검토업무 수행은 다음과 같이 4 단계로 구분하여 관련 절차나 사례를 제시하였다.

　A 단계 (외부감사법 등 법규 요구사항의 충족여부 검토)
　B 단계 (경영진의 자체평가에 대한 검토)
　　B-1. 경영진 자체평가 근거자료의 적정성 검토
　　B-2. 경영진 자체평가 및 결론의 적정성 검토
　C 단계 (필요시 감사인의 추가적 검토절차 수행)
　D 단계 (내부통제 미비점의 평가)
　　D-1. 내부통제의 미비점 고려
　　D-2. 중요한 취약점일 수 있는 상황의 고려

감사인은 “ 1. 검토업무의 수행” 단계에서 발견된 내부통제 미비점이 중요한 취약점에 해당되는 경우에는 검토기준의 보고서 사례에 따라 검토보고서를 변형시키고, 이에 해당되지 아니하는 경우에는 표준 검토보고서를 발행한다. 각각의 경우 보고서의 작성사례는 검토기준에 예시되어 있으므로 이 지침에서 중복하여 기술하지 아니한다. 다만, 유의적 미비점이 존재하는 경우에는 감사인이 검토보고서와는 별도로 경영진 및 감사(위원회)에게 권고서한을 발행하는 것이 적절하다.

검토기준에 규정된 전체 검토절차를 흐름도로 정리하면 다음과 같다.

• ① A 단계는 피감사회사의 경영진이 내부회계관리제도에 관하여 외부감사법상 최소한으로 요구되는 사항들이 준수되었는지 여부를 검토하는 절차이다. 법규상의 최소한의 요구사항도 준수하지 않은 경우 감사인은 검토결론을 표명하기 위한 증거를 입수할 수 없을 것이다.
• ② B 단계는 경영진이 외부감사법 및 내부회계관리제도 평가 및 보고 기준에 따라 내부회계관리제도의 자체평가를 수행하고 내린 결론에 대하여 감사인이 이를 검토하는 절차이다. 외부감사법상 감사인의 내부회계관리제도 검토업무는 원칙적으로 이 “ B 단계” 의 업무가 주가 되며 감사인에게는 가장 중요한 절차이다.
• ③ B 단계에 이어 추가적으로 C 단계를 수행할지 여부는 감사인의 전문가적 판단에 따른다 (이 지침의 C 단계 관련설명 참조)
• ④ D-1 의 내부통제 미비점 고려 및 D-2 의 중요한 취약점일 수 있는 상황의 예시는 감사인이 B단계 또는 추가적 C 단계의 절차를 수행할 때, 그리고 최종적으로 내부회계관리제도 검토업무의 결과에 누락된 사항이 없는지 재점검 할 때 활용된다.

내부회계관리제도는 외부감사법에 근거하여 시행되는 제도이므로 피감사회사의 경영진은 동 법률의 의무를 준수할 책임이 있으며, 경영진이 법규 준수에 대한 근거자료를 준비하지 않거나 감사인에게 제시하지 아니하는 경우, 감사인은 내부회계관리제도 검토업무를 수행하고 관련 증거를 입수할 근거를 상실한다.
감사인은 이 경우 그 중요성과 범위 및 성격에 따라 검토결론 표명을 거절하는 등 감사인의 검토보고서를 변형시켜야 한다. 다음은 경영진이 최소한 준수하여야 할 외부감사법의 요구사항을 나타낸 것이다.

B 단계는 경영진이 외부감사법 및 내부회계관리제도 평가 및 보고 기준에 따라 내부회계관리제도의 자체평가를 수행하고 내린 결론에 대하여 감사인이 이를 검토하는 절차이다. 외부감사법상 감사인의 내부회계관리제도 검토업무는 원칙적으로 이 “ B 단계” 의 업무가 주가 된다. 이를 위하여 감사인은 우선 경영진이 자체평가를 수행하고 그 근거에 대하여 기본적인 문서화를 수행했는지 여부를 검토한다 (B-1). 문서화가 적절하게 되었다고 판단하는 경우 감사인은 이러한 문서나 자료를 기초로 경영진의 평가절차 및 그 결론에 대하여 보다 구체적인 검토절차를 수행한다 (B-2). 실무적으로는 감사인의 판단에 따라 B-1 및 B-2 의 절차를 상호 유기적으로 관련시켜 수행할 수도 있을 것이다.

내부회계관리제도에 대한 감사인의 검토는 경영진이 운영실태보고서의 작성을 위하여 실시한 평가절차에 대하여, 그 근거가 되는 문서화된 자료의 내용을 확인하는 것이 주된 절차이며(검토기준 문단 9.2.1), 감사인은 경영진이 자체평가를 함에 있어 내부회계관리제도 평가 및 보고 기준(이하 “평가 및 보고 기준”이라고 함) 제2장 “내부회계관리제도 평가”에 따라 적절하게 평가절차를 수행하였는지 질문과 분석적 절차 등을 통하여 검토한다 (검토기준 문단 9.2.2).

따라서 경영진이 평가결론으로 제시하는 “내부회계관리제도 운영실태평가보고서”와는 별도로, 이를 뒷받침하는 평가절차에 대한 문서화, 발견사항에 대한 내부적 의견교환 및 수행한 조치에 대한 문서화가 충분하고 적절하게 이루어지지 아니한 경우에는 경영진이 적절하게 평가절차를 수행하였다고 볼 수 없다.

경영진이 자체평가 및 결론의 근거로 작성하여야 할 문서나 자료의 불비는 그 자체로서 관련사항의 중요성과 범위 및 성격에 따라 내부회계관리제도 검토에 중요한 범위제한 사유에 해당되거나, 내부회계관리제도에 대한 통제미비점 또는 중요한 취약점에 해당된다 (검토기준 문단 9.2.3). 즉, 경영진의 자체평가 근거가 되는 문서화가 적절하지 못한 경우, 그 정도가 광범위하고 중요하다면 감사인은 내부회계관리제도 검토업무를 수행할 수 없으므로 검토결론의 표명을 거절한다. 그렇지 않은 경우에는 그 범위와 중요성의 판단에 따라 중요한 취약점으로 분류하여 검토결론의 표명에 반영하거나, 유의적 미비점으로 분류하여 경영진 및 감사(위원회)에게 권고서한을 발행한다.

감사인이 “ B-1. 경영진 자체평가 근거자료의 적정성 검토” 절차를 완료한 후에는 이러한 근거자료에 기술된 경영진의 구체적 절차와 내용이 적정한지 검토한다. B-1 단계의 절차가 주로 경영진의 내부회계관리제도 평가 및 그 결론의 근거자료가 구비되었는지 여부에 중점을 두는 반면, B-2 단계에서는 그 기술된 내용이 적절한지에 중점을 둔다. 구체적으로 감사인은 내부회계관리제도 설계의 효과성과 내부회계관리제도 운영의 효과성에 대한 경영진의 평가절차 및 그에 따른 결론에 대하여 이러한 검토를 실시할 것이다.

내부회계관리제도에 대한 검토업무는 내부회계관리제도의 운영에 대한 경영진의 주장, 즉 내부회계관리제도 운영실태보고에 대하여 검토를 수행하고 그 결과를 표명하는 것이므로(검토기준 1.1), 앞서 언급한 바와 같이 감사인의 주된 절차는 “ B 단계” 즉, 경영진이 실시한 평가절차 및 그 결론에 대한 문서화된 내용을 확인하는 것이다. 다만 검토기준에서는 “ 필요한 경우” 감사인이 추가적인 절차를 수행하도록 규정하고 있다(검토기준 9.5.2.3 및 9.6.1.3). 검토기준상 추가적인 절차의 수행이란 경영진이 자체평가 및 결론을 형성하기 위하여 수행한 절차를 감사인이 단순하게 의존하지 아니하고 직접 재수행 하거나 기타 감사인 자신이 적절하다고 판단한 절차를 수행하는 것을 말한다. 이 때 감사인이 “ 필요한 경우” 의 해당여부를 판단할 때 일반적으로 다음과 같은 사례를 고려해 볼 수 있을 것이다.

• 회사 내 자체평가를 수행한 평가자의 독립성이나 적격성이 부족하다고 판단되는 경우
• 과거의 감사경험 등에 비추어 볼 때 전사적 수준의 내부회계관리제도가 비효과적이라고 판단되는 경우
• 특정 계정과목과 관련된 경영진 주장에 대한 내부회계관리제도 (또는 특정 업무프로세스) 상 중요한 취약점이 있을 것으로 예상되는 경우
• 기타 상기에 준하는 사유라고 감사인이 판단하는 경우

D 단계는 내부통제의 미비점에 대한 판단 및 검토단계로서 순서상 “ B 단계” 또는 “ B 단계 및 C 단계” 에 이은 추가적 단계일 수도 있지만, 감사인이 B 단계 또는 추가적 C 단계의 절차를 수행할 때 동시에 수행할 수도 있는 절차이다.

감사인은 효율적인 검토업무를 위하여 B 단계 (경영진의 자체평가에 대한 검토)나 C 단계 (필요시 감사인의 추가적 검토절차 수행)를 수행할 때 발생 가능한 내부통제의 일반적인 미비점 유형 및 감사인의 검토결론 표명에 직접 영향을 미치는 중요한 취약점의 주요 상황을 사전에 고려하는 것이 적절할 것이다.

감사인은 내부통제의 통제환경, 위험평가, 통제활동, 정보 및 의사소통, 모니터링의 다섯가지 구성영역에 있어 주요한 또는 일반적으로 발생 가능한 내부통제의 미비점을 사전에 인식하는 것이 적절할 것이다. 이러한 미비점들은 감사인의 재무제표 감사 활동이나 이전의 내부통제 검토 경험에서 도출될 수도 있고 기타 내부통제에 관한 실무적 사례나 문헌을 통하여 파악될 수도 있을 것이다. 한편 내부통제의 미비점은 내부통제의 다섯 영역 뿐만 아니라 문서화(documentation)나 경영진의 평가과정에서도 제도적 미비점이 존재할 수 있으므로 이에 대하여도 적절하게 그 미비점 유형을 파악하는 것이 바람직하다.

검토기준 보론 1 A-3②에서는 중요한 취약점의 지표를 제시하고 있다.

일반적으로 그러한 지표에 해당된다면 특별한 반증이 없는 한 중요한 취약점이 존재하는 것으로 볼 수 있을 것이다. 이 경우 특별한 반증이란, 대차대조표일 현재 관련 중요한 취약점이 완전히 해소되었음을 확인하였거나 (단, 대차대조표일 이후 내부회계관리제도 검토 시점에 보완된 절차는 해소된 것으로 보지 않음), 해당 상황의 중요성이나 발생가능성이 극히 미미한 경우 등을 들 수 있다.

감사인이 중요한 취약점이 될 수 있는 상황에 근거하여 검토보고서를 변형시킬 때는, 그러한 상황 자체가 아니라 중요한 취약점일 수 있는 상황의 발생원인 또는 발생내역을 이루는 내부통제상의 미비점 내용을 언급한다.