앞서 간단히 언급한 Sarbanes Oxley Act은 2002년 7월 30일 발효된 미국연방법률로서 제정되었으며 “상장회사 회계 개선과 투자자 보호법”(상원) 또는 “법인과 회계감사 책임 법”(하원) 이라고도 불리는 이법은 미국회계시장과 상장사들의 corporate governance에 대한 방향을 제시한 중대한 법안이다. Worldcom, Tyco, Enron과 같은 거대 기업들의 잇따른 회계부정으로 인해 막대한 피해가 발생하자 회계제도 개혁의 필요성이 제기되었고, 발의자인 Paul Sarbanes(민주당 소속 Maryland주 상원의원) 과 Michael Oxley(공화당 소속 Ohio주 하원의원) 이름을 따서 제정되었다. 총 11장 69개 조문으로 구성되어 있는 이 법안은, 상장회사회계감사에 대한 심리를 전담하게 되는 Public Company Accounting Oversight Board(PCAOB)의 설립, 감사인의 독립성과 재무 보고 공시 범위의 확장, 내부통제 설치 및 운영의 의무화, 경영자에 의한 부정행위에 대한 벌칙강화, 증권분석가 등에 대한 규제, 내부고발자의 보호등이 규정되어 있다. 이중 특히 내부통제와 관련하여 Section 404 : Assessment of internal control (이하 “SOX 404”)에서 중점적으로 다루고 있다. SOX 404에서는 CEO와 CFO에 대하여 Security and Exchange Commission(SEC)에 제출하는 서류에 “허위나 기재 누락이 없을 것”, “내부통제의 유효성 평가의 개시”등을 보증하는 증명서와 서명을 첨부하도록 요구하고 있으며 고의적인 부정이나 허위가 있을 경우에는 형사처벌이 가능한 규정을 포함하고 있다. 또한 근본적인 재무보고의 투명성 확보를 위하여 그 기초가 되는 회사 내의 각종 데이터, 업무 프로세스, IT프로세스 및 관련 통제 등을 명확화, 문서화할 것을 요구하고 있다. 여기에는 회사의 전사 통제(entity level control), IT 통제 등도 포함이 된다. SOX Act를 통해 설립된 PCAOB는 강력한 영향력을 주로 감리절차를 통해 행사하는데, 특히 SOX Act의 첫 도입 이후 2018년에 이르기까지 PCAOB는 SEC의 목소리를 회계감사시장에 반영하는 확성기 역할을 하기도 한다. PCAOB의 중점감리영역은 주기를 두고 변화하는데 PCAOB가 최근 들어 감리 과정에서 내부통제와 관련하여 집중하고 있는 Top5의 영역은 경영진의 검토 통제(Management Review Control, MRC), 경영진이 제공하는 정보(Information Provided by Entity, IPE), 위험평가(Risk Assessment), IT General Control의 평가, Group Audit에 대한 scoping이다. 현재의 내부회계관리제도가 미국의 SOX Act를 참조하여 만들어진 점을 고려하면 우리나라에서도 동일한 영역의 문제들이 이슈화될 가능성이 높다고 판단된다. 실제로 앞서 말한 중점감리영역은 SOX Act가 도입되기 전에는 빈번하지 않거나 이슈화되더라도 그 중요성이 높지 않았던 것들이며 심지어 일부 항목들은 초기 도입 당시에는 명확한 기준조차 존재하지 않았던 사안들로서, SOX가 성숙되어 가는 과정에서 기준의 적용범위가 좀더 넓어지고 정교해지면서 파생된 항목들이라고 볼 수 있다. 미국의 경우를 보면 도입 초기 상장사들이 적절한 수준의 준비를 하는 것이 쉽지 않았던 터라 도입 초기 2004년 SOX 404에 대한 의견 변형 비중율이 무려 15.4%에 달하게 된다. 하지만 그 이후 매년 개선되는 모습으로 시간이 지나면서 차차 개선이 되었고 2010년에는 4% 미만의 의견변형 비율을 보였고 현재는 5~6% 수준에서 안정화된 모습을 보이고 있다. 하지만 이 또한 새로운 회계기준이나 통제환경의 중점 점검사항이 변함에 따라 조금씩 변동이 있다. 가장 최근에 미국의 SOX 기준을 전적으로 반영하여 2013년 Companies Act를 채택한 인도의 경우도 참조해 볼 만하다. 2016년에 실제 도입을 추진한 인도의 경우, 약 3년가량의 준비기간에도 불구하고 내부통제에 대한 감사와 감리 기준이 제대로 확정 및 교육되지 않은 상황에서, 회사는 준비와 도입을 하는 상황이 벌어졌고, 감사인 및 감독기관은 감리와 심사 수행시 일관된 기준을 적용하는데 혼란을 보이며 도입에 홍역을 치뤘다. 따라서 금융감독원이 내부회계관리제도의 감사를 도입함에 있어 미국의 모델을 따르면서 PCAOB와 비슷한 수준의 강력한 감리기구를 만들어서 운영하겠다는 방침을 고수한다면 도입을 진행 중인 상장사의 입장에서 내부회계관리제도에 대한 감사 및 감리 기준을 보수적으로 예상하고 내부회계관리제도를 설계하고 운영하는 것이 필요하다. 특히, 앞에서 설명한 바와 같이 주주총회에서 대표이사가 직접 운영실태보고를 하도록 되어 있고 부실운영시 CEO/CFO에게 민형사항 책임을 묻는 등 일부 조항에 있어서 원도입국인 미국의 SOX Act보다 더 무거운 책임을 경영진에게 요구하고 있는 우리나라의 경우는 더욱 그러하다는 판단이다.