감사 방법론읽는 시간 7분·IIA·PCAOB 기준

ToD/ToE 테스트 절차 자동 설계
ITGC 감사 테스트 방법론

IT감사(ITGC) 통제항목별 설계 적정성(ToD)과 운영 효과성(ToE) 테스트 절차를 AI가 자동 설계합니다. 인터뷰 질문지, 워크스루 체크리스트, 재수행 절차, IIA·PCAOB 기준 샘플링 수까지 감사 현장에서 즉시 활용할 수 있습니다.

ToD와 ToE의 차이

ToD· Test of Design

설계 적정성 평가

통제가 목적을 달성할 수 있도록 적절히 설계되었는가를 확인합니다. 통제 자체의 구조와 의도가 리스크를 충분히 커버하는지 평가합니다.

주요 테스트 방법

정책·절차서 검토
담당자 인터뷰
프로세스 워크스루
시스템 설정 확인

ToE· Test of Effectiveness

운영 효과성 평가

설계된 통제가 감사 기간 동안 실제로 일관되게 운영되었는가를 확인합니다. 선언적 통제가 아닌 실제 운영 결과를 검증합니다.

주요 테스트 방법

샘플 재수행(Re-performance)
증빙 샘플 검사
현장 관찰
전산 분석(CAATs)

왜 구분이 중요한가

K-SOX 외부감사에서 ToD 실패 시 ToE 테스트 자체가 의미 없습니다. 설계 자체가 결함이 있는 통제라면 아무리 일관되게 운영해도 의도한 목적을 달성할 수 없기 때문입니다.

많은 기업이 ToE 증빙(수행 기록, 샘플 결과)만 준비하고 ToD를 간과하는 실수를 범합니다. 외부 감사인은 통제 활동을 처음 접하는 입장에서 "이 통제의 설계 자체가 리스크를 적절히 통제할 수 있는가"를 먼저 확인합니다.

실무 예시: "퇴사자 계정 회수" 통제에서 ToD는 절차서에 "HR 통보 후 1영업일 내 회수"가 명시되었는지, IT 시스템에 해당 절차가 실행 가능한 방식으로 설계되었는지를 확인합니다. ToE는 실제 퇴사자 10명을 샘플링하여 회수 적시성을 검증합니다.

ITGC 통제 영역별 ToD/ToE 테스트 예시

통제 영역	통제 활동	ToD 테스트	ToE 테스트
접근통제	퇴사자 계정 회수	절차서에 회수 기한 명시 확인, IT 담당자 인터뷰(프로세스 이해도), HR↔IT 연계 프로세스 워크스루	감사 기간 퇴사자 중 10명 샘플: 퇴사일 대비 계정 비활성화일 적시성 검증
접근통제	정기 권한 검토	검토 절차서 존재 여부, 검토 범위(전체 사용자 포함)·검토자 역할 설계 적정성 확인	가장 최근 검토 결과 입수, 이상 계정 발견 후 후속 조치 증빙 3건 확인
변경관리	CR 승인 절차	변경 정책 검토, 승인 단계(요청→검토→테스트→이관) 설계, 직무분리 설계 확인	감사 기간 변경 25건 샘플: CR 완전성·승인 계층·UAT 완료 여부 검사
변경관리	긴급 변경 처리	긴급 변경 절차서(사후 승인 포함) 존재 여부, 사후 승인 기한 명시 확인	감사 기간 긴급 변경 전수 또는 15건 샘플: 사후 승인 완료 여부·기한 준수 검증
컴퓨터 운영	배치 오류 처리	오류 처리 절차서 확인, 알림→조치→재처리→확인 단계 설계 적정성 확인	감사 기간 배치 오류 발생 건 전수 재수행: 재처리 승인·정합성 확인 증빙 검사
컴퓨터 운영	백업 복구 검증	백업·복구 정책 검토, 복구 테스트 계획 존재 여부, 복구 대상 시스템 범위 확인	최근 1년 내 복구 테스트 결과 입수, 복구 성공 여부 및 목표 복구 시간(RTO) 충족 확인

샘플링 기준 (IIA/PCAOB)

ToE 테스트의 샘플 수는 통제 실행 빈도와 감사 리스크 수준에 따라 결정됩니다. 다음은 IIA(내부감사인협회) 및 PCAOB 기준을 참고한 권장 샘플 수입니다.

통제 실행 빈도	예시	권장 샘플 수	고위험 통제
연 1회	연간 권한 검토, 연간 DR 훈련	1건 (전수)	1건 (전수)
반기 1회	반기 SoD 검토	2건	2건
분기 1회	분기 특권 계정 검토	2건	4건
월 1회	월간 패치 적용	3건	6건
주 1회	주간 백업 검증	5건	8건
일 1회	일일 배치 모니터링	25건	45건
수시 (건별)	개별 변경 승인, 계정 생성	25-45건	60건

샘플 선택 원칙: 감사 기간 전체를 포괄하도록 균등 분산 추출을 원칙으로 합니다. 특정 기간(월초·월말)에 집중되지 않도록 하고, 이전 감사에서 예외 사항이 발견된 통제는 샘플 수를 확대합니다.

AI 자동 생성 결과물 구성

통제 항목과 시스템 정보를 입력하면 다음 결과물을 자동으로 생성합니다.

📋

인터뷰 질문지

ToD 확인을 위한 담당자 인터뷰용 질문 목록. 통제 목적·수행 절차·예외 처리 방법 등을 체계적으로 확인

🔄

워크스루 체크리스트

통제 프로세스를 처음부터 끝까지 따라가며 설계 적정성을 확인하는 단계별 체크리스트

▶

재수행 절차

ToE 테스트용 재수행(Re-performance) 단계별 절차. 샘플 선택 방법부터 결과 문서화 방법까지 포함

⚙

설정 검토 포인트

시스템 설정(패스워드 정책, 감사 로그 설정 등)에서 확인해야 할 구체적 항목과 기대 값

Verit Audit

통제 항목을 입력하고 ToD/ToE 테스트 절차를 즉시 설계하세요

ITGC 통제 항목, 시스템 환경, 감사 기간을 입력하면 인터뷰 질문지부터 재수행 절차·샘플링 계획까지 감사 현장에서 바로 활용할 수 있는 테스트 절차서를 자동으로 생성합니다.

ToD/ToE 테스트 절차 생성해보기