질문
안녕하세요.
저희 회사는 비상장 대기업으로 내부회계관리제도 감사인 검토 대상으로 이에 맞게 내부회계관리제도 설계 및 운영 중입니다.
관련하여 상기 제목과 같이 문의드리오니 답변해주시면 감사하겠습니다.
당사의 ICT 부문(ITGC 통제수행부서)에서는 시스템에 권한/데이터/시스템 변경 적용 필요 시 신청자 → 신청팀장 → ICT 담당자
결재(통제 승인)를 거쳐 시스템에 변경사항이 적용되도록 프로세스를 적용해두었습니다.
현행 : 신청자 → 신청팀장(신청팀장 승인 시 변경 요청 접수) → ICT 담당자(최종 승인 및 변경 적용)
질의사항 : 법인장, 실장, 본부장 등 조직장 이상의 직급자가 시스템 권한/데이터/시스템변경 적용 요청 시
적절한 결재선은 무엇인지 답변해주시면 감사하겠습니다.
※ 본부장 → ICT담당자 전결, 이와 같이 ITGC 통제수행담당자의 통제만 받아도 무방한지 문의드리며,
자가결재 및 승인 시 어떠한 Risk가 있는지도 알려주시면 감사하겠습니다.
감사합니다.
답변
"내부회계관리제도 설계 및 운영 적용사례"에서는 접근권한관리 솔루션 상 권한등록·변경 요청 절차의 사례로 ‘요청서 작성 → 부서장 결재 → 시스템 소유자 또는 정보보안 파트 결재’를 제시하고 있습니다(11-03 보안관리 프로세스에 대한 통제활동 수립)
본 질의에서처럼 요청자가 “자가결재 및 승인”하는 경우 제3자가 독립적이고 객관적으로 요청 내용의 적정성을 검토하는 과정이 없어 특정인이게 과도한 권한이 부여되어 애초에 의도한 업무분장이나 접근제한의 목적 달성을 저해하거나, 의도하지 않은 데이터의 생성, 변경 또는 삭제 등에 노출될 위험이 있습니다. 따라서 조직장 이상의 직급자가 요청자인 경우에도 “상급자나 해당 부서의 부서장”의 결재절차를 유지할 수 있으며, 전반적인 통제환경의 효과성을 포함한 회사의 제반사정을 고려하여 결정할 수 있을 것입니다. 다만 이러한 위험성을 고려하여 조직장 이상의 직급자가 직접 요청한 건을 부서장이나 시스템 소유자 또는 정보보안 파트가 검토 및 결재하는 과정에서 예외적인 사항이 식별된 경우 보고(익명 또는 비밀이 보장된 별도의 의사소통 채널 포함)하는 절차를 통제 설계에 반영하고, 특히 “자가결재 및 승인”에 해당하는 요청 건에 대해서는 내부통제 또는 내부감사 조직이 그 적정성을 주기적으로 모니터링하는 등의 절차를 고려할 수 있습니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=946&rGotoPage=2&rSchText=&rType=1
게시글 번호: 728