표본으로만 보던 감사, 전수 점검을 매달 스스로 돌립니다

"저희가 보는 게 전체의 몇 퍼센트인지 아세요? 3%도 안 됩니다."

감사팀장님이 사전 미팅에서 하신 말씀입니다. 연간 수만 건의 법인카드 사용내역 중 실제로 눈으로 보는 건 표본뿐이고, 나머지는 문제가 있어도 없어도 모르는 상태로 넘어간다는 이야기였습니다.

사전 조사에서 확인한 것

감사팀은 데이터가 없어서 곤란한 부서가 아니었습니다. 오히려 반대였습니다 — 카드 내역, 계약서, 사규, 보험계약 데이터가 이미 시스템에 다 있었습니다.

문제는 그 데이터를 사람이 눈으로 훑는 방식밖에 없었다는 점입니다.

① 표본의 한계 — 전수를 보려면 인력이 몇 배 필요합니다. 그래서 금액이 큰 것부터 정렬해 위에서부터 봅니다. 소액을 여러 번 나눠 쓴 건은 구조적으로 안 걸립니다.

② 패턴은 사람이 못 본다 — 분할 결제, 동일 주소 반복, 월말 집중 같은 것은 한 건씩 보면 안 보입니다. 전체를 놓고 봐야 보이는데 전체를 볼 수가 없었습니다.

③ 지적사항 작성에 또 시간 — 의심 건을 찾아도 그것을 감사 보고서 문장으로 옮기는 데 다시 시간이 듭니다. 근거를 정리하고 관련 규정을 찾아 붙이는 작업입니다.

감사팀이 원한 건 "놓치는 게 없다고 말할 수 있는 상태" 였습니다. 그래서 교육 목표를 "AI로 데이터 분석하기"가 아니라 "각자 담당 영역을 전수로 점검하는 절차 만들기" 로 잡았습니다.

왜 14시간이었나

다른 과정보다 깁니다. 두 가지 이유입니다.

첫째, 탐지 논리를 함께 설계해야 했습니다. "이상한 건을 찾아 줘"로는 아무것도 안 나옵니다. 무엇을 이상하다고 볼지는 감사팀의 전문 판단이고, 그걸 AI가 알아들을 수 있게 옮기는 데 시간이 걸립니다.

둘째, 결과를 검증하는 절차가 필요했습니다. 감사는 틀리면 안 되는 업무입니다. 잘못 지목하면 그 직원에게 피해가 갑니다. 그래서 탐지 결과를 사람이 확인하는 단계를 반드시 넣고, 그 절차까지 교육에 포함했습니다.

진행 — 감사팀이 논리를 만들고 AI가 실행했다

1단계 — 무엇을 이상하다고 볼 것인가

첫날 오전을 여기에 썼습니다. 참가자분들이 그동안 경험으로 알고 계시던 것을 글로 옮기는 작업입니다.

• 같은 가맹점에서 승인 한도 직전 금액으로 여러 번 결제한 건
• 휴일·심야 사용 중 업무 관련성이 설명되지 않는 건
• 계약서상 주소가 동일한 복수 거래처
• 월말 3일에 집중된 사용

이걸 적어 본 적이 없다는 점이 여기서도 나왔습니다. 다들 머리로는 알고 계셨는데, 조건으로 써 보니 예외가 많아 다듬는 데 시간이 걸렸습니다.

2단계 — 전수로 돌려 보기

논리가 정해지자 실행은 빨랐습니다. 각자 담당 데이터로 전수 점검을 돌렸습니다.

첫 실행에서 의심 건이 예상보다 훨씬 많이 나왔습니다. 확인해 보니 대부분 정상인데 조건에 걸린 것이었습니다. 출장이 잦은 부서는 휴일 사용이 당연했고, 특정 가맹점 반복은 계약된 거래처였습니다.

그래서 조건에 예외를 추가하며 다듬었습니다. 이 과정을 네 번쯤 돌자 의심 건이 검토 가능한 수준으로 줄었습니다. 처음부터 정확한 조건을 쓸 수는 없고, 돌려 보면서 좁혀 가는 것이 정상입니다.

3단계 — 지적사항 초안까지

확정된 의심 건을 감사 보고서 형식으로 옮기는 단계입니다. 여기서 중요한 것은 AI가 판단을 쓰지 않게 막는 것이었습니다.

사실만 서술하고 판단은 감사인이 씁니다. "부정 사용으로 보입니다" 같은 문장이 초안에 들어가면 그대로 나갈 위험이 있어, 프롬프트에서 추정 표현을 금지했습니다.

4단계 — 이 절차를 다음 사람이 돌릴 수 있게

마지막 반나절을 여기에 썼습니다. 감사 업무는 담당자가 순환하는 부서라, 만든 사람만 아는 절차는 1년 뒤에 사라집니다.

각자 자기 점검 절차를 문서로 남기게 했습니다. 어떤 조건을 왜 넣었는지, 어떤 예외를 왜 뺐는지, 걸린 건을 어떤 순서로 확인하는지. 조건만 남기면 다음 사람이 손을 못 댑니다 — 왜 그렇게 정했는지가 함께 있어야 조직이 바뀌었을 때 고칠 수 있습니다.

운영 준비 — 시작 전에 합의한 것

감사 데이터는 민감합니다. 커리큘럼을 짜기 전에 법무·정보보안 담당자와 먼저 만났습니다.

반입 범위를 문서로 확정했습니다. 카드 내역에서 카드번호와 직원 개인정보는 빼고, 부서·금액·가맹점·일시만 쓰기로 했습니다. 이 조합만으로도 분할 결제와 집중 패턴은 전부 잡힙니다.

외부 전송이 되는 데이터와 안 되는 데이터를 나눴습니다. 계약서 본문처럼 반출이 어려운 자료는 사내에서만 도는 방식으로 실습을 구성했습니다. 이 구분을 사전에 안 하면 교육 당일에 "이건 못 씁니다"가 나옵니다.

결과물 보관 기준도 정했습니다. 교육 중에 만든 의심 건 목록은 실제 감사 자료가 아니므로 종료 시점에 폐기하고, 절차 문서만 남기기로 했습니다.

진행 중에 나온 질문

가장 많이 나온 질문은 기술적인 것이 아니었습니다. "이렇게 다 걸리면 확인할 사람이 부족한 거 아닌가요."

실제로 그렇습니다. 전수로 바꾸면 검토 대상이 늘어납니다. 그래서 조건에 우선순위를 붙이는 방법을 함께 다뤘습니다. 금액·반복 횟수·규정 위반 정도로 점수를 매겨 상위부터 보는 방식입니다.

표본을 무작위로 뽑던 것과 비교하면, 같은 인력으로 훨씬 의미 있는 건을 보게 됩니다. 점검 대상이 늘어난 게 아니라 볼 순서가 정해진 것이라고 정리하고 넘어갔습니다.

이 방식으로 안 되는 것

• 탐지가 곧 확정이 아닙니다. 걸린 건은 전부 사람이 확인합니다. 이 절차를 빼면 감사가 아니라 사고가 됩니다
• 없는 데이터는 못 봅니다. 시스템 밖에서 벌어진 일은 여전히 안 걸립니다. 데이터화되지 않은 영역은 기존 방식이 필요합니다
• 조건을 계속 손봐야 합니다. 조직이 바뀌면 정상 패턴도 바뀝니다. 한 번 만들고 두는 것이 아니라 분기마다 손보는 것을 전제로 만들었습니다
• 개인정보 처리 기준이 먼저입니다. 감사 데이터는 민감합니다. 무엇을 어디까지 반입할지 법무·보안과 합의한 뒤에 시작했습니다

교육이 끝났을 때 남은 것

참가자 11명이 각자 담당 영역의 전수 점검 절차를 하나씩 완성해 돌아가셨습니다. 조건과 예외가 문서로 남아 있어, 담당자가 바뀌어도 같은 기준으로 돌릴 수 있습니다.

가장 의미 있었던 변화는 점검 범위였습니다. 3% 표본이 100% 전수로 바뀌었습니다. 걸린 건을 사람이 확인하는 시간은 여전히 들지만, 어디를 볼지 정하는 데 쓰던 시간이 사라졌습니다.

여섯 달 뒤 확인했을 때, 이 팀은 같은 방식을 계약 규정 준수 점검으로 넓혀 두고 계셨습니다. 처음 만든 조건 문서를 복사해 대상만 바꾼 것입니다.

한 가지 예상 못 한 효과가 있었습니다. 전수 점검 결과를 각 부서에 공유하기 시작하자 적발 건수가 줄었습니다. 팀장님 표현으로는 "걸린다는 걸 알면 안 한다"였습니다. 감사의 목적이 적발이 아니라 예방이라면, 이쪽이 더 큰 성과였습니다.

다른 감사 부서에서 자주 묻는 것

"AI가 판단하면 감사의 독립성이 훼손되지 않나요." 이 질문을 가장 많이 받습니다. 이 방식에서 AI가 하는 일은 조건에 맞는 건을 추리는 것뿐입니다. 조건을 정하는 것도, 걸린 건을 판단하는 것도 감사인입니다. 오히려 표본을 사람이 임의로 고르던 때보다 기준이 명시적이어서 설명하기 쉬워집니다.

"기존 감사 시스템이 있는데 중복 아닌가요." 시스템이 잡는 것은 대개 미리 정해진 규칙입니다. 새로운 패턴이 의심될 때 그것을 시스템에 반영하려면 개발 요청이 필요합니다. 이 방식은 그 사이를 메웁니다 — 감사인이 가설을 세우고 그날 바로 돌려 볼 수 있습니다.

다룬 도구

• ChatGPT — 탐지 논리를 함께 다듬고, 데이터 처리 코드를 받습니다
• Python — 전수 데이터를 처리합니다. 문법은 다루지 않고 요구사항을 글로 옮기는 법만 훈련했습니다
• 엑셀 — 결과를 확인하고 공유하는 형태로 씁니다

비슷한 교육을 검토 중이시라면

이 과정은 14시간(2일) 구성이었습니다. 감사·준법 업무는 탐지 논리 설계에 시간이 필요해 7시간으로는 어렵습니다. 사전 조사에서 확인하는 것은 세 가지입니다.

• 지금 표본으로 보고 있는 영역이 무엇인가
• 그 데이터가 시스템에서 내려받을 수 있는 형태인가
• 민감 데이터의 반입 범위를 어디까지 잡을 수 있는가

점검 대상과 연간 건수만 알려주시면 어느 영역부터 전수로 바꿀 수 있을지 정리해 보내 드립니다.