감사논집제20호

컴퓨터를 활용한 감사기법은 전통적 감사의 효율성 향상에 기여할 수 있으나, 업무성과나 규제 준수, 부정예방 및 발견에 획기적으로 기여하기에는 미흡하다. 실시간 경제환경에서 ERP와 같은 전사시스템은 실시간 금융정보를 만들어내고 있고, 경영진과 이해 관계자들의 올바른 의사결정을 위해서 해당 정보에 대한 실시간 확신이 요구되고 있다. 그러나 컴퓨터를 활용한 감사기법은 전통적 감사의 틀에서 벗어나지 못하고 있다. 더욱이, SOX법 준수를 위한 미국 기업의 평균 지출 금액인 220만 달러(약 25억원, 환율 1,116원 기준)가 내부 감사인이나 외부 컨설턴트에 의해 수행되는 수작업 위주의 업무와 관련되어 있다. 또한 국내 공기업 감사지적 사례를 보면 지속적인 사후 모니터링 방안이 마련되지 않은 채 감사가 종료되어 동일한 건에 대해 감사지적사항이 반복적으로 발생하고 있다. 이런 이유들로 미래의 감사는 수작업 중심의 적발에서 기술 중심의 예방으로 바뀔 필요가 있다. 프로세스 마이닝은 정보시스템에 기록된 이벤트 로그에서 프로세스 지식을 도출함으로써 운영 프로세스에 대한 발견과 모니터링, 개선을 지원하는 연구 분야이다. Business Process Mining Center는 프로세스 마이닝을 다음과 같이 기술하고 있다.“프로세스 마이닝의 기본 아이디어는 정보시스템이 기록한 이벤트 로그에서 (프로세스) 지식을 도출하는 것이다. 최근까지도 이러한 이벤트 로그에 담긴 정보는 핵심 프로세스의 분석에 거의 활용되지 않았다. 프로세스 마이닝은 이벤트 로그에서 프로세스, 통제, 데이터, 조직 과 사회구조 발견을 지원하는 기법과 도구를 제공함으로써 이벤트 로그의 활용을 지원하는 것을 목표로 한다. 운영 정보시스템에 기록되는 이벤트 로그의 편재와 폭발적인 증가로 프로세스 마이닝은 최근에 활발한 연구 분야가 되었다.” 한편, 유 무선 인터넷과 정보기술의 발전으로 촉발된 실시간 경제환경에서 기업의 전사적 자원관리(Enterprise Resource Planning, 이하 ‘ERP’)와 같은 전사시스템은 금융정보를 (거의) 실시간으로 처리하고 있다. 이러한 경제환경에서 ERP와 같은 전사시스템에 기록된 방대한 업무수행 데이터를 체계적으로 분석할 수 있는 새롭고 유망한 수단인 프로세스 마이닝이 학계와 재계에서 크게 주목받고 있다. 프로세스 마이닝은 전사시스템이 일상적으로 수집하고 저장하는 방대한 데이터(즉 빅 데이터)를 활용함으로써 프로세스가 실제 어떻게 수행되었는가에 대한 통찰력을 제공할 수 있다. 사실, 프로세스 마이닝의 초점인 자동화된 프로세스 발견과 객관적인 분석은 프로세스 관련 경영활동[예, 프로세스 혁신과 경영, 프로세스 재설계, BI(Business Intelligence)]의 핵심 수단이 될 수 있다. 일반적으로 프로세스 마이닝의 세 가지 축은 첫째, 프로세스 발견, 둘째, 순응도 검사, 셋째, 확장이다. 전통적으로 프로세스 마이닝은 운영 프로세스의 자동화된 발견에 초점을 맞추어 왔다. 최근에 이런 발견 기법은 프로세스뿐 아니라 업무수행에 관여한 수행자들 사이의 사회관계망 발견과 분석도 지원하고 있다. 이러한 발견 기법은 실제 프로세스가 어떻게 수행되는가에 대한 통찰력을 제공할 수 있고, 업무가 수행될 때 업무수행자들, 팀들 또는 부서들 간에 어떻게 일하는가에 대한 통찰력을 제공할 수 있다. 순응도 검사는 사전에 정의된 프로세스 모델과 실제 이벤트 로그에 기록된 행동을 비교 분석한다. 이러한 비교를 통해서 정해진 업무수행방식과 다르게 수행되는 사례를 발견하거나 차이가 나는 부분을 발견할 수 있다. 또한 이러한 차이의 심각성을 측정할 수 있다. 마지막으로, 발견되었거나 주어진 프로세스 모델을 다양한 관점에서 확장할 수 있다. 예를 들어, 이벤트 로그에 기록된 업무수행에 관한 시간정보를 활용하여 시간 관점에서 프로세스 성과 분석을 수행하거나 병목지점을 발견할 수 있다. 또한 과거 수행 사례들을 분석하여 특정 의사결정 지점에서 어떤 요소들이 수행 경로 결정에 영향을 주는가를 분석할 수 있다. 프로세스 마이닝은 크게 2가지 분야에서 활용되어 왔다. 즉 프로세스 마이닝은 프로세스 경영과 개선 분야에서 프로세스 분석과 성과 개선에 활용될 수 있고, 준법 경영 분야에서 감사 등에 활용될 수 있다. 먼저 프로세스 분석과 성과 개선 관점에서 프로세스 마이닝은 최근에 공학과 경영학 분야에서 폭넓게 활용되고 있다. 예를 들어, 프로세스 마이닝은 병원에서 환자들을 치료하는 방식을 이해하고 개선하기 위해서 활용되었다. Wynn et al.(2009)은 공급사슬에서 위험한 제품을 효율적이고 철저히 회수하기 위한 방법을 개발하기 위해서 프로세스 마이닝을 활용하였다. van der Aalst et al.(2007)은 공공기관의 대금청구 프로세스를 개선하기 위해서 프로세스 마이닝을 활용하였다. 프로세스 마이닝은 또한 반도체 장비의 테스트 프로세스를 이해하고 개선하기 위해서 이용되었다. 이외에도 지난 10여 년 동안 프로세스 분석과 성과 개선에 초점을 맞춘 100편 이상의 프로세스 마이닝에 관한 논문들이 출판되었다. 이벤트 로그가 더 많은 상황정보를 포함할수록 감사인은 더욱 다양한 감사위험모형을 검증할 수 있으나, 풍부한 메타 데이터를 확보하는 것이 쉽지 않은 경우가 많다. 그러나 프로세스 마이닝은 거래가 기록되는 시간정보와 이 거래를 수행한 담당자 정보를 포함한 기본적인 메타 데이터만을 활용해도 Ⅲ장 1절에서 설명되는 다양한 분석이 가능하다. 이를 통해서 감사인은 의심되는 거래와 관련된 전체 업무 흐름을 파악하거나 의심되는 거래를 수행하는 업무수행자들 사이의 관계를 도출할 수 있다. 이벤트 로그 분석을 통한 업무활동 사이의 관계와 업무수행자들 사이의 관계를 창출하고, 이에 기반을 두고 특이점을 찾아낼 수 있는 프로세스 마이닝의 본질적인 능력이 감사 분야에 제공할 수 있는 중요한 가치의 근원이 된다. 프로세스 마이닝이 감사 분야에 제공할 수 있는 이러한 가치에도 불구하고, 관련 연구는 부족한 상황이다. 현재까지 진행된 연구는 주로 기술 관점의 알고리즘 개발이나(Gehrke, 2010), 프로세스 마이닝의 감사 적용 가능성과 감사 적용을 위한 프레임워크 개발에 초점을 맞추고 있다. 기존 감사 관행에서 감사 의견 제출을 위해서 분석되는 정보는 종이 기반 환경에서 감사가 수행될 때와 동일하다. 즉 전적으로 입력 데이터에만 의존하게 되며 이것은 내부감사 관행에도 동일하게 적용된다. 최근에 이러한 입력 데이터를 분석하기 위해서 컴퓨터를 활용한 감사기법(CAATs)이 활용되고 있다. 또한 데이터 마이닝 기법과 포렌식 기법도 로그 데이터 분석을 감사에 활용하고 있다. 그러나 이것은 기존 감사절차를 단순 자동화한 것이며 ERP와 같은 전사시스템에 기록된 업무수행에 관한 이벤트 로그를 프로세스 관점에서 충분히 활용하지 못한다는 한계를 가진다. 이에 반해, 프로세스 마이닝은 개별 거래 데이터 입력에 관한 메타 데이터를 획득해서 분석하는 것에 그치는 것이 아니라, 거래 사이의 또는 이러한 거래를 수행하는 수행자 사이에서 특정 패턴을 발견할 수 있다. 이를 통해서 프로세스 마이닝은 특정 거래들이 어떤 시간에 어떤 순서로 특정 공급업체나 직원과 항상 연결되는가를 발견할 수 있다. 전술한 프로세스 마이닝 수행절차의 단계 [4]와 [6]에서 활용되는 주요 프로세스 마이닝 기법과 감사 관점의 활용 방안을 제시하면 다음과 같다.