변호사 검토받은 감사보고서, 어디까지 보호받을까 [바른 컴플라이언스리포트]

영업담당자들이 경쟁사와 제품 가격을 합의했다는 내부신고가 접수됐다. 감사팀은 이메일과 회의자료를 확보하고 관련 임직원을 면담한 뒤 보고서를 작성했다. 담합 여부와 회사의 법적 책임을 확인하기 위해 변호사에게 검토를 맡겼고, 완성된 보고서는 경영진에게 보고했다. 이 자료들은 훗날 공정거래위원회 조사나 수사·소송에서 어디까지 보호받을 수 있을까?

2027년 2월20일 시행되는 개정 변호사법은 기업 내부감사의 운영 방식을 재점검할 계기가 된다. 변호사·의뢰인 간 비밀유지권(Attorney-Client Privilege·ACP)이 명문화되면서, 변호사와 주고받는 법률자문과 사건 대응을 위해 작성하는 자료를 일정한 요건 아래 보호할 법적 근거가 마련된다. 이에 맞춰 기업도 감사 과정에서 법률적 조력을 받는 절차와 자료관리 방식을 살펴볼 필요가 있다.

보호 여부는 목적이 좌우

변호사법 제26조의2는 법률적 조력을 주고받기 위한 변호사와 의뢰인 사이의 비밀 의사교환을 공개하지 않을 권리를 규정한다. 변호사가 수임한 사건과 관련해 소송·수사·조사를 위해 작성한 서류와 자료도 보호 대상으로 정한다. 담합 의혹에 대한 내부감사라면, 사실관계를 토대로 법 위반 여부를 검토하는 자문과 공정위 조사에 대비해 작성하는 자료 등이 이러한 보호 요건을 충족하는지 살펴야 한다.

중요한 것은 변호사의 이름이 아니라 실제 자문의 내용과 자료의 작성 목적이다. 완성된 감사보고서를 변호사에게 전달하거나 이메일의 참조인에 변호사를 추가했다고 해서 전체 감사자료가 보호되는 것은 아니다. 이미 존재하던 거래자료와 법률적 조력을 위해 이뤄진 의사교환, 조사 대응을 위해 작성한 자료를 구분하고 각각의 성격에 맞게 관리해야 한다.

따라서 법률 검토를 감사보고서의 최종 확인 절차로만 생각해서는 부족하다. 어떤 사실을 확인하고 어떤 자료를 확보할지는 예상되는 법적 쟁점과 밀접하게 관련돼 있기 때문이다. 담합 의혹이라면 경쟁사와 접촉한 경위, 교환한 정보의 내용, 가격 결정 과정 등을 함께 확인해야 한다. 조사 초기부터 감사팀과 변호사가 쟁점과 조사 범위를 정리하면 법률적 판단에 필요한 사실과 자료를 빠짐없이 확인하는 데 도움이 된다.

자문 범위·자료관리 정비

기업은 내부감사에 필요한 법률자문의 목적과 범위를 구체적으로 정할 필요가 있다. 법 위반 여부의 검토인지, 공정위 조사나 수사·소송에 대한 대응까지 포함하는지 명확히 하고, 그에 따라 변호사의 업무 범위와 감사팀의 협업 방식을 정해야 한다.

법률자문 자료는 법률적 조력을 위해 작성·교환됐다는 점을 확인할 수 있도록 그 목적과 경위를 명확히 관리해야 한다. 문서의 명칭이나 ‘비밀’ 표시만으로 보호를 기대할 것이 아니라, 실제 접근권한과 열람·배포 범위도 업무상 필요한 수준으로 제한하는 것이 바람직하다.

경영진에게 보고할 법률적 검토 내용과 관련 부서에 전달할 후속 조치사항도 구분할 필요가 있다. 법률자문 내용은 업무상 필요한 범위에서 공유하고, 외부기관이나 제3자에게 자료를 제출할 때에는 보호 대상과 공개 범위를 사전에 검토해야 한다. 이러한 기준은 감사 착수 단계부터 적용할 수 있도록 미리 마련해 두는 편이 효과적이다.

ACP의 가치는 자료의 비공개에만 있지 않다. 기업이 불리한 사실까지 변호사에게 충분히 설명하고 법률적 조언을 받아 문제를 정확히 파악하고 시정하도록 하는 데 있다. 자료의 보호와 함께 자문 결과를 실제 개선조치로 이어가는 것이 중요하다.

개정법은 시행 전 이뤄진 의사교환과 작성된 자료에도 적용되므로 지금부터 자문 절차와 자료관리 기준을 점검할 실익이 있다. 법률적 조력을 충분히 받으면서 그 과정의 비밀성을 적절히 관리할 때 ACP는 내부감사의 실효성과 기업의 컴플라이언스 역량을 함께 높일 수 있다.

[바른 컴플라이언스리포트]에서는 법무법인 바른 기업법무2그룹 변호사들이 기업경영에 필요한 컴플라이언스 이슈를 주제별로 선별해 연재합니다. 이의규 변호사는 삼성 준법감시위원회에서 주요 계열사의 컴플라이언스·거버넌스 실무를 담당하고, 법률AI 스타트업의 법무ㆍ컴플라이언스 팀장을 거친 후, 현재 기업 리스크 관리(GRC), 컴플라이언스 구축, AI 및 데이터 규제 업무를 자문하고 있습니다.