📅 2026.06.01 | 조선비즈
💡 핵심 요약
LG유플러스가 외부감사인 안진회계법인에 감사보수(14억6,850만원)의 1.7배인 25억3,200만원 규모의 비감사용역을 맡긴 것으로 확인됐다. 비감사용역은 2023~2024년 수천만원대에서 감사인이 안진으로 바뀐 2025년 25억원대로 급증했고, 상당수가 개인정보 DB 파기 점검(9억원)·사이버안전혁신과제 PMO(8억9,200만원)·세무조사 대응 등 회사 핵심 리스크와 맞닿아 있다. 외부감사인이 보안 개선·점검에 관여한 뒤 같은 회사의 내부통제·재무영향을 독립적으로 감사할 수 있느냐는 자기검토 위협(self-review)·자기이익 위협(self-interest)이 쟁점으로 떠올랐다. 회사 측은 “단순 자문·점검 계약이며 모든 건이 감사위원회 심의를 거쳤다”는 입장이다.
- 안진 비감사용역 25.3억원 = 감사보수 14.7억원의 1.7배 — 감사인 교체 첫해 급증
- 개인정보 DB 파기 점검·사이버안전 PMO·세무조사 대응 등 핵심 리스크 영역에 집중
- 쟁점: 보안 개선에 관여한 감사인이 관련 비용·내부통제를 객관적으로 감사할 수 있나(독립성)
📖 알아두면 좋은 용어
- 비감사용역 — 외부감사(재무제표 감사) 외에 회계법인이 같은 회사에 제공하는 세무·자문·점검 등의 용역. 그 자체로 위법은 아니지만, 감사 대상 회사에서 받는 자문 보수가 감사보수를 웃돌면 독립성 관리가 더 엄격히 요구된다.
- 자기검토 위협(self-review threat) — 감사인이 자신이 수행한 업무의 결과를 감사 과정에서 다시 평가하게 되는 상황. 예컨대 보안 개선 PMO를 맡은 감사인이 그 개선 효과·관련 비용을 스스로 감사하면, 객관적 판단이 어려워진다.
- 자기이익 위협(self-interest threat) — 감사인이 회사와의 경제적 이해관계(큰 비감사 보수 등) 때문에 비판적 판단을 주저하게 되는 상황. 감사보수보다 큰 비감사용역을 받으면 회사 눈치를 볼 유인이 생긴다는 우려다.
📚 관련 기준 본문
1. 외부감사법 제21조 — 감사인의 독립성 및 비감사용역 제한
이 사안의 핵심 근거로, 감사인이 같은 회사에 제공할 수 없는 비감사용역을 규정한다.
■ 제21조 제1항·제2항 — 감사인의 의무 및 비감사업무 병행 제한
(제1항) 감사인은 직무를 수행할 때 독립적인 지위에서 공정하게 하여야 한다.
(제2항) 감사인은 해당 회사에 대하여 ① 재무제표 작성·회계기록 유지, ② 자금조달 등 자문, ③ 평가·가치산정, ④ 인사·조직·재무·정보시스템 등에 대한 자문, ⑤ 자산실사·재고조사 등 대통령령으로 정하는 비감사업무를 동시에 수행하여서는 아니 된다.
※ 법은 자기검토를 일으키는 업무만 금지 목록으로 두고 있다. 개인정보 DB 파기 점검·사이버 PMO·세무조사 대응이 이 금지 목록에 해당하는지는 용역의 실제 범위에 달렸다. 단순 자문·점검이면 허용되지만, 개선 과제의 일정·성과·실행 관리까지 맡았다면 사실상 경영 의사결정에 관여한 것(특히 ④ ‘정보시스템 자문’ 또는 자기검토 위협)으로 보아 독립성 위협이 커진다.
2. 공인회계사 윤리기준 — 독립성에 대한 위협과 안전장치
■ 독립성 위협의 유형과 평가
회계법인은 인증업무의 독립성을 훼손할 수 있는 위협(자기이익 self-interest·자기검토 self-review·옹호 advocacy·유착 familiarity·위협 intimidation)을 식별·평가하고, 그 위협이 수용가능한 수준이 아니라면 이를 제거하거나 수용가능한 수준으로 감소시키는 안전장치(safeguards)를 적용하여야 한다. 안전장치가 충분치 않으면 해당 업무를 수임하거나 계속하여서는 아니 된다.
※ 비감사 보수가 감사보수의 1.7배라는 점은 자기이익 위협의 신호다. 보안 개선에 관여한 뒤 그 효과·비용을 감사하는 구조는 자기검토 위협이다. 윤리기준은 이런 위협이 있을 때 감사팀과 용역팀 분리, 별도 검토자 지정 등 안전장치를 요구한다. 핵심은 안전장치가 형식이 아니라 실질적으로 작동했는지다.
3. 외부감사법 — 감사위원회의 비감사용역 사전승인
■ 감사(위원회)의 비감사용역 승인·감독
감사 또는 감사위원회는 감사인이 해당 회사에 제공하는 비감사용역의 내용, 보수 및 그 적정성 등을 사전에 승인하고, 그 내역을 관리·감독하여야 한다. 회사는 감사인에게 지급한 보수와 비감사용역 내역을 사업보고서 등에 공시하여야 한다.
※ LG유플러스 감사위원회는 2025년 4월 비감사업무 수행계획을, 10·11월 사후·결과 보고를 안건으로 다뤘다. 절차상 사전승인·사후보고는 갖춰진 것으로 보인다. 회사 측도 “단순 자문·점검 계약이며 모든 건이 감사위원회 심의를 거쳤다”는 입장이다. 다만 회계업계 지적대로, 형식적 보고를 넘어 감사팀-용역팀 분리, 결과물 차단, 위협의 실질적 검토가 이뤄졌는지가 독립성 확보의 관건이다.
4. K-IFRS 제1037호 ‘충당부채·우발부채’ — 보안사고의 재무 영향
■ 충당부채의 인식
과거 사건의 결과로 현재의무가 존재하고, 그 의무를 이행하기 위해 자원이 유출될 가능성이 높으며, 금액을 신뢰성 있게 추정할 수 있는 경우 충당부채로 인식한다. 그 요건을 충족하지 못하면 우발부채로 주석에 공시한다.
※ 통신사의 개인정보·보안 사고는 과징금·손해배상·고객 보상으로 이어져 충당부채·우발부채 인식 문제가 된다. 바로 이 지점이 독립성의 핵심 우려다. 보안 개선 PMO에 관여한 감사인이 같은 사고의 충당부채 추정과 내부통제 평가를 다시 감사하면, 자신의 작업을 스스로 검증하는 자기검토 구조가 성립할 수 있다.
🔍 시사점
- ‘금지 목록’만 피하면 끝이 아니다 — 비감사용역은 법상 금지 항목에 해당하는지만 보는 문제가 아니다. 허용되는 용역이라도 자기이익·자기검토 위협이 크면 안전장치가 필요하다. 형식적 적법성과 실질적 독립성은 다른 차원이며, 이번 사안의 본질은 후자에 있다.
- 보수 역전이 보내는 신호 — 비감사 보수가 감사보수의 1.7배라는 역전 구조는 그 자체로 자기이익 위협의 적색신호다. 감사인이 큰 자문 수입을 잃지 않으려 회사에 우호적 판단을 할 유인이 생기므로, 보수 비율은 독립성 평가의 1차 점검 지표가 된다.
- ‘단순 점검’이냐 ‘실행 관리’냐가 분수령 — 회사 설명대로 단순 자문·점검에 그쳤다면 독립성 위협은 제한적이다. 그러나 개선 과제의 일정·성과·실행을 관리(PMO)했다면 경영 의사결정 관여로 볼 수 있어 자기검토 위협이 커진다. 용역의 실제 범위 규명이 쟁점의 핵심이다.
- 보안 리스크가 곧 재무 리스크 — 통신사의 개인정보·보안 사고는 과징금·배상·충당부채로 재무제표에 직결된다. 감사인이 그 리스크의 개선·점검에 관여하면, 관련 비용·내부통제 감사에서 이해상충이 발생한다. ‘재무제표 밖’ 용역이 사실은 재무제표 핵심과 얽혀 있다는 점이 이 사안을 무겁게 만든다.
- 감사위원회의 ‘실질 심사’가 관건 — 사전승인·사후보고라는 절차를 거쳤어도, 감사팀-용역팀 분리와 결과물 차단이 실제로 작동했는지 감사위원회가 실질적으로 검토했어야 한다. 거버넌스의 형식이 아니라 내용이 독립성을 좌우한다.
- 감사인 교체 첫해의 비감사용역 급증 경계 — 감사인이 바뀐 첫해에 비감사용역이 수천만원대에서 25억원대로 급증한 점은 주목할 만하다. 신규 감사인과 회사가 폭넓은 용역 관계를 맺으면 출발부터 독립성이 취약해질 수 있어, 감독당국·투자자의 모니터링 포인트가 된다.