장부 담당자의 은행 접근: 조회 전용, 로그인, 사기

장부 담당자에게 재무 정보를 안전하게 열어 주려면 어떻게 해야 하나요?

사람마다 별도 로그인을 주고, 업무에 필요한 범위로만 제한하며, 한 사람이 결제를 시작하고 승인까지 모두 하지 못하게 하세요. 이 세 가지 원칙은 NIST의 소기업 보안 안내서에서 나온 것입니다. 계약자를 포함해 사용자마다 별도 계정을 둘 것, 업무에 필요한 시스템과 정보에만 접근하게 할 것, 거래를 시작하고 승인하는 일을 한 사람이 모두 하지 못하게 할 것입니다. 임원과 고위 관리자도 예외가 아닙니다.

거래만 기록하는 장부 담당자에게는 개인 계정, 본인이 소유한 다른 사업체의 계정, 직원의 사회보장번호와 은행 정보(급여를 맡지 않는 경우), 수취인을 추가하거나 바꿀 수 있는 권한이 필요하지 않습니다. 무엇을 보여 주지 말아야 하느냐에 대한 답은 간단합니다. 장부에 필요하지 않은 모든 것입니다.

다음에 해당하면 단순한 경우가 아닙니다.

• 장부 담당자가 소프트웨어나 은행의 유일한 관리자 로그인을 갖고 있습니다.
• 같은 사람이 장부를 기록하고 결제도 보냅니다.
• 장부 담당자가 거래처 대금 지급이나 급여도 처리합니다.
• 여러 사람이 비밀번호 하나를 같이 씁니다.
• 파트너십이나 법인에 소유주가 여럿이어서 누구의 승인이 유효한지 불분명합니다.
• 거래처의 은행 정보 변경 요청이나 모르는 결제가 이미 나타났습니다.

장부 담당자가 유일한 관리자 로그인을 갖고 있거나 결제도 보내거나 이미 이상한 일이 생겼다면, 나머지 내용보다 먼저 마지막 섹션 "상황이 다르다면?"을 읽으세요.

먼저 준비할 것: 모든 은행, 카드, 급여, 소프트웨어 계정의 목록과 각 계정에 로그인할 수 있는 사람 및 역할, 각 은행이 제공하는 역할, 급여 서비스 제공업체의 사용자 목록.

내 로그인을 공유하지 않고 장부 담당자에게 회계 소프트웨어 접근 권한을 주려면 어떻게 하나요?

장부 담당자를 업무에 필요한 권한만 가진 별도 사용자로 초대하고, 주 관리자 로그인은 본인이 보유하세요. 대부분의 회계 소프트웨어에서 소유주가 이렇게 설정할 수 있습니다. 이름과 절차는 제품마다 다르므로 해당 제품의 도움말 페이지를 확인하세요. 역할을 고르기 전에 소프트웨어 제공업체에 그 역할이 수취인을 추가하거나 바꾸고, 결제를 실행하고, 정산 정보를 바꾸고, 다른 사람에게 접근 권한을 줄 수 있는지 물어보세요. 결제 실행은 다른 사람이 맡도록 하세요.

역할 이름만으로는 할 수 있는 일을 알 수 없으므로 조회 전용이라고 단정하지 마세요. 별도 로그인이 역할의 범위를 제한하는 것은 아닙니다. 변경 내용을 그 담당자의 로그인으로 추적할 수 있게 해 줄 뿐입니다. NIST는 개별 계정이 없으면 데이터 손실이나 무단 변경을 조사하기 어렵다고 경고합니다. 소프트웨어에 누가 무엇을 바꿨는지 기록이 남는다면 확인해 보세요.

장부 담당자가 파일을 직접 만들었거나 유일한 관리자 로그인을 갖고 있다면 이것부터 바꾸세요. 관리자 권한을 되찾는 방법은 장부 담당자 교체를 참고하세요.

장부 담당자가 돈을 옮기지 못하는 조회 전용 은행 접근이 가능한가요?

가능한 경우도 있지만, 조회 전용 역할이 있는지는 은행마다 다릅니다. 은행 사용자 역할을 설명하는 정부 자료는 없고, 은행과 계좌 종류에 따라 다르므로 어떤 역할이든 의지하기 전에 은행에 물어보세요. 서면으로 묻는 것이 좋습니다.

1. 어떤 역할이 있고, 계좌와 명세서는 볼 수 있지만 결제를 시작하거나 승인하거나 실행할 수 없고 수취인 추가나 한도 변경도 할 수 없는 역할이 있나요?
2. 장부 담당자가 본인 로그인을 따로 쓸 수 있어서 제 로그인을 공유하지 않아도 되나요?
3. 결제에 두 번째 사용자의 승인을 요구할 수 있나요?
4. 은행과 회계 소프트웨어의 연결로 무엇을 할 수 있고, 누가 설정하나요?
5. 은행이 답변을 서면으로 확인해 줄 수 있나요?

은행 피드는 거래 내역을 회계 소프트웨어로 가져오는 은행과 소프트웨어 간 연결입니다. 특정 연결로 무엇을 할 수 있는지는 4번 질문에 대한 은행의 답변이지 이 페이지가 보장할 수 있는 내용이 아닙니다. 또한 은행 피드가 있다고 해서 장부가 은행과 일치한다는 증거가 되지는 않습니다(은행 피드는 대사가 아닙니다 참고).

전체 접근 권한 외에는 선택지가 없다면, 은행 로그인을 공유하지 말고 매달 직접 명세서를 보내 주세요. NIST는 가능하면 어떤 직원도 사업체의 모든 정보나 시스템에 접근하지 못하게 하라고 권고합니다.

어떤 로그인은 나만 가지고 있어야 하나요?

돈을 옮기거나, 사람을 추가하거나, 지급 대상을 바꿀 수 있는 로그인과 사업체가 법적 책임을 지는 세금 계정은 모두 본인이 보유하세요.

IRS 기록에 대해서는 Form 8821로 개인이나 회사를 지정해, 기재한 세금 종류와 기간의 기밀 세금 정보를 열람하고 받게 할 수 있습니다. 이 서식은 IRS 앞에서 본인을 대리할 권한까지 주지는 않습니다. 대리는 Form 2848로 하며, IRS에서 업무를 수행할 자격이 있는 사람에게만 가능합니다.

IRS의 기업용 온라인 계정인 Business Tax Account에서는 지정 책임자(Designated Official)나 개인사업자가 지정 사용자(Designated User)를 추가할 수 있습니다. 사용자는 본인 신원으로 로그인하고, 사회보장번호나 ITIN이 필요하며, 소유주나 임원일 필요는 없습니다. 지정 책임자나 개인사업자가 세금 서식, 기간, 권한을 정하는데, 권한에 납부가 포함될 수도 있습니다. 기록만 필요한 장부 담당자에게는 납부 권한이 필요하지 않습니다. 지정 책임자는 매년 1월과 6월에 해당 사용자를 다시 확인해야 합니다.

모든 사업체가 이 계정을 가질 수 있는 것은 아닙니다. IRS에 따르면 Schedule C나 Schedule F로 개인사업자처럼 신고하는 LLC는 아직 이용할 수 없으며, 그런 소유주는 대신 Form 8821을 사용합니다. 새 회계사에게 어떤 위임이 필요한지, 이전 위임을 어떻게 끝내는지는 회계사 교체를 참고하세요.

IRS는 신고된 주소를 급여 서비스 제공업체의 주소로 바꾸지 말 것을 강하게 권고합니다. 그렇게 하면 본인 계정에 관한 IRS 통지서가 다른 사람에게 가기 때문입니다.

누가 결제를 승인해야 하고, 장부를 기록하는 사람이 결제까지 하면 안 되는 이유는 무엇인가요?

결제를 실행할 수 있는 사람을 제한하는 것이 기록 업무와 지급 업무를 분리하는 핵심 방법입니다. 위험을 낮추지만 없애지는 못합니다. 결제를 기록하는 사람이 결제도 보내면 잘못된 결제를 숨기는 입력을 다른 사람이 볼 수 없게 됩니다. 이 설명은 이 페이지의 논리이고, NIST의 규칙은 더 좁습니다. 한 사람이 거래를 시작하고 승인까지 모두 해서는 안 된다는 것이며, 임원과 고위 관리자도 예외가 아닙니다.

현실적인 업무 분담은 다음과 같습니다.

1. 장부 담당자는 청구서를 입력하고 지급해야 할 목록을 준비합니다.
2. 본인, 공동 소유주 또는 지정된 다른 사람이 목록을 승인하고 결제를 실행합니다.
3. 장부 담당자는 은행 기록을 보고 지급된 내용을 기록합니다.
4. 장부 담당자의 보고서가 아니라 은행 거래 내역을 직접 검토합니다.

소유주가 본인 한 명이라면 본인이 승인하는 사람이고, 장부 담당자는 준비만 합니다. 본인이 결제를 시작하고 실행까지 모두 하면 승인하는 다른 사람이 없으므로 NIST의 규칙을 충족하지 못합니다. 은행 거래 내역을 매달 읽거나 외부 사람이 명세서를 보게 하면 문제를 사후에 발견할 수 있지만, 이것은 두 번째 승인이 아닙니다.

소유주가 여럿이라면 누가 결제를 실행하고 누가 새 수취인을 승인할 수 있는지 서면으로 정하고, 은행에 승인된 사람으로 등록된 이들과 일치하는지 확인하세요. 은행 관리자 로그인을 누가 가질지 소유주끼리 의견이 다르면 그것부터 정리하세요.

2단계 인증을 켜고 비밀번호를 돌려 쓰지 않으려면 어떻게 하나요?

2단계 로그인이라고도 하는 다단계 인증(MFA)을 지원하는 모든 계정에서 켜고, 비밀번호를 공유하는 대신 사람마다 별도 로그인을 주세요. CISA는 누군가 비밀번호를 훔쳐도 두 번째 단계가 계정을 지켜 준다고 설명합니다.

• 설정 위치: 각 계정의 설정에서 보안 메뉴를 찾으세요. 이중 인증이나 2단계 인증이라는 이름일 수 있습니다. CISA는 문자나 이메일로 받는 코드, 인증 앱, 지문이나 얼굴 인식을 예로 듭니다. 은행, 회계 소프트웨어, 급여 서비스 제공업체, 이메일부터 시작하세요.
• 비밀번호: CISA는 계정마다 다른, 무작위로 만든 16자 이상의 비밀번호를 적어 두지 말고 비밀번호 관리자에 보관하라고 권고합니다.
• 공유: FBI의 인터넷범죄신고센터(IC3)는 이메일로 로그인 정보를 보내지 말 것을 권고합니다. 장부 담당자에게는 본인 로그인이 아니라 담당자 전용 로그인을 주세요.

장부 담당자가 대금 지급이나 급여도 처리한다면 직접 무엇을 확인해야 하나요?

급여의 경우, 누가 업무를 하든 고용주가 일반적으로 책임을 지므로 납부가 이루어졌는지 직접 확인해야 합니다. IRS는 고용주가 연방 급여세 납부에 대해 궁극적인 책임을 지며, 제3자가 납부하지 않으면 세금, 가산세, 이자에 대해 책임을 질 수 있다고 설명합니다.

개인이 원천징수된 세금을 직접 납부할 책임을 질 수도 있습니다. 제6672조에 따라 원천징수한 세금을 징수해 납부해야 하는 사람이 고의로 이를 하지 않으면, 미납액의 100%에 해당하는 가산세를 부담합니다. IRS는 그 납부를 지시할 의무와 권한이 있는 사람을 책임자로 보며, 임원, 이사, 주주, 파트너십 구성원, 직원, 급여 서비스 제공업체를 예로 듭니다. 판단 기준과 대응 기한은 신탁기금 회복 가산세 가이드를 참고하세요.

대금 지급의 경우에는 은행 거래 내역을 직접 검토하는 것이 확인 방법입니다.

• 급여세 납부: IRS는 EFTPS에 직접 등록해 본인의 PIN을 받고, 이를 사용해 본인의 고용주 번호로 납부가 이루어졌는지 확인하라고 안내합니다. 처음으로 납부를 놓치거나 늦은 경우를 위험 신호로 봅니다.
• 공인 전문 고용주 조직(CPEO): CPEO는 대개 자신이 지급하는 근무지 직원 급여에 대해 세법상 유일한 고용주이며(26 USC 3511) 자기 번호로 납부합니다. 그래서 고객 사업체는 EFTPS에서 그 납부를 볼 수 없습니다. 대신 CPEO에 납부 증빙을 요청하세요.
• 급여세 통지서: IRS에 등록된 주소로 오므로, 그 주소를 본인 주소로 유지하세요.
• 그 밖의 모든 것: 매달 은행 거래 내역 검토와 아래의 확인 전화 원칙도 여기에 적용됩니다.

급여 서비스 제공업체가 납부하지 않았다면 급여 서비스 제공업체가 세금을 납부하지 않았을 때 해야 할 일을 참고하세요.

횡령이나 실수를 일찍 발견하려면 어떤 통제 수단이 필요한가요?

소유주가 직접 하는 네 가지 점검이 횡령이나 실수를 일찍 발견하는 데 도움이 됩니다. 은행 거래 내역 읽기, 접근 권한 보유자 검토, 대사 보고서 읽기, 수취인 정보 변경의 모든 건 승인입니다. 어느 것도 장부 담당자에게 의존하지 않습니다.

IC3는 빠진 입금 같은 이상 징후를 찾기 위해 금융 계정을 정기적으로 모니터링하라고 권고합니다. 사업체 명세서를 매달 읽는 것도 같은 생각을 적용한 것입니다.

제대로 된 대사가 무엇을 보여 주는지는 장부 담당자의 작업 확인과 은행 피드는 대사가 아닙니다를 참고하세요.

가짜 청구서와 바뀐 은행 정보는 어떤 방식이고, 확인 전화 원칙은 무엇인가요?

비즈니스 이메일 침해(business email compromise)에서는 범죄자가 탈취했거나 비슷하게 만든 이메일 계정으로 송금이나 새 계좌 정보를 요구합니다. IC3는 대기업뿐 아니라 지역의 소규모 사업체도 표적이 된다고 밝힙니다. 발표에는 약 10년 동안 신고된 노출 손실액이 $55,500,000,000으로 집계되어 있습니다.

확인 전화 원칙은 결제 정보 변경을 처리하기 전에 반드시 다른 경로로 확인하는 것입니다. IC3는 계좌 정보 변경 요청을 확인할 때 다른 연락 경로를 쓰라고 권고합니다.

1. 새 계좌로 송금하라거나 거래처의 은행 정보를 바꿔 달라는 요청은 거래처나 장부 담당자 본인의 이메일에서 온 것처럼 보여도 확인되지 않은 요청으로 취급하세요.
2. 요청이 오기 전부터 갖고 있던 자료, 예를 들어 이전 청구서나 계약서에서 거래처의 전화번호를 찾으세요. 메시지에 있는 번호나 링크는 사용하지 마세요. CISA도 수상한 메시지에 대해 같은 조언을 합니다.
3. 거래처에 기존 정보와 새 정보를 모두 확인해 달라고 요청하세요.
4. 누가 언제 확인했는지 적어 두고, 결제를 승인하는 사람이 그 변경을 승인하게 하세요.

IC3는 또한 발신자 주소와 링크가 실제 사업체와 일치하는지 확인하라고 합니다. 링크가 실제 도메인 이름의 철자를 교묘하게 바꿔 숨길 수 있기 때문입니다.

돈이 사라졌다면 먼저 무엇을 해야 하고, 손실을 공제받을 수 있나요?

돈, 접근 권한, 세금 순으로 대처하세요. 송금이 사기였다면 IC3는 시간이 가장 중요하다고 합니다. 즉시 은행에 연락해 자금 회수를 요청하고, 금액과 상관없이 ic3.gov에 신고하세요.

1. 돈: 은행에 전화해 자금 회수를 요청하세요. 무단 결제를 신고할 수 있는 기한이 계좌 약관에 어떻게 정해져 있는지도 물어보세요. Regulation E는 주로 개인, 가족, 가계 목적으로 보유한 계좌에 적용되므로 사업용 계좌는 대개 적용 대상이 아닙니다.
2. 접근 권한: 해당 사람의 로그인을 모두 삭제하고, 그가 알던 모든 비밀번호를 바꾸고, 2단계 인증을 켜세요.
3. 기록: 아무것도 수정하기 전에 명세서, 이메일, 청구서, 소프트웨어의 변경 내역 목록을 보관하세요.
4. 세금: 도난 손실 공제에는 시기와 증빙 규칙이 있으며 아래에서 설명합니다.

손실을 공제받을 수 있는지는 사실관계와 주법에 따라 달라집니다. IRS Publication 547은 횡령을 절도로 봅니다. 절도란 주법에 따라 범죄 의도를 가지고 돈이나 재산을 불법적으로 취하는 것이며 유죄 판결은 필요하지 않습니다. IRS는 또한 주법이나 지방법에 따라 불법이라면 사기나 허위 진술로 돈이나 재산을 취한 것도 절도로 봅니다. 따라서 가짜 수취인에게 보낸 결제도 해당할 수 있습니다. 단순히 돈이 사라졌거나 범죄 의도 없는 장부 실수는 절도가 아닙니다. 실수는 장부 담당자가 실수했을 때 가산세는 누가 내는가를 참고하세요.

손실을 공제받을 수 있는 경우는 다음과 같습니다.

• 변제받을 수 없는 도난 손실은 절도를 발견한 해에만 공제할 수 있습니다.
• 은행, 보험사, 절도범 등으로부터 변제받을 가능성이 합리적으로 있는 청구가 있다면, 변제되지 않을 것이 합리적으로 확실해질 때까지 그 부분은 공제하지 않습니다.
• 금액을 어떻게 계산하는지는 무엇을 도난당했는지에 따라 다르며, 받았거나 받을 것으로 예상되는 변제금은 금액을 줄입니다.
• 손실은 Form 4684의 Section B에서 계산합니다. 이후 파트너십이나 S corporation은 이를 Schedule K에 보고하며, 소유주에게 넘어갑니다. 개인사업자는 Schedule 1(Form 1040)로 가져가고, C corporation은 자체 신고서의 작성 안내를 따릅니다. 대신 Form 4797이 필요할 수도 있습니다.

가짜 거래처 계좌처럼 사기꾼에게 보낸 결제는 Publication 547의 금융 사기 손실 부분에도 별도 조건이 있습니다. 손실이 주법상 절도로 분류되는 범죄 행위에서 비롯되어야 하고, 자금을 회수할 합리적인 가능성이 없어야 하며, 해당 거래가 이익을 목적으로 한 것이어야 합니다.

장부에는 사라진 돈이 이전 연도에 일반 비용으로 기록되어 있을 수 있으므로, 손실과 그 연도들을 어떻게 맞출지는 전문가와 상의할 문제입니다. 신고 전에 IRS 작성 안내를 확인하세요.

업무가 끝나면 접근 권한을 어떻게 삭제하나요?

업무가 끝나면 해당 사람의 모든 로그인을 삭제하되, 돈과 관련된 것부터 시작하세요. 새 장부 담당자가 업무를 넘겨받는 경우에는 새 로그인이 작동하는 것을 확인한 뒤 각 계정의 접근 권한을 삭제하세요. 다만 돈이 사라졌다면 은행, 카드, 급여 자금 접근 권한부터 먼저 끊으세요. NIST는 누군가 떠나면 더 이상 접근하지 못하게 하라고 합니다. 모든 시스템에서 해당 계정을 삭제하고, 그가 알던 공유 비밀번호를 바꾸라는 뜻입니다.

• 회계 소프트웨어: 관리자가 소프트웨어 설정에서 사용자 목록의 장부 담당자를 삭제한 뒤 목록을 다시 확인해 접근이 끝났는지 봅니다. 소프트웨어 제공업체의 안내를 따르세요.
• 은행: 은행에 해당 사용자와 소프트웨어 연결을 삭제해 달라고 요청하세요.
• 급여 서비스 제공업체, 결제 앱, 카드 포털, 공유 저장소: 각각에서 해당 사용자를 삭제하세요.
• 공유한 모든 것: 비밀번호를 바꾸고, 담당자가 2단계 인증 기기를 갖고 있었다면 재설정하세요.
• 세무 위임: Form 8821이나 2848에 서명했다면 Form 8821 또는 Form 2848의 작성 안내에 따라 서면으로 철회하세요. 장부 담당자를 Business Tax Account의 지정 사용자로 추가했다면 거기서 접근을 종료하세요. 장부 담당자나 급여 회사가 Form 8655의 신고 대리인이기도 하다면 이는 별도로 철회해야 합니다. 새 Form 8655는 이전 대리인의 권한을 새 서식에 적힌 기간부터만 끝내며, 이전 대리인은 철회하지 않는 한 이전 기간에 대한 정보 열람 권한을 유지합니다. 급여 서비스 제공업체 교체를 참고하세요.

파일, 마감한 달, 신고 기한 등 업무 인수인계 전체는 장부 담당자 교체를 참고하세요.

예시

이 예시는 설명을 위한 것이며, 모든 금액은 미국 달러입니다.

치과 병원의 원격 장부 담당자

매출 US$900,000의 치과 병원이 원격 장부 담당자를 고용합니다. 소유주는 담당자의 권한으로 결제 실행이나 수취인 변경이 불가능한지 확인한 뒤 소프트웨어에서 별도 사용자로 초대합니다. 매달 은행 명세서를 보내 주고 은행 관리자 로그인은 직접 보유합니다. 담당자는 매주 지급해야 할 청구서 목록을 준비하고, 결제 승인과 실행은 소유주만 합니다. 소유주는 은행과 소프트웨어에서 2단계 인증을 켭니다.

1인 LLC의 공유 비밀번호

매출 US$150,000의 1인 LLC가 수년 동안 비밀번호 하나를 써 왔고, 이전에 일을 도운 사람도 아직 그 비밀번호를 압니다. 소유주는 본인과 현재 장부 담당자의 로그인을 각각 만들고, 도운 사람이 알던 모든 비밀번호를 바꾸고, 2단계 인증을 켭니다. 최근 몇 달의 은행 거래 내역에서 모르는 결제가 있는지 읽어 보고, 소프트웨어에 변경 기록이 남는다면 최근 변경을 누가 했는지 확인합니다.

같은 이메일, 서로 다른 두 가지 구성

비슷한 주소에서 온 이메일이 계약자에게 다음 US$18,000 청구 금액을 새 계좌로 보내 달라고 요청합니다. 장부 담당자가 목록만 준비하고 소유주가 결제를 실행하는 곳에서는 소유주가 새 계좌를 보고, 서명된 계약서에 있는 번호로 전화합니다. 거래처는 변경을 요청한 적이 없다고 답합니다. 같은 장부 담당자가 결제도 실행하는 곳에서는 돈이 나가 버립니다. 소유주는 몇 주 뒤 명세서에서 발견해 은행에 회수를 요청하고 장부 담당자의 로그인을 삭제합니다. 장부에는 이 결제가 일반 거래처 청구서로 기록되어 있으므로, 이를 바로잡고 손실을 정리하는 일은 전문가와 상의할 문제입니다.

상황이 다르다면?

• 같은 사람이 기록하고 결제하거나, 장부 담당자가 유일한 관리자 로그인을 갖고 있거나, 누가 승인할지 소유주끼리 의견이 다르다면: NIST가 결제를 시작하는 사람과 승인하는 사람 사이에 있어야 한다고 한 두 번째 사람이 없는 상태입니다. 누가 어떤 접근 권한을 갖고, 결제를 어떻게 승인하고, 매달 무엇을 검토할지를 장부 관리 도움으로 정하세요.
• 은행 정보 변경이나 이상한 결제가 이미 나타났거나 손실이 의심된다면: 먼저 돈부터 대응하세요. 도난 손실 공제의 시기와 이전 연도 장부는 사실관계에 따라 달라지므로, 신고서가 그 내용에 의존하기 전에 해당 기간을 장부 관리 도움으로 검토하세요.
• 장부가 맞는지 확신이 없다면: 장부 담당자의 작업 확인을 참고하세요.
• 아직 고용하지 않았다면: 장부 담당자를 고용하기 전에 할 질문, 장부 담당자가 고객에게 필요로 하는 것, 현지 또는 온라인 장부 담당자를 참고하세요.
• 장부 담당자가 해외에 있다면: 해외 장부 담당자 고용을 참고하세요.
• 급여 서비스 제공업체가 세금을 납부하지 않았다면: 급여 서비스 제공업체 가이드를 따르세요.
• 관계를 끝내고 싶다면: 장부 담당자 교체를 참고하세요.