404(b)가 면제되어도 SOX 대응이 필요한가요?

네. SOX 302 인증은 첫 보고서부터 시작되고, 이어서 경영진의 404(a) 평가가 뒤따릅니다. 재무제표 감사인도 IT 통제를 살펴봅니다. 유예되는 것은 404(b)에 따른 감사인의 별도 인증뿐입니다.

SOX 범위에 포함되는 IT 시스템은 무엇인가요?

재무 데이터를 생성, 저장, 처리하는 시스템만 해당됩니다. 회계 및 ERP, 급여, 뱅킹 및 경비 관리 도구, 이들에 대한 접근을 통제하는 ID 플랫폼, 그리고 재무 파일이 저장되는 곳입니다. 마케팅 도구와 대부분의 엔지니어링 시스템은 보통 범위에서 제외됩니다.

관리형 서비스 제공업체가 통제 테스트까지 할 수 있나요?

자신이 운영하는 통제의 공식 테스트를 맡아서는 안 됩니다. 제공업체가 준비 상태를 점검하는 모의 테스트는 할 수 있지만, 경영진 평가를 뒷받침하는 테스트는 귀사의 컨트롤러나 내부감사 법인처럼 독립된 사람이 해야 합니다.

Microsoft 365에서는 어떤 라이선스가 필요한가요?

Business Premium으로 MFA, 조건부 액세스, 기기 관리를 해결할 수 있습니다. Privileged Identity Management와 접근 권한 검토에는 Entra ID P2가 필요하며, Microsoft 365 E5나 추가 기능으로 받을 수 있습니다. 감사 로그가 1년 전체를 포괄하도록 계획하세요.

가이드가이드 · SOX 및 규정 준수

IPO 준비 기업을 위한 SOX IT 통제: 준비 체크리스트

감사인이 IT 측면에서 무엇을 테스트하는지, SOX의 각 조항이 언제부터 적용되는지, 그리고 첫 감사 전에 접근, 변경, 백업, 로그 통제를 가동하기 위해 당사가 사용하는 체크리스트를 소개합니다.

읽는 데 9분최종 업데이트 2026년 10월 24일

핵심 답변

앞으로 12개월에서 18개월 안에 상장할 계획이라면 지금 IT 일반 통제를 시작하세요. 감사인은 방문 한 달 전에 만들어 둔 통제가 아니라, 여러 분기에 걸쳐 실제로 작동해 온 접근, 변경, 백업, 로그 통제를 보고 싶어 합니다. 직원 5명에서 150명 규모의 기업 대부분은 이미 쓰고 있는 Microsoft 365나 Google Workspace, 몇 가지 라이선스 업그레이드, 그리고 직원들이 실제로 따르는 몇 가지 문서화된 절차만으로 이 수준에 도달할 수 있습니다.

SOX가 IT에 요구하는 것, 쉽게 풀어 보기

사베인스-옥슬리법(SOX)의 목적은 하나, 투자자가 신뢰할 수 있는 재무 보고입니다. IT는 시스템이 숫자를 생성, 저장, 변경하는 부분에서만 범위에 포함됩니다. 그래서 IT가 맡는 부분은 대부분이 걱정하는 것보다 좁습니다.

조항	의미	신규 상장 기업의 적용 시점
SOX 302	CEO와 CFO가 각 분기 및 연간 보고서와 그 바탕이 되는 공시 통제를 직접 인증합니다.	상장 후 첫 분기 또는 연간 보고서부터.
SOX 404(a)	경영진이 매년 재무보고 내부통제(ICFR)를 평가합니다. 보통 COSO 2013 프레임워크를 기준으로 합니다.	보통 상장 후 두 번째 연간 보고서부터.
SOX 404(b)	외부 감사인이 이 통제를 테스트하고 그 유효성을 인증합니다.	일정 규모 이상의 신고 기업(larger filers)만 해당됩니다. 신흥 성장 기업(emerging growth company)은 최대 5년간 면제되고, 비가속 신고 기업(non-accelerated filer)은 면제됩니다.

당분간 404(b)가 면제되더라도 재무제표 감사인은 여전히 IT 통제를 살펴보며, IPO 준비 중에 발견된 미비점은 증권신고서에 공시될 수 있습니다. 따라서 증빙은 처음부터 감사에 쓸 수 있는 수준이어야 합니다.

언제 시작해야 할까

상장까지 남은 기간	IT 측면에서 해야 할 일
18개월에서 12개월 전	상장 일정과 신고 기업 유형(filer status)을 법률 자문사 및 감사 법인과 확인하세요. 재무 수치에 관여하는 모든 시스템과 각 시스템의 책임자를 목록으로 만드세요. ID를 정리하세요: 실명 계정, 모든 계정에 다단계 인증(MFA), 관리자 수 축소.
12개월에서 6개월 전	정책과 절차를 문서로 작성하세요. 통제 운영을 시작하세요: 접근 권한 검토, 변경 기록, 백업 복원 테스트. 증빙은 진행하면서 모으세요.
6개월 전부터 상장까지	감사인이 하는 방식 그대로 모든 통제를 모의 점검하세요. 미비점을 보완하고, 분기마다 통제를 계속 운영하세요.
상장 후	SOX 302 인증은 첫 보고서부터 시작됩니다. 증빙 일정표를 계속 유지하면, 경영진의 첫 404(a) 평가 때 파일을 새로 만들 필요 없이 꺼내기만 하면 됩니다.

어떤 시스템이 범위에 포함될까

전부는 아닙니다. 범위는 재무 데이터를 생성, 저장, 처리하는 시스템입니다:

회계 또는 ERP: QuickBooks Online, NetSuite, Sage Intacct, Xero 등
급여 및 인사: ADP, Gusto, Paylocity, Rippling 등
뱅킹, 결제, 경비 관리 도구
위 모든 시스템에 대한 접근을 통제하는 ID 플랫폼: MFA와 싱글 사인온(SSO)을 적용한 Microsoft Entra ID 또는 Google Workspace
재무 파일과 스프레드시트가 저장되는 곳: SharePoint, OneDrive, Teams 또는 Google Drive
재무팀이 사용하는 컴퓨터

직접 운영하지 않는 클라우드 서비스에 대해서는 감사인이 공급업체의 SOC 1 Type II 보고서에 의존합니다. 이 보고서를 매년 받아 “complementary user entity controls”(이용자 측 보완 통제) 섹션을 확인하세요. 공급업체가 귀사 쪽에서 해 주기를 기대하는 사항이 나와 있으며, 보통 접근 권한 검토와 MFA입니다.

준비 체크리스트

다음은 감사인이 테스트하는 IT 일반 통제(ITGC)를, 감사인이 테스트하는 방식대로 묶은 것입니다.

접근 관리

입사, 직무 변경, 퇴사 시 권한 처리 절차를 문서화하고, 접근 권한은 부여 전에 승인
퇴사자 계정을 지체 없이 비활성화하고, 인사 기록상 날짜와 비활성화 날짜를 대조할 수 있도록 관리
모든 재무 시스템에 대해 분기별 사용자 접근 권한 검토를 실시하고 시스템 책임자가 승인
관리자 계정은 별도의 실명 계정으로 분리. 공유 로그인 금지, 일상 업무 계정에는 관리자 권한 없음
관리자 역할은 소수에게만 부여하고, 관리자 활동은 기록하여 분기마다 검토

논리적 보안

모든 계정에 MFA 적용, 관리자는 패스키 같은 피싱 방지 방식 사용
레거시 로그인 방식 차단
조건부 액세스 규칙 또는 이에 준하는 로그인 정책을 문서화
회사 컴퓨터를 기기 관리에 등록(Windows는 Intune, Mac은 Mosyle 또는 다른 MDM 솔루션)

변경 관리

재무 시스템과 보안 설정의 변경은 요청, 승인, 테스트, 기록 절차를 거침
변경을 요청한 사람이 그 변경을 승인하는 일은 없음
회계 시스템의 설정 변경 이력 보관

IT 운영 및 백업

Microsoft 365 또는 Google Workspace와 재무 데이터를 백업하고, 실패 시 후속 조치
분기마다 복원 테스트를 하고 서면으로 기록
인시던트를 기록, 조사, 종결

로그 및 증빙

로그인, 관리자, 파일 접근 로그를 최소한 감사 연도 전체 기간 동안 보관
증빙은 감사 주간에 몰아서 모으지 않고 일정(월별, 분기별, 연간)에 따라 수집
정책에 서명과 날짜를 기재하고 매년 한 번 검토

업무 분장(IT 측면)

IT 관리자는 재무 시스템에서 거래 처리 역할을 맡지 않음
IT 서비스 제공업체는 자신의 접근 권한이나 자신의 변경을 승인할 수 없음
경영진 중 책임자가 제공업체의 관리자 활동을 검토하고 승인

Microsoft 365 또는 Google Workspace를 사용한다면

Microsoft 365에서 가장 도움이 되는 두 가지 기능은 관리자 권한을 일시적으로 부여하고 기록하는 Privileged Identity Management(PIM)와 접근 권한 검토(access reviews)입니다. 둘 다 Microsoft Entra ID P2가 필요하며, 이는 Microsoft 365 E5에 포함되어 있거나 Business Premium에 추가할 수 있습니다. 표준 감사 로그는 180일 동안 보관되어 감사 연도보다 짧으므로, 더 긴 보존 기간의 라이선스를 추가하거나 매월 로그를 감사인이 열람할 수 있는 곳으로 내보내세요.

Google Workspace에서는 최고 관리자 계정을 별도로 두고, 2단계 인증을 의무화하고, 사용 중인 버전에서 관리자 로그와 로그인 로그를 얼마나 오래 보관하는지 확인하세요. 1년 미만이라면 정기적으로 내보내세요.

자주 보는 다섯 가지 실수

감사 연도가 되어서야 시작하는 것. 통제는 누군가 테스트하기 전에 일정 기간 운영되어야 합니다.
관리자 계정 하나를 공유하는 것. 누가 변경했는지 아무도 알 수 없으면 변경 통제는 실패합니다.
증빙 없는 접근 권한 검토. 검토를 했더라도 서명과 날짜가 없으면, 감사인 입장에서는 하지 않은 것과 같습니다.
IT 서비스 제공업체가 자기 작업을 스스로 승인하는 것. 제공업체가 하는 일은 회사 내부의 누군가가 승인하고 검토해야 합니다.
공급업체를 잊는 것. 급여 대행업체의 SOC 1 보고서가 없으면, 귀사의 통제가 완벽하더라도 지적 사항이 됩니다.

누가 무엇을 맡는가

SOX는 팀으로 하는 일이며, 역할의 경계가 중요합니다:

귀사의 재무팀은 매출, 결산, 분개, 그리고 누가 거래처를 등록하고 대금을 지급할 수 있는지 등 업무 프로세스 통제를 책임집니다.
IT 서비스 제공업체는 IT 일반 통제를 구축하고 운영하며 증빙을 만듭니다.
독립된 담당자가 경영진 평가를 뒷받침하는 테스트를 수행합니다. 통제를 운영하는 사람과는 다른 사람이어야 하며, 귀사의 컨트롤러, 외부 위탁 내부감사 법인 또는 SOX 컨설턴트가 맡을 수 있습니다.

이렇게 역할을 분리해 두는 것 자체가 감사인이 확인하는 사항입니다.

FAQ

자주 묻는 질문

창업자와 재무 책임자가 가장 자주 묻는 질문에 짧게 답합니다.

다른 질문 문의하기

상장 12개월에서 18개월 전이면 여유가 있습니다. 통제는 테스트를 받기 전에 여러 분기 동안 운영되어야 하며, 빠르게 성장한 회사라면 ID 정리만으로도 몇 달이 걸릴 수 있습니다.

SF3 Technologies의 지원

당사는 상장 기업과 IPO 준비 기업을 위해 SOX의 IT 부분을 구축하고 운영합니다. 감사인이 테스트할 통제를 기준으로 한 갭 평가, Microsoft 365, Google Workspace 및 기기 전반의 보완 작업, 분기마다 증빙과 함께 운영하는 통제, 그리고 감사 현장 실사 기간의 지원까지 제공합니다. 당사는 귀사 명의의 전용 관리자 계정을 통해 귀사의 테넌트 안에서 일하며, 이 계정은 MFA로 보호되고 활동이 기록됩니다. 이 자체가 감사인에게 보여 줄 수 있는 하나의 통제입니다.

갭 평가부터 시작하기 SOX 및 규정 준수 준비

이 가이드는 일반적인 정보이며 법률 또는 감사 자문이 아닙니다. 신고 기업 유형, 일정, 범위는 증권 전문 변호사와 감사 법인에 확인하시기 바랍니다.