LG유플러스가 외부감사를 맡긴 안진회계법인(이하 안진)에 감사보수보다 10억원 이상 많은 비감사용역을 맡긴 것으로 확인됐다. 비감사용역 상당수는 개인정보·사이버보안·세무조사 대응 등 회사의 리스크와 맞닿아 있었다. 외부감사인이 회사의 보안 개선·점검 업무에 관여한 뒤, 같은 회사의 내부통제와 재무적 영향을 독립적으로 감사할 수 있느냐가 쟁점으로 떠올랐다.
1일 조선비즈 취재를 종합하면, LG유플러스가 지난해 안진회계법인과 계약한 비감사용역 보수는 총 25억3200만원으로 확인됐다. 같은 기간 안진에 책정된 감사보수 14억6850만원의 1.7배 규모다.
비감사용역 규모도 이전과 비교해 급증했다. LG유플러스가 공시한 비감사용역 보수는 2023년 7700만원, 2024년 4500만원 수준이었다. 2025년 들어 25억원대로 크게 불어난 셈이다. 이는 LG유플러스 외부감사인이 2025년부터 안진회계법인으로 바뀐 직후 나타난 변화다. 외부감사인 변경 첫해 대규모 비감사용역 계약이 집중된 것이다.
비감사용역은 개인정보와 사이버보안 관련 업무에 집중됐다. 가장 큰 용역은 9억원 규모의 개인정보 데이터베이스(DB) 파기 결과 및 이행 점검이었다. 사이버안전혁신과제 추진 PMO(프로젝트관리조직) 사업도 8억9200만원으로 비슷한 규모였다. 이 밖에 정기세무조사 대응용역 3억5000만원, 전자서명인증사업자 평가 1억7900만원, 법인세 세무조정 8000만원, 정보보호백서 제작 및 발간 지원 5300만원 등이 포함됐다.
외부감사인에게 비감사용역을 맡기는 것 자체가 위법은 아니다. 다만 회계업계에서는 감사 대상 회사에서 받는 자문·점검 보수가 감사보수를 웃돌 경우 독립성 관리가 더 엄격해야 한다고 본다. 감사인이 회사와의 경제적 관계 때문에 비판적 판단을 주저할 수 있는 '자기이익 위협'과, 자신이 수행한 업무 결과를 감사 과정에서 다시 평가하게 되는 '자기검토 위협'이 생길 수 있어서다.
특히 LG유플러스의 경우 비감사용역이 단순 회계 자문이 아니라 보안 리스크와 맞물려 있다는 점에서 논란의 여지가 있다는 이야기도 나온다. 지난해 과학기술정보통신부 민관합동조사단은 LG유플러스 통합 서버 접근제어 솔루션 관련 내부 정보 유출이 실제 확인됐다고 밝혔다. 다만 핵심 서버들이 운영체제(OS) 재설치 또는 폐기돼 정확한 침입 경로와 피해 범위는 규명되지 못했다. 조사단은 이 조치를 부적절하다고 판단했고, 과기정통부는 위계에 의한 공무집행 방해 혐의로 경찰에 수사를 의뢰한 상태다.
통신업계 관계자는 "통신사에서 개인정보와 사이버보안은 재무제표 밖의 관리 사안에 그치지 않는다. 사고가 발생하면 과징금, 손해배상, 고객 보상비용, 충당부채, 우발부채, 내부회계관리제도 평가로 이어질 수 있다"며 "외부감사인이 개인정보 DB 파기 점검이나 사이버안전혁신과제 PMO에 관여했다면, 이후 관련 비용과 내부통제를 감사할 때 이해상충을 어떻게 차단했는지가 중요해진다"고 말했다.
핵심은 안진이 맡은 보안 관련 비감사용역의 실제 범위다. 단순 자문이나 사후 점검에 그쳤다면 독립성 위협은 제한적일 수 있다. 반면 개선 과제의 일정·성과·실행 관리까지 맡았다면 이야기가 달라진다. 감사인이 자신이 관여한 보안 개선 조치의 적정성, 관련 비용 처리, 내부통제 개선 효과를 다시 평가하는 구조가 될 수 있기 때문이다.
LG유플러스는 사업보고서에서 감사위원회를 통한 보고 절차를 기재했다. 감사위원회는 지난해 4월 '2025년 감사인의 비감사업무 수행 계획'을 보고받았고, 10월과 11월에는 사후 보고와 수행 결과 보고도 안건으로 다뤘다. 회계업계 관계자는 "외부감사인의 비감사용역은 금지 업무에 해당하는지만 볼 문제가 아니다"라면서 "감사팀과 용역 수행팀이 분리됐는지, 용역 결과물이 감사 판단에 영향을 주지 않도록 차단됐는지, 감사위원회가 이를 실질적으로 검토했는지가 중요하다"고 했다.
LG유플러스 측은 이에 대해 "해당 업무의 특수성과 전문성, 연속성 등을 고려해 (비감사업무) 업체를 선정했으며, 모든 계약 건은 감사위원회의 검토(심의)를 완료해 진행했다"면서 "(보안과 관련해선) 단순한 '자문 및 점검'으로 계약된 건"이라고 했다.