Модель COSO внутреннего контроля (Integrated Framework)

Не путать с COSO ERM (Enterprise Risk Management), уже представленной в библиотеке отдельно — это два разных, хоть и связанных стандарта одной организации COSO. COSO ERM фокусируется на управлении рисками для достижения стратегических целей; COSO Internal Control – Integrated Framework, о котором этот документ, отвечает на более базовый вопрос: как компания вообще может быть уверена, что то, что происходит внутри неё, соответствует тому, что она о себе думает.

Модель внутреннего контроля COSO — это не про бюрократию ради бюрократии, а про пять взаимосвязанных элементов, без которых любая система контроля рано или поздно даёт сбой: от отчётности, которая не отражает реальность, до решений, принятых на неверных данных.

Хрестоматийный реальный пример того, к чему приводит отсутствие работающей системы внутреннего контроля, — крах компании Enron в 2001 году. Акции компании обвалились с $90,75 в августе 2000 года до $0,26 к 30 ноября 2001 года; 2 декабря 2001 года Enron подала на банкротство с активами свыше $60 млрд — на тот момент крупнейшее банкротство в истории США. Расследование показало, что компания скрыла долги и убытки, выведя за баланс около $27 млрд (почти 50% активов) через подставные партнёрства, — контрольная среда была настолько разрушена, что руководство годами манипулировало отчётностью практически без внутренних сдержек. 25 000 сотрудников потеряли работу, а вместе с ней — $2 млрд пенсионных накоплений и $1,2 млрд средств на выход на пенсию, привязанных к акциям компании. Аудитор Enron, компания Arthur Andersen, лишилась лицензии, потеряв 85 000 рабочих мест по всему миру. Прямой политический результат скандалов Enron, WorldCom и Tyco — принятый в июле 2002 года закон Sarbanes-Oxley Act, чья статья 404 впервые законодательно обязала публичные компании США оценивать эффективность внутреннего контроля над финансовой отчётностью — и именно фреймворк COSO Internal Control, разработанный ещё в 1992 году, стал де-факто обязательным стандартом, на который американская практика опирается для выполнения этого требования. Собственно юридический текст статьи 404 (озаглавленной «Оценка внутреннего контроля руководством», Management Assessment of Internal Controls) требует, чтобы Комиссия по ценным бумагам и биржам США (SEC) обязала эмитентов включать в годовые отчёты: заявление об ответственности руководства за создание и поддержание адекватной структуры и процедур внутреннего контроля за финансовой отчётностью, а также независимую оценку этой структуры внешним аудитором, подтверждающую выводы самого руководства компании. Именно это требование о внешней аудиторской аттестации, а не просто самооценка руководства, и превратило добровольный ранее фреймворк COSO в фактически обязательный инструмент для тысяч публичных компаний США.

Контроль без системы — это надежда, а не контроль.Эта формулировка — не преувеличение, а прямое отражение того, как именно расследование краха Enron описало реальную практику компании: формальные политики контроля существовали на бумаге, но систематически обходились с молчаливого согласия руководства.

Происхождение и исследовательская база

Модель разработана Комитетом спонсорских организаций Комиссии Тредвея (Committee of Sponsoring Organizations of the Treadway Commission, COSO) — коалицией пяти профессиональных организаций США. Впервые опубликована в 1992 году, обновлена в 2013-м, с тех пор является наиболее широко используемым в мире стандартом внутреннего контроля, включая законодательно обязательное применение для публичных компаний в США (Sarbanes-Oxley Act). Все пять организаций-учредителей COSO — некоммерческие профессиональные ассоциации, не государственные органы: Американская бухгалтерская ассоциация (AAA), Американский институт сертифицированных бухгалтеров (AICPA), Международная ассоциация финансовых руководителей (FEI), Институт внутренних аудиторов (IIA) и Институт управленческих бухгалтеров (IMA). Они объединились ещё в 1985 году — за семь лет до первой версии фреймворка — специально для финансирования и организационной поддержки Национальной комиссии по мошеннической финансовой отчётности (National Commission on Fraudulent Financial Reporting), более известной как Комиссия Тредвея, которая и должна была изучить коренные причины мошенничества в финансовой отчётности американских публичных компаний и выработать рекомендации.

Ключевые идеи и принципы

1. Принцип: пять компонентов внутреннего контроля.

   Контрольная среда (базовые ценности, этика, распределение полномочий — фундамент всего остального), оценка рисков (выявление и анализ угроз достижению целей), контрольные действия (конкретные политики и процедуры, снижающие риски), информация и коммуникация (нужные данные доходят до нужных людей вовремя), мониторинговые действия (постоянная проверка, что система контроля реально работает, а не существует только на бумаге). Обновление фреймворка 2013 года формализовало эту структуру ещё точнее: к каждому из пяти компонентов добавлено по несколько (в сумме 17) конкретных, обязательных для оценки принципов — например, для контрольной среды это отдельные принципы приверженности этическим ценностям, независимости совета директоров от менеджмента и подотчётности за достижение целей контроля. Именно эта детализация в 17 принципов и стала практическим ответом на главную критику первой версии 1992 года — расплывчатость формулировок, из-за которой компаниям было сложно объективно определить, насколько их система контроля действительно соответствует фреймворку.

2. Принцип: компоненты взаимосвязаны, не работают по отдельности.

   Отличные контрольные процедуры бесполезны без здоровой контрольной среды (культуры честности) — а без мониторинга даже хорошо спроектированная система со временем деградирует незаметно. Именно поэтому фреймворк 2013 года прямо требует, чтобы «оба» условия выполнялись одновременно: каждый из пяти компонентов и относящиеся к нему принципы должны реально присутствовать и функционировать по отдельности, а сами пять компонентов должны работать вместе как единая, интегрированная система, а не как набор изолированных чек-листов.

3. Принцип: контроль — это процесс, а не разовая проверка.

   Внутренний контроль — это не аудиторская проверка раз в год, а встроенная в повседневную работу компании способность обнаруживать отклонения и реагировать на них.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: контрольные процедуры вводятся без здоровой контрольной среды.

   Формальные политики существуют на бумаге, но реальная культура компании поощряет их обходить — процедуры не работают, потому что фундамент (контрольная среда) не поддерживает их.

   Как избежать

   начинать с честной оценки культуры и ценностей, а не сразу с написания процедур.

2. Ошибка 2: контроль вводится один раз и не мониторится.

   Процедуры написаны, но никто не проверяет, реально ли они соблюдаются — со временем реальная практика расходится с документом.

   Как избежать

   закладывать регулярный мониторинг как отдельный, обязательный компонент, не считать написание процедур финалом работы.

3. Ошибка 3: путают контроль с недоверием к людям.

   Система контроля воспринимается как признак того, что руководство не доверяет команде, что снижает мотивацию, хотя цель контроля — защитить компанию и людей от системных ошибок, а не подозревать всех в нечестности.

   Как избежать

   объяснять команде, что контроль защищает всех, включая их самих, от системных сбоев, а не выражает подозрение.

4. Ошибка 4: контрольные действия не связывают напрямую с конкретными выявленными рисками.

   Компания вводит стандартный, общий набор процедур контроля («потому что так принято»), не проверяя, действительно ли эти процедуры закрывают именно те риски, которые были выявлены на этапе оценки рисков, — часть реальных рисков остаётся без контроля, а ресурсы тратятся на процедуры, закрывающие несущественные угрозы.

   Как избежать

   явно выстраивать прослеживаемую связь между каждым выявленным риском и конкретной контрольной процедурой, закрывающей именно его, а не внедрять типовой чек-лист процедур.

5. Ошибка 5: информация о нарушениях контроля не доходит до тех, кто может на неё повлиять.

   Сотрудники на местах видят признаки нарушения контрольных процедур, но не имеют канала или не чувствуют себя в безопасности, чтобы сообщить об этом наверх, — компонент «Информация и коммуникация» существует формально, но реально не работает, и проблема вскрывается только тогда, когда уже нанесён серьёзный ущерб.

   Как избежать

   выстраивать защищённые каналы эскалации (включая анонимные) и явно демонстрировать на практике, что сообщения о нарушениях контроля не наказываются, а поощряются.

План внедрения

1. Неделя 1: оценка контрольной среды.

   Честно оценить, насколько ценности и этика реально практикуются, а не только декларируются.

2. Неделя 2: оценка рисков.

   Определить главные риски, которые могут помешать компании достичь целей.

3. Неделя 3: контрольные действия и коммуникация.

   Ввести минимально необходимые процедуры под найденные риски, убедиться, что информация о них доходит до нужных людей.

4. Неделя 4: мониторинг.

   Закрепить регулярную проверку, что процедуры реально соблюдаются на практике. Далее: пересматривать систему раз в полгода.

Как реализовать этот план с помощью фрейма «COSO Internal Control» в OrgDevTools

Фрейм «COSO Internal Control» — бесплатный тренажёр, который помогает честно оценить систему внутреннего контроля. Он проверяет не только то, что пять компонентов описаны. По каждому компоненту он спрашивает, существует ли тот на деле, работает ли он на практике и закрывают ли контроли значимые риски. Система признаётся эффективной, только когда в порядке все пять компонентов: слабый компонент сильные не компенсируют.

Книги по теме

COSO — «Internal Control – Integrated Framework» (1992, обновлена 2013). Официальный документ стандарта, свободно доступный в кратком изложении на сайте организации.