📅 2026년 8월 12일 | 서울경제 (권순철 기자)
💡 핵심 요약
삼정KPMG가 기업 내부회계관리제도(SOX)의 운영평가 전 과정에 AI를 적용하는 ‘KPMG AI SOX 솔루션’을 출시했다. 기존의 수작업·표본 중심 운영평가와 달리 증빙자료 수집·분석부터 운영평가·보고까지 AI가 관리하며, 국내 대기업 적용 결과 자동화 범위를 60% 이상 넓히고 운영평가 소요 시간을 연간 수천 시간에서 수십 시간으로 약 99% 단축한 것으로 나타났다. 다만 중요한 예외 사항은 전문가가 최종 검토하는 HITL(Human-in-the-loop) 방식을 채택해, AI 분석과 사람의 판단을 결합하고 리스크 판단 등 고부가가치 업무에 인력이 집중하도록 설계했다.
- 출시: 삼정KPMG ‘KPMG AI SOX 솔루션’(8/12) — 내부회계관리제도 전반에 AI 적용, 증빙 수집·분석~운영평가~보고 전 과정 자동화
- 핵심 기능: RCM(Risk Control Matrix) 기반 내부회계 특화 AI가 통제 목적·위험·평가기준을 이해 → PDF·엑셀·계약서·결재문서 등 증빙 검토→통제 수행·예외 판별→운영평가 결과·보고서 자동 생성 / 폐쇄망·클라우드 등 다양한 환경 적용
- 연결 확장: 다국어 문서 분석으로 해외 자회사·종속회사까지 동일 기준 관리 → 연결 내부회계관리제도로 범위 확대
- 사람 개입: HITL(Human-in-the-loop) — 중요 예외는 전문가 최종 검토 / AI는 계약·거래 대규모 데이터 검토, 증빙 간 불일치·적정성 분석 제공
- 효과(대기업 적용): 자동화 범위 60%+ 확대, 운영평가 시간 연 수천 시간→수십 시간(약 99% 단축) ※ 공급자 발표치 / 경쟁사 삼일PwC도 2025년 유사 AI 내부회계 솔루션 출시
📖 알아두면 좋은 용어
- 내부회계관리제도(SOX) : 신뢰할 수 있는 재무제표 작성을 위해 기업이 갖춰야 하는 내부통제 체계. 미국 SOX법에서 유래했으며, 한국은 외부감사법에 따라 상장사 등이 구축·운영하고 감사인의 인증(검토·감사)을 받는다.
- RCM(Risk Control Matrix) : 업무별 위험과 그에 대응하는 통제활동·평가기준을 표로 정리한 내부통제의 설계도. 운영평가는 이 RCM에 적힌 통제가 실제로 작동하는지를 확인하는 작업이다.
- HITL(Human-in-the-loop) : AI가 대량 처리·분석을 맡되 중요한 판단은 사람이 최종 확인하는 방식. 자동화 효율과 전문가 책임을 결합해 AI의 오류·환각 위험을 통제한다.
📚 관련 기준 본문
1. 외부감사법 제8조 — 내부회계관리제도의 운영과 평가
제8조 (내부회계관리제도의 운영 등)
회사는 신뢰할 수 있는 회계정보의 작성·공시를 위하여 내부회계관리제도를 갖추어야 하며, 대표자는 매 사업연도마다 그 운영실태를 평가하여 이사회·감사(위원회)에 보고하여야 한다. 감사인은 내부회계관리제도의 운영실태에 관하여 검토 또는 감사(상장사 중 일정 규모 이상은 감사)를 수행한다.
👉 사건 연결: 운영실태 평가는 법이 요구하는 의무이며, 통제 건수가 많아 증빙 검토·표본 추출에 막대한 시간이 든다. AI 솔루션은 바로 이 운영평가의 반복 작업을 자동화하는 것이다. 특히 연결 대상 해외 종속회사까지 동일 기준으로 평가해야 하는 부담을 다국어 분석으로 덜어준다는 점이 실무적 의미가 크다.
2. 내부회계관리제도 설계·운영 개념체계 · 평가·보고 기준 — 운영평가와 증거
통제 운영의 효과성 평가
내부회계관리제도의 운영 효과성은 통제가 설계된 대로 일관되게 적용되는지를 충분하고 적합한 증거에 근거하여 평가한다. 평가는 위험이 높은 영역에 자원을 집중(하향식·위험기반)하고, 통제의 성격에 따라 적절한 표본과 증빙을 확보하여 수행한다.
👉 사건 연결: 전통적 운영평가는 표본 중심이라 전수(全數) 검토가 어려웠다. AI가 증빙 전체를 검토해 불일치를 걸러낸다면 표본의 한계를 넘어 커버리지가 넓어진다. 다만 증거의 적합성·판단은 여전히 전문가 몫이므로, HITL 설계가 개념체계가 요구하는 ‘판단의 책임’과 정합적이다.
3. ISQM 1 · 공인회계사 윤리기준 · 외부감사법 제21조 — 기술적 자원과 독립성
자동화 도구의 통제와 자기검토위협
회계법인·기업은 품질목표 달성을 위해 기술적 자원을 적절히 확보·사용하고 산출물의 신뢰성·데이터 완전성에 대한 통제를 평가하여야 한다(ISQM 1). 한편 감사인은 감사대상 회사에 대한 비감사용역 제공이 독립성을 훼손하지 않도록 하여야 하며, 자신이 구축·수행한 업무를 스스로 평가하게 되는 자기검토위협을 회피하여야 한다(공인회계사 윤리기준, 외부감사법 제21조).
👉 사건 연결: AI가 운영평가 보고서를 자동 생성하더라도, 산출물이 신뢰받으려면 입력 데이터의 완전성과 AI 판단의 검증 체계가 갖춰져야 한다(폐쇄망 강조는 정보보안 대응). 나아가 이 솔루션은 회계법인이 파는 도구인 만큼, 감사인이 자신이 감사하는 회사에 SOX 운영평가 도구·용역까지 제공하면 ‘자기검토위협’이 생길 수 있다는 독립성 쟁점이 따른다. 감사 고객에 대한 도구 제공 범위와 감사인의 독립적 평가가 어떻게 분리되는지가 실무의 관건이 된다.
🔍 시사점
- 반복 업무의 자동화 여지 : 운영평가는 증빙 검토·표본 추출 등 반복 작업이 많아 AI 적용 효과가 큰 영역이다. 수천 시간을 수십 시간으로 줄였다는 것은 그 반복성의 크기를 방증한다.
- 표본에서 전수로 : AI가 증빙 전체를 검토하면 표본의 한계를 넘어 커버리지가 넓어질 수 있다. 이는 통제 사각지대를 줄여 내부회계의 실효성을 높이는 방향이다.
- 연결 범위의 확장 : 다국어 분석으로 해외 종속회사까지 동일 기준 평가가 가능해지면, 그동안 취약했던 연결 내부회계관리의 사각이 줄어든다. 글로벌 기업엔 실질적 이점이다.
- 사람의 판단은 남는다 : HITL 설계는 중요한 예외를 전문가가 최종 검토하도록 한다. 앞서 논의된 ‘AI 환각·검증 부담’을 구조적으로 반영한 것으로, 효율과 책임의 균형점을 제시한다.
- 독립성이라는 숨은 변수 : 감사인이 감사 고객에 SOX 도구·용역까지 제공하면 자기검토위협이 생긴다. 효율만큼이나 ‘누가 만든 도구로, 누가 평가하고, 누가 감사하느냐’의 분리가 신뢰의 조건이다.
- 보도자료 너머의 검증 : 99% 단축·60% 자동화 같은 수치는 공급자 발표에 기반한다. 실제 감사·감독 국면에서 AI 운영평가가 어떻게 수용되는지가 이 솔루션의 실질 가치를 가를 것이다.