[논문 리뷰] Controls over Spreadsheets for Financial Reporting in Practice

Nancy Coster, Linda Leon외 2명|arXiv (Cornell University)|2011. 11. 29.

Spreadsheets and End-User Computing참고 문헌 13인용 수 3

한 줄 요약

이 연구는 사라노스-옥스 법(소스본-옥스 법, SOX)을 이행하는 38개의 미국 기업에서 재무보고의 스프레드시트 거버넌스 관행을 조사한다. 연구는 설계, 테스팅, 문서화, 사용, 수정, 공유 및 아카이빙을 포함한 전 생애주기 단계에서 광범위한 결함을 확인하며, 공식적 통제의 부재를 지적하고 재무보고 시스템의 신뢰성과 준수를 향상시키기 위한 실행 가능한 통제 조치를 제안한다.

ABSTRACT

Past studies show that only a small percent of organizations implement and enforce formal rules or informal guidelines for the designing, testing, documenting, using, modifying, sharing and archiving of spreadsheet models. Due to lack of such policies, there has been little research on how companies can effectively govern spreadsheets throughout their life cycle. This paper describes a survey involving 38 participants from the United States, representing companies that were working on compliance with the Sarbanes-Oxley Act of 2002 (SOX) as it relates to spreadsheets for financial reporting. The findings of this survey describe specific controls organizations have implemented to manage spreadsheets for financial reporting throughout the spreadsheet's lifecycle. Our findings indicate that there are problems in all stages of a spreadsheet's life cycle and suggest several important areas for future research.

연구 동기 및 목표

• 재무보고에 사용되는 스프레드시트에 대한 통제를 조직이 어떻게 구현하는지, 특히 SOX 준수 맥락에서 이해하는 것.
• 설계, 테스팅, 문서화 및 아카이빙을 포함한 스프레드시트 생애주기 전반에서의 관리 격차와 과제를 특정하는 것.
• 재무보고에서 스프레드시트 사용을 거버넌스하기 위해 공식 정책이나 비공식 가이드라인을 얼마나 채택하고 있는지 탐색하는 것.
• 실제 조직 관행을 바탕으로 효과적인 스프레드시트 거버넌스에 대한 실용적 통찰을 제공하는 것.
• 스프레드시트 리스크 관리 및 통제 프레임워크 분야에서 향후 연구가 필요한 영역을 부각하는 것.

제안 방법

• 스프레드시트 사용과 관련된 SOX 준수와 관련해 활동 중인 38명의 미국 기업 전문가를 대상으로 설문 조사를 실시하였다.
• 재무보고에 스프레드시트를 의존하고 있으며 SOX 하의 내부통제 요구사항에 따라 규제를 받는 조직에 집중하였다.
• 설계, 테스팅, 문서화, 사용, 수정, 공유 및 아카이빙을 포함한 스프레드시트 생애주기 관리와 관련된 현재 관행에 대한 데이터를 수집하였다.
• 반복되는 통제 관행, 일반적인 과제, 거버넌스 접근 방식의 일관성 없는 점을 식별하기 위해 응답을 분석하였다.
• 질적 및 서술적 분석을 사용하여 발견사항을 요약하고 통제 이행 패턴을 부각시켰다.
• 구조화된 표와 색상도를 활용해 결과를 보고하였으며, 이는 생애주기 단계별로 통제 분포를 시각화한다.

실험 결과

연구 질문

• RQ1 조직은 재무보고에 사용되는 스프레드시트를 관리하기 위해 어떤 유형의 통제를 시행하는가?
• RQ2 이러한 통제가 스프레드시트 생애주기 단계 전반에 걸쳐 일관되게 적용되는가?
• RQ3 재무보고에서 스프레드시트 사용을 위한 공식 통제를 구현하는 데 조직이 겪는 과제는 무엇인가?
• RQ4 조직은 재무보고를 위한 스프레드시트 모델을 얼마나 체계적으로 문서화하고, 테스트하며, 감사하는가?
• RQ5 재무보고에서 오류나 준수 위반을 유발할 수 있는 거버넌스의 주요 격차는 무엇인가?

주요 결과

• 스프레드시트 개발 및 관리에 공식 규칙이나 비공식 가이드라인을 시행하는 조직은 소수에 불과하다.
• 설계, 테스팅, 문서화, 사용, 수정, 공유 및 아카이빙을 포함한 스프레드시트 생애주기 전 단계에서 결함가 발견되었다.
• 많은 조직이 버전 관리, 동료 검토 또는 스프레드시트 모델 검증을 위한 일관된 프로세스를 보유하고 있지 않다.
• SOX 요구사항에도 불구하고, 많은 기업이 재무 스프레드시트의 변경 사항을 체계적으로 문서화하거나 감사 추적 기록을 유지하지 않는다.
• 규제 기업들 사이에서도 재무보고에서 스프레드시트를 위한 표준화된 통제 프레임워크가 뚜렷하게 부재해 있다.
• 본 연구는 오류 위험을 줄이고 재무보고 기준 준수를 지원하기 위해 개선된 거버넌스 모델이 절실하게 필요하다는 것을 드러낸다.