업무분장

두 개념을 먼저 나누기

업무분장은 과업과 책임을 역할별로 나누는 조직 설계이며, 내부통제의 직무분리는 그중 승인·보관·기록·대사를 한 사람이 모두 지배하지 못하게 하는 특수한 배치다. 일반적인 업무분장은 전문성과 처리 속도를 높이려고 일을 나눌 수 있다. 직무분리는 오류나 부정을 저지른 사람이 같은 과정에서 그것을 감추기 어렵게 만들려고 서로 양립하기 어려운 일을 나눈다. 목적이 다르므로 조직도의 칸을 나눴다는 사실만으로 직무분리가 성립하지 않는다.

원래 풀던 문제

거래를 시작하고 승인하며 자산을 다루고 장부에 적고 나중에 대사하는 권한이 한 사람에게 모이면 그 사람의 설명만으로 전 과정이 완결된다. 실수도 스스로 승인하고 스스로 기록하면 다른 사람이 발견하기 어렵다. 역할을 나누면 하나의 거래가 독립된 흔적을 두 개 이상 남길 수 있다. 이때 핵심은 사람 수가 아니라 서로의 기록을 바꾸거나 생략할 수 없는 권한 배치다.

내부통제에서의 정착

COSO는 통제활동의 예로 승인, 검증, 대사와 직무분리를 함께 든다. 조직은 목표를 이루는 데 필요한 권한과 책임을 구조로 정하고, 위험을 줄일 통제활동을 정책과 절차로 실행해야 한다. 직무분리가 현실적으로 어렵다면 대체통제를 설계하라고도 설명한다. 이는 특정 부서명이나 인원 구성을 요구하는 규격이 아니다. 위험한 권한 조합을 찾아 분리하고, 분리가 불가능한 곳에는 다른 사람의 검토 같은 장치를 두라는 원칙이다.

한국의 외부감사법 제8조 제1항 제5호는 적용 대상 회사의 내부회계관리규정에 업무와 책임의 분장에 관한 사항을 담도록 한다. 법이 고정하는 것은 업무와 책임을 누가 맡는지 규정에 나타나야 한다는 점이다. 이 조항만으로 모든 한국 사기업에 같은 직무분리표가 의무라고 일반화할 수 없다. 구체적인 적용 범위와 통제 설계는 회사가 받는 법적 요구와 실제 위험을 따로 확인해야 한다.

미국 GAO의 2025년 연방 내부통제 기준은 직무분리를 더 세밀하게 표현한다. 서로 양립하기 어려운 업무를 나누고, 특히 권한·보관·회계 관련 통제활동을 분리하라고 한다. 인원이 적어 분리가 실용적이지 않다면 위험을 줄일 대체통제를 설계해야 한다. 이 기준은 미국 연방기관을 위한 것이며 한국 사기업의 법적 의무가 아니다. 다만 작은 조직에서 ’사람이 없으니 분리는 불가능하다’로 끝내지 않고 남은 위험을 다른 검토로 다루는 설계 언어를 제공한다.

남겨야 할 통제

먼저 업무 목록보다 위험한 권한 조합을 찾는다. 거래를 만들고 승인하는 일, 자산을 보관하고 장부에 기록하는 일, 기록하고 스스로 대사하는 일을 한 역할이 모두 갖지 않게 한다. 시스템 권한도 문서상의 분장과 같아야 한다. 인원이 적다면 독립된 사후 검토, 예외 보고, 원본 자료와 장부의 정기 대사처럼 실제로 수행 가능한 대체통제를 정하고 수행 흔적을 남긴다.

형식만 남았을 때

업무분장표에 담당자 이름만 빽빽하게 적고 시스템 권한은 한 사람에게 몰아주면 통제는 종이에만 존재한다. 반대로 모든 단계를 다른 사람에게 강제로 넘기면 단순한 거래도 기다림 속에 묻힌다. 직무분리는 사람을 많이 배치하는 원칙이 아니다. 한 사람이 오류를 만들고 승인하고 숨길 수 있는 조합을 끊는 원칙이다. 어떤 위험을 끊는지 설명하지 못하는 분리는 통제가 아니라 인계 횟수의 증가다.