기준서 1100 내부회계관리제도의 감사

이 감사기준서는 감사인이 재무제표감사와 통합하여 수행되는 내부회계관리제도감사를 수행하는 경우 (통합감사)에 적용되는 요구사항을 규정하고 지침을 제공한다.

주식회사 등의 외부감사에 관한 법률(이하 "외부감사법"이라 함)에 따라 주권상장법인의 재무제표를 감사하는 감사인은 외부감사법 제8조(내부회계관리제도의 운영 등)에서 정한 사항 및 같은 조 제4항에 따른 내부회계관리제도의 운영실태에 관한 보고내용을 감사하여야 한다. 따라서 외부감사법에 따라 내부회계관리제도감사를 수행하는 감사인은 해당 기업의 재무제표감사를 수행하는 감사인과 동일한 감사인이다.

회계감사기준(이하 “감사기준”이라 한다)은 감사기준서 200~720과 이 감사기준서(감사기준서 1100)로 구성되어 있다. 감사기준서 200~720은 재무제표감사에 적용되는 요구사항과 지침을 기술하고 있으며, 재무제표감사와 통합되는 내부회계관리제도감사에 적용하는 경우에는 해당 상황에 맞게 조정되어야 한다. 이 감사기준서는 내부회계관리제도감사에 적용되는 감사절차 및 보고 기준을 정한다.

이 감사기준서는 2026년 1월 1일 이후에 개시하는 보고기간에 대한 내부회계관리제도감사부터 시행한다¹⁾. 시행일 이전 재무제표감사에 감사기준서 315 개정사항을 조기적용한 경우에는 이 감사기준서의 개정사항도 조기적용한다. 다만 문단 89, A6, A7, A111의 개정사항은 회사가 ‘내부회계관리제도 평가 및 보고 기준’을 적용한 보고기간부터 시행한다.

1) 다만, 외부감사법 등 법규에서 내부회계관리제도감사(연결기준 내부회계관리제도 포함)의 시행시기를 다르게 정하고 있는 경우에는 법규의 시행시기에 따른다.

내부회계관리제도감사에서 감사인의 목적은 다음을 모두 포함한다. (문단 A1-A3 참조)

• (a) 내부회계관리제도의 효과성에 관한 경영진 평가(내부회계관리제도 운영실태보고서에 포함됨)에 명시된 일자(이하 “평가기준일”이라고 함) 현재 중요한 취약점이 존재하는지 여부에 대한 합리적인 확신을 얻음
• (b) 감사인의 발견사항에 근거하여, 이 감사기준서에서 요구하는 바에 따라 내부회계관리제도의 효과성에 대한 의견을 내부회계관리제도 감사보고서에 표명하고 경영진 및 지배기구 (외부감사법에 따른 내부회계관리제도감사업무에서는 감사(감사위원회가 설치된 경우에는 감사위원회)를 말한다.²⁾ 이 감사기준서에서는 이하 같다) 와 커뮤니케이션함

하나 이상의 중요한 취약점이 존재하는 경우 기업의 내부통제는 효과적이라고 간주될 수 없기 때문에, 감사인은 의견 표명의 기초를 형성하기 위하여, 평가기준일 현재 중요한 취약점이 존재하는지 여부에 대한 합리적인 확신을 얻기에 충분하고 적합한 증거를 입수하기 위해 계획을 수립하고 감사를 수행하여야 한다. 내부회계관리제도의 중요한 취약점은 재무제표가 중요하게 왜곡표시되지 않더라도 존재할 수 있다.

2) 외부감사법 제8조 제4항

이 감사기준에서 사용하는 용어의 정의는 다음과 같다.

• (a) 관련경영진주장(relevant assertion). 거래유형, 계정잔액 또는 공시에 대한 경영진주장에 식별된 중요왜곡표시위험이 있는 경우 해당 경영진주장은 관련경영진주장이다. 중요왜곡표시위험의 식별은 관련 통제에 대한 고려 이전에 수행되며(즉 고유위험), 발생 가능성과 발생했을 때의 중요성 모두에 대한 합리적 가능성이 있는 왜곡표시에 대한 감사인의 예비적 고려에 기초한다.³⁾
• (b) 내부회계관리제도(Internal control over financial reporting). 기업의 재무제표가 해당 재무보고체계에 따라 신뢰성있게 작성되었는지에 대한 합리적인 확신을 제공하기 위해 설계되어, 지배기구, 경영진 및 그밖에 다른 직원에 의해 시행되는 프로세스로서 다음 내용의 정책과 절차를 포함한다.
  • (i) 기업 자산의 거래와 처분을 합리적으로 상세하게 그리고 정확하고 공정하게 반영하는 기록의 유지와 관련됨
  • (ii) 해당 재무보고체계에 따른 재무제표의 작성을 위하여 필요에 맞게 거래가 기록되고, 경영진과 지배기구의 승인에 의해서만 기업의 수입과 지출이 이루어지고 있다는 합리적인 확신을 제공함
  • (iii) 재무제표에 중요한 영향을 미칠 수 있는 기업 자산의 승인되지 않은 취득, 사용 또는 처분을 예방하거나 적시에 발견∙수정하는 것에 대한 합리적인 확신을 제공함
• 내부회계관리제도는 고유한계를 가지고 있다. 내부회계관리제도는 인간의 성실성과 준법성이 관련되는 프로세스이며, 인적오류로 인하여 판단 착오가 발생하거나 와해될 수 있다. 또한 공모 또는 부적절한 경영진의 통제무력화로 내부회계관리제도를 우회할 수 있다. 이러한 한계 때문에, 내부회계관리제도에 의해 중요한 왜곡표시가 적시에 예방되거나 발견∙수정되지 못할 위험이 존재한다. 그러나, 이 고유한계는 재무보고 프로세스의 잘 알려진 특성이다. 따라서, 프로세스 내에 안전장치를 설계함으로써 이러한 위험을 제거할 수는 없지만, 줄일 수는 있다. (문단 A4 참조)
• (c) 내부회계관리제도감사(Audit of Internal control over financial reporting). 기업의 내부회계관리제도의 설계 및 운영 효과성에 대한 감사
• (d) 내부회계관리제도에 대한 경영진 평가(Management’s assessment about internal control over financial reporting). 적합하고 이용가능한 준거기준에 기초하여 기업의 내부회계관리제도의 효과성에 대해 경영진이 내린 결론. 경영진 평가는 내부회계관리제도 운영실태보고서에 포함된다. (문단A6 참조)
• (e) 예방통제(Preventive control). 재무제표의 왜곡표시를 초래할 수 있는 오류나 부정을 예방하는 목적을 가진 통제
• (f) 유의적인 거래유형, 계정잔액 및 공시(significant class of transaction, account balance or disclousre). 하나 이상의 관련경영진주장이 있는 거래유형, 계정잔액 또는 공시
• (g) 적발통제(Detective control). 이미 오류나 부정이 발생하여 이로 인해 재무제표의 왜곡표시를 가져올 것으로 예상되는 경우 해당 오류나 부정을 발견하고 수정하는 목적을 가진 통제
• (h) 준거기준(Criteria). 인증대상을 측정하거나 평가하는데 사용되는 기준(문단 A5-A6 참조)
• (i) 중요한 취약점(Material weakness). 내부회계관리제도 미비점 혹은 미비점들의 결합으로, 기업의 연차재무제표 또는 중간재무제표의 중요한 왜곡표시가 적시에 예방되거나 발견∙수정되지 못할 합리적 가능성이 있는 경우에 존재한다. 내부회계관리제도 미비점과 유의적 미비점의 용어의 정의에 대한 설명은 문단 A7에 포함되어 있다. (문단 A7 참조)
• (j) 통제목적(Control objective). 통제의 목표 또는 목적. 통제목적은 통제가 완화하고자 하는 위험에 대처하는 것이다. 내부회계관리제도의 상황에서, 통제목적은 일반적으로 유의적인 거래유형, 계정잔액 및 공시에 대한 관련경영진주장과 관련되어 있으며 특정 영역의 통제가 관련경영진주장의 왜곡표시 또는 누락을 적시에 예방하거나 발견∙수정한다는 합리적인 확신을 제공하지 못할 위험에 대처한다.

3) 감사기준서 200 문단 A16

감사기준서 210. "감사업무의 조건의 합의"는 감사인에게 감사를 위한 전제조건이 존재하는지 여부를 확인하도록 요구한다.⁴⁾ 내부회계관리제도감사에서, 감사인은 다음의 절차를 수행하여야 한다.

• (a) 다음의 책임을 인정하고 이해하고 있다는 점에 대하여 경영진의 동의를 받음(문단 A8-A11 참조)
  • (i) 효과적인 내부회계관리제도를 설계, 실행 및 유지할 책임
  • (ii) 적합하고 이용가능한 준거기준을 사용하여 기업의 내부회계관리제도의 효과성을 평가할 책임
  • (iii) 감사보고서에 첨부되는 보고서에 내부회계관리제도에 대한 경영진 평가 (내부회계관리제도 운영실태보고서를 말함)를 제공할 책임 (문단 59 참조)
  • (iv) 충분한 평가와 문서화를 통해 기업의 내부회계관리제도의 효과성에 대한 기업의 평가를 뒷받침할 책임
  • (v) 다음 사항을 감사인에게 제공할 책임
    • a. 기록, 문서, 기타사항 등 내부회계관리제도에 대한 경영진 평가와 관련하여 경영진이 알고 있는 모든 정보에 대한 접근
    • b. 감사인이 내부회계관리제도감사 목적으로 경영진에게 요청하는 추가적인 정보
    • c. 감사인이 감사증거를 입수하기 위하여 필요하다고 결정한 기업 내부의 관계자들에 대한 제한없는 접근
• (b) 해당 평가기준일이 해당 재무제표 대상 기간의 재무상태표일 (또는 보고기간말일) 과 일치한다는 결정

4) 감사기준서 210 "감사업무의 조건의 합의" 문단6

감사인은 경영진이 경영진 평가에 사용한 준거기준과 동일하고 적합하며 이용가능한 준거기준을 사용하여 기업의 내부회계관리제도의 효과성을 평가하여야 한다. (문단 A12-A13 참조)

문단 8(a)(iii)에 따라, 감사인은 경영진에게 내부회계관리제도 운영실태보고서를 요청하여야 한다. 경영진이 내부회계관리제도 운영실태보고서의 제공을 거절하는 것은 범위제한을 의미하고, 감사인은 문단 79-82의 요구사항을 적용하여야 한다.

내부회계관리제도감사와 재무제표감사의 목적이 동일하지 않더라도, 감사인은 각각의 감사목적을 동시에 달성할 수 있도록 통합감사를 계획하고 수행하여야 한다.

감사인은 아래의 목적을 모두 달성할 수 있도록 통제테스트를 설계하여야 한다.

• (a) 평가기준일 (통상적으로 보고기간말일임) 현재의 내부회계관리제도에 대한 감사의견을 뒷받침할 충분하고 적합한 증거를 입수함
• (b) 재무제표감사 목적상 감사인의 통제위험 평가를 뒷받침할 충분하고 적합한 감사증거를 입수함 (문단 A15–A16 참조)

내부회계관리제도에 대하여 전체적으로 의견을 표명하기 위해서는, 감사인은 모든 관련경영진주장에 대하여 선정된 통제의 효과성에 대한 증거를 입수하여야 한다. 따라서 재무제표에 대해서만 의견을 표명할 때는 일반적으로 테스트하지 않는 통제의 설계 및 운영 효과성을 테스트하도록 감사인에게 요구된다.

감사인은 재무제표감사와 관련하여 평가된 통제위험의 수준이나 평가된 중요왜곡표시위험에 관계없이, 모든 관련경영진주장에 대하여 실증절차를 수행하여야 한다. 내부회계관리제도에 대한 의견을 표명하기 위한 절차를 수행한 경우에도 이 요구사항을 경감시키지 않는다.

내부회계관리제도에 대한 의견을 표명하는 목적으로 내부회계관리제도의 효과성에 대한 결론을 내릴 때, 감사인은 재무제표에 대한 의견표명과 관련된 목적을 달성하기 위하여 수행된 추가적인 통제테스트의 결과를 반영하여야 한다(문단A17 참조). 감사인은 재무제표감사 절차의 결과가 감사인의 위험평가와, 통제의 운영효과성에 대한 결론을 내리는데 필요한 테스트에 미치는 영향을 고려하여야 한다.

만약, 내부회계관리제도감사 중에, 감사인이 내부회계관리제도 미비점을 식별한다면, 감사인은 재무제표감사에서의 감사위험을 수용가능한 낮은 수준으로 감소시키기 위하여 수행되어야 할 실증절차의 성격, 시기 및 범위에 해당 미비점이 미치는 영향을 결정하여야 한다.

내부회계관리제도의 효과성에 대한 의견을 형성할 때, 재무제표감사에서의 발견사항을 포함한 발견사항의 영향을 평가하는 것에 관한 요구사항은 문단 56-58을 참조한다.

재무제표감사에서 통제 위험을 평가할 목적으로 통제의 효과성에 대해 결론을 내릴 때, 감사인은 기업의 내부회계관리제도에 대한 의견 표명과 관련된 목적을 달성하기 위하여 감사인이 수행한 추가적인 통제테스트의 결과를 평가하여야 한다. (문단 A18 참조)

감사기준서 300, "재무제표감사의 계획수립"에 따라, 감사인은 내부회계관리제도감사의 범위, 시기 및 방향을 정하고 감사계획 수립에 대한 지침이 되는 전반감사전략을 수립하여야 한다. ⁵⁾ (문단 A19 참조)

5) 감사기준서 300 "재무제표감사의 계획수립" 문단7

감사인은 위험이 더 높은 영역에 주의를 더 많이 기울여야 한다. 기업의 내부회계관리제도의 특정 영역에 중요한 취약점이 존재할 수 있는 위험의 정도와 해당 영역에 기울여야 하는 주의의 정도 사이에는 직접적인 관계가 존재한다. 또한, 기업의 내부회계관리제도가 부정으로 인한 왜곡표시를 예방하거나 발견∙수정할 가능성은 오류로 인한 왜곡표시의 경우보다 낮다. 재무제표에 대한 중요한 왜곡표시의 합리적 가능성이 없는 통제의 경우에는, 해당 통제가 미비하더라도, 테스트할 필요가 없다. (문단 A20-A22 참조)

내부회계관리제도감사를 계획하고 수행할 때, 감사인은 감사인의 부정위험 평가 결과를 고려하여야 한다. 감사인은 문단 24에 따라 전사적 수준 통제를 식별하고 테스트하는 절차와 문단 36에 따라 테스트 대상 통제를 선정하는 절차의 일환으로 기업의 통제가 식별된 부정으로 인한 중요왜곡표시위험과 경영진이 다른 통제를 무력화할 위험에 충분히 대처하는지 여부를 평가하여야 한다. (문단 A23 참조)

감사기준서 240 "재무제표감사에서의 부정에 관한 감사인의 책임"은 감사인이 입수한 다른 정보가 부정으로 인한 중요왜곡표시위험을 나타내는지 여부를 고려하도록 감사인에게 요구한다. ⁶⁾ 만약 감사인이 내부회계관리제도감사 수행 중에 부정으로 인한 왜곡표시를 예방하거나 발견∙수정하기 위해 설계된 통제에서 미비점을 식별하는 경우, 감사인은 재무제표감사 수행 중에 중요왜곡표시위험에 대한 대응을 수립할 때 해당 미비점을 고려하여야 한다. ⁷⁾

6) 감사기준서 240 "재무제표감사에서의 부정에 관한 감사인의 책임" 문단23

7) 감사기준서 240 문단 28–33

외부감사인은 내부회계관리제도감사의 계획 및 수행과 관련이 있는 내부감사기능이 수행한 업무에 대하여 내부회계관리제도의 효과성과 관련된 그들의 활동을 식별할 수 있도록 충분히 이해하여야 한다. (문단 A24 참조)

외부감사인은 외부감사인이 직접 수행해야 하는 감사절차의 성격이나 시기를 변경하고 그 범위를 줄이기 위해 내부감사인이 수행한 업무를 활용할 범위를 평가하여야 한다. 내부감사인의 업무를 활용하는 경우에는, 감사기준서 610 "내부감사인이 수행한 업무의 활용"이 적용된다. (문단A25-A26 참조)

감사인은 내부회계관리제도감사와 재무제표감사의 계획수립과 수행을 위해 동일한 중요성을 사용하여야 한다. (문단 A27 참조)

감사인은 내부회계관리제도감사 수행 시 테스트 대상 통제를 선정하기 위해 하향식 접근법을 사용하여야 한다. (문단 A28-A29 참조)

감사인은 기업이 효과적인 내부회계관리제도를 갖추고 있는지 여부에 대한 감사인의 결론에 중요한 전사적 수준 통제를 식별하고 테스트하여야 한다. (문단 A30-A33 참조)

통합감사에서, 감사인은 내부회계관리제도 구성요소를 평가하고 다음을 결정하여야 한다. (문단 A34 참조)

• (a) 구성요소가 내부회계관리제도의 설계, 실행 및 운영에 존재하고 기능하는지 여부
• (b) 기업의 재무보고 목적을 달성하기 위해 구성요소가 연계되어 통합적으로 운영되고 있는지 여부

효과적인 내부회계관리제도에 미치는 영향이 중요하기 때문에, 감사인은 회사의 통제환경을 평가해야 한다. 통제환경 평가의 일부로 감사인은 다음사항을 평가해야 한다.

• (a) 경영진의 철학과 경영방식이 효과적인 내부회계관리제도를 장려하는지 여부
• (b) 건전한 도덕성과 윤리적 가치(특히, 최고 경영진의 경우)가 발전되고 이해되는지 여부
• (c) 지배기구가 재무보고와 내부통제에 대한 감시책임을 이해하고 이행하고 있는지 여부

재무보고 및 통합감사에 중요하기 때문에, 감사인은 보고기간말 재무보고 프로세스를 평가하여야 한다. 보고기간말 재무보고 프로세스에는 다음을 포함한다.

• (a) 총계정원장에 거래 총액을 기표하기 위해 사용되는 절차
• (b) 회계정책의 선택과 적용과 관련된 절차
• (c) 총계정원장에 분개를 생성, 승인, 기록 및 처리하기 위해 사용되는 절차
• (d) 연차 및 분기 재무제표에 반복적∙ 비반복적 조정사항을 기록하기 위해 사용되는 절차
• (e) 연차 및 분기 재무제표를 작성하기 위한 절차 (문단 A35 참조)

보고기간말 재무보고 프로세스 평가의 일환으로, 감사인은 다음을 평가하여야 한다.

• (a) 기업이 재무제표 생성을 위해 사용하는 프로세스의 입력자료, 수행하는 절차 및 산출물
• (b) 보고기간말 재무보고 프로세스에 정보기술이 관련되는 정도
• (c) 경영진에서 누가 참여하는지
• (d) 보고기간말 재무보고 프로세스에 포함되는 사업장
• (e) 조정사항 및 연결조정 분개의 유형
• (f) 경영진과 지배기구가 프로세스에 대해 수행하는 감시의 성격 및 범위

감사인은 기업의 통제가 평가기준일 현재 각각의 관련경영진주장에 대한 평가된 왜곡표시위험에 충분하게 대처하고 있는지 여부를 결정하는데 중요한 분기별 통제의 효과성에 대한 충분한 증거를 입수하여야 한다. 하지만, 감사인이 각 분기에 대해 개별적으로 충분한 증거를 확보해야 하는 것은 아니다

감사인은 유의적인 거래유형, 계정잔액 및 공시와 관련경영진주장을 식별하여야 한다. 관련경영진주장은 식별된 중요왜곡표시위험이 있는 경영진주장이며, 감사인이 재무제표 감사를 수행할 때 잠재적인 왜곡표시의 유형들을 고려하기 위해 이용하는 경영진주장은 감사기준서 315 에 기술되어 있다⁸⁾ (문단 A36 참조).

8) 감사기준서 315 " 중요왜곡표시위험의 식별과 평가" 문단 A190

유의적인 거래유형, 계정잔액 및 공시와 관련경영진주장을 식별하기 위하여, 감사인은 재무제표 항목 및 공시와 관련된 고유위험요소를 평가하여야 한다.⁹⁾ (문단 A37-A39 참조)

9) 감사기준서 315 문단 12 참조

유의적인 거래유형, 계정잔액 및 공시와 관련경영진주장을 식별하는 것의 일환으로, 감사인은 또한 재무제표의 중요한 왜곡표시를 야기할 잠재적 왜곡표시의 가능한 원천을 결정하여야 한다. (문단 A40-A41 참조)

기업이 부문을 보유한 경우, 감사인은 그룹재무제표¹⁰⁾ 에 근거하여 유의적인 거래유형, 계정잔액 및 공시와 관련경영진주장을 식별하여야 한다. (문단 A42 참조)

10) 연결기준이 아닌 내부회계관리제도감사에서 그룹재무제표는 부문이 다수인 경우의 별도재무제표 또는 개별재무제표를 의미한다.

감사인은 잠재적 왜곡표시의 가능한 원천을 더 많이 이해하기 위하여, 그리고 테스트 대상 통제를 선정하는 것의 일부로써, 다음의 절차를 수행한다.

• (a) 거래가 개시, 승인, 기록, 처리 및 보고되는 방법을 포함하여, 관련경영진주장과 관련된 거래의 흐름을 이해한다.
• (b) 개별적으로 혹은 다른 왜곡표시와 결합하여 중요한 왜곡표시(부정으로 인한 왜곡표시 포함)가 발생할 수 있는 기업 프로세스 내의 지점을 식별한다(예를 들어, 정보가 개시, 이전 또는 수정되는 지점).
• (c) 잠재적 왜곡표시에 대처하기 위하여 경영진이 실행한 통제를 식별한다.
• (d) 재무제표에 중요한 영향을 미칠 수 있는 승인되지 않은 기업 자산의 취득, 사용 또는 처분을 예방하거나 적시에 발견∙수정하기 위해 경영진이 실행한 통제를 식별한다. (문단 A43-A44 참조)

요구되는 판단의 정도 때문에, 감사인은 문단 33에 언급된 요구사항을 달성하기 위한 절차를 직접 수행하여야 한다.

감사인은 정보기술이 기업의 거래 흐름에 어떻게 영향을 미치는지, 그리고 감사기준서 315에서 요구된 바와 같이, 기업의 정보기술 일반통제가 정보기술의 사용으로 인하여 제기되는 위험에 어떻게 대처하는지 이해하여야 한다.¹¹⁾ (문단 A45 참조)

11) 감사기준서 315 문단 26

감사인은 기업의 통제가 각 관련경영진주장의 평가된 왜곡표시위험에 충분히 대처하고 있는지 여부에 대한 감사인의 결론에 중요한 통제를 식별하고 테스트하여야 한다. (문단 A46-A47 참조)

기업의 통제가 통제를 효과적으로 수행하는데 필요한 권한과 적격성을 보유한 사람에 의해 규정된 대로 운영되는 경우, 감사인은 해당 통제가 기업의 통제목적을 충족하고 재무제표의 중요한 왜곡표시를 초래할 수 있는 부정이나 오류로 인한 왜곡표시를 효과적으로 예방하거나 발견∙수정할 수 있는지 여부를 결정하여 통제의 설계효과성을 테스트하여야 한다. (문단 A48-A49 참조)

감사인은 통제가 설계된 대로 운영되는지 여부와 통제를 수행하는 사람이 통제를 효과적으로 수행하는데 필요한 권한과 적격성을 갖추었는지 여부를 결정하여 통제의 운영효과성을 테스트하여야 한다. (문단 A50-A51 참조)

테스트되고 있는 통제와 연관된 위험이 증가할수록, 감사인이 입수해야 할 증거의 충분성과 적합성도 증가하여야 한다. (문단 A52-A55 참조)

감사인은 각각의 관련경영진주장에 대하여 선정된 통제의 효과성에 대하여 증거를 입수하여야 한다. 하지만 감사인이 개별 통제 각각의 효과성에 대한 의견을 뒷받침하기 위해 충분하고 적합한 감사증거를 입수할 책임은 없다. (문단 A56-A61 참조)

선정된 통제가 효과적인지 여부에 대한 증거를 입수하기 위해서, 해당 통제 자체가 테스트되어야 한다. 실증절차에 의해 발견된 왜곡표시가 없다는 것이 통제의 운영효과성을 의미한다고 볼 수 없다. 그러나, 실증절차에 의해 발견된 왜곡표시가 없다는 것은 통제의 운영효과성에 대한 결론을 내리는데 필요한 테스트를 결정할 때 감사인의 위험평가에 반영된다.

감사인이 통제 이탈을 식별하는 경우, 감사인은 이탈이 통제의 운영효과성에 미치는 영향뿐만 아니라, 테스트되고 있는 통제와 연관된 위험에 대한 감사인의 평가 및 입수하여야 할 증거에 미치는 영향을 결정하여야 한다. (문단 A62 참조)

일정 시점의 내부회계관리제도에 대한 의견을 표명하기 위하여, 감사인은 내부회계관리제도가 충분한 기간 동안 효과적으로 운영되었다는 증거를 입수하여야 한다. 이 때, 충분한 기간은 기업의 재무제표의 대상기간인 전체 기간(일반적으로 1년)보다 짧을 수 있다. 감사인은 운영효과성에 대한 충분하고 적합한 감사증거를 얻기 위하여, 평가기준일에 가깝게 통제테스트를 수행하는 것과 충분한 기간에 걸쳐 통제를 테스트할 필요성이 있다는 것 간에 균형을 맞추어야 한다. (문단 A63-A66 참조)

감사인이 특정 일자를 기준으로 통제의 효과성에 대해 보고하고 통제의 운영효과성에 대한 증거는 기중 일자에 입수하는 경우, 감사인은 잔여기간의 통제 운영과 관련하여 필요한 추가적인 증거가 무엇인지를 결정하여야 한다. (문단 A67-A68 참조)

후속연도 감사에서, 감사인은 필요한 테스트의 성격, 시기 및 범위를 결정하기 위한 의사결정 프로세스에, 감사인이 과거에 기업의 내부회계관리제도를 감사하는 과정에서 입수한 지식을 반영하여야 한다. (문단 A69-A71 참조)

또한, 감사인은 예측불가능성을 통제테스트에 도입하고 환경 변화에 대응하기 위하여 기간마다 통제테스트의 성격, 시기 및 범위를 변경하여야 한다. (문단 A72 참조)

감사인은 수행한 감사업무를 근거로 하나 이상의 내부회계관리제도 미비점을 식별하였는지 여부를 결정하여야 한다. (문단 A73 참조)

내부회계관리제도의 효과성에 대한 의견을 형성할 목적으로, 감사인은 내부회계관리제도 미비점이, 개별적으로 혹은 결합하여, 평가기준일 현재 중요한 취약점인지 여부를 결정하기 위하여 내부회계관리제도 미비점 각각의 심각성을 평가하여야 한다. 감사인은 내부회계관리제도 미비점의 심각성을 평가할 때, 동일한 유의적인 거래유형∙계정잔액∙공시, 관련경영진주장, 또는 내부회계관리제도 구성요소에 영향을 미치는 미비점들이 집합적으로 중요한 취약점이 되는지 여부를 결정하여야 한다. (문단 A74-A80 참조)

감사인은 내부회계관리제도 미비점 혹은 미비점들의 결합이 내부회계관리제도에 대한 경영진 평가 기준일 현재의 중요한 취약점인지 여부를 결정할 때, 보완통제의 영향을 평가하여야 한다. 감사인은 보완통제가 중요한 왜곡표시를 예방 또는 발견∙수정할 수 있는 정밀한 수준으로 운영되는지 여부를 결정하기 위하여, 그러한 보완통제의 운영효과성을 테스트하여야 한다. (문단 A81 참조)

감사인은 내부회계관리제도 미비점 혹은 미비점들의 결합이 중요한 취약점이 아니라고 결정하는 경우, 동일한 사실과 상황에 대한 지식을 가진, 회계와 내부회계관리제도에 충분한 전문지식을 갖춘 객관적인 사람이 동일한 결론에 도달할 것인지 여부를 고려하여야 한다.

만약 감사인이 하나의 미비점 혹은 미비점들의 결합으로 인해, 회계와 내부회계관리제도에 충분한 전문지식을 갖춘 객관적인 사람이 직무수행에 있어서 해당 재무보고체계에 따라 재무제표가 작성될 수 있도록 필요에 맞게 거래가 기록된다는 합리적인 확신을 가지고 있다는 결론을 내릴 수가 없다고 결정한다면, 이 경우 감사인은 해당 미비점 혹은 미비점들의 결합을 중요한 취약점의 지표로 다루어야 한다. (문단 A82 참조)

감사인은 내부회계관리제도 미비점이 개별적으로 또는 결합하여 유의적 미비점이 되는지 여부를 결정하기 위하여, 내부회계관리제도 미비점 각각의 심각성을 평가하여야 한다. 그러한 평가를 수행할 때, 감사인은 동일한 유의적인 거래유형∙계정잔액∙공시, 관련경영진주장, 또는 내부회계관리제도 구성요소에 영향을 미치는 미비점들이 집합적으로 유의적 미비점이 되는지 여부를 결정하여야 한다. (문단 A83-A84 참조)

내부회계관리제도의 변경 또는 내부회계관리제도에 유의적으로 영향을 미칠 수 있는 다른 요소가 평가기준일 후부터 감사보고서일자 전까지의 기간에 후속적으로 발생할 수 있다. 감사인은 경영진 또는 적합한 경우 지배기구에게 내부회계관리제도의 변경 또는 내부회계관리제도에 유의적으로 영향을 미칠 수 있는 상황이 평가기준일 후부터 감사보고서일 전까지 후속적으로 존재하였는지 여부를 질문하여야 한다. 내부회계관리제도의 변경이나, 기업의 내부회계관리제도의 효과성에 유의적인 영향을 미치는 상황에 대한 추가적인 정보를 입수하기 위하여, 감사인은 이 후속기간에 대하여 다음의 보고서 또는 정보에 대해서 질문하고 열람하여야 한다. (문단 A85 참조)

• (a) 후속기간에 발행된 관련 내부감사 보고서 (또는 금융기관의 여신 검토와 같은 비슷한 기능의 보고서)
• (b) 미비점에 대하여 다른 독립된 감사인이 발행한 보고서
  • (i) 기업의 내부회계관리제도에 대한 규제기관의 보고서
  • (ii) 감사인이 수행한 다른 업무를 통하여 입수한 기업의 내부회계관리제도의 효과성에 대한 정보

만약, 후속사건 절차를 통해 감사인이 내부회계관리제도에 대한 평가기준일 현재 존재하고 있었던 중요한 취약점에 대해 알게 된다면, 감사인은 문단 73에서 요구하는 바에 따라, 부적정의견을 표명하여야 한다. 만약 내부회계관리제도에 대한 경영진 평가에서 내부회계관리제도가 효과적이라고 기술하고 있다면, 감사인은 또한 문단 77을 따라야 한다. 감사인이 내부회계관리제도에 대한 평가기준일 현재의 기업의 내부회계관리제도의 효과성에 대해 후속사건이 미치는 영향을 결정할 수 없다면, 감사인은 의견표명을 거절하여야 한다. 또한 감사인은 기업이 취한 시정조치에 대해 경영진이 공시할 경우, 이에 대해 의견표명을 거절하여야 한다. (문단 A86 참조)

만약 감사인이 평가일에는 존재하지 않았으나 해당 일자 후부터 감사보고서 발행 전까지 후속적으로 발생한 상황에 관해 알게 되고, 그러한 후속 정보가 기업의 내부회계관리제도에 중요한 영향을 미친다면, 감사인은 내부회계관리제도 운영실태보고서에 기술되어 있는 후속적으로 발견된 사실과 그 영향에 대한 이용자의 주의를 환기하는 강조사항문단을 감사보고서에 포함하거나, 후속적으로 발견된 사실과 그 영향을 기술하는 기타사항문단을 감사보고서에 포함하여야 한다. (문단 A87 참조)

감사인이 감사보고서일 후 후속되는 사건에 대해 알아야 할 책임은 없다. 그러나, 감사보고서일에 알았더라면 감사보고서를 수정할 원인이 될 수도 있었던 사실을 감사인이 감사보고서일 후에 알게 된 경우, 감사인은 이에 적합하게 대응하여야 한다.

감사인은 다음을 포함하여 모든 원천에서 입수한 증거를 평가함으로써 내부회계관리제도의 효과성에 대한 의견을 형성하여야 한다.

• (a) 내부회계관리제도감사를 위한 감사인의 통제테스트
• (b) 재무제표에 대한 의견표명과 관련된 목적을 달성하기 위해 수행한 추가적인 통제테스트
• (c) 재무제표감사 과정에서 발견된 왜곡표시
• (d) 식별된 미비점들

모든 원천으로부터 입수한 증거를 평가하는 것의 일환으로, 감사인은 내부감사기능 (혹은 비슷한 기능)이 해당 연도 중에 발행한 내부회계관리제도 관련 통제에 대한 보고서를 검토하고 해당 보고서에 식별되어 있는 미비점을 평가하여야 한다.

내부회계관리제도감사를 위한 감사인의 통제테스트에서 발견된 사항을 평가하는 것에 추가하여, 감사인은 재무제표감사에서 수행한 실증절차의 발견사항이 내부회계관리제도의 효과성에 미치는 영향을 평가하여야 한다. 이 평가는 최소한 다음의 사항을 포함하여야 한다.

• (a) 실증절차의 선택 및 적용과 관련된 감사인의 위험평가 (특히, 부정과 관련한 사항)
• (b) 법규 미준수와 관련된 발견사항
• (c) 특수관계자 거래와 복잡하고 비경상적인 거래와 관련된 발견사항
• (d) 회계추정을 하고 회계원칙을 선택하는데 있어서 회계추정치를 도출하고 회계원칙을 선택할 때 경영진 편의의 징후
• (e) 실증절차에 의해 발견된 왜곡표시의 성격과 범위 (이러한 왜곡표시의 정도는 통제의 효과성에 대한 감사인의 판단을 변경시킬 수 있다.)

감사인은 기업의 내부회계관리제도의 효과성에 대하여 의견을 형성한 후, 외부감사법령에 따라 내부회계관리제도 운영실태보고서의 필수 요소에 대한 경영진의 표시내용을 평가하여야 한다. ¹¹⁾

11) 외부감사법 제8조(내부회계관리제도의 운영 등), 동법 시행령 제9조(내부회계관리제도의 운영 등)

감사인이 내부회계관리제도에 대한 내부회계관리제도 운영실태보고서의 필수 요소가 불완전하거나 부적절하게 표시되었다고 결정하는 경우, 감사인은 경영진에게 내부회계관리제도 운영실태보고서를 수정하도록 요청하여야 한다. (문단 A88 참조)

감사인은 내부회계관리제도감사를 수행할 때, 다음 내용이 모두 포함된 경영진의 서면진술을 입수하여야 한다. (문단 A89 참조)

• (a) 효과적인 내부회계관리제도를 설계, 실행하고 유지할 경영진의 책임을 인정함
• (b) 경영진이 기업의 내부회계관리제도의 효과성에 대한 평가를 수행하였음을 진술하고, 준거기준을 구체적으로 명시함
• (c) 통합감사 중에 감사인이 수행한 감사절차를 경영진이 내부회계관리제도 효과성에 대한 경영진 평가에 대한 근거의 일부로 활용하지 않았음을 명시함
• (d) 평가기준일 현재 준거기준에 근거한 내부회계관리제도의 효과성에 대한 경영진의 평가내용을 명시함
• (e) 내부회계관리제도의 설계 또는 운영상의 모든 미비점을 감사인에게 공개하였음을 명시함(유의적 미비점이나 중요한 취약점이라고 생각되는 모든 미비점을 경영진이 별도로 감사인에게 공개한 것을 포함함)
• (f) 기업의 재무제표에 중요한 왜곡표시를 초래하는 부정과 재무제표에 중요한 왜곡표시를 초래하지는 않지만 고위경영진 또는 기업의 내부회계관리제도에서 유의적인 역할을 담당하는 경영진 또는 기타 직원이 연루된 부정을 기술함
• (g) 문단 64에 따라 이전의 업무를 수행하는 동안에 식별되고 경영진과 지배기구에게 커뮤니케이션된 유의적 미비점과 중요한 취약점이 해결되었는지 여부를 명시하고, 해결되지 않은 미비점을 구체적으로 식별함
• (h) 유의적 미비점과 중요한 취약점에 대하여 경영진이 취한 시정조치를 포함하여, 내부회계관리제도의 변경 또는 내부회계관리제도에 유의적으로 영향을 미칠 수 있는 다른 상황이 평가기준일 후에 후속적으로 존재했는지 여부를 명시함

경영진이 문단 61에서 요구되는 서면진술을 제공하지 않으면, 감사인은 문단 78에 따른 요구사항을 적용하여야 한다. (문단 A90 참조)

감사인은 통합감사 중에 시정되었거나 이전에 커뮤니케이션 되었으나 아직 시정되지 않은 유의적 미비점과 중요한 취약점을 포함하여, 통합감사 중 식별된 유의적 미비점과 중요한 취약점을 경영진과 지배기구에게 서면으로 커뮤니케이션하여야 한다. (문단 A91-A93 참조)

감사인이 기업의 재무보고 및 내부회계관리제도에 대한 지배기구의 감시가 비효과적이라고 결론을 내리면, 감사인은 해당 결론을 이사회(또는 다른 유사한 기구)에 서면으로 커뮤니케이션하여야 한다.

문단 63-64에서 언급된 서면 커뮤니케이션은 적시에 그리고 내부회계관리제도에 대한 감사보고서가 발행되기 이전에 이루어져야 한다.

감사인은 통합감사 중에 식별한 내부회계관리제도의 모든 미비점을 경영진에게 서면으로 적시에, 감사보고서 발행 이전에 커뮤니케이션하여야 하며, 이러한 커뮤니케이션이 언제 수행되었는지 혹은 언제 수행될 예정인지를 지배기구에 알려야 한다.

이 문단에 언급된 서면 커뮤니케이션을 할 때, 감사인은 이전의 서면 커뮤니케이션에 포함되어 있는 미비점에 관한 정보를 반복할 필요가 없다. 이전의 커뮤니케이션이 감사인, 내부감사인 또는 조직 내의 다른 누군가에 의해 수행되었는지는 관계가 없다. (문단 A94–A95 참조)

통합감사는 감사인이 중요한 취약점보다 덜 심각한 모든 미비점을 식별하였다는 합리적인 확신을 감사인에게 제공하지 않는다. 따라서 감사인은 통합감사 중에 식별된, 중요한 취약점보다 덜 심각한 미비점이 없다고 명시하는 보고서를 발행해서는 안 된다. 또한, 감사인은 기업의 내부회계관리제도의 효과성에 대해 의견을 표명하는 보고서를 발행하기 때문에, 감사인이 통합감사 중 중요한 취약점이 식별되지 않았음을 나타내는 보고서를 발행해서는 안 된다.

내부회계관리제도를 감사할 때, 감사인은 부정 혹은 가능한 불법행위를 인지하게 될 수 있다. 그러한 상황에서, 감사인은 감사기준서 250 "재무제표감사에서의 법률과 규정의 고려'와 외부감사법 제22조에 따라 감사인의 책임을 결정하여야 한다.

내부회계관리제도 감사보고서는 재무제표 감사보고서와 별도로 작성되어야 하며 다음의 요소를 포함하여야 한다.¹³⁾

제목

• (a) 감사보고서 제목은 독립된 감사인의 감사보고서임을 명확히 나타내기 위하여 “독립된(independent)” 문구를 포함하여야 한다.

수신인

• (b) 감사보고서는 해당 감사의 상황에 기초하여 적합한 수신인을 기재하여야 한다.

내부회계관리제도에 대한 의견

• (c) 감사보고서의 첫 번째 단락의 제목은 “내부회계관리제도에 대한 의견” 으로 하고, 다음 요소를 기술하여야 한다.
  • (i) 내부회계관리제도 감사대상 기업의 이름
  • (ii) 통제 준거기준(예를 들어, 「내부회계관리제도 설계 및 운영 개념체계」)에 근거하여, 평가기준일 현재, 중요성의 관점에서 기업이 효과적인 내부회계관리제도를 유지하였는지 여부에 대한 감사의견

내부회계관리제도 감사의견의 근거

• (d) 감사보고서의 두 번째 단락의 제목은 “내부회계관리제도 감사의견의 근거” 라고 하고, 다음 요소를 기술하여야 한다.
  • (i) 내부회계관리제도감사가 회계감사기준에 따라 수행되었다는 기술
  • (ii) 감사기준에 따른 감사인의 책임을 기술하는 감사보고서의 단락 언급
  • (iii) 감사인은 감사와 관련된 윤리적 요구사항에 따라 기업으로부터 독립적이며 그러한 요구사항에 따른 윤리적 책임을 이해하였다는 기술(관련 윤리적 요구사항의 원천에 대한 관할지의 표시 또는 국제윤리기준에 대한 언급이 포함되어야 함)
  • (iv) 입수한 감사증거가 감사의견의 근거를 제공하기에 충분하고 적합하다고 감사인이 믿는지 여부에 대한 기술

내부회계관리제도에 대한 경영진과 지배기구의 책임

• (e) 감사보고서의 세 번째 단락의 제목은 “내부회계관리제도에 대한 경영진과 지배기구의 책임”이라고 하고, 다음 사항에 대한 경영진과 지배기구의 책임을 기술하여야 한다.
  • (i) 내부회계관리제도 운영실태보고서에 대한 언급
  • (ii) 효과적인 내부회계관리제도를 유지하고 내부회계관리제도의 효과성을 평가할 책임이 경영진에게 있다는 진술
  • (iii) 내부회계관리제도를 감시할 책임이 지배기구에게 있다는 진술

내부회계관리제도감사에 대한 감사인의 책임

• (f) 감사보고서는 “내부회계관리제도감사에 대한 감사인의 책임”이라는 제목의 단락을 포함하고, 다음 사항을 기술하여야 한다. 감사인의 책임을 기술하는 위치는 감사기준서 700 “재무제표에 대한 의견형성과 보고”의 요구사항¹⁴⁾을 따른다.
  • (i) 감사인의 책임은 감사에 근거하여 기업의 내부회계관리제도에 대한 의견을 표명하는 것이라는 진술
  • (ii) 회계감사기준은 감사인이 중요성의 관점에서 효과적인 내부회계관리제도가 유지되었는지 여부에 대한 합리적인 확신을 얻기 위해 감사를 계획하고 수행할 것을 요구한다는 진술
  • (iii) 내부회계관리제도감사가 내부회계관리제도에 대한 이해의 획득, 중요한 취약점이 존재할 위험의 평가, 평가된 위험에 근거한 내부통제의 설계 및 운영의 효과성에 대한 테스트 및 평가, 그리고 감사인이 상황에 따라 필요하다고 판단한 기타 절차의 수행을 포함하였다는 진술

내부회계관리제도의 정의와 한계

• (g) 감사보고서의 다섯번째 단락의 제목은 “내부회계관리제도의 정의와 한계” 라고 하고, 다음 요소를 포함하여야 한다.
  • (ii) 문단 6 용어의 정의에 기술된 내부회계관리제도의 정의
  • (ii) 고유한계로 인하여 내부회계관리제도가 왜곡표시를 예방하거나 발견∙수정하지 못할 수 있고, 효과성의 평가를 미래 기간에 투영하는 것은 상황의 변화로 인하여 통제가 부적합하게 될 위험이 있으며, 또는 정책이나 절차의 준수 정도가 저하될 위험이 있을 수 있다는 설명

업무수행이사의 이름

• (h) 감사대상 기업이 상장기업인 경우, 업무수행이사의 이름 기재에 관한 내용은 감사기준서 700의 요구사항을 따른다.¹⁵⁾

감사인의 서명, 감사인의 주소 및 감사보고서일

• (i) 감사보고서에는 감사인의 서명이 있어야 한다.
• (j) 감사보고서에는 감사인의 소재지를 기재하여야 한다.
• (k) 감사보고서일은 문단 71에 따라 기재하여야 한다.

13) 내부회계관리제도 감사보고서의 수신인, 업무수행이사의 이름, 감사인의 서명, 감사인의 주소 및 감사보고서일은 재무제표 감사보고서와 같아야 한다.

14) 감사기준서 700 “재무제표에 대한 의견형성과 보고” 문단 40-41

15) 감사기준서 700 문단 45

감사인은 재무제표에 대한 감사보고서에 다음 문단을 (의견문단 바로 뒤에) 추가하여야 한다.

"우리는 또한 회계감사기준에 따라, [통제준거기준 식별]에 근거한 회사의 20X8년 12월 31일 현재의 내부회계관리제도를 감사하였으며, 20X9년 XX월 XX일자 [재무제표에 대한 보고서일자와 동일한 보고서일자] 감사보고서에서 [의견의 성격 포함]을 표명하였습니다."

감사인은 또한 내부회계관리제도에 대한 감사보고서에 다음 문단을 (의견문단 바로 뒤에) 추가하여야 한다.

"우리는 또한 회계감사기준에 따라, 회사의 [재무제표 식별]를 감사하였으며, 20X9년 XX월 XX일자[내부회계관리제도의 효과성에 대한 감사보고서일자와 동일한 보고서일자] 감사보고서에서 [의견의 성격 포함]을 표명하였습니다." (문단 A96 참조)

내부회계관리제도 감사보고서일은 감사의견을 뒷받침하는 충분하고 적합한 증거(감사문서가 검토되었다는 증거를 포함함)를 입수한 날보다 빠르지 않아야 한다. 감사인이 재무제표를 감사하지 않고 내부회계관리제도만을 감사할 수가 없으므로 내부회계관리제도감사와 재무제표감사는 통합되어 진행된다. 따라서 내부회계관리제도 감사보고서일은 재무제표 감사보고서일과 동일하여야 한다.

다음 상황이 존재하는 경우, 감사인은 내부회계관리제도 감사보고서를 변형하여야 한다.

• (a) 하나 이상의 중요한 취약점이 존재함
• (b) 내부회계관리제도 운영실태보고서의 구성요소가 불완전하거나 부적절하게 표시되어 있음
• (c) 업무의 범위에 제한이 존재함 (문단 A97 참조)
• (d) 내부회계관리제도 운영실태보고서에 문단 83의 추가정보가 포함되어 있음

평가기준일 현재에 개별적으로 혹은 결합적으로 하나 이상의 중요한 취약점이 존재한다면, 감사인은 업무 범위에 대한 제한이 없는 한, 내부회계관리제도에 대해 부적정의견을 표명하여야 한다. (문단 A98–A99 참조)

하나 이상의 중요한 취약점 때문에 내부회계관리제도가 효과적이지 않아 내부회계관리제도에 대하여 부적정의견을 표명할 때, 감사보고서는 다음을 포함하여야 한다.

• (a) 문단 6에서 정한 중요한 취약점의 정의
• (b) 하나 이상의 중요한 취약점이 식별되었다는 진술과, 해당 중요한 취약점이 내부회계관리제도 운영실태보고서에 기술되어 있다는 언급 (문단 A100 참조)

하나 이상의 중요한 취약점이 감사보고서에 첨부되는 내부회계관리제도 운영실태보고서에 포함되지 않았다면, 감사보고서는 하나 이상의 중요한 취약점이 식별되었으나 내부회계관리제도 운영실태보고서에 포함되지 않았음을 언급하도록 변형되어야 한다. 또한, 감사보고서는 내부회계관리제도 운영실태보고서에 포함되지 않은 각각의 중요한 취약점에 대한 설명을 포함하여야 한다. 이 설명은 중요한 취약점의 성격과 중요한 취약점이 존재하였던 기간에 발행된 기업의 재무제표의 표시에 중요한 취약점이 미치는 실질적 그리고 잠재적 영향에 대한 구체적인 정보를 감사보고서 이용자에게 제공하여야 한다. 이 경우, 감사인은 또한 내부회계관리제도 운영실태보고서에 하나 이상의 중요한 취약점이 보고되지 않았거나 중요한 취약점으로 식별되지 않았음을 지배기구에 서면으로 커뮤니케이션하여야 한다. 만약 내부회계관리제도 운영실태보고서에 중요한 취약점이 포함되었으나, 감사인이 중요한 취약점의 공시가 중요성의 관점에서 공정하게 표시되지 않았다고 결론을 내리면, 해당 중요한 취약점을 공정하게 기술하는데 필요한 정보뿐 아니라 해당 결론을 감사보고서에 기술하여야 한다.

감사인은 내부회계관리제도에 대한 부적정의견이 재무제표에 대한 감사의견에 미치는 영향을 결정하여야 한다. 또한, 감사인은 내부회계관리제도에 대한 부적정의견이 재무제표에 대한 감사의견에 영향을 미쳤는지 여부를 공시하여야 한다. (문단 A101 참조)

만약 문단 59에 기술된 내부회계관리제도 운영실태보고서의 필수 구성요소가 불완전하거나 부적절하게 표시되어 있다고 감사인이 결정하고, 경영진이 이를 수정하지 않는다면, 감사인은 내부회계관리제도 감사보고서를 변형하여 해당 결정의 사유를 기술하는 기타사항문단을 포함하여야 한다. 만약 감사인이 중요한 취약점에 대하여 요구된 공시가 중요성의 관점에서 공정하게 표시되지 않았다고 결정한다면, 감사인은 문단 75의 요구사항을 적용하여야 한다.

감사인은 감사업무 범위에 대한 제한이 없는 경우에만 내부회계관리제도의 효과성에 대한 의견을 형성할 수 있다. 만약 통합감사 업무를 수임한 후에, 내부회계관리제도감사의 업무범위에 대한 제한이 있다면, 감사인은 법규에 의해 가능한 경우 통합감사 계약을 해지하거나 내부회계관리제도에 대한 의견을 거절하여야 하고, 재무제표 감사에 미치는 영향을 고려하여야 한다.

경영진이 내부회계관리제도의 효과성에 대한 경영진의 서면진술의 제공을 거부함으로 인해 감사범위의 제한이 발생되는 경우, 감사인은 통합감사 계약을 해지하여야 한다. 감사계약의 해지가 관련 법규에 의해 가능하지 않은 경우, 감사인은 내부회계관리제도에 대한 의견을 거절하여야 한다. 또한, 감사인은 경영진의 서면진술 제공 거부가 다른 진술서들(기업의 재무제표감사를 수행할 때 입수한 진술서들을 포함함)에 대해 감사인이 의존할 수 있는 능력에 미치는 영향을 평가하는 것을 포함하여, 재무제표 감사에 미치는 영향을 고려하여야 한다.

범위제한으로 의견을 거절하는 경우, 감사인은 감사범위가 감사의견을 표명하는데 충분하지 않았다는 내용과 의견거절의 실질적인 사유를 기술하여야 한다. 감사인은 수행된 절차를 식별하거나 문단 69(f)에 기재된 것과 같이, 내부회계관리제도감사의 특성을 기술하는 문구를 포함해서는 안 된다. 그렇게 하는 것은 의견거절의 취지를 흐릴 수 있다. (문단 A102-103 참조)

감사인이 의견거절을 하는 상황에서 감사인이 수행한 제한된 절차에 의해 하나 이상의 중요한 취약점이 존재한다는 결론을 내리게 된 경우, 감사보고서에는 또한 다음 내용이 포함되어야 한다.

• (a) 문단 6에서 정한 중요한 취약점의 정의
• (b) 기업의 내부회계관리제도에서 식별된 중요한 취약점에 대한 설명. 이 설명은 감사보고서 이용자에게 중요한 취약점의 성격에 대한 구체적인 정보와, 해당 취약점이 존재하는 동안에 발행된 기업의 재무제표의 표시에 해당 취약점이 미치는 실제적이고 잠재적인 영향에 대한 구체적인 정보를 제공하여야 한다. 이 설명은 또한 문단 74의 요구사항을 적용하여야 한다.

감사인은 또한 문단 76의 요구사항도 적용하여야 한다. (문단 A99 참조)

만약 감사인이 감사범위에 대한 제한이 존재하여 감사의견을 표명할 수 없다고 결론을 내리면, 감사인은 내부회계관리제도감사가 만족스럽게 완료될 수 없음을 경영진과 지배기구에 서면으로 커뮤니케이션하여야 한다.

경영진은 내부회계관리제도 운영실태보고서 내 또는 동 보고서를 포함하는 문서 내에, 감사인의 평가대상에 해당하는 문단 59에 기술된 요소 외에 추가정보를 포함할 수 있으며, 이 경우, 감사인은 다음을 수행하여야 한다.

• (a) 내부회계관리제도 운영실태보고서에 추가정보가 포함된 경우, 감사인은 기타사항문단에서 해당 정보에 대한 의견을 거절하여야 한다. (문단 A105 참조)
• (b) 추가정보가 내부회계관리제도 운영실태보고서와 관련 감사보고서를 포함하는 문서 내에서 내부회계관리제도 운영실태보고서 외의 다른 부분에 포함되어 있고, 감사인이 경영진의 추가정보가 내부회계관리제도 운영실태보고서와의 명백한 중요한 불일치사항과 사실의 중요한 왜곡표시를 포함하고 있다고 믿는다면, 감사인은 해당 사항을 경영진과 논의하여야 한다. 만약, 경영진과의 논의 후에도, 감사인이 사실의 중요한 왜곡표시가 남아있다고 결론을 내리면, 감사인은 감사기준서 720의 요구사항을 적용하여야 한다. 또한, 외부감사법 제22조에 의해 감사인이 추가적인 조치를 취해야 할 수도 있다. ¹⁶⁾ (문단 A106 참조)

16) 외부감사법 제22조(부정행위 등의 보고)

통제테스트를 수행할 부문을 결정할 때, 그룹업무팀은 해당 부문과 관련한 재무제표의 중요왜곡표시위험을 평가하고 해당 부문과 관련한 위험에 상응하는 정도의 주의를 기울여야 한다. (문단 A107-A108 참조)

위험을 평가하고 위험에 대응하는 데 있어서, 그룹업무팀은 그룹재무제표에 중요한 왜곡표시를 발생시킬 합리적 가능성이 있는 특정 위험에 대한 통제를 테스트하거나, 부문감사인이 그룹업무팀을 대신하여 테스트하도록 하여야 한다. (문단 A109 참조)

후속년도 감사에 대한 특별 고려사항에 관한 문단 46의 요구사항을 적용함에 있어서, 그룹업무팀은 부문에 대한 통제테스트의 성격, 시기 및 범위에 해마다 변화를 주어야 한다.

지분법을 적용하는 경우, 감사 범위는 해당 재무보고체계에 따른 기업 재무제표상의 보고(피투자자의 손익에 대한 기업 지분∙투자잔액∙손익과 투자잔액에 대한 조정사항 및 관련 공시에 대한 보고를 말함)에 대한 통제를 포함하여야 한다. (문단 A110 참조)

문단 89에서 기술한 내용을 제외하고, 감사 범위는 평가기준일 이전에 취득한 기업 및 평가기준일에 중단사업으로 회계처리되어 해당 재무보고체계에 따라 기업의 재무제표에 반영된 사업을 포함하여야 한다.

「내부회계관리제도 평가 및 보고 기준」에 의해 경영진 평가에서 특정 부문을 제외하는 것이 허용되는 상황에서는, 감사인도 이와 동일한 방식으로 해당 부문을 감사에서 제외할 수 있다. 이 경우는 감사의견 표명과 관련된 범위제한에 해당되지 않는다.

그러나, 감사인은 내부회계관리제도에 대한 경영진 평가 및 감사인의 감사 범위에서 해당 부문이 제외된 점에 관하여 경영진의 공시와 유사한 공시를 감사보고서의 기타사항문단 또는 감사의견의 근거 단락의 일부로 포함하여야 한다. 또한, 감사인은 해당 상황이 「내부회계관리제도 평가 및 보고 기준」이 허용하는 제외기준을 충족한다는 경영진의 결론의 합리성과 이러한 제외와 관련하여 요구되는 공시의 적합성을 평가하여야 한다. (문단 A111 참조)

감사인이 해당 제외와 관련된 경영진의 공시가 변경되어야 한다고 판단하는 경우, 감사인은 해당 사항을 적합한 직위의 경영진에게 커뮤니케이션하여야 한다. 만약, 감사인이 판단하기에, 경영진이 합리적인 기간 내에 감사인의 커뮤니케이션에 적합하게 대응하지 않는다면, 감사인은 해당 사항을 가능한 빨리 지배기구에 알려야 한다. 경영진과 지배기구가 적합하게 대응하지 않는 경우, 감사인은 감사인이 경영진의 공시로 인해 내부회계관리제도 감사보고서를 변형해야 한다고 판단한 이유를 기타사항문단에 기술하여야 한다.

기업이 서비스조직의 서비스를 활용하는 경우, 감사인은 기업의 내부회계관리제도의 효과성에 대한 감사의견을 뒷받침하기 위하여 요구되는 증거를 결정할 때, 해당 서비스조직의 활동을 포함하여야 한다. (문단 A112-A113 참조)

감사인은 서비스조직이 수행하는 활동에 관하여 감사기준서 402 "서비스조직을 이용하는 기업에 관한 감사 고려사항"의 절차를 수행하도록 요구된다. ¹⁷⁾ 내부회계관리제도 감사 시, 감사인은 또한 내부회계관리제도 감사의견과 관련된 서비스조직의 통제가 효과적으로 운영되는지에 대한 증거를 획득하여야 한다. (문단 A114-A116 참조)

17) 감사기준서 402 "서비스조직을 이용하는 기업에 관한 감사 고려사항" 문단 9-19

만약 감사인이 통제가 효과적으로 운영된다는 감사증거로 유형 2 보고서를 사용하기로 계획한다면, 감사인은 다음을 평가함으로써, 유형 2 보고서가 감사의견을 뒷받침하는 통제효과성에 관한 충분하고 적합한 감사증거를 제공하는지 여부를 결정하여야 한다.

• (a) 통제테스트 대상기간 및 이 대상기간과 평가기준일과의 관계
• (b) 서비스감사인의 업무범위 및 포함되는 서비스와 프로세스의 범위, 테스트된 통제와 수행된 테스트, 그리고 테스트된 통제와 기업의 통제가 관련되는 방식
• (c) 통제테스트의 결과 및 통제의 운영효과성에 대한 서비스감사인의 감사의견 (문단 A117 참조)

감사인은 유형 2 보고서에 식별된 보충적인 이용자기업 통제가 중요왜곡표시위험에 대처하는 데 있어서 관련성이 있는지 여부를 결정하여야 한다. 만약 관련성이 있다면, 관련 보충적인 이용자기업 통제의 설계와 실행을 평가하고 그 운영 효과성을 테스트하여야 한다. (문단 A118 참조)

유형 2 보고서가 내부회계관리제도 감사의견을 뒷받침할 충분하고 적합한 감사증거를 제공하는지 여부를 결정할 때, 감사인은 다음 사항에 만족하여야 한다.

• (a) 서비스감사인의 전문가적 적격성과 서비스조직으로부터의 독립성 (문단 A119 참조)
• (b) 유형 2 보고서가 발행되었을 때 적용된 기준의 적절성 (문단 A120 참조)

감사인은 경영진이 서비스감사인의 보고서 대상기간 후에 후속적으로 발생한 서비스조직 통제의 변경을 식별하였는지 여부를 결정하기 위하여 경영진에게 질문하여야 한다. 만약 경영진이 이러한 변경을 식별하였다면, 감사인은 그러한 변경의 효과가 기업의 내부회계관리제도의 효과성에 미치는 영향을 평가하여야 한다. 감사인은 또한 감사인이 수행한 다른 절차의 결과가 서비스조직의 통제에 변경이 존재해 있었음을 나타내는지 여부를 평가하여야 한다. (문단 A121 참조)

감사인은 경영진 또는 감사인이 수행한 절차와 그 절차의 결과에 근거하고 다음의 위험요소에 대한 평가에 근거하여 서비스조직 통제의 운영효과성에 대한 추가적인 증거를 입수할 지 여부를 결정하여야 한다. 위험이 증가할수록, 감사인이 추가적인 증거를 입수할 필요성도 증가한다.

• (a) 서비스감사인의 보고서상 통제테스트 대상기간과 평가기준일 사이에 경과한 기간
• (b) 서비스조직 활동의 유의성
• (c) 서비스조직의 프로세스수행에서 식별된 오류가 있는지 여부
• (d) 경영진 또는 감사인에 의해 식별된 서비스조직 통제상 변경의 성격 및 유의성 (문단 A122 참조)

서비스감사인의 보고서상 통제테스트 대상기간과 평가기준일 사이에 상당한 기간이 경과한 경우, 내부회계관리제도 감사의견과 관련된 서비스조직 통제의 운영효과성에 대하여 충분하고 적합한 감사증거를 얻기 위하여 추가적인 절차가 수행되어야 한다.

감사인은 내부회계관리제도에 대한 감사의견을 표명할 때 서비스감사인의 보고서를 언급하여서는 안 된다.

자동화된 응용통제의 테스트를 위하여 벤치마킹 전략을 사용할지 여부를 결정하기 위해, 감사인은 다음의 위험요소를 평가하여야 한다.

• (a) 응용통제가 응용프로그램 내에 정의된 프로그램과 일치하는 정도
• (b) 응용프로그램이 안정된 정도 (즉, 기간마다 변경이 거의 없음)
• (c) 실행중인 프로그램의 변경일자 (compilation dates)에 대한 보고서의 이용가능성 및 신뢰성 (문단 A123-A126 참조)

벤치마킹 전략을 사용할 때, 감사인은 자동화된 응용통제가 변경되지 않았음을 결정하기 위한 증거를 획득하여야 한다. (문단 A127-A128 참조)

일정 기간 경과 후(상황에 따라 그 기간의 길이가 달라짐), 자동화된 응용통제의 운영의 출발점이 재설정되어야 한다. 출발점을 언제 재설정 하는지를 결정하기 위하여, 감사인은 다음 요소를 평가하여야 한다.

• (a) 정보기술 통제환경 (응용프로그램 및 시스템 소프트웨어의 취득과 유지에 대한 통제, 접근통제 및 컴퓨터 운영을 포함함)의 효과성
• (b) 통제를 포함하고 있는 특정 프로그램의 변경의 성격에 대한 감사인의 이해
• (c) 그밖에 관련된 테스트의 성격과 시기
• (d) 벤치마크된 응용통제와 관련된 오류가 미치는 영향
• (e) 변경되었을 수 있는 다른 사업요소에 통제가 민감한지 여부. (문단 A129 참조)