내부감사·외부감사 대응의 AI 전환 — 감사인은 기업의 AI 도입을 어떻게 들여다보는가

감사는 오랫동안 기업 안에서 가장 보수적으로 움직이는 기능이었다. 증거를 남기고, 절차를 문서화하고, 같은 방법을 반복해 재현 가능성을 확인하는 일이 감사의 본질이기 때문이다. 그런데 이 보수적인 영역에서도 지난 1~2년 사이 변화의 속도가 눈에 띄게 빨라졌다. 변화는 두 방향에서 동시에 온다. 하나는 감사법인 자신이 감사 업무에 AI를 쓰는 것이고, 다른 하나는 피감사기업이 재무제표를 만들 때 쓰는 AI 모델을 감사인이 어떻게 검증할 것인가다. 두 흐름이 겹치면서 감사가 다루는 '증거'의 개념 자체가 흔들리고 있다.

감사법인들이 자기 업무에 AI를 쏟아붓는 중이다

딜로이트(Deloitte)는 2026년 6월 전 세계 감사팀에 새로운 AI 에이전트 묶음을 배포했다고 밝혔다. 이 에이전트들은 언론 보도를 스캔해 피감사기업과 관련한 새로운 리스크 신호를 찾아내고, 실무자 메모의 초안을 작성하며, 공시 요건 검토를 보조한다. 이는 딜로이트가 5년에 걸쳐 30억 달러(약 4조 3,500억원)를 투입하기로 한 AI 역량 구축 계획의 일부다. 언스트앤영(EY)도 2026년 4월부터 자율 에이전트를 전 세계 감사팀에 순차 배포하기 시작했다고 발표했다. 2022년 약속한 10억 달러와 이후 추가로 공개한 14억 달러(약 2조원) 규모의 기술 투자를 바탕으로, 앞으로 2년에 걸쳐 재무제표 감사의 거의 모든 단계에 AI 에이전트를 심겠다는 계획이다. KPMG도 2026년 4월 여러 에이전트의 작업을 조율하는 '오케스트레이션 에이전트'를 올해 안에 시범 운영하겠다고 밝혔다.

이 투자가 향하는 곳은 주로 저위험·고반복 작업이다. 가트너(Gartner)가 감사 리더들을 대상으로 한 설문에서는 93%가 어떤 형태로든 AI를 쓰고 있다고 답했지만, 공식적인 AI 전략을 갖추고 있다고 답한 비율은 38%에 그쳤다. 실제 활용 내용을 보면 감사 계획 수립, 감사 이슈 초안 작성, 검토 문서 작성 보조 등에 몰려 있고, 감사 테스트 자체에 AI를 쓴다고 답한 비율은 30%에 불과했다. 즉 AI는 이미 감사 업무 전반에 퍼져 있지만, 감사의 핵심인 실제 검증 작업까지 AI에 맡기는 단계로는 아직 가지 않았다는 뜻이다. 외부 감사법인과 피감사기업 내부감사 조직이 이 지점에서 같은 속도 차이를 보이는 것은 뒤에서 다룰 거버넌스 공백과도 맞물려 있다.

증거가 확률로 나올 때, 기준은 누가 만드나

문제는 감사의 핵심 작업인 전표 테스트, 이상거래 탐지 같은 영역에서 터졌다. 감사기준은 전통적으로 결정론적 절차, 즉 같은 입력을 넣으면 같은 결과가 나오고 그 과정을 그대로 재현할 수 있는 절차를 전제로 설계돼 있다. 그런데 AI 기반 이상치 탐지 도구는 확률적으로 '의심스러운 거래'를 걸러내는 방식으로 작동한다. 미국 공인회계사협회(AICPA)가 집계한 최근 감독 동향에 따르면, 전표 테스트에 AI 기반 이상치 탐지를 쓰면서도 그 판단 근거를 충분히 문서화하지 않은 사례가 감독기구의 점검 과정에서 지적된 것으로 알려져 있다. AI가 "이 거래는 이상하다"고 판단한 근거를 감사인 스스로도 설명하지 못하면, 그 판단은 감사 기준이 요구하는 증거로 인정받기 어렵다.

이 공백을 메우려는 움직임이 2026년 10월 13일 나왔다. AICPA가 51쪽짜리 실무 지침서 '감사인을 위한 인공지능(AI) 고려사항'을 발표한 것이다. 이 지침은 구속력 있는 기준은 아니지만 두 축으로 구성돼 있다. 첫째는 피감사기업이 재무보고와 내부통제 과정에서 AI를 쓸 때 그것이 감사에 어떤 영향을 미치는지, 둘째는 감사법인 자신이 감사 수행 중에 AI 도구를 쓸 때 어떻게 관리해야 하는지다. 지침의 첫 번째 핵심 메시지는 단순하지만 중요하다. 기업이 재무제표 작성에 AI를 활용한다고 해서 그 숫자에 대한 경영진의 책임이 줄어들지는 않는다는 것이다. AI가 추정치를 만들어도 그 추정치를 승인하고 책임지는 주체는 여전히 경영진이라는 원칙을 명문화한 셈이다.

규제기구 쪽도 움직이고 있다. 미국 상장기업회계감독위원회(PCAOB)는 새 의장 체제에서 2026~2030년 전략계획 수립을 위한 의견수렴을 진행했는데, AI가 재무보고에 미치는 영향을 감사기준에 어떻게 반영할지가 핵심 의제 중 하나로 올라 있다. 아직 구속력 있는 새 기준은 나오지 않았지만, 전자적 정보의 신뢰성 평가를 다루는 기존 기준(AS 1105)을 AI 상황에 적용하는 방법에 대한 실무 안내가 먼저 나온 상태다. 트레드웨이위원회 후원기구위원회(COSO)도 2026년 2월 생성형 AI에 대한 내부통제 가이드를 내면서, 확률적으로 작동하는 모델에는 "한 번 설정하고 내버려두는" 방식의 통제로는 충분하지 않다고 경고했다.

감사인이 기업의 AI 모델을 들여다보는 법

기업들이 매출 인식 추정, 대손충당금 산정, 재고 평가, 부정 탐지 같은 영역에 자체 AI·머신러닝 모델을 점점 더 많이 쓰면서, 감사인은 이제 재무제표 숫자만 보는 게 아니라 그 숫자를 만든 모델 자체를 들여다봐야 하는 상황에 놓였다. 이는 전혀 새로운 일은 아니다. 감사인은 이미 보험사의 보험계리모형이나 복잡한 공정가치 추정모형처럼 '복잡한 추정' 영역을 다뤄본 경험이 있다. 다만 AI 모델은 그보다 갱신 주기가 훨씬 빠르고, 내부 로직이 블랙박스에 가까우며, 데이터가 바뀌면 같은 모델이 다른 결론을 낼 수 있다는 점에서 전통적인 추정모형보다 다루기 어렵다. 감사인이 확인해야 할 항목은 모델에 들어가는 데이터의 출처와 품질, 모델 로직이 바뀌었을 때의 변경 이력, 담당자가 모델의 산출값을 사람이 직접 뒤집은(override) 기록이 얼마나 체계적으로 남아 있는지로 확장된다.

이 확인 작업이 쉽지 않은 이유는 속도 차이에 있다. 감사기준과 규제 가이드는 보통 몇 년에 걸쳐 만들어지는 반면, 기업이 실제로 쓰는 AI 모델은 몇 달 단위로 갱신된다. 가트너 조사에서 드러난 93% 대 38%의 간극, 즉 실무에서는 이미 광범위하게 AI를 쓰고 있지만 공식 전략과 거버넌스는 그 속도를 따라가지 못하는 간극은 감사법인 자신의 내부 상황이기도 하고, 감사 대상 기업의 상황이기도 하다. 결과적으로 감사인은 두 겹의 간극, 즉 자기 조직의 AI 거버넌스 공백과 고객사의 AI 거버넌스 공백을 동시에 다뤄야 하는 처지에 놓여 있다.

한국 시사점

한국의 Big4 회계법인(삼일PwC, 삼정KPMG, 한영EY, 안진딜로이트)은 글로벌 본사의 AI 투자 성과를 멤버펌 구조를 통해 공유받는 체계라, 이번 변화의 흐름이 몇 년 안에 국내 감사 현장에도 그대로 들어올 가능성이 크다. 한국의 회계감사기준은 국제감사기준(ISA)과 연동돼 있어 AICPA나 PCAOB 같은 미국 기구의 움직임이 직접적인 강제력은 없더라도 실무 관행에는 상당한 영향을 준다. 국내 기업 입장에서 실무적인 시사점은 명확하다. 대손충당금 산정이나 재고 평가, 수요예측 같은 영역에 자체 AI 모델을 도입하려는 기업이라면, 모델을 만드는 단계에서부터 데이터 출처·변경 이력·사람의 승인 기록을 감사 가능한 형태로 남기는 설계를 함께 고민해야 한다. 모델의 정확도만 높이고 그 판단 과정을 설명할 수 있는 흔적을 남기지 않으면, 정작 감사 시즌에 그 모델이 만든 숫자를 증거로 인정받지 못하는 역설이 벌어질 수 있다.

내부감사·외부감사 대응의 AI 전환 — 감사인은 기업의 AI 도입을 어떻게 들여다보는가

감사법인들이 자기 업무에 AI를 쏟아붓는 중이다

증거가 확률로 나올 때, 기준은 누가 만드나

감사인이 기업의 AI 모델을 들여다보는 법

한국 시사점

참고한 자료

글보다 직접 만져보는 게 빠릅니다