감사 분야에서 프로세스 마이닝의 가치와 활용 방안, 그리고 부정 위험 감소를 위한 적용 사례 및 향후 연구 방향 doc_id PCY_201502110903292511_3

프로세스 마이닝이 프로세스 관점에서 제공하는 독창적인 통찰력을 감사 분야에 적용하려는 다양한 노력이 있었다. 특히 Jans et al.(2012)은 프로세스 마이닝이 감사 분야에 적용될 때 가질 수 있는 가치의 원천은 다음과 같다고 주장한다. 첫째, 프로세스 마이닝은 샘플이 아닌 모집단을 분석 대상으로 한다. 둘째, 프로세스 마이닝은 과거 수행된 업무 프로세스에 대한 단계별 확인과 분석절차 수행을 위한 효과적인 방법을 제공한다. 그러므로 프로세스 마이닝은 다양한 감사위험모형(audit risk model)의 검증에 더욱 효과적인 방법을 제공한다. 셋째, 감사인은 프로세스 마이닝을 활용해서 기존 감사도구에서 지원되지 않는 분석(예, 현업에서 업무 프로세스가 실제 수행된 방식의 발견과 업무수행자들 간의 사회관계망 확인 등)을 수행할 수 있다. 마지막으로, 가장 중요한 가치의 원천은 피감사인이 직접 입력한 데이터뿐 아니라 관련 메타 데이터(meta-data)(예, 데이터가 입력된 시간 등)도 감사에 활용할 수 있다는 것이다. 전술한 바와 같이, 프로세스 마이닝을 위한 데이터 출처는 ‘이벤트 로그(또는 감사 증적)’이다. 감사 증적(audit trail)은 컴퓨터 시스템의 파일에 기록된 컴퓨터 시스템 활동에 관한 시간 순서의 기록을 말한다. 이벤트 로그는 주로 정보기술 감사와 사이버 보안 감사에 한정적으로 활용되었으나, 일반적인 내부감사에는 거의 활용되지 않았다. 자동화된 프로세스 발견이나 순응도 검사와 같은 프로세스 마이닝 기법을 통해서 프로세스 마이닝의 감사 분야에로의 적용 가능성을 짐작할 수 있으나, 프로세스 마이닝이 감사 분야에 제공할 수 있는 본질적인 가치의 근원에 대한 이해가 필요하다. 먼저, 정보시스템에 기록된 이벤트 로그를 활용한다는 것은 샘플에 의존하는 표준 감사 관행을 극복해서 모집단을 대상으로 감사를 수행할 수 있음을 의미한다. 프로세스 마이닝이 제공하는 이러한 가치의 근원은 부정 위험의 기회를 낮추는 데 공헌할 수 있다. 또한 프로세스 마이닝은 과거 수행된 업무 프로세스에 대한 단계별 확인과 분석절차 수행을 위한 효과적인 방법을 제공한다. 빅 데이터 환경에서 프로세스 마이닝이 국내 감사 분야에 제공할 수 있는 가치를 설명하기 위해서 본 연구는 먼저 프로세스 마이닝에 대한 개념과 분석의 세 가지 축, 활용 분야, 빅 데이터와의 관계를 설명하였다. 또한 본 연구는 프로세스 마이닝이 감사 분야에 제공할 수 있는 가치의 근원과 프로세스 마이닝의 감사 분야 적용을 위한 프레임워크, 적용 사례를 체계적으로 정리하였다. 관련 연구에 대한 체계적인 고찰과 프로세스 마이닝 분석의 수행 경험에 근거하여 본 연구는 프로세스 마이닝이 전통적 감사에 적용될 때 수행되어야 할 수행 절차와 단계별 핵심사항을 제시하였다. 이와 함께, 프로세스 마이닝의 감사 적용에 관한 대부분의 연구가 전통적 감사 분야에 국한되어 있다는 지식 한계를 극복하기 위해서 본 연구는 프로세스 마이닝이 상시 모니터링에 적용될 수 있는 방안을 논의하였다. 마지막으로, 본 연구는 대출 처리 프로세스 분석에 프로세스 마이닝을 적용한 사례를 통해서 프로세스 마이닝이 감사 분야에 제공할 수 있는 가치를 증명하였다. 예를 들어, 표준 프로세스 흐름을 벗어나는 예외적인 업무수행이 발견되었고, 성과 분석 관점에서 지체 요인들이 분석되었다. 또한 직무분리를 위반한 사례들과 이에 관여한 수행자가 도출되었다. Jans et al.(2009)은 내부 부정의 위험 감소를 목표로 데이터 마이닝을 감사에 활용하는 IFR2(internal fraud risk reduction) 프레임워크를 제안하였다. 이 프레임워크를 확장하여 데이터 마이닝과 함께 프로세스 마이닝을 감사에 활용할 수 있는 확장형 IFR2 프레임워크가 제시되어 있다. 데이터 마이닝과 프로세스 마이닝을 통한 부정 발견과 부정 방지는 결국 부정행위를 설명하기 위한 ‘부정 삼각형(fraud triangle)’의 ‘기회’ 요인에 영향을 줌으로써 부정 위험을 감소시킬 수 있다. ‘부정 삼각형’의 각 꼭짓점은 부정을 유발하는 3가지 요인(기회, 합리화, 동기 압박)을 나타낸다. 부정행위의 ‘기회’는 내부통제가 취약하거나 책임과 권한이 집중되어 있을 때, 이익이 높은 데 비하여 그에 대한 관대한 처벌이 예상되는 경우에 발생할 가능성이 높다. 또한 부정을 유발하는 요인 중에서 ‘기회’만이 조직이 부정예방에 영향을 줄 수 있는 유일한 요인이다. 그러므로 프로세스 마이닝과 데이터 마이닝을 통해서 부정 위험의 ‘기회’를 낮추는 것이 중요하다. 프로세스 마이닝이 감사 분야에 제공할 수 있는 가치를 증명하기 위해서 유럽에서 20위권의 금융기관이자 세계적으로 25위권인 은행의 구매 프로세스를 대상으로 사례연구가 수행되었다. 이 금융기관은 미국에서도 운영되기 때문에 SOX법의 조항을 준수해야 한다. 프로세스 마이닝이 감사에 적절한 정보를 발견할 수 있는가를 검증하기 위해서 내부 감사인들이 전통적인 감사기법으로 검토한 동일한 데이터가 분석에 활용되었다. 프로세스 마이닝을 활용해서 전통적인 감사기법으로 발견하지 못한 다양한 유형의 감사에 적절한 정보를 발견하였다. 예를 들어, 승인 없이 지불되거나 직무분리(Segregation of Duties) 나 회사 내부 규정을 위반한 사례들이 발견되었다. 특히, 직무분리를 위반한 21건의 구매주문서 처리에 관여한 17명을 대상으로 사회관계망 분석이 수행되었다. 분석 결과, 4개 그룹이 발견되었으며 한 명은 두 개의 그룹에 동시에 속하는 것으로 파악되었다. 실제 부정이 있었는가를 발견하기 위해서 내부 감사인이 추가적인 분석과 면담을 수행하였다. 성과 분석 관점에서, 프로세스 평균 처리시간과 지체 요인에 대한 파악이 이루어졌다. 프로세스의 평균 처리시간 및 지체 요인을 파악하기 위해서 과거에 진행된 업무 진행 사례들의 총 평균 수행시간을 여러 관점에서 분석하여 처리시간을 지연시키는 지점을 파악할 필요가 있다. 앞에서 설명한 대로, 데이터를 다양한 기준으로 분류하거나 걸러내 하나의 프로세스에 대해서 다양한 관점의 프로세스 모델을 도출하였다. 도출된 프로세스 모델에는 활동 간의 평균 수행시간과 총 수행시간이 표시되기 때문에 이 두 가지 시간이 모두 높은 지점을 찾아낼 수 있었다. 이러한 과정을 통해서 ‘포인트 A’, ‘포인트 B’, ‘포인트 C’라고 임의로 명칭이 부여된 세 지점이 도출되었다. 한편, 이렇게 시간이 지연되는 부분과 대출 신청자가 요구한 대출 신청 금액과의 연관성을 밝히기 위하여 대출 신청 금액 관점에서 시간이 지연되는 곳을 찾아보았다. 본 연구의 한계점과 향후 연구 방향은 다음과 같다. 첫째, 프로세스 마이닝의 상시 모니터링 적용에 관한 방안이 논의되었으나, 이에 대한 실증적인 검증이 이루어지지 않았다. 향후 연구는 이에 대한 실증적인 검증을 수행할 필요가 있다. 둘째, 감사에 적합한 다양한 프로세스 마이닝 기법의 개발이 요구된다. 특히 데이터 마이닝과 프로세스 마이닝의 결합을 통해서 다양한 관점에서 부정 적발이 가능해질 수 있을 것이다. 셋째, 본 연구의 적용 사례는 유럽 금융기관의 대출 신청 처리 프로세스에 대한 분석을 다루고 있다. 분석 결과에 대한 프로세스 관리자의 피드백을 반영하였으나, 심층적인 검증과 토론이 이루어지지 않았다. 향후 연구는 본 연구에서 제안된 프로세스 마이닝의 감사 적용을 위한 수행절차를 충실히 수행하고, 분석 결과를 검증할 필요가 있다. 마지막으로, 프로세스 마이닝이 감사에 적용되기 위해서는 감사인의 이에 대한 수용이 우선되어야 한다. 그러므로 향후 연구는 프로세스 마이닝을 감사 표준에 포함시킬 수 있는 방안을 찾을 필요가 있다. 이를 통해서 프로세스 마이닝은 감사 관행에 자연스럽게 녹아들 수 있을 것이다.