Рамката за вътрешен контрол COSO, обяснена: Петте компонента и 17-те принципа зад всеки одит

Вашият счетоводител записва фактурите, подписва чековете и прави сверка на банковата сметка — и никой друг никога не поглежда числата. Ако това изречение описва вашия бизнес, вие вече знаете неудобната истина: нищо в тази схема не би хванало грешка, камо ли да попречи тя да се превърне в навик. Въпросът е как всъщност изглеждат „адекватните контроли", когато имате петима служители вместо петстотин.

Отговорът, към който се обръщат одиторите, е рамката COSO. Тя е мерилото зад практически всяка оценка на вътрешния контрол в Съединените щати — от одитите по Sarbanes-Oxley на публичните дружества до въпросника за контроли, който вашият CPA ви подава преди теренната работа. Това ръководство разглежда какво представлява тя, петте компонента и 17-те принципа, които я съставят, и как да приложите частите, които имат значение за малкия бизнес.

Какво е COSO и защо одиторите го третират като стандарт​

COSO означава Комитет на спонсориращите организации на Комисията Тредуей (Committee of Sponsoring Organizations of the Treadway Commission). Той е създаден в средата на 80-те години след вълна от измами във финансовото отчитане, спонсориран съвместно от пет професионални организации: Американската асоциация по счетоводство, AICPA, Financial Executives International, Институтът на вътрешните одитори и Институтът на управленските счетоводители.

През 1992 г. COSO публикува Рамката за вътрешен контрол — интегрирана рамка (Internal Control–Integrated Framework), една единствена дефиниция за вътрешен контрол, към която одитори, ръководители и регулатори могат да се позоват. Тя е актуализирана през 2013 г., за да отрази две десетилетия промени — аутсорсинг на операции, глобални вериги за доставки и най-вече преминаването на контролите към технологиите. Когато ръководството на публично дружество оценява контролите си по раздел 404 от Sarbanes-Oxley, рамката COSO от 2013 г. е критерият, който повечето от тях посочват. Частните дружества не подлежат на SOX, но кредитори, приобретатели и дарители все по-често задават същите въпроси, а проверките на контролите от вашия одитор са организирани около същите пет компонента.

Едно уточнение: COSO публикува две рамки. Рамката за вътрешен контрол (пет компонента, 17 принципа) е за проектиране и оценка на контроли, докато Рамката за управление на корпоративния риск, актуализирана през 2017 г., свързва управлението на риска със стратегията. Тази публикация разглежда първата — рамката зад всеки одит.

Кубът на COSO: Цели, компоненти и структура​

COSO представя вътрешния контрол като куб с три измерения и образът си заслужава да се запомни, защото обяснява защо рамката пита за неща, които не изглеждат нищо като счетоводство.

Трите цели са по една стена. Всяка контрола съществува, за да служи на поне една от тях:

• Операции — вашият бизнес работи ефективно и ефикасно, а активите му са защитени.
• Отчитане — вътрешните и външните отчети, финансови и други, са надеждни и навременни.
• Съответствие — бизнесът спазва приложимите закони и разпоредби.

Петте компонента са по втората стена. Те са темата на по-голямата част от тази публикация: контролна среда, оценка на риска, контролни дейности, информация и комуникация и дейности по наблюдение.

Организационната структура — ниво на дружеството, поделение, оперативна единица, функция — е по третата стена. Контролите трябва да работят на всяко ниво, не само във финансовия отдел.

Смисълът на куба е, че провалът на контрола никога не е просто „счетоводен проблем". Склад без процедура за приемане е оперативен провал, който се превръща в проблем с отчитането в момента, в който неотчетените запаси изкривят себестойността на продадените стоки. Рамката ви принуждава да гледате и на трите измерения едновременно.

Компонент 1: Контролна среда​

Контролната среда е основата — стандартите, структурите и очакванията, които определят дали всеки друг компонент има на какво да стъпи. COSO я нарича тонът от върха и одиторите я проверяват първа, защото слабата среда подкопава всичко изградено над нея. Нейните пет принципа:

1. Ангажимент към почтеност и етични ценности. Организацията показва как изглежда почтеното поведение и какво се случва, когато някой се отклони от него. В малкия бизнес това рядко е отпечатан кодекс на поведение; това е дали собственикът пренебрегва процедурите, когато са неудобни. Всяко пренебрегване учи служителите, че контролите са по избор.
2. Независимост и надзор на управителния съвет. Управителният съвет — или при дружество, управлявано от собственик, който и да играе тази роля — упражнява надзор върху контролите и ръководството. Ако вие сте собственикът и ръководителят, този принцип пада върху вас два пъти, което е точно причината външните очи (преглед от CPA, член на консултативен съвет) да имат по-голямо значение, отколкото изглежда.
3. Структури, отчетни линии и отговорности. Правомощията и отчетността са разпределени достатъчно ясно, че всяка важна задача да има свой собственик. „Някой се занимава с депозитите" не е структура.
4. Ангажимент към компетентност. Организацията привлича, развива и задържа хора, способни да вършат контролна работа. Възлагането на ведомостта на който има свободно време нарушава този принцип още преди да е изписан един чек.
5. Отчетност. Лицата носят отговорност за контролните си задължения, с последствия, които действително следват. Сверка, която никой не преглежда, е декорация.

За малкия бизнес контролната среда се свежда до два видими факта: дали собственикът спазва същите правила като всички останали и дали контролните задължения принадлежат на посочени хора, а не на който е наличен.

Компонент 2: Оценка на риска​

Оценката на риска е текущият процес на идентифициране на това, което би могло да ви попречи да постигнете трите цели, и претегляне на тези рискове спрямо това, което можете да си позволите да понесете. COSO е категоричен, че това е непрекъснато, а не годишно — рисковете се променят с промяната на бизнеса, системите и средата му. Нейните четири принципа:

6. Цели, определени с достатъчна яснота. Не можете да оцените риска, докато не кажете какво се опитвате да постигнете. „Надеждни месечни финансови отчети до 10-о число" е оценима цел; „добри книги" не е.
7. Идентифициране и анализ на риска. Ръководството идентифицира рисковете в целия бизнес и ги анализира като основа за решаване как да ги управлява. За свободен професионалист това може да е упражнение от петнадесет минути: какво се чупи, ако лаптопът ми умре, ако клиент оспори фактура, ако платежният ми процесор замрази плащанията?
8. Оценка на риска от измама. Организацията специално обмисля потенциала за измама — стимули, възможности и рационализации — и проектира отговори. Забележете, че това е отделен принцип, а не бележка под линия към принцип 7. Вашият одитор ще пита за него директно, включително как ръководството би могло да пренебрегне контролите.
9. Идентифициране и анализ на значителната промяна. Нов софтуер, нови служители, нови продуктови линии, нови разпоредби — промяната е там, където контролите тихо спират да работят. Принципът изисква да преразгледате риска всеки път, когато обстановката се промени, вместо да предполагате, че миналогодишните контроли все още пасват.

Най-честият провал при малкия бизнес тук е да се третира оценката на риска като еднократно събитие. Създали сте процедури, когато бизнесът е имал двама души, и никога не сте ги преразгледали при дванадесет, когато лицето, одобряващо покупките, е престанало да бъде лицето, което знае за какво е всяка покупка.

Компонент 3: Контролни дейности​

Контролните дейности са това, което повечето хора си представят, когато чуят „вътрешни контроли": одобренията, оторизациите, проверките, сверките, прегледите и разделянето на задълженията, които превръщат отговорите на риска в практика на всяко ниво на бизнеса. Те са по-голямата част от рамката на практика. Нейните три принципа:

10. Контролни дейности, избрани за смекчаване на риска. Организацията проектира дейности, които действително адресират идентифицираните по компонент 2 рискове — свързани с целите за операции, отчитане и съответствие. Контрола, която не се проследява до риск, е бюрокрация; риск без контрола е експозиция.
11. Общи контроли върху технологиите. Организацията разработва контроли върху технологията, която управлява процесите ѝ: сигурност на достъпа, управление на промените, работа на системите. Когато книгите ви живеят в облачен софтуер, който държи администраторската парола, държи ключовете за всяка контролна дейност, която софтуерът изпълнява. Принцип 11 е причината одиторите да питат за списъци с потребителски достъп и кой може да редактира осчетоводена транзакция.
12. Внедряване чрез политики и процедури. Контролите са документирани в политики, които казват какво се очаква, и процедури, които казват как се прави — включително кога се случва, кой го прави и какво коригиращо действие следва при изключение. Контрола, която съществува само в нечия глава, се проваля в деня, в който този човек излезе в отпуск.

Разделянето на задълженията заслужава специално внимание, защото е контролата, която малките бизнеси нарушават най-често и оправдават най-охотно. Класическата несъвместима тройка — попечителство на активи, оторизация на транзакции и записване — никога не трябва да е в един човек. Когато числеността прави това невъзможно, COSO все пак очаква отговор: компенсиращи контроли, обикновено директен преглед от собственика. Собственикът, който отваря банковото извлечение, преди счетоводителят да направи сверката, е учебникарски пример за компенсираща контрола и струва около десет минути месечно.

Компонент 4: Информация и комуникация​

Контролите работят с информация, а информацията помага само ако достига до правилните хора в използваема форма. Този компонент обхваща както данните, така и каналите. Неговите три принципа:

13. Подходяща информация с качество. Организацията получава или генерира информация, която подкрепя контролите — и информацията трябва да е достатъчно точна, навременна, актуална и пълна, за да се използва. Отчет за печалбата и загубата, доставен шест седмици след края на месеца, не може да подкрепи никакво решение, така че се проваля на този принцип, колкото и точен да е.
14. Вътрешна комуникация. Контролните отговорности, цели и очаквания се комуникират вътре в организацията, включително нагоре по веригата. Служителите се нуждаят от начин да докладват проблеми — включително проблеми със спазването от страна на собствения им ръководител — без страх от репресии. В дружество с десет души този канал може да е толкова прост, колкото собственикът искрено да пита и да слуша.
15. Външна комуникация. Организацията комуникира важни въпроси с външни страни — клиенти, доставчици, регулатори, кредитори — и получава техния принос. Извлеченията от доставчици, които пристигат с баланси, които не разпознавате, са външна комуникация, която върши контролна работа безплатно, но само ако някой ги отвори и проследи въпроса.

Практически тест за този компонент: изберете произволно число от миналия месец и попитайте колко време би отнело да го проследите до изходния документ. Ако отговорът е „питайте счетоводителя, той помни", принципи 13 и 14 имат пропуски. Четливи книги с одиторска следа от отчет до разписка — това е как изглежда този компонент в малък мащаб.

Компонент 5: Дейности по наблюдение​

Наблюдението е компонентът, който държи другите четири честни — текущите и периодичните оценки, които проверяват дали контролите са налице, функционират и все още са подходящи за целта. Неговите два принципа:

16. Текущи и отделни оценки. Организацията оценява контролите чрез комбинация от вградено наблюдение (надзорен преглед, отчети за изключения, сверки, извършвани като част от работата) и отделни оценки (периодична проверка, външен преглед), съразмерени с темпа на промяна и въвлечения риск.
17. Оценка и комуникация на недостатъците. Пропуските в контролите се оценяват по тежест и се докладват — значителните недостатъци се изкачват до ръководството и управителния съвет — така че да бъдат поправени, а не прибрани в папка. Регистър на недостатъците, по който никой не действа, е доказателство, че сте знаели, което е по-лошо от незнание.

За бизнес, управляван от собственик, наблюдението е месечна рутина, а не отдел: прегледайте банковата сверка, прегледайте остарелите вземания, сравнете реалните разходи с бюджета и питайте за всичко непознато. Дисциплината е в редовността, а не в изтънчеността — прост контролен списък, изпълняван всеки месец, превъзхожда сложен преглед, изпълняван когато някой се сети.

Разумна увереност и границите, които никоя рамка не премахва​

COSO обещава разумна увереност (reasonable assurance), а не абсолютна увереност, и разликата има значение. Никоя система за вътрешен контрол не може да гарантира, че целите ще бъдат постигнати, защото всяка система споделя едни и същи присъщи ограничения: човешката преценка се проваля, хората разбират погрешно инструкциите, грешките се случват — и двама решени хора могат да се сговорят, за да победят контроли, проектирани при допускането, че няма да го направят. Пренебрегването от страна на ръководството е ограничението, за което одиторите се тревожат най-много в малкия бизнес, където собственикът може да заобиколи всяка контрола в сградата, като просто поиска.

Тези граници не правят контролите безсмислени; те определят за какво служат контролите. Добрата система прави така, че измамата да изисква сговор, а не възможност, че грешките излизат на повърхността за дни, а не в края на годината, и че честната грешка се различава от нечестната. Разумната увереност означава, че остатъчният риск е на ниво, което съзнателно сте приели, а не на ниво, което никога не сте изследвали.

Прилагане на COSO без отдел за съответствие​

Рамката се свива по-добре, отколкото речникът ѝ подсказва. Не се нуждаете от GRC платформа или функция за вътрешен одит, за да я приложите; нуждаете се от покритие на петте компонента, съразмерно на вашия риск. Работеща версия за малък бизнес изглежда така:

• Среда: запишете кой отговаря за всяка задача, свързана с пари — фактуриране, плащане на сметки, ведомост, депозити, сверка — и следвайте същите правила за одобрение, които сте задали за служителите.
• Оценка на риска: веднъж годишно и винаги когато нещо значително се промени, изброявайте какво би могло да се обърка с паричните средства, записите и съответствието, включително измамата.
• Контролни дейности: разделяйте оторизацията, попечителството и записването, където можете; където не можете, добавете преглед от собственика като компенсираща контрола. Правете сверка на всяка сметка, всеки месец.
• Информация и комуникация: приключвайте книгите по фиксиран график, поддържайте всеки отчет проследим до изходните документи и дайте на служителите безопасен начин да сигнализират за проблеми.
• Наблюдение: провеждайте фиксиран месечен преглед — банкова сверка, остаряване на вземанията, сравнение с бюджета — и записвайте какво сте открили и какво сте направили по въпроса.

Сверката като контролна дейност във вашите книги​

Сверката е в пресечната точка на принципи 10 и 16: тя е едновременно контролна дейност и форма на текущо наблюдение. В регистър с обикновен текст контролата е механична — балансово твърдение, което се проваля шумно, ако книгите се отклонят от реалността:

2026-10-01 balance Assets:Checking:Operating  12,480.22 USD

Този единствен ред кодира контролата в края на месеца: балансът в книгите трябва да е равен на баланса по банковото извлечение към тази дата, иначе файлът отказва да се валидира. Свържете го с отделна сметка за всяко разделение, което има значение — оперативни парични средства отделно от парични средства за ведомост, изтегляния на собственика отделно от бизнес разходи — и самата сметкоплан започва да налага разделяне на задълженията. Документацията разглежда по-подробно балансовите твърдения и структурата на сметките, а таблото прави месечния преглед визуален: прегледайте балансите и тенденциите там, после потвърдете детайлите в регистъра.

Чести грешки, които подкопават всеки компонент​

Няколко модела на провал се появяват в бизнеси от всякакъв размер и се подреждат спретнато върху рамката:

• Среда: собственикът пренебрегва одобренията „само този път", многократно, докато служителите спрат да питат.
• Оценка на риска: контроли, проектирани за бизнеса, който сте имали преди три години, никога не преразгледани след нов софтуер, нови служители или нови източници на приходи.
• Контролни дейности: един човек държи попечителство, оторизация и записване без компенсиращ преглед — или споделени администраторски профили, които правят всяка технологична контрола непроверима.
• Информация и комуникация: отчети за края на месеца, толкова закъснели, че описват история, вместо да подкрепят решения, и изходни документи, разпръснати из пощенските кутии.
• Наблюдение: сверки, извършвани, но никога не преглеждани, така че грешките се натрупват във файл, който никой не чете до одита.

Нито една от тези не изисква голям бюджет за поправяне. Всяка изисква решение, че контролата е достатъчно важна, за да бъде изпълнявана по график — което в крайна сметка е точно това, което контролната среда е казвала през цялото време.

Вашата следваща стъпка​

Започнете там, където експозицията е най-голяма: избројте всяка задача, свързана с пари, във вашия бизнес, запишете до нея името на човека, който я изпълнява, и оградете всяко място, където същото име държи попечителство, оторизация и записване. Тези ограждения са вашият първи контролен проект — разделете каквото можете, поставете преглед от собственика върху това, което не можете, и правете сверка на сметките всеки месец, така че числата да потвърдят, че схемата работи. Това единствено упражнение покрива и петте компонента в мащаба на малкия бизнес и е точно проверката, която вашият одитор ще поиска да види.