최근 몇 년 사이 기업 경영환경이 급격히 변화하면서, 내부통제 시스템에 대한 관심이 그 어느 때보다 높아지고 있습니다. 2024년 한국기업지배구조원 조사에 따르면 코스피 상장사 중 내부통제 체계를 갖추었다고 응답한 기업은 약 62%에 그쳤고, 중소기업까지 포함하면 그 비율은 30%대로 떨어집니다. 많은 경영자분들이 "우리 회사 규모에 내부통제가 필요한가"라는 의문을 갖고 계시지만, 실무 현장에서 보면 오히려 규모가 작을수록 한 건의 리스크가 회사 존속 자체를 위협하는 경우가 적지 않습니다.
62%
코스피 상장사 내부통제 구축률
30%
중소기업 포함 시 구축률
3.2배
미구축 기업의 법적 분쟁 발생률
이 글에서는 내부통제 시스템이 왜 선택이 아닌 필수가 되었는지, 그리고 실무적으로 어떻게 단계별로 구축해 나갈 수 있는지를 정리해 드리겠습니다.
내부통제 시스템, 법적으로 왜 필수인가
내부통제(Internal Control)란 기업이 법령을 준수하고, 재무보고의 신뢰성을 확보하며, 업무 효율을 높이기 위해 경영진과 구성원이 함께 운영하는 일련의 절차와 체계를 말합니다. "내부통제"라는 말이 다소 딱딱하게 느껴지실 수 있지만, 쉽게 말씀드리면 "회사 안에서 문제가 생기기 전에 미리 발견하고 바로잡는 구조"라고 이해하시면 됩니다.
주요 법적 근거
상법 제393조의2(이사회 내 위원회), 상법 제542조의13(준법통제기준 및 준법지원인), 주식회사 등의 외부감사에 관한 법률 제8조(내부회계관리제도), 자본시장과 금융투자업에 관한 법률 제28조(내부통제기준) 등이 기업 내부통제의 법적 근거가 됩니다.
특히 2024년 개정 외부감사법에서는 내부회계관리제도의 운영 실태를 외부감사인이 "검토"가 아닌 "감사" 수준으로 평가하도록 단계적으로 확대하고 있습니다. 자산 규모 5,000억 원 이상 상장법인은 이미 적용 중이고, 1,000억 원 이상 기업도 순차 적용되고 있습니다. 비상장 기업이라 해도 계약 상대방이나 투자자가 내부통제 체계를 요구하는 사례가 늘고 있어, 사실상 모든 기업이 대비해야 하는 상황입니다.
내부통제가 부재할 때 발생하는 실제 리스크
상담 현장에서 접하는 사례를 보면, 내부통제 시스템이 없는 기업에서는 아래와 같은 유형의 문제가 반복적으로 나타납니다.
내부통제 미구축 기업
- 임직원 횡령이 수년간 발견되지 않음
- 계약 체결 시 법률 검토 절차 없이 진행
- 개인정보 유출 후 사후 대응에만 급급
- 규제 위반 사실을 외부 감사에서 처음 인지
내부통제 구축 기업
- 주기적 모니터링으로 이상 징후 조기 포착
- 계약 검토 프로세스에 법무팀 검토 필수화
- 개인정보 관리 규정과 사고 대응 매뉴얼 보유
- 자체 감사로 문제를 선제적으로 시정
내부통제가 없는 상황에서 횡령, 배임 등 임직원의 위법행위가 발생하면, 회사는 직접적인 재산 손해 외에도 대표이사의 감시의무 위반이라는 추가적인 법적 책임 문제에 직면하게 됩니다. 상법상 이사의 감시의무(상법 제382조, 제399조 등)는 "합리적인 내부통제 시스템을 구축했는가"를 기준으로 판단되는 경향이 강해지고 있습니다. 내부통제를 갖추지 않은 채 "몰랐다"는 항변은 점점 받아들여지기 어려운 환경이 된 것입니다.
내부통제 시스템 구축, 실무 5단계
내부통제 시스템 구축이 중요하다는 것은 알겠는데, 구체적으로 어디서부터 시작해야 하는지 막막하시다는 분들이 많습니다. 실무에서 가장 효과적인 접근법은 아래 5단계를 순서대로 밟아 나가는 것입니다.
1
리스크 진단 (Risk Assessment)
회사가 처한 법적 리스크를 업무 영역별로 식별합니다. 계약, 인사, 재무, 개인정보, 공정거래, 환경 등 분야별로 현재 어떤 규정이 있고 어떤 부분이 취약한지를 파악하는 단계입니다. 외부 전문가의 도움을 받으면 통상 4~8주가 소요됩니다.
2
내부규정 체계 정비
리스크 진단 결과를 바탕으로 준법통제기준, 윤리강령, 내부거래 규정, 정보보호 규정, 인사징계 규정 등 핵심 내부규정을 수립하거나 개정합니다. 이미 규정이 있더라도 현행 법령과의 정합성을 점검하는 것이 중요합니다.
3
조직 및 보고체계 설계
준법지원인(Compliance Officer) 선임, 내부감사부서 설치 또는 감사위원회 운영 등 컴플라이언스 전담 조직을 구성합니다. 자산 5,000억 원 이상 상장사는 준법지원인 선임이 의무이지만, 그 외 기업도 담당자를 지정하는 것이 바람직합니다. 보고라인은 대표이사 또는 이사회에 직보할 수 있는 독립적 구조가 핵심입니다.
4
임직원 교육 및 내부 공표
아무리 좋은 규정을 만들어도 구성원이 모르면 작동하지 않습니다. 연 1회 이상 정기 교육과 신규 입사자 교육을 실시하고, 주요 규정을 사내 인트라넷이나 게시판에 상시 게시합니다. 교육 이수 기록은 반드시 보관해야 합니다. 향후 법적 분쟁 시 "교육 의무를 이행했다"는 증거가 됩니다.
5
모니터링 및 지속적 개선
내부 신고 채널(내부고발 제도) 운영, 정기 자체 감사, 규정 준수 점검 등을 통해 시스템이 실제로 작동하는지 확인합니다. 매년 법령 개정사항을 반영하여 규정을 업데이트하고, 미비점을 보완하는 PDCA(Plan-Do-Check-Act) 사이클을 정착시키는 것이 핵심입니다.
기업 규모별 현실적 접근법
"대기업이나 하는 것 아니냐"고 생각하시는 분들이 많지만, 실무에서 자주 접하는 사례를 보면 오히려 중소기업에서의 필요성이 더 절실한 경우가 많습니다.
매출 100억 원 미만 중소기업
전담 부서를 두기 어렵다면, 최소한 핵심 내부규정 3~4개(윤리강령, 금전 관리 규정, 계약 체결 프로세스, 인사징계 규정)를 마련하고, 외부 법률 자문을 통한 연 1회 점검 체계를 갖추는 것이 현실적입니다. 비용은 연간 500만~1,500만 원 수준으로 운영할 수 있습니다.
매출 100억~1,000억 원 중견기업
법무담당자 또는 준법담당 매니저를 1명 이상 배치하고, 리스크 영역별 내부규정 체계를 종합적으로 정비할 필요가 있습니다. 외부 로펌과 자문 계약을 체결하여 규정 수립과 교육을 병행하는 방식이 효율적입니다.
자산 5,000억 원 이상 상장법인
준법지원인 선임, 내부회계관리제도 감사 대응, 감사위원회 운영 등 법령상 의무사항이 다수 존재합니다. 컴플라이언스 프로그램(CP) 도입, ESG 거버넌스 연계까지 고려한 종합적 설계가 필요합니다.
2025년 이후 주목해야 할 변화
내부통제 관련 법제가 계속 강화되는 추세를 감안하면, 아래 사항들은 미리 준비해 두시는 것이 좋습니다.
첫째, 중대재해처벌법에 따른 안전보건관리체계 구축 의무가 50인 미만 사업장에도 적용 확대되었습니다. 안전 분야의 내부통제는 더 이상 대기업만의 과제가 아닙니다.
둘째, 개인정보보호법 강화로 개인정보 처리 관련 내부 규정과 기술적 보호 조치를 갖추지 않으면 과징금 부과 대상이 될 수 있습니다. 전체 매출액의 3% 이내라는 과징금 상한은 기업에게 상당한 부담이 됩니다.
셋째, ESG 경영의 확산과 함께 거버넌스(G) 항목에서 내부통제 체계의 존재 여부가 기업 가치 평가에 직접 반영되는 흐름이 강해지고 있습니다. 투자 유치, M&A, 공공 입찰 등에서 내부통제 시스템은 일종의 "기업 신용" 역할을 하게 될 것으로 전망됩니다.
내부통제 시스템은 한 번 만들어 놓으면 끝나는 것이 아니라, 지속적으로 운영하고 개선해 나가야 하는 살아있는 체계입니다. 처음부터 완벽할 필요는 없습니다. 현재 우리 회사의 규모와 업종에 맞는 수준에서 시작하되, 꾸준히 발전시켜 나가는 것이 가장 현실적이고 효과적인 접근법입니다.
