관련 집단소송법안에 반영하여 ’03.06.07 입법 예고한 상태임.

증권거래법

외감법

증권관련집단소송법

기업 투명성 강화 공인회계사법

• CEO, CFO의 Certification• 감사위원회에 재무전문가 포함• 주주/임원에 대한 금전거래 금지

• 독립성 규정 강화• 감사인의 비 감사서비스 제한

• 내부회계관리제도 항구화• Audit Firm Rotation• 감사조서 보관의무화 등

• 집단소송제 도입

2. 회계개혁법안 Contents

회계개혁법안의 내용에는 DC&P 및 내부통제 관련내용이 포함되어 있음.

증권거래법

유가증권 신고서, 사업보고서 (연간, 분기, 반기)를 제출하는 당시의 대표이사 및 신고업무를담당하는 이사 (CFO)의 서명당해 신고서에 중요한 허위의 기재 또는 표시가 있거나 중요한 사항이 누락되지 않았음 과 기타대통령령이 정하는 사항 (내부회계관리제도 등으로 예상됨) 에 대한 확인/검토 및 서명벌칙조항: 중요한 허위기재 등이 있었음을 알고도 서명(고의의 경우)한 경우 5년 이하의 징역 및3천만원 이하의 벌금

기존의 구조조정 촉진법 (한시법)상 규정을 외감법에 포함시킴에 따른 항구 법제화 및 적용 감시강화 (외감법 2조의 2 및 제 2조의 3)Sarbanes-Oxley Act Section 302 & 404와 거의 동일

– 회사 : 내부회계관리규정과 내부회계관리조직 구비 의무화– 내부회계관리자 : 매 반기마다 이사회 및 감사(위원회)에게 내부회계관리

제도 운영실태를 보고하여야 함– 감 사 인 : 내부회계관리제도의 적정성 및 준수여부를 평가하여 종합의견을

감사보고서에 표시하여야 함

외 감 법

3. Sarbanes-Oxley Act vs. 회계개혁법안

회계개혁법안의 경우 Sarbanes-Oxley Act에 비하여 범위가 제한적이며 구체적이지 아니하나, 향후 대통령령으로 보완되어 Sarbanes-Oxley Act의 방향으로 추진될 것으로 판단됨.

구 분 Sarbanes-Oxley Act

CEO/CFO 서약범위

회계개혁법안

• 사업보고서 등의 내용이 정확하고완전함

• 재무상태 및 운영실적에 관한내용이 적절히 공시되었음

• 이외 내부통제에 대한 책임소재, 평가 및 결함 등의 내용이 적정하고감사 등에게 통보되었다는 사실(302조)

• 사업보고서 등의 내용이정확하고 완전함

• 재무상태 및 운영실적에 관한내용이 적절히 공시되었음

• 이외 대통령령이 정하는사항(미정임)(증권거래법 8조 4항)

• S-O Act는 공시의완전,정확성이외에 산출절차및 평가 등이적절히 설계되고이루어졌다는사실에 대하여서명 요구

비 고

평가

• 발행인의 내부통제 구조와 절차의유효성평가

• 외부감사인에 의해 인증• 별도의 보고서 제출의무 있음

(404조)

• 내부회계관리자의 내부회계운영실태보고

• 외부감사인에 의해 평가• 별도의 보고서 제출의무 없음

(구촉법(임시법) → 외감법(항구법)

• S-O Act의 경우외부 감사인에의한 평가를별도의 보고서제출을 의무화

DC & P 및 서약 절차

DC&P 및 서약절차 Requirements

Sarbanes-Oxley Act 가 CEO/CFO 에게 요구하는 사항은 DC&P(공시통제 및 절차)로 정의됨.

CEO/CFO 에게 요구되는 사항 (DC&P)

내부통제의 정의 (Definition of Internal Controls)

내부 통제에 대한 모든 정책과 절차, 운영 원칙의 문서화 (Documentation of Internal Controls)

서약을 행하기 위한 제반 확인 절차의 수립 (Establishing Certification Process)

내부통제 테스트 실시(Testing effectiveness of Internal Controls)

외부 감사인에게 요구되는 사항

재무 보고와 관련된 내부통제에 대해서 Attestation 실시(Separate Attestation 보고서 발행) – 한국: 별도의 Report 생략

DC&P 및 서약절차 내부통제 Model

내부통제 Model (COSO)

내부통제는 COSO 정의에 따른 외형적, 실질적인 통제절차를 정립하는 것임.

‘내부통제’에 대한 정의는 법에서언 급 되 어 있 지 않 으 나 COSO 보고서에 의한 정의가 이미 미 정부및 산하 기관에서 받아들여진바있 으 며 ( 미 감 사 규 정 AU 319) 전세계적으로 내부통제구조의통합 체계를 제시하는 표준으로 로받아들여지고 있음.

Section 302 에 따 라 조 직 내내부통제 체계를 정립해가는데있어 COSO 보고서가 제시하는내 부 통 제 의 통 합 모 델 이 그준거기준이 될 수 있음.

내부통제 목적

COSO 보고서

이 보고서의 작성 모체인 Committee of Sponsoring Organizations of the Treadway Commission의 약칭인 COSO를 딴 것으로 동 보고서를

통해 내부통제에 관하여 여러 개념과 정의를 통일한 내부통제의 포괄적 틀(Internal Control – Integrated Framework)이 제시되었으며

1992년 발표 이후 현재까지 전세계적으로 내부통제의 표준으로 받아들여지고 있음.

내부통제의5요소

통제환경

리스크 평가

통제활동

정보 및 의사소통

재무

정보

의신

뢰성

규정

및법

률준

수

운영

의효

율성

/

효과

성

모니터링

업무활동

업무활동업

무활동

업무활동

COSO Framework

DC&P 및 서약절차 내부서약 Model

내부서약 Model

내부서약 Model은 CEO/CFO가 서약을 하기 위하여 행해지는 제반 확인절차를 의미함.

내부통제절차

내부통제정책

검토검토 및및 CEO/CFOCEO/CFO보고절차보고절차

공시위원회공시위원회공시위원회

보고/공시의

목표 확정

보고보고//공시의공시의

목표목표 확정확정Corporate Governance

제 규정 / 통제환경

재무보고/공시의 원칙 공시의무

내부통제 Framework

보고/공시에 대한

책임 정의

보고보고//공시에공시에 대한대한

책임책임 정의정의

Risk와 통제

수준 평가

RiskRisk와와 통제통제

수준수준 평가평가

교육 실시교육교육 실시실시

Monitor / Test보완

Monitor / TestMonitor / Test보완보완

서약 / 보고서약서약 / / 보고보고

Roles & Responsibility

• 경영진 : 서약에 대한 책임, DC&P 감독

• 이사회( 감사위원회, 공시위원회) : DC&P의 범위/규정/공시보고 승인

• Compliance 담당자 : D&P 설계, Communication, 교육실시, Monitoring• 내부감사 : Risk based Audit 및 DC&P Assessment 수행

• 위험관리 : 리스크의 계량적 측정, 한도설정, 노출/부담 리스크 보고

•재경부서 : 공시보고서 작성

• Line 경영자 : 내부통제 수행

DC&P 및 서약절차 조직

조직

서약 절차를 체계화하기 위한 조직 구성(상시/비상시) 및 조직간 역할 관계의 정립이 필요.

DC &P총괄 부서

공시위원회

CEO/CFO

부서/담당자

부서/담당자

부서/ 담당자

부서/ 담당자

사업부/담당자

사업부/담당자

사업부/담당자

사업부/담당자

•CFO 산하에공시위원회(Disclosure Committee)를구성을제안함 : DC &P 정책및절차수립, DC & P 자가평가

결과최종취합및 CEO/CFO에게보고

•DC & P 총괄조직또는 TFT : DC &P 의Guideline제시및사전적체크

•내부감사조직 : DC & P 이행여부

점검

•사업본부/관련부서담당자: DC & P Guideline에따른 DC & P 구축, 운영, 자가점검수행

(*) 공시위원회 구성은CFO를 위원장 으로하고, 회계부서, IR부서, 법률부서, 내부감사 부서 등이구성원이 됨.

DC&P 및 서약절차 서약 Procedure

서약 Procedure

CEO/CFO의 DC&P 서약은 다음과 같은 절차를 거쳐 진행됨.

STAGE 1공시 통제 요구사항 정의

공시 의무 사항 정의

(서약의 범위)

변화에 대한 지속적인 모니터링 및 교육 실시

STAGE 2공시 통제 식별 및 테스트

DC & P에 대한 평가 및

테스트 실시

STAGE 3GAP 분석 및 개선

기존 DC & P 와 선진 DC & P를 비교분석 하여 개선

가능 영역 도출

STAGE 6서약 (CERTIFICATION)

공시위원회는 서약

가부를 결정하여 CEO / CFO에 건의함

STAGE 5 공시위원회에 보고

DC & P 평가 결과를 공시

위원회에 보고

STAGE 4개선을 위한 이행 계획

DC & P 개선을 위한

구체적인 실행 계획의

수립 및 시행

DC&P 및 서약절차 평가 및 문서화

평가 및 문서화

각 업무 Process 별로 통제목적, Risk, 통제활동, 테스트절차를 통하여 내부통제를 평가하

고 문서화하는 바, 회사의 규모에 따라 방대한 양의 문서화/테스트 작업이 필요함.

Example

Cycle 명 작성자 TR ownerTransaction명 부서 책임자

As-Is Rating

Target Rating

중요도

관련계정

미착재고, 재고, 차입금, 미지급 비용, 외상 매입금

구매 Cycle 이 ** 각 구매 물류 담당수출입 지원, 구매, 회계 팀장USANCE 관련 업무 검토자 김 **

상Standardized Monitored

업무 Cycle

거래

통제 목적

리스크

통제 활동

Control Objective

관련부서 Risk

구매물류담당

-적시에 정확한 재고 금액을 계상함.

- 실제입고된수량금액과시스템상의수치의차이발생으로 인한 재고의과소계상 위험

Control Activities

-은행의 Notice ( EDI ) Data 와 결제 입력 데이터 ( 수량, 금액 ,Nego 일자 등 ) 의 주기적인 대사를실시함

- 결제 데이터 입력및 수정에 대한 권한제한을 실시함

테스트 절차

-은행의 Notice Data와 결제 입력 데이터의 20개를 샘플링하여 맞는지 여부를 확인함

-결제 데이터 입력 및 승인에 대한 접근 권한를시스템에서 확인하고, 입력자가 승인을 했는지 엽무를 20개샘플링 테스트실시함테스트 절차

DC&P 및 서약절차 IT Based Approach Tool의 활용

IT Based Approach

업무 Process 복잡화와 조직 규모의 증대로 DC&P 설계 및 평가를 용이하게 하기 위해 IT Based Tool의 활용이 유용함.

업무 Cycle

거래

통제 목적

리스크

통제 활동

거래

통제 목적

통제 활동

리스크

테스팅

Issue

Action Plan

테스트 절차

타사의 동향

Time Schedule 타사 의 동향

Sarbanes-Oxley Act에 의하여 회사에 요구되는 Time Schedule은 다음과 같음.

Section 302 Disclosure controls & procedures

29 August 2002

CEO & CFO

Section 404 Internal financial controls

2004년(미국국내)2005년(FPI)

CEO & CFO

Annual

Annual

No

Yes , but details are yet to be issued

Frequency of sign-off for foreign registrants

Subject Effective date Responsibility Auditor’s

Attestation

Foreign Private Issuer (“FPI”)

Form 20F – 발행인 회계연도 말로부터6개월 이내 ( 12월 결산일 경우 2003년 6 30일까지 302조에 의거한 최초 서약 필요)

내부통제에 대한 설계 및 그 유효성에대해 CEO, CFO의 서약(Certification) 요구

연례보고서에 재부보고 내부통제 에대한 실제 평가 결과의 첨부 요구

타사 의 동향 해외 사례

미국에 상장 기업들은 매우 적극적으로 대응을 하고 있는 상황임.

구 분 대 응 동 향

종합전자 / G 社

404조 대응 전담 조직의 정의

Steering Committee, 2명 총책임자 (CFO, 내부 감사인), BU별 프로젝트 리더

3가지로 구분하여 접근함

Level 1: documentation :full controls testing

Level 2: documentation :internal controls questionnaire

Immaterial

총 1400개 감사대상 조직 중 약 400~500개 조직이 Level 1 또는 2로 분류됨

2003년 9월 20일 : DC&P Documentation 및 자체 테스트

2003년 12월 20일 : Attestation(404조) 준비 완료

회사 전체적인 차원의 표준은 본사에서 준비

각 감사 대상 조직별로 전담 인원을 지정하여 대응

타사 의 동향 해외 사례

2003년까지 Document & Assess

2004년 Gap 조치 및 테스트 실시

2004년말~2005년 : Auditor가 테스트 및 보고

2003년 : Documentation 및 총 50% 테스트 실시

2004년 : 100% 테스트 실시

2005년 : 외부감사법인의 Attestation 수감 계획

2004년 6월말 : Documentation, Assessment

2005년 6월말: 내부통제의 유효성 테스트

2005년 12월말: 테스트 재 실시 계획에너지 / S 社

구 분 대 응 동 향

식품제약 / U 社

통신전자 / N 社

타사 의 동향 해외 사례

참고로 통신전자 N 社의 S-O Act에 대한 대응 Road Map은 다음과 같음.

2003

Q3

Q4

Q1

Q2

Q3

Q4

Q1

Q2

Q3

Q4

Q1

2004 2005 2006

Document and assessna

gem

ent

Fix gaps Test

Year end

Monitor for changes

Assess & test

y/e process

Year end

Test

Fix

ReportTest

Dry run attest at 31 December 2004

Full attest at 31 December 2005

Design assessmen

t

Test

Opine

Aud

itors

Ma

타사 의 동향 국내 사례

국내기업의 경우 US IPO된 국내기업은 COSO에 의한 내부통제 절차 및 체계 수립부터 자체

평가에 이르기까지의 전 과정을 점검하여 S-O Act 에 대응 중에 있음.과 제 주 요 업무 내 용

거래별 통제 목적

통제 목적별 리스크

리스크별 통제 활동 정의

통제목적, 리스크, 내부통제 정의

현행 회계 부문 내부통제의 등급평가

내부통제 설문지 배포 및 분석(Risk Culture Survey)

내부통제 문제점 및 개선안 제시

내부통제 진단및 개선안 제시

내부통제 담당자, 감독자, 점검자

내부통제 평가 책임

평가 결과 보고 라인

내부통제 역할및 책임 부여

요구 사항에 맞춘 전문 IT Solution의 구축(회계부문)

통제 활동 정의 내용의 입력

운영 Manual 작성

내부 통제 Package 구축및 운영 지원

전반적인 내부통제

내부통제 평가 절차 및 내부통제 평가 Tool 활용한 평가방법내부통제 교육

통제 활동별 테스트 절차 정립

내부통제 자기 평가

내부통제 평가의 보고 및 서약

내부통제 평가 절차및 자체 평가 지원

고려 사항

고려 사항

Change Management• 역할/책임의 정의

리스크식별

통제식별

Tool

구축 및입력

테스트절차

대상의정의

자가

테스트

및 서약

내부통제목표 수준설정

업무

Scope의

정의(Full/Limited)

외부 컨설턴트의 컨설팅 여부

결정

내부통제 진단 및 개선안

제시 가능

내부통제

개선

목표의

설정

자체 개발

/Package Tool

교육 및

변화 관리

업무 범위의 결정

상세 구분업무 범위

정보정보 및 의사소통

변화에 대비한 리스크 관리

리스크 평가

리스크 식별

하위 목표 설정

상위 목표 설정

리스크 평가

내부감사

개별적인 모니터링

지속적인 모니터링모니터링

의사소통

인사 정책 및 기준

권한과 책임의 위임

조직구조

경영층의 철학, 운영방식

전문성

성실성과 도덕성

통제 환경

프로그램 개발

- 원자재, 부자재 등으로 구분 작성

- 수입/내자 등으로 구분작성

상세 구분업무 범위

프로그램 변경 관리•일반컴퓨터 통제

…………. 생략

•매출 및 매출채권 통제

- 중요 Platform별로 구분 작성

컴퓨터 운영

보안

Adjustment

매입채무 관리

Invoice Verification

입고

구매 오더

구매 지시•구매 및 매입채무 통제

통제 활동

감사합니다 !