기준서 402 서비스조직을 이용하는 기업에 관한 감사 고려사항

이 감사기준서는 이용자기업이 하나 이상의 서비스조직으로부터 서비스를 이용할 때 충분하고 적합한 감사증거를 입수하기 위한 이용자기업 감사인의 책임을 다룬다. 특히, 이 감사기준서는 이용자기업 감사인이 중요왜곡표시위험을 식별하고 평가하는데 충분할 만큼 이용자기업(재무제표 작성과 관련된 기업의 내부통제시스템 포함)을 이해할 때, 그리고 그러한 위험에 대응하는 추가감사절차를 설계하고 수행할 때, 감사기준서 315¹⁾와 감사기준서 330²⁾을 어떻게 적용할 것인지에 대하여 상세히 설명한다.

1) 감사기준서 315 "기업과 기업환경 이해를 통한 중요왜곡표시위험의 식별과 평가"

2) 감사기준서 330 "평가된 위험에 대한 감사인의 대응"

기업들은 서비스조직들로부터 여러 측면의 사업을 아웃소싱하며, 이러한 조직은 감사대상 기업의 감독하에 하나의 특정 과업을 수행하거나 납세의무의 준수와 같은 기업의 전체 기능이나 전체 사업단위를 대행한다. 이러한 조직들이 제공하는 서비스는 대부분 그 기업의 사업운영에 필수적인 부분이다. 그러나 이러한 서비스가 모두 감사와 관련된 것은 아니다.

서비스조직이 제공하는 서비스는 해당 서비스와 이에 대한 통제가 이용자기업의 재무제표 작성과 관련성이 있는 정보시스템의 일부인 경우에는, 이용자기업의 재무제표감사와 관련이 있다. 서비스조직의 대부분 통제는 재무제표 작성과 관련된 이용자기업의 정보시스템의 일부이거나, 자산보호에 대한 통제와 같은 관련 통제일 가능성이 있다. 서비스조직의 서비스가 다음 중 하나에 영향을 미친다면 이는 이용자기업의 정보시스템의 일부이다.

• (a) 유의적인 거래유형, 계정잔액 및 공시에 관한 정보가 이용자기업의 정보시스템에 흘러가는 방법(수동이나 정보기술이용, 총계정원장과 보조원장 내에서 입수되거나 외부에서 입수). 여기에는 서비스조직의 서비스가 다음에 영향을 미칠 때는 포함한다.
  • (i) 거래가 개시되는 방법, 관련 정보가 기록, 처리되며 필요에 따라 수정되고 총계정원장에 처리되며 재무제표에 보고되는 방법
  • (ii) 거래 외의 사건과 상황에 대한 정보가 포착되고 처리되며 이용자기업이 재무제표에 공시하는 방법
• (b) 기업의 재무제표의 특정 계정과 기타 이를 뒷받침하는 문단 3(a)의 정보의 흐름에 관한 기록
• (c) 3(b)에 설명된 기록으로부터 이용자기업의 재무제표를 작성하는 데 이용되는 재무보고절차(공시와 관련되는 것과 유의적인 거래유형, 계정잔액 및 공시와 관련된 회계추정치와 관련되는 것 포함)
• (d) 위 (a)-(c)와 관련된 기업의 정보기술 환경

서비스조직이 제공하는 서비스에 대하여 이용자기업의 감사인이 수행할 업무의 성격과 범위는 이용자기업에게 제공된 서비스의 성격과 유의성 및 감사와의 관련성에 따라 다르다.

이 감사기준서는 예를 들어 은행의 당좌거래 처리나 증권회사에 의한 유가증권거래의 처리와 같이, 금융기관이 기업의 계좌에 대하여 그 기업이 구체적으로 승인하는 거래를 처리하는 것으로 한정되는 서비스에는 적용하지 아니한다. 또한 이 감사기준서는 파트너십, 법인 및 조인트벤처와 같은 실체의 소유지분이 그 소유자를 위해 회계처리되고 보고되는 경우, 이러한 지분으로부터 발생되는 거래의 감사에는 적용하지 아니한다.

이 감사기준서는 2026년 1월 1일 이후 개시하는 보고기간의 재무제표에 대한 감사부터 시행된다.

이용자기업이 서비스조직의 서비스를 이용하는 경우, 이 감사기준서와 관련된 이용자기업 감사인의 목적은 다음과 같다.

• (a) 중요왜곡표시위험의 식별과 평가에 대한 적합한 근거를 제공하기에 충분하도록 서비스조직에서 제공하는 서비스의 성격과 유의성, 그리고 이것이 해당 감사와 관련된 이용자기업의 내부통제에 미치는 영향을 이해함
• (b) 그러한 위험에 대응하는 감사절차를 설계하고 수행함

감사기준에서 사용하는 용어의 정의는 다음과 같다.

• (a) 보충적인 이용자기업 통제 – 서비스조직이 해당 서비스를 설계할 때 이용자기업이 실행할 것으로 보는 통제로서, 통제목적을 달성하는데 필요하다면 시스템기술서에서 식별되는 통제
• (b) 서비스조직 통제에 대한 기술과 설계에 관한 보고서(이 감사기준서에서 “유형 1 보고서” 라 한다) – 이는 다음으로 구성된다.
  • (i) 특정일 현재 설계되고 실행 중인 서비스조직의 시스템과 통제목적 및 관련 통제에 대한 서비스조직 경영진의 기술
  • (ii) 서비스감사인이 합리적인 확신을 제공할 목적으로 작성한 보고서. 이는 해당 서비스조직의 시스템, 통제목적 및 관련 통제에 대한 기술과, 명시된 통제목적을 달성하기 위한 통제설계의 적합성에 대한 서비스감사인의 감사의견을 포함한다.
• (c) 서비스조직 통제에 대한 기술과 설계 및 운영효과성에 대한 보고서(이 감사기준서에서 “유형 2 보고서”라 한다) – 이는 다음으로 구성된다.
  • (i) 서비스조직의 시스템, 통제목적 및 관련 통제, 특정일 현재 혹은 특정기간의 이들의 설계와 실행, 그리고 경우에 따라 특정기간의 운영효과성에 대한 서비스조직 경영진의 기술
  • (ii) 서비스감사인이 합리적 확신을 제공할 목적으로 작성한 보고서. 이는 다음 사항을 포함한다.
    • a. 서비스조직의 시스템, 통제목적 및 관련 통제에 대한 기술과, 명시된 통제목적을 달성하기 위한 통제설계의 적합성 및 운영효과성에 대한 서비스감사인의 감사의견
    • b. 서비스감사인의 통제테스트 및 그 결과에 대한 기술
• (d) 서비스감사인 – 서비스조직의 요청에 따라 해당 조직의 통제에 관한 인증보고서를 제공하는 감사인
• (e) 서비스조직 – 이용자기업의 재무보고 관련 정보시스템의 일부를 구성하는 서비스를 이용자기업에게 제공하는 제3자 조직 (또는 제3자 조직의 사업부문)
• (f) 서비스조직의 시스템 – 서비스감사인의 보고대상인 서비스를 이용자기업에게 제공하기 위하여 서비스조직이 설계ㆍ실행ㆍ유지하는 정책과 절차
• (g) 하위서비스조직 – 서비스조직이 이용자기업의 재무보고 관련 정보시스템의 일부를 구성하는 서비스를 이용자기업에게 제공할 때, 해당 서비스의 일부를 수행하기 위하여 서비스조직이 이용하는 타 서비스조직
• (h) 이용자기업 감사인 – 이용자기업 재무제표에 대한 감사와 보고를 하는 감사인
• (i) 이용자기업 – 서비스조직을 이용하는 기업으로서 자신의 재무제표를 감사받고 있는 기업

이용자기업 감사인은 감사기준서 315³⁾에 따라 이용자기업을 이해할 때, 이용자기업이 자신의 사업에 서비스조직의 서비스를 어떻게 이용하는지를 이해하여야 하며, 이에는 다음과 같은 내용이 포함되어야 한다. (문단 A1-A2 참조)

• (a) 서비스조직이 제공하는 서비스의 성격과 그러한 서비스가 이용자기업에 미치는 유의성(이용자기업의 내부통제에 대한 영향 포함) (문단 A3-A5 참조)
• (b) 서비스조직이 처리한 거래 또는 해당 조직에 의해 영향을 받는 계정이나 재무보고절차의 성격과 중요성 (문단 A6 참조)
• (c) 서비스조직이 수행하는 활동과 이용자기업이 수행하는 활동의 상호작용 정도 (문단 A7 참조)
• (d) 서비스조직이 수행하는 활동에 대한 관련 계약조건 등 이용자기업과 서비스조직간 관계의 성격 (문단 A8-A11 참조)

3) 감사기준서 315 문단 9

이용자기업 감사인은 감사기준서 315에 따라 감사와 관련된 기업의 내부통제시스템을 이해할 때, 서비스조직이 제공한 서비스와 관련된 이용자기업의 통제활동 구성요소의 통제⁴⁾(서비스조직이 처리한 거래에 적용되는 이용자기업의 관련 통제 포함)를 식별하고, 그 설계를 평가하며 실행되었는지 여부를 판단하여야 한다.⁵⁾(문단 A12-A14 참조)

4) 감사기준서 315 문단 26(a)

5) 감사기준서 315 문단 26(d)

이용자기업 감사인은 중요왜곡표시위험의 식별과 평가의 적합한 근거를 제공하기 위하여, 서비스조직에 의해 제공된 서비스의 성격과 유의성 그리고 그러한 서비스가 이용자기업의 내부통제시스템에 미치는 영향을 충분히 이해하였는지 여부를 결정하여야 한다.

이용자기업 감사인이 이용자기업으로부터 충분한 이해를 얻을 수 없는 경우, 이용자기업 감사인은 다음 중 하나 이상의 절차를 통하여 이를 충분히 이해하여야 한다. (문단 A15-A20 참조)

• (a) 입수가능한 경우, 유형 1 또는 유형 2 보고서를 입수함
• (b) 특정 정보를 얻기 위하여 이용자기업을 통하여 서비스조직과 접촉함
• (c) 서비스조직을 방문하여 서비스조직의 관련 통제에 대하여 필요한 정보를 제공할 절차를 수행함
• (d) 타감사인이 수행한 업무를 활용하여 서비스조직의 통제에 대하여 필요한 정보를 제공할 절차를 수행함

이용자기업 감사인은 유형 1 또는 유형 2 보고서에 의해 제공되는 감사증거의 충분성과 적합성을 결정할 때, 다음에 대하여 만족할 수 있어야 한다. (문단 A21 참조)

• (a) 서비스감사인의 전문가적 적격성 및 서비스조직으로부터의 독립성
• (b) 발행된 유형 1 또는 유형 2 보고서에 적용된 기준의 적절성

이용자기업 감사인은 서비스조직의 통제의 설계 및 실행에 대한 이해를 뒷받침하기 위하여 유형 1 또는 유형 2 보고서를 감사증거로 이용할 계획이면, 다음의 절차를 수행하여야 한다. (문단 A22-A23 참조)

• (a) 서비스조직의 통제에 대한 기술과 설계가 이용자기업 감사인의 감사목적에 적합한 일자 또는 적합한 기간에 대한 것이지 여부를 평가함
• (b) 서비스조직의 통제의 이해를 위해 해당 보고서가 제공하는 증거의 충분성과 적합성을 평가함
• (c) 서비스조직에 의해 식별된 보충적인 이용자기업 통제가 이용자기업과 관련성이 있는지 여부를 결정함. 관련성이 있다면, 이용자기업이 그러한 통제를 설계하였고 실행하였는지 여부를 이해함

이용자기업 감사인은 감사기준서 330에 따라 평가된 위험에 대응하여, 다음의 절차를 수행하여야 한다. (문단 A24-A28 참조)

• (a) 관련 재무제표 주장에 대하여 충분하고 적합한 감사증거가 이용자기업이 보유하고 있는 기록으로부터 입수가능한지 여부를 결정함
• (b) 위 (a)에서 감사증거가 입수가능하지 않는 경우에는, 충분하고 적합한 감사증거를 입수하기 위한 추가감사절차를 수행하거나, 이용자기업 감사인을 대신하여 해당 서비스조직에서 그러한 절차를 수행하기 위하여 타감사인의 업무를 활용함

이용자기업 감사인이 위험을 평가할 때 서비스조직의 통제가 효과적으로 이루어지고 있다는 기대가 포함되어 있으면, 이용자기업 감사인은 다음의 절차 중 하나 이상을 수행하여 서비스조직 통제의 운영효과성에 관한 감사증거를 입수하여야 한다. (문단 A29-A30 참조)

• (a) 입수가능한 경우, 유형 2 보고서를 입수함
• (b) 서비스조직의 통제에 대하여 적합한 통제테스트를 수행함
• (c) 서비스조직의 통제에 대하여 통제테스트를 수행한 타감사인의 업무를 활용함

문단 16(a)에 따라 이용자기업 감사인이 서비스조직의 통제가 효과적으로 운영되는지에 대한 감사증거로 유형 2 보고서를 이용할 계획이라면, 이용자기업 감사인은 다음의 절차를 수행함으로써 서비스감사인의 감사보고서가 이용자기업 감사인의 위험평가를 뒷받침하는 데 통제의 효과성에 대한 충분하고 적합한 감사증거를 제공하는지 여부를 결정하여야 한다. (문단 A31-A39 참조)

• (a) 서비스조직 통제에 대한 기술, 설계 및 운영효과성이 이용자기업 감사인의 감사목적에 적합한 일자 또는 적합한 기간에 대한 것인지 여부를 평가함
• (b) 서비스조직에 의해 식별된 보충적인 이용자기업 통제가 이용자기업과 관련성이 있는지 여부를 결정하고, 관련성이 있다면 이용자기업이 그러한 통제를 설계하였고 실행하였는지 여부를 이해하고 통제의 운영효과성을 테스트함
• (c) 통제테스트의 대상기간 및 그러한 통제테스트를 수행한 후 경과된 시간의 적절성을 평가함
• (d) 서비스감사인의 감사보고서에 기술된 해당 감사인의 통제테스트와 그 결과가 이용자기업 재무제표의 경영진주장과 관련이 있으며, 이용자기업 감사인의 위험평가에 도움이 되도록 충분하고 적합한 감사증거를 제공하는지 여부를 평가함

만약 이용자기업 감사인이 하위서비스조직이 제공하는 서비스가 제외된 유형 1 또는 유형 2 보고서를 이용할 계획이고 그러한 서비스가 이용자기업의 재무제표감사와 관련이 있는 경우, 이용자기업 감사인은 하위서비스조직이 제공하는 서비스에 관하여 이 감사기준서의 요구사항을 적용하여야 한다. (문단 A40 참조)

이용자기업 감사인은 이용자기업의 경영진에게 서비스조직이 이용자기업에게 이용자기업의 재무제표에 영향을 미치는 부정, 법규위반 또는 미수정왜곡표시를 보고하였는지, 또는 다른 방법으로 이를 알고 있는지에 대하여 질문하여야 한다. 이용자기업 감사인은 그러한 사항들이 이용자기업 감사인의 추가감사절차의 성격, 시기 및 범위에 어떻게 영향을 미치는지 평가하여야 한다(이용자기업 감사인의 결론 및 이용자기업 감사인의 감사보고서에 미치는 영향 포함). (문단 A41 참조)

이용자기업의 재무제표감사와 관련하여 서비스조직이 제공하는 서비스에 관한 충분하고 적합한 감사증거를 입수할 수 없는 경우, 이용자기업 감사인은 감사기준서 705⁶⁾에 따라 감사의견을 변형시켜야 한다. (문단 A42 참조)

6) 감사기준서 705 "감사의견의 변형" 문단 6

이용자기업 감사인은 법규에서 요구하지 않는 한 적정의견을 표명하고 있는 자신의 감사보고서에서 서비스감사인이 수행한 업무를 언급하지 않아야 한다. 법규상 이러한 언급이 요구된다면, 이용자기업 감사인은 그러한 언급이 이용자기업 감사인의 감사의견에 대한 책임을 경감시키지 아니함을 감사보고서에 명시하여야 한다. (문단 A43 참조)

서비스감사인이 수행한 업무를 언급하는 것이 이용자기업 감사인의 변형의견을 이해시키는 것과 관련된다면, 이용자기업 감사보고서에는 그러한 언급이 해당 변형의견에 대한 이용자기업 감사인의 책임을 경감시키지 아니함을 명시하여야 한다. (문단 A44 참조)