40살 SVB는 36시간 만에 몰락했다

삼일PwC와 함께하는 내부통제 시리즈 (1) 내부통제 ‘거미줄 접근법’

바야흐로 불확실성의 시대다. 비행 도중 항공기 문이 열리고, 임직원의 소셜네트워크서비스(SNS)를 통해 기업 평판이 위협받는다. 나날이 발전하는 인공지능(AI)과 디지털 기술은 블랙박스처럼 처리 과정을 알 수 없기 때문에 기존 규칙을 무력화할 수 있다. 이렇게 리스크는 진화하고 있을뿐더러 기업 성과와 가치에 영향을 미치고, 심각한 경우 생존과 직결된다.

이 같은 불확실성에 따른 리스크를 식별하고 관리하도록 만든 제도가 내부통제다. 내부통제는 기업 임직원이 직무를 수행할 때 준수해야 할 기준과 절차를 말한다. ▲준법 ▲운영 ▲‘내부회계관리제도’라 불리는 재무보고 내부통제 등으로 이뤄진다. 내부통제는 설계, 운영, 평가, 점검 등의 과정을 거친다. 내부통제는 무엇보다 회사 특성에 맞게 설계되고, 설계된 기준과 절차에 따라 운영돼야 한다. 경영진은 내부통제가 적절히 설계되고 설계대로 운영되는지 자체 평가하고, 이사회는 이를 독립적으로 모니터링할 필요가 있다. 물론 제도를 도입한다 해서 제대로 작동되는 것은 아니며 투자와 노력의 정도에 따라 결과가 달라진다. 매경이코노미는 삼일PwC와 함께 ‘내부통제를 어떻게 관리할 것인지’ 시리즈 기사를 3회에 걸쳐 연재할 예정이다.

---

내부통제 관련 다양한 실패 사례가 존재한다. 2023년 3월, ‘미국 스타트업의 돈줄’로 불리던 실리콘밸리은행(SVB)이 파산했다. 이어 스위스 투자은행인 크레디트스위스(CS)도 최대 경쟁자인 UBS에 인수됐다. ‘뱅크런(자금 대량 인출 사태)이 일어나 발생한 일’로 알려져 있지만, 두 은행 모두 내부통제 실패가 몰락의 근본 원인이었다.

크레디트스위스는 사업보고서를 통해 ‘재무보고에 대한 내부통제상 중대한 취약점이 있다’고 공시했다. ‘중대한 취약점’은 내부통제가 효과적으로 작동되고 있지 않다는 의미다. 재무제표 감사로 말하면 부적정 의견에 해당한다. 사업보고서에는 중대한 취약점의 근거로 내부통제 운영에 대한 경영진의 관심과 참여 부족, 내부통제 평가와 모니터링 활동에 대한 투자 부족, 그리고 재무제표 오류에 대한 개선 조치 실패 등이 언급돼 있다.

실리콘밸리은행 경영진은 금리 인상으로 뱅크런이 발생했는데, 이를 어떻게 막을 수 있었겠냐고 항변했다. 하지만 파산 원인을 분석한 미국 연방준비위원회 보고서에는 내부통제 실패가 원인으로 적시돼 있다. 보고서에 따르면 “은행은 자산이 급격히 증가하고 사업 모델이 편중돼 있어 리스크에 취약한데도 전사 차원의 내부통제가 제대로 갖춰지지 않았고, 경영진과 이사회는 이런 리스크를 식별하고 관리하는 데 실패했다”고 정리했다. 이와 관련 월스트리트저널은 “실리콘밸리은행이 미국의 주요 은행이 되기까지 40년이 걸렸고, 붕괴하는 데는 단 36시간밖에 걸리지 않았다”고 보도했다. 리스크 관리의 중요성을 새삼 깨닫게 해준 사건이다.

내부통제, 제대로 작동하지 않는 이유

국내에서는 재무보고 내부통제가 도입됐으나 실효성 없는 제도로 여겨졌다. 형식적 운영의 폐해를 개선하고자 회계 개혁이 추진됐고, 재무보고 내부통제를 중심으로 제도가 강화되는 추세다. 이를 통해 내부통제 인프라가 개선되고 내부통제 중요성에 대한 인식도 높아지고 있다. 그럼에도 불구하고 횡령 등 내부통제 실패 사례도 여전히 종종 발생한다.

내부통제 제도가 있지만 제대로 정착되지 않는 이유는 무엇일까?

첫째, 내부통제가 중요하다고 하지만, 경영진이 챙겨야 할 현안에 내부통제가 없는 경우가 많다. 여러 기업이 부정이나 횡령은 자기 회사와 관련 없다는 근거 없는 믿음을 갖고 있다. 이뿐 아니라 법률이나 규정상으로도 경영진 역할과 책임이 명확하지 않다.

감독당국은 이런 문제점을 인식하고 지난해 말 금융기관을 중심으로 경영진 역할과 책임을 명확히 정하는 책무구조도를 도입했다. 책무구조도를 통해 경영진 책임은 ‘기존 감독자 책임’에서 ‘업무수행 책임’으로 전환되고, 내부통제 업무는 실무자에서 경영진이 챙겨야 할 어젠다로 격상됐다. 다만 법으로 강제하는 것과 별개로 내부통제는 주주와 투자자 보호를 위해 경영진이 수행해야 할 기본 책무라는 인식이 전제돼야 한다.

둘째, 내부통제를 어쩔 수 없이 챙겨야 하는 규제로 인식해 형식적으로 운영되는 것도 문제다. 내부통제에서는 설계 과정이 특히 중요하다. 내부통제 설계는 기업을 둘러싼 다양한 리스크를 식별하고 평가한 후, 리스크를 가장 효과적으로 관리하는 통제 활동을 심는 과정이다. 이런 통제 활동에는 승인, 업무분장, 대사, 접근통제 등 여러 방법이 있다. 리스크는 기업마다, 평가하는 시점마다 다르듯, 통제 활동 또한 상황에 따라 다를 수 있다. 이렇게 설계는 내부통제에서 가장 중요한 과정이지만 국내에서는 간과되는 경향이 있다. 리스크에 대한 평가가 매번 동일하고 통제 활동도 바뀌지 않으며 획일적이다.

승인은 대표적인 통제 활동 가운데 하나다. 승인은 거래 내용을 보고 정해진 기준과 절차에 부합하는지 증빙 등을 통해 일일이 확인하는 것이다. 그런데 하루에도 대량으로 발생하는 거래를 한 명이 모두 승인을 한다는 것은 물리적으로 어렵다. 다시 말해, 눈감고 승인할 수밖에 없는 구조다. 제대로 된 위험평가를 통해 리스크를 식별하고, 리스크 수준에 따라 통제가 정해져야 한다. 힘을 쓸 곳과 뺄 곳을 구분해야 한다.

내부통제 실효성 높일 방법 있을까

그렇다면 내부통제의 실효성을 높일 수 있는 방법은 무엇일까? 내부통제 통합 전략이 있다. 이 전략은 내부통제 체계를 확립하기 위해 미국 민간 단체가 공동 설립한 조직인 ‘COSO(Committee of Sponsoring Organizations of the Treadway Commission)’가 제시하는 프레임워크에 기반한다. 컴퓨터로 치면 운영체제와 같은 것이다.

기업은 준법, 운영, 재무보고 등 각 영역별로 내부통제를 별도 운영한다. 별도로 운영하는 이유는 관련 법률이나 담당 부서가 다르기 때문이다. 여기에 신규 사업이나 규제가 있을 경우 추가로 내부통제를 구축한다.

대표적인 사례가 ESG 영역이다. ESG 정보는 현재 자발적으로 외부에 공시하고 조만간 의무 공시로 전환될 예정이다. 외부에 정보가 공시된다는 것은 정보의 정확성과 완전성이 담보돼야 하는데 이를 위해서는 ESG 데이터 생성, 측정, 집계, 보고 과정에서 내부통제가 필요하다.

각각 운영하다 보니 중복되기도 하고 누락되는 부분도 있다. 실리콘밸리은행처럼 각 영역별 내부통제는 있었지만 핵심 리스크를 식별하고 관리하는 데 실패할 수도 있다. 나무만 보고 숲을 보지 못하는 경우다.

통합 내부통제는 개별 단위가 아니라, 통합해 톱다운(Top Down) 방식으로 접근한다. 전사 차원의 잠재 리스크를 완전하게 식별하는 것이 핵심이다. 이를 위해 기업 전략과의 연계가 중요하다. 해외 선도 기업 사례를 보면, 통합 내부통제위원회를 설치해 기업의 중장기 전략 실행에 따른 핵심 리스크를 선정하고 이를 관리하기 위한 내부통제 정책·기준을 결정한다. 위원회는 결정된 정책·기준에 따라 통합 프레임워크 기반 아래 각 영역별로 역할과 책임을 부여하고 수행 결과를 모니터링한다.

내부통제를 통합해 운영하면 통합된 기준과 프레임워크에 따라 내부통제가 수행되므로 일관성이 높아진다. 또한, 각 영역의 내부통제가 서로 협력하고 조정되는 만큼 중복되거나 불필요한 내부통제 활동을 제거할 수 있다. 무엇보다 효과적으로 잠재 리스크를 식별하고 대응할 수 있다.

변화가 빠르고 미래를 예측하기 어려운 시대다. 그만큼 기업을 둘러싼 위험은 언제 어디서든 존재한다. 위험을 최소화하는 방법은 내부통제가 제대로 작동하는 것이다. 내부통제에 실패하면 그 자체로도 적잖은 손실이 생기지만, 시장 신뢰의 추락은 가늠할 수 없다. 신뢰는 단기간 노력으로 형성되지 않는다. 기업 성장을 위해 자본을 투자하는 게 필요하듯, 내부통제를 개선하려는 노력은 시장에서 신뢰를 형성하고 투자자를 보호하는 등 기업을 지속 가능하게 만드는 가장 확실한 투자다.

임성재 삼일PwC 내부통제센터 파트너

[본 기사는 매경이코노미 제2247호 (2024.02.21~2024.02.27일자) 기사입니다]