왜 이 레포가 필요한가
한 줄 요약
비금융권 회계감사 ITGC는 법적 의무는 있지만 표준은 없다. 이 레포는 그 공백을 KISA가 한국어로 정리한 ISMS-P 인증기준으로 메우려는 시도다.
한국 ITGC 표준의 부재
신외감법(2017년 개정 외부감사법) 시행 이후 상장사·일정 규모 비상장사에 대한 IT 일반통제(ITGC) 감사가 사실상 의무화되었다. 그러나 그 감사를 어떻게 수행해야 하는지 정한 공식 표준은 따라오지 못했다.
| 국가 | 공식 표준 | 발행 기관 |
|---|---|---|
| 미국 | PCAOB AS 2201 / AICPA SOC 1·SOC 2 | PCAOB / AICPA |
| 일본 | J-SOX IT統制ガイドライン | 금융청 (FSA) |
| 한국 | (사실상 부재) | — |
한국에 있는 것은 이 정도다.
- 회계감사기준서 315 — IT 위험을 "이해하여야 한다"고만 규정. 절차 없음.
- 회계감사기준서 330 — 통제에 대응한 감사절차 일반론. ITGC 구체 절차 없음.
- 내부회계관리제도 모범규준 — 원칙은 있고 절차는 없음.
- 「전자금융감독규정」 — 금융권 한정. 비금융권에 직접 적용 불가.
결과적으로 빅4 회계법인의 자체 방법론이 사실상 표준 역할을 하지만 그 방법론은 외부에 공개되지 않는다. 빅4 외부의 회계법인 IT 감사인이 참고할 한국어 자료는 사실상 없다.
ISMS-P 인증기준이 대안이 되는 이유
ISMS-P(개인정보 및 정보보호 관리체계 인증)는 KISA가 발행한 한국어 정보보호 표준이다. 101개 인증기준 (1장 관리체계 16 + 2장 보호대책 64 + 3장 개인정보 처리단계 21)에서 정보시스템 통제 영역을 자세히 다룬다 (KISA 2023.11 안내서 기준).
ITGC 감사 영역과는 이렇게 대응한다.
| ITGC 약어 | 풀이 | ISMS-P 인증기준 (주요) |
|---|---|---|
| APD | Access to Programs and Data | 2.5 인증·권한, 2.6 접근통제, 2.7.2 키관리 |
| PC | Program Changes | 2.8.6 운영환경 이관, 2.9.1 변경관리 |
| CO | Computer Operations | 2.4 물리, 2.9 운영, 2.10 보안운영, 2.11 사고대응, 2.12 재해복구 |
| PD | Program Development | 2.8.1~2.8.5 도입·개발 보안 |
| ELC | Entity-Level Controls (전사수준) | 1장 관리체계 전체, 2.1 정책·자산, 2.2 인적, 2.3 외부자, 2.7.1 암호정책 |
ISMS-P가 ITGC를 완전히 대체하는 표준은 아니다. 둘은 목적이 다르다.
- ITGC: 재무제표 신뢰성을 위한 IT 통제 검증
- ISMS-P: 정보보호 및 개인정보보호 관리체계 인증
다만 검증 대상이 되는 통제 영역과 결함 패턴은 상당 부분 겹친다. 특히 KISA가 공개하는 결함사례는 한국 IT 환경의 실제 패턴을 반영한 1차 자료로, 회계법인 IT 감사인이 ITGC 감사 절차를 설계할 때 참고할 수 있는 가장 정밀한 한국어 자료다.
이 레포가 채우려는 공백
- 회계법인 IT 감사인을 위한 한국어 참조 자료 — 빅4 방법론에 접근할 수 없는 감사인이 실무 절차를 설계할 때 참고할 수 있는 매핑.
- ISMS-P 응시생 중 회계감사 경험이 있는 사람을 위한 학습 자료 — IT 감사인이 ISMS 인증기준을 자신의 어휘에 매핑해서 학습할 수 있는 구조.
- 결함 사례 백과 — KISA 표준 결함사례 + 실무 케이스(익명화)를 같은 인증기준 아래 모아, 결함 발견 패턴을 비교할 수 있게 정리.
이 레포가 의도하지 않는 것
- ❌ ISMS-P 인증심사원 시험 합격 패키지 (강의 노트, 모의고사 풀이집)
- ❌ KISA 안내서의 verbatim 사본 (저작권)
- ❌ 빅4 방법론의 재현 (NDA·접근 불가)
- ❌ 회계감사기준서의 verbatim 사본 (한국공인회계사회 저작권)
- ❌ 클라이언트 회사명·시스템명 노출 (감사 비밀유지 의무)
이 레포는 회계법인 IT 감사인 동료에게 설명하듯 쓴다.