PCAOB, 기업 AI 감사 기준 마련 압박 직면

Public Company Accounting Oversight Board는 수년간 신중하게 상황을 모니터링해 온 끝에 AI를 둘러싼 전례 없는 결정의 기로에 섰다. Google News의 당면한 헤드라인은 이 사안을 기업 AI 기준 마련 요구로 다룬다. 그러나 실제 쟁점은 더 좁고, 더 어렵고, 더 중대하다. 감사인은 자신의 감사 의견을 뒷받침하는 증거를 약화시키지 않으면서 AI에 의존할 수 있는가?

이 질문은 이제 PCAOB의 기준 제정 의제에 올라 있다. 이사회는 인공지능을 포함한 기술 혁신에 연구, 지침 또는 새로운 요구사항이 필요한지 이해관계자들에게 물었다. 공개 의견수렴 기간은 2026년 8월 7일 종료됐다.

시점은 뚜렷한 충돌을 만들어낸다. 감사법인은 테스트, 분석 및 문서화를 개선할 만큼의 유연성을 원한다. 투자자에게는 신뢰할 수 있는 추론을 보여주지 않은 채 확신에 찬 답변을 내놓을 수 있는 도구에 적용되는 일관된 규칙이 필요하다. 기존 감사 원칙은 여전히 적용되지만, AI 특유의 모든 문제를 해소하지는 못한다.

이는 Google News가 부각한 또 하나의 정책 논쟁에 그치지 않는다. 감사 주기 사이에 변화하는 시스템을 재무 감독이 따라잡을 수 있는지에 대한 시험대다. PCAOB는 AI 보조 감사에 어느 수준의 인간 판단, 문서화, 검증 및 감독이 필요한지 결정해야 한다.

PCAOB가 실제로 논의 대상으로 올린 내용

PCAOB는 기업 AI 기준을 채택하지는 않았지만, AI 중심의 기준 제정을 공식적으로 검토할 길을 열었다.

2026년 6월 23일, PCAOB는 기준 제정 의제와 연구 의제를 함께 다루는 첫 공개 의견 요청을 발표했다. 이 요청은 이사회의 보다 폭넓은 기준 제정 절차에 대한 의견도 구했다.

이사회는 감사 및 재무보고 환경의 변화에 맞춰 의제가 발전해야 한다고 밝혔다. 현재의 감사 의제는 AI를 포함한 기술 혁신을 감사 품질에 영향을 줄 수 있는 요인으로 지목한다.

이 표현은 중요하다. AI를 회계법인의 내부 생산성 선택으로 취급하는 대신, PCAOB의 투자자 보호 사명 안에 위치시키기 때문이다.

PCAOB는 상장기업과 SEC 등록 브로커 및 딜러를 감사하는 등록 감사법인을 감독한다. 모든 기업 AI 애플리케이션을 포괄하는 일반 규제기관은 아니다. PCAOB가 채택하는 모든 기준은 감사 업무, 재무보고, 직업윤리 및 관련 품질 관리에 초점을 맞추게 된다.

그럼에도 이러한 영향력은 상장기업까지 미친다. 감사인은 재무 정보를 생성하는 시스템을 이해하고 관련 내부통제를 평가해야 한다. 경영진이 이들 시스템 안에서 AI를 사용할 경우, 감사인이 AI 모델을 전혀 배포하지 않더라도 해당 기술은 감사에 영향을 줄 수 있다.

AI 도구는 비용을 분류하거나, 충당부채를 추정하거나, 비정상 거래를 식별하거나, 조정을 준비할 수 있다. 손상검사에 사용되는 예측을 지원할 수도 있다. 각각의 사용 사례는 데이터 품질, 접근 통제, 모델 변경, 인간의 검토 및 재현 가능성에 관한 질문을 제기한다.

감사인은 그때 두 가지 별개의 과업에 직면한다. 첫째는 경영진의 AI 지원 정보를 평가하는 일이다. 둘째는 감사팀 자체가 사용하는 AI 기반 도구를 통제하는 일이다.

이 과업들은 교차할 수 있다. 감사인은 회사의 자동화 회계 프로세스에서 나온 결과를 테스트하기 위해 자동화 분석을 사용할 수 있다. 두 시스템이 연관된 데이터나 유사한 모델에 의존한다면, 겉보기의 상호 검증은 예상보다 독립성이 낮을 수 있다.

PCAOB의 조치가 기존 기준이 갑자기 작동을 멈췄다는 뜻은 아니다. 감사 증거, 직업적 회의주의, 감독, 문서화, 독립성 및 품질관리를 다루는 요구사항은 계속 적용된다.

논쟁은 이러한 원칙이 충분한 운영상 명확성을 제공하는지에 관한 것이다. “충분하고 적합한 감사 증거”를 요구하는 규칙은 목표를 설정한다. 하지만 변화하는 모델을 감사인이 어떻게 검증해야 하는지, 프롬프트를 어떻게 보존해야 하는지, 일관되지 않은 결과를 어떻게 조사해야 하는지를 자동으로 설명해 주지는 않는다.

이 구분은 압축된 Google News 헤드라인에서 사라진다. PCAOB는 기업의 AI 사용 허용 여부를 결정하는 것이 아니다. AI 의존이 일상화되기 전에 감사 의무에 더 명확한 AI 특화 경계가 필요한지를 결정하고 있다.

이 결정은 수년간의 연구를 뒤따른다. 2024년 7월 PCAOB 직원들은 대형 감사법인 및 상장기업과의 의견 수렴에서 얻은 관찰 결과를 발표했다. 이사회에 따르면, 접촉한 감사법인들은 발행기업 시가총액의 대부분을 집합적으로 감사했다.

GenAI 의견 수렴은 제한적이지만 빠르게 변화하는 활용을 확인했다. 감사법인들은 일반적으로 핵심 감사 테스트보다 행정 및 조사 중심 업무에 생성형 AI를 활용했다.

상장기업의 재무제표 작성자들 역시 운영 전반에 걸친 활용을 탐색하고 있었다. 이들의 도입 계획은 재무보고에서 생성형 AI를 실제 사용하는 속도보다 더 빠르게 진행되는 경우가 많았다.

이 격차는 규제기관에 이 사안을 연구할 시간을 제공했다. 그러나 조치의 필요성을 없애지는 않았다. 의견 수렴 이후 AI 역량과 기업 배포는 확대됐지만, 감사 기준은 여전히 기술 중립적 원칙에 크게 의존하고 있다.

이제 PCAOB는 연구, 직원 지침, 기존 기준 개정 또는 전용 요구사항 중에서 선택해야 한다. 6월의 요청은 답을 미리 정하지 않았다. 대신 이 선택을 이사회의 공식 의제 절차에 포함했다.

기존 감사 규칙이 AI 스트레스 테스트에 직면하는 이유

핵심 압력은 AI의 가변적인 결과, 제한된 투명성, 그리고 업무팀 외부의 통제에 대한 의존에서 나온다.

전통적인 감사 소프트웨어도 실패할 수 있다. 잘못 구성된 스프레드시트, 표본추출 프로그램 또는 데이터 분석 스크립트는 부정확한 결과를 낼 수 있다. 감사 기준은 이미 감사법인에 도구가 의도대로 작동하는지 평가하도록 요구한다.

생성형 AI는 다른 조합의 위험을 가져온다. 동일한 프롬프트라도 서로 다른 답변을 생성할 수 있다. 모델 제공업체는 모든 기술적 변경을 공개하지 않고 시스템을 업데이트할 수 있다. 결과물은 꾸며낸 사실이나 뒷받침되지 않는 결론을 포함하면서도 권위 있어 보일 수 있다.

이러한 특성은 감사 증거를 복잡하게 만든다. 증거는 의도된 목적에 비추어 관련성과 신뢰성을 갖춰야 한다. 보기 좋은 요약문은 잘 읽히거나 경영진의 입장과 일치한다는 이유만으로 신뢰할 수 있는 것은 아니다.

계약서를 검토하는 데 AI를 활용하는 감사인은 시스템이 관련 조항을 모두 검토했는지 알아야 한다. 팀은 원본 문서가 완전했고 올바르게 처리됐는지도 판단해야 한다.

인간 검토자는 최종 요약을 수용하는 것만으로 이 문제를 해결할 수 없다. 검토자는 작업을 재구성하고, 결과에 이의를 제기하며, 누락되거나 잘못 읽힌 조항을 식별할 충분한 정보를 필요로 한다.

AI 공급업체가 모델 세부 정보를 독점 정보로 취급하면 이 요구사항은 더 어려워진다. 감사법인은 학습 데이터, 시스템 로그, 평가 방법 또는 버전 이력에 직접 접근하지 못할 수 있다.

제3자 의존은 감사에서 새로운 일이 아니다. 감사법인은 이미 소프트웨어 공급업체, 클라우드 인프라, 가치평가 전문가 및 서비스 조직에 의존하고 있다. 그러나 AI는 중요한 판단을 점검하기 어렵게 유지하면서 책임을 더 많은 계층으로 분산시킬 수 있다.

모델 드리프트는 또 다른 복잡성을 더한다. 모델 드리프트란 데이터, 구성 또는 주변 환경이 바뀌면서 시스템의 행동이 변화하는 것을 뜻한다. 배포 시점에 수행한 검증이 수개월 뒤의 의존을 뒷받침하지 못할 수 있다.

따라서 감사 업무에는 변경 통제가 필요하다. 팀은 어떤 모델 버전이 작동했는지, 어떤 설정이 적용됐는지, 누가 변경을 승인했는지, 업데이트가 새로운 테스트를 촉발했는지를 알아야 한다.

프롬프트 기반 조작은 오류로 이어지는 또 다른 경로를 만든다. 문서 안에 숨겨진 텍스트가 AI 시스템의 지시에 영향을 미칠 수 있다. 계약 검토 도구가 감사인이 의도한 절차보다 삽입된 지시를 우선시할 수 있다.

Treadway Commission의 Committee of Sponsoring Organizations는 2026년 GenAI 통제 출판물에서 이러한 우려를 다뤘다. COSO는 생성형 AI 거버넌스를 기존 내부통제 프레임워크와 연결했다.

이 지침은 사이버 노출, 불투명한 추론, 모델 드리프트, 프롬프트 조작 및 빈번한 구성 변경과 관련된 위험을 강조한다. 이들은 운영, 보고 및 규정 준수에 영향을 줄 수 있기 때문에 통제 문제다.

COSO의 작업은 기업 경영진이 내부통제를 설계하는 데 도움을 준다. 하지만 감사인을 위한 PCAOB 요구사항을 대체하지는 않는다. 감사인은 여전히 이러한 통제를 평가하고 통제 실패가 감사 절차에 어떤 영향을 미치는지 판단할 기준이 필요하다.

인간의 감독은 가장 눈에 띄는 쟁점으로 남아 있다. “Human in the loop”는 사람이 자동화 시스템의 작업을 검토하거나 통제하는 프로세스를 뜻한다. 이 표현은 안심을 주는 듯하지만, 실제 의미는 크게 다르다.

AI가 생성한 결론을 승인만 하는 검토자는 거의 보호 기능을 제공하지 못한다. 효과적인 검토에는 시스템에 이의를 제기할 역량, 시간, 증거 및 권한이 필요하다.

따라서 PCAOB는 명목상의 검토와 실질적인 감독을 구분해야 한다. 또한 어떤 결정이 자격을 갖춘 전문가에게 남아 있어야 하는지도 명확히 해야 한다.

직업적 판단은 자동화 워크플로의 마지막에 이루어지는 의례적인 승인이 되어서는 안 된다. 모델이 얼마나 많은 분석을 수행하든, 업무 파트너는 감사 의견에 대한 책임을 계속 진다.

문서화 기준도 관련된 스트레스 테스트에 직면한다. 감사 파일은 일반적으로 수행한 절차, 확보한 증거, 도달한 결론 및 완료된 검토를 보여준다. AI 지원 업무에는 프롬프트, 시스템 지시, 결과 이력, 검증 결과 및 예외 처리도 필요할 수 있다.

이러한 기록이 없으면 검사팀은 무슨 일이 있었는지 판단하지 못할 수 있다. 모델 업데이트 후 감사법인 자체도 절차를 재현하는 데 어려움을 겪을 수 있다.

명확한 PCAOB AI 기준은 공통의 최소 문서화 기준을 정할 수 있다. 또한 감사 품질이 각 공급업체가 선호하는 통제에 좌우되도록 만드는, 서로 양립할 수 없는 접근법의 도입을 막을 수 있다.

원칙 중심 접근법과 규정 중심 PCAOB AI 기준

핵심 경쟁은 혁신과 규제의 대립이 아니다. 불투명하고 변화하는 도구에 대한 유연한 원칙과 최소 요구사항의 대립이다.

원칙 중심 접근법 지지자들의 주장은 설득력이 있다. AI 기술은 특정 모델, 아키텍처 또는 제품 기능을 중심으로 만든 기준이 따라가기에는 너무 빠르게 변한다.

상세 규칙은 감사법인이 이를 구현하기도 전에 구식이 될 수 있다. 또한 모든 애플리케이션을 이전 기술을 중심으로 설계된 프레임워크에 억지로 맞추게 하여 유용한 도구를 억제할 수도 있다.

기존 PCAOB 기준은 이미 감사인에게 책임을 부여한다. 이 기준들은 적합한 증거, 직업적 회의주의, 감독, 문서화 및 품질 관리를 요구한다. 컴퓨터가 절차의 일부를 수행한다고 해서 이러한 의무가 사라지는 것은 아니다.

이 접근법은 제품이 출시될 때마다 규칙집을 다시 열지 않고도 새로운 도구를 수용할 수 있다. 또한 규제의 초점을 기술 유행이 아닌 감사 품질에 유지한다.

국제 기준 제정기구들도 일부 측면에서 이 경로를 따르고 있다. 2026년 8월 International Auditing and Assurance Standards Board는 세 가지 기초 기준의 개정을 제안했다.

제안된 감사증거 개정안은 위험 대응, 감사증거, 분석적 절차를 다룬다. 디지털 정보, 증거의 신뢰성, 전문가적 의구심, 기술 지원 업무를 강조한다.

이 제안은 여전히 원칙 중심이다. 기업과 감사인이 첨단 기술을 활용할 때 기존 목표가 더 효과적으로 작동하도록 하는 데 목적이 있다. 의견 제출 마감일은 2026년 12월 15일이다.

이 국제적 절차는 PCAOB에 유용한 참고점이 된다. 동시에 압박도 만든다. 글로벌 요구사항이 더 명확해지는 반면 미국이 주로 광범위한 원칙에 의존한다면, 다국적 기업들은 불균형한 기대에 직면할 수 있다.

규정형 최소 요건의 필요성은 일관성에서 출발한다. 특히 AI 시스템의 설계가 서로 다를 때 두 감사법인은 “적절한 인간 검토”를 다르게 해석할 수 있다.

한 법인은 알려진 결과를 기준으로 한 독립적 테스트를 요구할 수 있다. 다른 법인은 공급업체 문서와 관리자의 검토만으로 충분하다고 볼 수 있다. 두 곳 모두 같은 일반 원칙을 준수한다고 주장할 수 있다.

최소 요건은 그 해석 범위를 좁힐 수 있다. 모델 승인, 정기 검증, 데이터 통제, 접근 제한, 변경 관리, 기록 보존, 신뢰할 수 없는 결과물의 에스컬레이션 등을 포함할 수 있다.

또한 보강 증거 없이는 AI 결과물을 증거로 사용할 수 없는 경우를 정의할 수도 있다. 이러한 경계는 감사인이 생산성 향상을 근거 없는 의존으로 전환하라는 압박에 저항하는 데 도움이 된다.

그러나 세부적인 기준은 그 자체로 위험을 만든다. 법인들은 체크리스트를 시스템 안전성의 증거로 취급할 수 있다. AI 위험은 맥락에 따라 달라지므로, 기술적 절차 준수가 전문가적 의구심을 대체할 수는 없다.

메모의 형식을 정리하는 데 쓰이는 모델은 테스트용 분개를 선택하는 모델과 같은 수준의 통제를 필요로 하지 않는다. 기준은 이러한 위험 기반의 구분을 유지해야 한다.

가장 강력한 접근법은 원칙과 강제력 있는 기준선을 결합하는 것이다. 원칙은 기술 전반에 걸쳐 책임을 설정한다. 기준선은 법인들이 임의로 해석해서는 안 되는 예측 가능한 실패 지점을 다룬다.

예를 들어 기준이 특정 모델명을 명시할 필요는 없다. 그럼에도 법인에 모델과 버전을 식별하고, 의도된 사용을 검증하며, 관련 상호작용 기록을 보존하고, 변경 사항을 모니터링하도록 요구할 수 있다.

감사팀에 독립적 증거를 통해 결과물을 테스트하도록 요구할 수도 있다. 또한 팀이 재현하거나 설명할 수 없는 요약을 무비판적으로 신뢰하는 행위를 금지할 수 있다.

이 구조는 공급업체가 사실상의 기준 제정자가 되는 것을 막으면서 혁신을 뒷받침할 수 있다. 감사법인은 도구를 선택할 수 있지만, 해당 도구가 목적에 적합하다는 점을 입증해야 하는 일관된 의무를 지게 된다.

이 구분은 소규모 법인에도 중요하다. 대형 네트워크는 내부 평가팀을 구축하고, 공급업체 접근권을 협상하며, 자체 플랫폼을 유지할 수 있다. 소규모 법인은 상용 제품에 더 크게 의존할 수 있다.

모호한 기준은 이러한 자원 격차를 키울 수 있다. 소규모 법인은 검사에서 결함이 발견되기 전까지 규제당국이 어떤 검증을 기대하는지 알지 못할 수 있다.

지나치게 복잡한 규칙은 반대의 문제를 초래할 수 있다. 준수 비용이 소규모 법인의 유용한 기술 접근을 막고, 최대 규모 네트워크의 시장 지위를 강화할 수 있다.

따라서 확장 가능한 요건이 필수적이다. 테스트 수준은 도구의 역할, 중요한 왜곡표시 위험, 그리고 그 결과물에 부여되는 의존도에 따라 달라져야 한다.

Google News 독자들은 이 논쟁을 더 엄격한 감독을 요구하는 단순한 목소리로 접할 수 있다. 더 중요한 선택은 구조에 관한 문제다. PCAOB에는 집행하기에 충분히 구체적이면서도 다음 모델 주기에도 살아남을 만큼 유연한 규칙이 필요하다.

기업의 AI 활용, 감사인을 모델의 양쪽에 세우다

AI는 기업 보고 시스템을 바꾸고, 이어 감사인이 그 시스템을 테스트하는 방식을 바꾸면서 감사를 두 번 변화시킨다.

상장기업들은 이미 회계 분야 밖에서 AI를 활용하고 있다. 고객 서비스, 소프트웨어 개발, 마케팅, 조달, 예측, 문서 처리에 AI를 적용한다.

그 활동 중 일부는 결국 재무제표에 영향을 미친다. AI 지원 가격 결정은 매출을 바꿀 수 있다. 자동화된 재고 계획은 충당금에 영향을 줄 수 있다. 생성된 예측은 가치평가와 손상 추정에 영향을 미칠 수 있다.

재무보고 위험이 발생하기 위해 AI 시스템이 분개를 직접 입력할 필요는 없다. 모델은 경영진이 이후 전통적 회계 절차에 반영하는 가정에 영향을 줄 수 있다.

감사인은 이러한 연결고리를 추적해야 한다. AI가 중요한 계정, 추정치, 공시 또는 재무보고 관련 내부통제에 영향을 미치는 지점을 식별해야 한다.

재무보고 관련 내부통제, 즉 ICFR은 신뢰할 수 있는 재무제표를 뒷받침하도록 설계된 절차를 포괄한다. AI 애플리케이션이 관련 정보를 생성, 변환, 승인 또는 모니터링하면 ICFR을 바꿀 수 있다.

감사인이 이를 테스트하기 전에 경영진은 그 변화를 이해해야 한다. 기업은 배포된 시스템과 그 책임자에 대한 목록이 없다면 모델을 효과적으로 관리할 수 없다.

기본 질문은 구체적이다. 어떤 데이터가 모델에 입력되는가? 누가 그 구성을 변경할 수 있는가? 예외 사항은 어떻게 검토되는가? 결과물이 계속 정확하다는 것을 어떤 증거가 보여주는가?

기업에는 사고 대응 절차도 필요하다. 직원들은 환각, 데이터 유출, 무단 사용 또는 예기치 못한 행동을 어디에 보고해야 하는지 알아야 한다. 중요한 사고가 기술팀 내부에 고립되어서는 안 된다.

미국 증권거래위원회는 이미 상장기업에 근거 없는 AI 주장에 대해 경고했다. 전임 위원장은 조직이 AI 사용이나 역량을 과장하는 AI 워싱을 문제로 설명했다.

SEC의 AI 공시 경고는 상장기업이 중요한 주장에 대해 합리적인 근거를 갖춰야 한다고 강조했다. 투자자에게도 중요한 AI 위험에 관한 기업별 정보가 필요하다.

이 공시 문제는 감사와 맞닿아 있다. 감사인은 재무제표와 일부 관련 정보를 평가하지만, AI에 관한 모든 기업 발언을 보증하는 것은 아니다.

기준은 이 경계를 유지하면서 AI 주장이 감사 범위에 포함되는 재무 추정치, 통제 또는 공시에 영향을 미치는 사례를 다뤄야 한다.

모델의 두 번째 측면은 감사법인에 속한다. 법인들은 AI를 더 큰 모집단 검색, 문서 요약, 이상 징후 식별, 반복 업무 축소 수단으로 본다.

이러한 활용은 검토 범위를 개선할 수 있다. 전통적 표본추출은 거래 모집단의 일부만 검토할 수 있다. 기술 지원 분석은 기록된 모든 항목을 선별하고, 비정상적 패턴에 주의를 집중시킬 수 있다.

더 넓은 범위가 자동으로 더 나은 증거를 의미하지는 않는다. 시스템은 전체 모집단에 걸쳐 일관되게 잘못된 규칙을 적용할 수 있다. 의미 있는 조사를 하기에는 너무 많은 오탐을 생성할 수도 있다.

감사 품질은 팀이 그 결과로 무엇을 하는지에 달려 있다. 팀은 절차의 목적을 이해하고, 예외 사항을 평가하며, 발견 사항을 관련 재무제표 주장과 연결해야 한다.

AI 에이전트는 위험도를 한층 높인다. 에이전트는 목표를 향해 여러 단계를 계획하고 실행할 수 있는 소프트웨어로, 때로는 외부 도구나 데이터를 활용한다.

에이전트는 기록을 요청하고, 문서를 비교하며, 불일치를 표시하고, 결론 초안을 작성할 수 있다. 이 워크플로는 단일 분석 도구를 넘어선다.

에이전트가 수행할 단계를 결정하면 책임이 모호해질 수 있다. 감사인은 여전히 절차가 적절하고 완전했는지를 판단해야 한다.

자율적 순서는 공격 표면도 확대한다. 잘못된 권한 설정, 조작된 문서 또는 결함 있는 도구 호출은 사람이 결과를 검토하기 전에 여러 단계를 오염시킬 수 있다.

미국 국립표준기술연구소는 AI 위험을 식별하고, 측정하고, 관리하고, 거버넌스하기 위한 자발적 AI 위험 프레임워크를 제공한다. 이는 법인에 시스템 수준 감독을 위한 유용한 어휘를 제공한다.

그러나 NIST는 무엇이 충분한 감사증거를 구성하는지 결정하지 않는다. 기술적으로 잘 관리되는 모델도 특정 감사 절차에는 부적합할 수 있다.

PCAOB의 AI 기준은 시스템 거버넌스와 전문가적 의무를 연결해야 한다. 건전한 모델 통제는 감사인의 증거 평가를 지원하지만 대체하지는 않는다는 점을 분명히 해야 한다.

독립성은 또 다른 미해결 쟁점이다. 감사법인은 보증 업무를 위한 도구를 개발하는 동시에 기술 관련 서비스를 제공하는 경우가 많다.

기존 독립성 규칙은 객관성을 훼손하는 관계와 서비스를 제한한다. AI는 공유 플랫폼, 학습 데이터, 공급업체 파트너십, 감사인과 고객이 모두 사용하는 시스템에 관한 질문을 추가한다.

유사한 기술을 사용한다고 해서 독립성이 자동으로 훼손되는 것은 아니다. 그러나 법인에는 자신들이 구축에 관여한 가정이나 구성을 감사하지 않도록 하는 보호장치가 필요하다.

PCAOB는 시장 관행이 굳어지기 전에 이러한 관계를 검토해야 한다. 법인들이 상호 연결된 플랫폼을 구축한 뒤 독립성 통제를 소급 적용하는 일은 더 어려울 것이다.

AI 감사 지침이 여전히 보장할 수 없는 것

어떤 기준도 환각, 불투명성 또는 자동화 편향을 제거할 수 없으므로, 핵심 시험대는 규칙이 실패를 가시화하고 통제 가능하게 만드는지 여부다.

신속한 기준 제정을 지지하는 이들은 새 규칙이 달성할 수 있는 범위를 과장해서는 안 된다. 규제는 AI 시스템이 모든 상황에서 일관되게 작동하도록 보장할 수 없다.

또한 모든 모델을 완전히 설명 가능하게 만들 수도 없다. 개발자가 광범위한 기술 문서를 제공하더라도 일부 시스템은 여전히 해석하기 어렵다.

설명 가능성 요건은 기준이 설명되어야 할 결정을 정의하지 않으면 무의미해질 수 있다. 감사인이 모든 모델 매개변수에 대한 완전한 설명을 필요로 하는 경우는 드물다.

대신 시스템이 특정 절차에 적합한 이유를 이해할 수 있는 충분한 정보가 필요하다. 또한 관련 조건에서 그 결과물이 계속 신뢰할 수 있다는 증거도 필요하다.

자동화 편향은 별개의 인간적 문제를 만든다. 사람들은 특히 시스템이 자신감 있거나 정교해 보일 때 컴퓨터가 생성한 권고에 과도한 비중을 두는 경향이 있다.

의무적 검토가 이 편향을 없애지는 않는다. 검토자는 AI가 생성한 답을 반증하려 하기보다 이를 확인하는 근거를 찾을 수 있다.

따라서 법인은 워크플로에 반증 절차를 설계해야 한다. 검토자는 결과물을 독립적 증거와 비교하거나, 의도적으로 어려운 테스트 사례를 사용하거나, 상충되는 결과를 조사할 수 있다.

교육도 중요하다. 회계사가 모델 엔지니어가 될 필요는 없지만, 자신에게 배정된 업무와 관련된 한계는 이해해야 한다.

이는 업무 파트너에게도 마찬가지로 적용된다. 감사 의견에 대한 형식적 책임만 유지한 채 모든 기술적 이해를 전문가에게 위임할 수는 없다.

기준은 하나의 교육 프로그램이 모든 도구에 맞는다고 가정하지 않으면서 역량에 대한 기대를 설정해야 한다. 요구되는 지식은 시스템의 역할과 위험을 반영해야 한다.

공급업체 집중도 또 다른 불확실성을 제시한다. 여러 법인이 동일한 클라우드 제공업체나 기반 모델에 의존할 수 있다. 공유된 결함은 한 번에 많은 감사 업무에 영향을 미칠 수 있다.

전통적인 업무 단위 통제는 이러한 시스템적 노출을 놓칠 수 있다. PCAOB는 기밀 고객 데이터를 노출하지 않으면서 법인 전반의 패턴을 식별할 수 있도록 정보 공유 체계를 마련해야 할 수 있다.

검사 방식도 바뀌어야 한다. 검사관은 도구 거버넌스와 개별 감사 업무의 실행을 모두 평가해야 한다. 어느 하나가 다른 하나를 대체할 수는 없다.

법인이 우수한 중앙 승인 절차를 유지하더라도 감사팀이 도구를 잘못 사용할 수 있다. 또 다른 도구는 한 절차에는 적합하지만 다른 목적에는 신뢰할 수 없을 수 있다.

규제당국은 이러한 차이를 판단할 기술 전문성을 갖춰야 한다. 모델 행동에 대한 설명을 감독 대상인 법인이나 공급업체에 전적으로 의존해서는 안 된다.

표준은 기업 이사회에 잘못된 안도감을 줄 수도 있다. 감사 의견이 적정하다고 해서 기업 내부의 모든 AI 시스템이 안전하고, 공정하며, 보안이 확보되고, 법적 요건을 준수한다는 뜻은 아니다.

재무감사는 정해진 보고 목적을 다룬다. 더 폭넓은 AI 거버넌스에는 개인정보 보호, 차별, 지식재산권, 사이버보안, 소비자 보호, 운영 복원력이 포함된다.

독자들은 이 영역들을 하나의 범주로 뭉뚱그려서는 안 된다. “AI 감사”는 AI를 활용한 재무감사, AI 거버넌스 감사, 또는 AI 제품 평가를 의미할 수 있다.

Bloomberg Tax의 의견은 첫 번째 범주와 기업 AI가 재무보고에 미치는 영향을 다뤘다. 이는 모든 알고리즘에 적용되는 포괄적 보증 체계를 확립한 것은 아니다.

이 한계는 정확한 용어 사용의 필요성을 더 분명히 한다. 규제기관은 AI 보증을 설명할 때마다 목적, 대상 사항, 기준, 증거, 책임 주체를 명시해야 한다.

가장 중요한 회의적 질문은 여전히 실행이다. 기업이 팀의 AI 출력 검증 및 이의 제기 방식을 바꾸지 않은 채 준수 사실만 문서화한다면, 아무리 합리적인 표준도 실패할 것이다.

검사 결과가 가장 명확한 증거를 제공할 것이다. 누락된 로그, 취약한 검증 또는 피상적인 검토와 관련한 반복적 미비점은 원칙만으로는 충분하지 않음을 보여줄 것이다.

반대로, 통제된 도입과 신뢰할 수 있는 감사 업무의 증거는 더 유연한 접근법을 뒷받침할 것이다. PCAOB는 그러한 증거가 축적됨에 따라 요건을 조정할 의지를 유지해야 한다.

Google News 주기 이후 주목할 세 가지 신호

다음 단계는 PCAOB의 의제, 국제 감사 제안, 그리고 검사에서 나온 증거로 규정될 것이다.

첫 번째 신호는 PCAOB가 2026년 의견수렴 절차에 어떻게 대응하는지다. 위원회는 AI를 연구 과제, 직원 지침 이니셔티브, 또는 공식 표준 제정 안건 중 무엇으로 다룰지 결정해야 한다.

공식 프로젝트 지정은 기존 요건에 더 명확한 적용 방식이 필요하다는 주장을 강화할 것이다. 직원 지침은 위원회가 현재 해석을 더 신속한 해결책으로 보고 있음을 시사할 것이다.

연구 전용 지정은 유연성을 유지하겠지만, 기업에 더 많은 재량을 남기게 된다. 독자들은 프로젝트의 명칭뿐 아니라 범위도 살펴봐야 한다.

가장 유용한 범위는 감사인이 사용하는 AI와 기업 재무보고에 내장된 AI를 모두 다루는 것이다. 또한 문서화, 검증, 감독, 독립성, 벤더 통제도 고려해야 한다.

두 번째 신호는 국제 감사증거 협의의 결과다. IAASB의 개정안은 기술 지원 업무를 위한 원칙 중심 모델을 제시한다.

강력한 이해관계자 지지는 감사인과 투자자들이 현대화된 증거 규칙을 실현 가능한 기반으로 본다는 점을 보여줄 것이다. 더 상세한 AI 요건 요구는 그 접근법의 한계를 드러낼 것이다.

PCAOB가 국제 표준을 그대로 따라 할 필요는 없다. 그러나 설명되지 않은 차이는 글로벌 감사를 복잡하게 만들고, 동일한 기술에 대해 일관되지 않은 기대를 낳을 수 있다.

세 번째 신호는 검사와 집행에서 나올 것이다. 규제기관은 AI가 감사 미비점에 기여하는지, 아니면 팀이 중요한 문제를 식별하도록 돕는지에 관한 실제 증거가 필요하다.

관련 지표에는 검증 실패, 문서화 누락, 취약한 감독, 부적절한 의존, 공개되지 않은 이해충돌이 포함된다. 규제기관은 AI가 전체 모집단 테스트나 부정 탐지를 개선한 사례도 추적해야 한다.

이처럼 균형 잡힌 증거가 중요하다. 규칙은 AI 지원 절차가 모두 품질을 떨어뜨린다고 가정하지 않고, 입증된 위험에 대응해야 한다.

기업은 최종 표준을 기다릴 필요가 없다. 재무 책임자는 중요한 AI 활용 사례를 목록화하고, 소유권을 정의하며, 변경 이력을 보존하고, 관련 통제를 지금부터 테스트할 수 있다.

감사위원회는 AI가 추정치, 조정, 공시, 통제 모니터링에 어디에서 영향을 미치는지 경영진에게 물을 수 있다. 외부감사인에게는 자체 도구를 어떻게 거버넌스하는지도 물을 수 있다.

감사법인은 의도된 활용 방식, 한계, 검증 결과, 접근 통제, 필수 인적 검토를 문서화해야 한다. 중요한 AI 지원 절차를 재구성할 수 있을 만큼 충분한 정보를 보존해야 한다.

이러한 검토를 지원하는 지식 근로자에게는 신뢰할 수 있는 기록이 필요하다. 잘 관리된 AI 지식 베이스는 공식 감사 문서를 대체하지 않으면서 정책, 평가, 사고, 승인, 모델 변경 사항을 체계화할 수 있다.

Google News의 관심이 사그라든 뒤 핵심 질문은 PCAOB가 추상적으로 “AI를 규제할지” 여부가 아니다. 자동화된 업무가 감사증거에 내재화되기 전에 위원회가 검증 가능한 책임 체계를 확립할지 여부다.

의제, 국제 협의, 검사 기록을 지켜봐야 한다. 이 세 가지 신호는 유연한 원칙이 계속 충분한지, 아니면 집행 가능한 PCAOB AI 표준이 불가피해지는지를 보여줄 것이다.