한 은행 직원이 오랜 기간 같은 업무를 맡았다. 서류에는 결재란이 있었고 계좌 잔액도 일상적인 보고에서는 맞는 듯 보였다. 그러나 특정 자금의 관리, 문서 작성, 이체 요청과 사후 확인이 한 사람의 손을 거치면 결재 도장은 통제가 아니라 형식이 될 수 있다. 돈은 한꺼번에 사라지지 않았다. 같은 허점이 반복되는 동안 조금씩, 때로는 큰 금액으로 빠져나갔다.
은행 횡령 사건은 범인의 수법 때문에 주목받는다. 문서를 위조하고, 휴면계좌나 특정 목적의 자금을 옮기고, 외부 계좌를 이용한다. 하지만 출판 원고가 범행의 세부를 재현할 필요는 없다. 더 중요한 질문은 왜 발견이 늦었는가이다. 횡령은 개인이 실행할 수 있다. 수년간 같은 방식이 통과하려면 조직의 확인 절차가 계속 실패해야 한다.
내부통제의 기본은 일을 나누는 것이다. 거래를 승인하는 사람, 실제로 돈을 보내는 사람, 장부와 계좌를 맞춰 보는 사람을 분리한다. 이를 승인·실행·대사라고 부른다. 한 사람이 세 단계 중 둘 이상을 오래 맡으면 문서와 실제 거래를 함께 바꿀 기회가 커진다. 직급이 높거나 업무 경험이 많다는 이유로 예외를 허용하면 통제는 신뢰에 밀린다.
은행의 자금은 종류가 많다. 고객 예금처럼 매일 잔액이 움직이는 돈도 있고, 소송이나 구조조정과 관련해 장기간 묶인 돈도 있다. 거래가 드문 계좌는 오히려 위험할 수 있다. 평소 움직임이 없으니 이상거래를 발견할 기회가 적다. 담당자가 외부기관과 연락하고 내부 장부도 관리하면 확인 정보의 출처까지 한곳에 모인다.
순환근무와 의무휴가는 이런 위험을 줄이기 위한 오래된 장치다. 담당자가 자리를 비우면 다른 사람이 장부와 실제 업무를 이어받는다. 그 과정에서 맞지 않는 잔액이나 비정상적인 문서를 발견할 수 있다. 그러나 전문성이 필요하다는 이유로 동일 업무를 장기간 맡기거나, 휴가 중에도 담당자가 사실상 업무를 통제하면 장치가 작동하지 않는다. 사람을 바꾸는 것만으로는 부족하다. 인수인계 때 독립적인 잔액 확인이 뒤따라야 한다.
이상거래탐지시스템도 만능은 아니다. 시스템은 평소와 다른 금액, 시간, 상대 계좌를 찾아낼 수 있다. 하지만 범인이 정상적인 업무코드와 승인경로를 이용하거나 거래를 여러 번 나누면 경고가 약해질 수 있다. 경고가 너무 많이 발생하면 직원은 알람을 닫는 데 익숙해진다. 좋은 시스템은 경고 개수보다 누가 검토하고 어떤 증거를 남기는지가 분명하다.
한 사람의 유죄와 조직의 책임
확정된 사실은 개별 사건의 형사판결에서 판단해야 한다. 횡령액, 기간, 범행방법, 공범 여부는 은행마다 다르다. 한 사건의 수법을 다른 은행에 그대로 적용하면 안 된다. 법원이 피고인의 횡령죄와 범죄수익을 판단했다고 해서 모든 경영진의 법적 책임이 함께 확정되는 것도 아니다.
기관 판단은 금융감독원의 검사와 금융위원회의 제재에서 확인한다. 당국은 사고가 난 영업점이나 본점의 직무분리, 순환근무, 계좌대사, 이상거래 모니터링이 적절했는지를 본다. 제재는 법령과 감독규정상 의무 위반을 전제로 한다. “통제가 부족했다”는 일반 평가와 특정 임직원에게 신분제재를 부과할 법적 근거는 구분해야 한다.
2024년 시행된 개정 금융회사지배구조법은 책무구조도를 도입했다. 금융회사는 임원별로 담당 책무를 명확히 하고, 대표이사와 임원에게 내부통제 관리의무를 부여한다. 제도는 “모두의 책임이라 아무도 책임지지 않는 상태”를 줄이려는 시도다. 그렇다고 사고가 나면 책무를 적은 임원에게 자동으로 책임이 생기는 것은 아니다. 관리조치를 했는지, 상당한 주의를 기울였는지, 위반의 경위와 결과가 무엇인지 따져야 한다. 금융당국도 제재 운영지침에서 이런 요소를 구체화했다.
은행은 횡령자를 개인의 일탈로 설명하고 싶어 한다. 범죄는 실제로 개인의 고의에서 시작된다. 그러나 조직이 답해야 할 질문은 따로 있다. 같은 사람이 왜 그렇게 오래 같은 권한을 가졌는가. 외부 확인은 담당자를 거치지 않고 이뤄졌는가. 상급자의 결재는 원자료를 확인했는가. 감사부서는 정해진 표본만 봤는가, 위험이 큰 장기 미사용 계좌를 따로 골랐는가.
동료가 왜 몰랐는지도 쉽게 비난할 일은 아니다. 조직에서는 숙련된 직원에게 질문하기가 어려울 수 있다. 업무가 바쁘면 전임자의 방식이 규정처럼 굳는다. 문제를 제기한 사람이 일의 흐름을 막는 사람으로 평가받기도 한다. 내부통제는 규정집뿐 아니라 질문하는 사람을 보호하는 인사와 문화에 달려 있다. 이상을 보고한 직원에게 결과를 알려 주고, 감사가 문제 제기를 불이익 없이 다루는 절차가 필요하다.
횡령액은 회사가 회수하거나 보험으로 일부 보전할 수 있다. 고객 예금이 직접 줄어들지 않은 사건도 있다. 그렇다고 비용이 사라지는 것은 아니다. 은행은 충당금과 소송비용을 부담하고, 통제 강화에 인력과 시스템을 투입한다. 평판이 훼손되면 고객과 주주의 거래비용이 늘어난다. 무엇보다 다른 직원들이 오랫동안 의심과 재점검 속에서 일하게 된다.
개인도 작은 내부통제를 사용할 수 있다. 생활비 계좌와 큰돈을 두는 계좌를 나누고, 이체 알림을 켜며, 한도를 필요 이상으로 높이지 않는다. 가족이나 회사 자금을 한 사람이 관리하더라도 정기적으로 다른 사람이 원장과 실제 잔액을 맞춰 본다. 신뢰하는 사람을 확인하는 것은 불신이 아니다. 확인할 수 있는 구조가 신뢰를 오래 지킨다.
감사의 표본 선정도 바뀌어야 한다. 거래가 많은 계좌만 보면 큰 금액이 오래 멈춰 있는 계좌를 놓친다. 잔액이 장기간 변하지 않은 자산, 외부기관이 보관하는 돈, 담당자가 수기로 수정할 수 있는 항목을 위험표본으로 골라야 한다. 전년도에 이상이 없었다는 사실은 올해 검사를 생략할 이유가 아니다. 같은 담당자가 계속 자료를 만들었다면 오히려 독립 확인의 필요가 커진다.
외부 확인은 내부 문서의 복사본을 받는 절차가 아니다. 수탁기관, 법원, 거래상대방에 감사부서가 직접 주소와 계좌를 확인하고 회신을 받아야 한다. 회신이 담당자를 거치면 위조 가능성이 남는다. 잔액이 맞더라도 처분권한과 담보설정 여부를 함께 확인해야 한다. 돈이 존재하는지와 은행이 자유롭게 사용할 수 있는지는 다른 질문이다.
사고 뒤 임직원을 대거 징계하는 것만으로 통제가 좋아지지 않는다. 사고 이전에 현장 직원이 규정 예외를 보고할 통로가 있었는지, 감사 인력이 전산과 상품구조를 이해했는지, 경영진이 반복 경고를 어떤 일정으로 개선했는지를 봐야 한다. 책무구조도는 이름 옆에 책임을 적는 표가 아니다. 임원이 정기적으로 받아야 할 위험정보와 개선기한을 명확히 하는 운영문서가 되어야 한다.
회수율도 과장하지 말아야 한다. 횡령자가 투자나 소비에 사용한 돈은 형사판결에서 추징이 선고돼도 실제 전액 회수되지 않을 수 있다. 은행이 재무제표에 손실을 반영하고 보험금을 청구하는 절차도 시간이 걸린다. 범죄수익 환수, 민사상 손해배상, 회사 내부의 비용부담을 구분해 기록해야 사건의 경제적 결과를 알 수 있다.
다음 점검에서 확인할 것
- 승인, 실행, 대사를 실제로 다른 사람이 맡고 있는가. - 장기 동일업무와 의무휴가 예외를 누가 승인하고 재점검하는가. - 거래가 드문 계좌와 외부 보관자산을 원천기관에 직접 확인하는가. - 시스템 경고를 닫은 사람과 근거가 기록되는가.
횡령은 한 사람이 했다. 오랫동안 들키지 않는 상태는 한 사람만으로 유지되기 어렵다. 도장이 찍혔다는 사실보다 도장을 찍은 사람이 무엇을 직접 확인했는지가 더 중요하다.