감사논집2010년 하반기 16호

기관운영감사는 기관운영상의 제반 가치(values), 즉 합법성, 경제성, 효율성, 효과성 등을 제고하기 위해 실시하는 감사이다. 정부활동의 성과(performance) 향상을 목적으로 하는 데에서는 성과감사와 그 맥을 같이하고 있다. 그러나 합법성, 책임성 등 기관운영과 관련된 기타 가치도 고려한다는 점에서 감사영역과 접근방법이 보다 폭넓은 감사라고 할 수 있다. 컴퓨터를 활용한 기관운영감사 사례를 비위유형별 분류 기준에 따라 정리한 결과 회계부문과 감찰 부문이 각각 50% 정도 관련된 것으로 나타났다. 기관운영감사에서는 특정 부문에 대한 전산 기법 활용이 두드러진 점은 발견하지 못하였고, 회계 및 감찰 부문과 상관없이 고르게 활용 되고 있는 것으로 파악되었다. 이러한 원인은 광범위한 범위에서 다른 감사와 중복되는 경우가 많기 때문이다. 기관운영감사에서는 기관운영과 관련된 모든 사항이 감사 대상이 될 수 있으므로 재무감사의 대상업무 중 기관 자체의 운영과 관련된 예산업무도 기관운영감사의 대상이 될 수 있다. 성과감사와는 기관의 성과 향상, 즉 효율성과 효과성 등의 개선을 목적으로 한다는 점과 다양한 분석기법을 통해 대상 업무를 심층적으로 진단하고 대안을 모색한다는 점에서 유사하다. 특정과제감사란 사회 경제적 현안과제나 특정 취약 분야 등을 대상으로 문제점을 파악하고 그 원인 및 책임 소재를 규명하여 개선대책을 마련하기 위한 감사를 말한다. 컴퓨터를 활용한 특정감사 사례를 비위유형별 분류 기준에 따라 정리한 결과 재무감사와 유사하게 감찰 부문보다 회계부문과 더 관련이 있는 것으로 나타났으나 비율 면에서는 다소 차이가 있는 것으로 파악되었다. 60% 정도가 회계부문과 관련된 것이었고, 나머지 40% 정도가 감찰부문과 관련된 것으로 나타났다. 특히 회계부문에서 부과, 징수, 예산집행, 예산관리 및 집행(지출)에 많이 활용되고 있는 것으로 나타났고, 감찰부문에서는 기획관리의 계획 및 집행, 업무 협조, 규제 관련 지도 감독 등에 주로 전산기법을 많이 활용하여 감사한 것으로 드러났다. 앞에서 설명한 바와 같이 최근 5년 동안 컴퓨터 활용 감사 사례를 분석해보면 크게 3가지 유형으로 구분할 수 있는데, 데이터의 무결성(integrity), 시스템의 효율성(efficiency), 준수성 (compliance) 등에 초점이 맞추어져 감사를 실시한 것으로 나타났다. 그러나 이외에도 데이터의 보안, 시스템의 유용성 등에 대한 부분에 초점을 맞추어 감사를 실시할 필요가 있으나 아직은 미흡한 것으로 판단된다. 물론 컴퓨터를 활용한 감사가 정보시스템과 관련된 문제만을 위주로 지적하고 개선사항을 제시하는 것은 아니기 때문에 정보시스템외 다른 분야로의 적용도 필요한 것이 사실이다. 그러나 감사에 필요한 자료가 시스템에 저장되어 있고 이를 효과적으로 검증하기 위해서는 정보시스템 환경하에서의 감사가 필수적이기 때문에 분야에 구분 없이 공통적으로 정보시스템이 중요한 구심점 역할을 하고 있다는 것을 항상 명심해야 한다. 기존의 합법성감사나 성과감사 등은 주로 서면자료를 기초로 감사가 이루어지기 때문에 CAATs을 활용하여 데이터를 시스템에서 추출하여 분석하는 과정을 거치지 않더라도 규정 준수 여부를 확인할 수 있다는 인식으로 인하여 CAATs을 활용할 수 있는 기회가 적다. 이러한 원인은 CAATs을 범용의 감사지원 도구보다는 부정행위, 회계 등 제한된 분야에서 사용하는 도구라는 인식이 더 크기 때문(Debreceny et al., 2005)에 CAATs을 활용하는 범위가 확대되기 어려운 실정이다. 그러나 실제 감사원 감사 사례를 보면 횡령이나 부정과 관련이 있지만 그 문제점 개선을 위한 원인을 살펴보면 모두 규정을 제대로 준수하지 않아서 발생한 합법성감사의 영역임을 알 수 있다. 그러므로 CAATs 활용 범위가 전통적인 재무감사 외에 성과감사나 합법성감사 등 비재무감사에도 넓게 적용할 수 있음을 확인할 수 있다. 일부 정보시스템에서는 감사 목적에 유용한 감사증적(audit trails)이 한정된 기간 동안만 존재하거나 복잡한 업무시스템이 많은 단계의 처리과정을 거치는 경우에는 감사증적이 완전하게 남아 있지 않을 수 있다. 따라서 조직 내 외부 관리의 부정 또는 오류의 책임 규명을 확인하는 데 제한이 있을 수 있다. 그러므로 CAATs을 활용했던 시스템의 데이터가 실제로 정확하고 신뢰할 만한 것인지를 확인하는 작업이 필요하다. 신뢰성이 적은 데이터를 이용해 분석한 결과를 가지고 판단했을 경우 자칫 잘못된 감사결과를 낳을 수 있으므로 주의가 필요하기 때문이다. 따라서 최고감사기구는 수감기관이 도입하여 운영하는 정보 시스템에 대한 적절한 수준의 통제, 보안, 자료보관절차 등의 확인을 해야 한다고 INTOSAI는 권고하고 있다. 관련 시스템에 필수적인 데이터를 등록해서 내부적인 점검 목적으로 활용되어야 하는 데도 불구하고 필요한 데이터가 등록되어 있지 않거나, 잘못 입력되어 문제가 발생하는 사례가 많았다. 한편, 미국사회보장국(Social Security Administration)에 따르면 매년 220만 개의 사회 보장번호(Social Security Number)가 잘못 입력되어 있으며, 수작업에 의해 데이터 재입력으로 정정하고 있다. 영국의 경우 17억 유로(33억 달러)의 예산이 매년 주민번호 도용으로 인한 피해를 바로잡는 데 쓰이며, 미국연방통상위원회(Federal Trade Commission)은 1998~2003년 사이에 사회보장번호 도용으로 입은 피해액이 2,730만 달러라고 밝힌 바 있다. 감사원에서도 이와 유사한 사례들이 발견되고 있는데 이러한 문제들은 시스템에 등록되어 있는 자료를 재검토하여 미입력된 자료를 찾거나 잘못 입력한 자료를 대사하여 확인할 수 있다. 입력된 데이터의 신뢰성 및 정확성 검증절차를 거치지 않고 그대로 자료를 이용하여 실제 결과와 차이가 나는 경우가 발생하는 것으로 기관 자체적으로 데이터에 대한 검증 체계가 부재한 것이 주요 원인이라고 볼 수 있다. 관련 시스템의 자료를 대상으로 재확인 절차를 수행하거나 관련된 다른 시스템의 자료를 검토함으로써 그 데이터의 오류를 확인할 수 있다. 그러나 궁극적으로 지속적인 데이터 품질관리(Data Quality Management) 활동을 통하여 이러한 문제점을 해결할 수 있으나 아직까지는 인식 부족 등의 이유로 부진한 상태이다. 지난 2008년 한국데이터베이스진흥센터에서 국내 200개 조직(50개 공공기관, 150개 일반기업)을 대상으로 국내 데이터 품질관리 성숙 수준을 조사한 바에 따르면 전체 5단계 중 0.8단계로 1단계가 도입 단계인데 이는 데이터 품질관리에 있어 가장 기초적인 단계에도 이르지 못한 수준을 의미한다.