El marc de control intern COSO, explicat: els cinc components i els 17 principis darrere de cada auditoria

El teu comptable registra les factures, signa els xecs i concilia el compte bancari — i ningú més no mira mai els números. Si aquesta frase descriu la teva empresa, ja coneixes la veritat incòmoda: res d'aquesta configuració no detectaria un error, i encara menys impediria que es convertís en un hàbit. La qüestió és com són realment els "controls adequats" quan tens cinc empleats en lloc de cinc-cents.

La resposta a què recorren els auditors és el marc COSO. És el patró de referència darrere de pràcticament tota avaluació de control intern als Estats Units, des de les auditories Sarbanes-Oxley de les empreses cotitzades fins al qüestionari de controls que el teu CPA et lliura abans del treball de camp. Aquesta guia recorre què és, els cinc components i els 17 principis que el conformen, i com aplicar les parts que importen a una petita empresa.

Què és COSO i per què els auditors el tracten com a estàndard​

COSO són les sigles del Committee of Sponsoring Organizations of the Treadway Commission. Es va formar a mitjans dels anys vuitanta, després d'una onada de fraus en la informació financera, patrocinat conjuntament per cinc organismes professionals: l'American Accounting Association, l'AICPA, Financial Executives International, l'Institute of Internal Auditors i l'Institute of Management Accountants.

El 1992, COSO va publicar el Marc Integrat de Control Intern, una única definició de control intern a la qual auditors, directius i reguladors poguessin remetre's. Es va actualitzar el 2013 per reflectir dues dècades de canvis — operacions externalitzades, cadenes de subministrament globals i, sobretot, el trasllat dels controls a la tecnologia. Quan la direcció d'una empresa cotitzada avalua els seus controls segons la Secció 404 de Sarbanes-Oxley, el marc COSO 2013 és el criteri que la majoria esmenta. Les empreses privades no estan subjectes a la SOX, però prestadors, compradors i entitats que atorguen subvencions plantegen cada cop més les mateixes preguntes, i les revisions de controls del teu auditor s'organitzen al voltant dels mateixos cinc components.

Un aclariment: COSO publica dos marcs. El Marc Integrat de Control Intern (cinc components, 17 principis) tracta del disseny i l'avaluació de controls, mentre que el Marc de Gestió del Risc Empresarial, actualitzat el 2017, vincula la gestió del risc amb l'estratègia. Aquest article tracta el primer — el marc darrere de cada auditoria.

El cub COSO: objectius, components i estructura​

COSO representa el control intern com un cub amb tres dimensions, i val la pena retenir la imatge perquè explica per què el marc pregunta per coses que no s'assemblen gens a la comptabilitat.

Els tres objectius recorren una cara. Cada control existeix per servir almenys un d'ells:

• Operacions — el negoci funciona de manera eficaç i eficient, i els seus actius estan salvaguardats.
• Informació — els informes interns i externs, financers o no, són fiables i puntuals.
• Compliment — el negoci compleix les lleis i regulacions aplicables.

Els cinc components recorren la segona cara. Són el tema de la major part d'aquest article: entorn de control, avaluació de riscos, activitats de control, informació i comunicació, i activitats de supervisió.

L'estructura organitzativa — nivell d'entitat, divisió, unitat operativa, funció — recorre la tercera cara. Els controls han de funcionar a tots els nivells, no només al departament financer.

El sentit del cub és que una fallada de control mai no és només "un problema comptable". Un magatzem sense procediment de recepció és una fallada d'operacions que es converteix en una fallada d'informació en el moment que l'inventari no registrat distorsiona el teu cost de les vendes. El marc t'obliga a mirar les tres dimensions alhora.

Component 1: Entorn de control​

L'entorn de control és el fonament — els estàndards, les estructures i les expectatives que determinen si cada altre component té alguna cosa sobre la qual sostenir-se. COSO en diu el to des de dalt, i els auditors el proven primer perquè un entorn feble enfonsa tot el que es construeix a sobre. Els seus cinc principis:

1. Compromís amb la integritat i els valors ètics. L'organització demostra com és la conducta honesta i què passa quan algú se n'aparta. En una petita empresa poques vegades és un codi de conducta imprès; és si el propietari passa per sobre dels procediments quan li resulten incòmodes. Cada excepció ensenya al personal que els controls són opcionals.
2. Independència i supervisió del consell. El consell — o, en una empresa gestionada pel propietari, qui faci aquest paper — exerceix supervisió sobre els controls i la direcció. Si ets el propietari i el gestor, aquest principi recau sobre tu dues vegades, que és exactament per què les mirades externes (una revisió del CPA, un membre d'un consell assessor) importen més del que sembla.
3. Estructures, línies de report i responsabilitats. L'autoritat i la responsabilitat s'assignen amb prou claredat perquè cada tasca important tingui un responsable. "Algú s'encarrega dels dipòsits" no és una estructura.
4. Compromís amb la competència. L'organització atrau, desenvolupa i reté persones capaces de fer la feina de control. Assignar la nòmina a qui tingui temps lliure vulnera aquest principi abans que es signi cap xec.
5. Responsabilitat. Les persones responen de les seves obligacions de control, amb conseqüències que realment es fan efectives. Una conciliació que ningú revisa és decoració.

Per a una petita empresa, l'entorn de control es redueix a dos fets visibles: si el propietari segueix les mateixes regles que tothom, i si les obligacions de control pertanyen a persones concretes en lloc de a qui estigui disponible.

Component 2: Avaluació de riscos​

L'avaluació de riscos és el procés continu d'identificar què podria impedir-te assolir els tres objectius i ponderar aquests riscos enfront del que pots tolerar. COSO és explícit que això és continu, no anual — els riscos canvien a mesura que canvien el negoci, els seus sistemes i el seu entorn. Els seus quatre principis:

6. Objectius especificats amb prou claredat. No pots avaluar el risc fins que diguis què intentes aconseguir. "Estats financers mensuals fiables el dia 10" és un objectiu avaluable; "bons llibres" no ho és.
7. Identificació i anàlisi de riscos. La direcció identifica riscos en tot el negoci i els analitza com a base per decidir com gestionar-los. Per a un autònom, això pot ser un exercici de quinze minuts: què es trenca si el meu portàtil mor, si un client disputa una factura, si el meu processador de pagaments bloqueja els desemborsaments?
8. Avaluació del risc de frau. L'organització considera específicament el potencial de frau — incentius, oportunitats i racionalitzacions — i dissenya respostes. Fixa't que aquest és un principi propi, no una nota a peu de pàgina del principi 7. El teu auditor preguntarà directament per això, incloent-hi com la direcció podria passar per sobre dels controls.
9. Identificació i anàlisi de canvis significatius. Nou programari, personal nou, noves línies de producte, noves regulacions — el canvi és on els controls deixen de funcionar en silenci. El principi requereix que tornis a examinar el risc sempre que el panorama canviï, en lloc d'assumir que els controls de l'any passat encara encaixen.

La fallada més comuna de les petites empreses aquí és tractar l'avaluació de riscos com un esdeveniment puntual. Vas establir procediments quan el negoci tenia dues persones i no els vas revisar mai a les dotze, quan la persona que aprovava les compres va deixar de ser la persona que sabia per a què servia cada compra.

Component 3: Activitats de control​

Les activitats de control són el que la majoria de gent s'imagina quan sent "controls interns": les aprovacions, autoritzacions, verificacions, conciliacions, revisions i la segregació de funcions que posen en pràctica les respostes al risc a tots els nivells del negoci. Són la part més gran del marc a la pràctica. Els seus tres principis:

10. Activitats de control seleccionades per mitigar el risc. L'organització dissenya activitats que aborden realment els riscos identificats al component 2 — vinculades als objectius d'operacions, informació i compliment. Un control que no es remunta a un risc és burocràcia; un risc sense control és exposició.
11. Controls generals sobre la tecnologia. L'organització desenvolupa controls sobre la tecnologia que executa els seus processos: seguretat d'accés, gestió de canvis, operacions dels sistemes. Quan els teus llibres viuen en programari al núvol, qui té la contrasenya d'administrador té les claus de cada activitat de control que fa el programari. El principi 11 és la raó per la qual els auditors pregunten per les llistes d'accés d'usuaris i per qui pot editar una transacció registrada.
12. Desplegament mitjançant polítiques i procediments. Els controls es documenten en polítiques que diuen què s'espera i procediments que diuen com fer-ho — incloent-hi quan passa, qui ho fa i quina acció correctiva segueix una excepció. Un control que existeix només al cap d'algú falla el dia que aquesta persona se'n va de vacances.

La segregació de funcions mereix una atenció especial perquè és el control que les petites empreses vulnerin més sovint i excusin més fàcilment. El trio incompatible clàssic — custòdia d'actius, autorització de transaccions i registre — no hauria d'estar mai en mans d'una sola persona. Quan la plantilla ho fa impossible, COSO encara espera una resposta: controls compensatoris, normalment la revisió directa del propietari. Que el propietari obri l'extracte bancari abans que el comptable conciliï és un control compensatori de manual, i costa uns deu minuts al mes.

Component 4: Informació i comunicació​

Els controls funcionen amb informació, i la informació només ajuda si arriba a les persones adequades en una forma utilitzable. Aquest component cobreix tant les dades com els canals. Els seus tres principis:

13. Informació rellevant i de qualitat. L'organització obté o genera informació que dona suport als controls — i la informació ha de ser prou precisa, puntual, actual i completa per utilitzar-se. Un informe de pèrdues i guanys lliurat sis setmanes després del tancament del mes no pot donar suport a cap decisió, així que vulnera aquest principi per molt precís que sigui.
14. Comunicació interna. Les responsabilitats, els objectius i les expectatives de control es comuniquen dins de l'organització, incloent-hi cap amunt. El personal necessita una manera d'informar de problemes — incloent-hi problemes amb el compliment de les normes pel seu propi supervisor — sense por de represàlies. En una empresa de deu persones, aquest canal pot ser tan simple com que el propietari pregunti de debò, i escolti.
15. Comunicació externa. L'organització comunica qüestions rellevants a tercers — clients, proveïdors, reguladors, prestadors — i rep la seva aportació. Els extractes de proveïdors que arriben amb saldos que no reconeixes són comunicació externa fent la feina de control gratis, però només si algú els obre i els segueix.

Una prova pràctica per a aquest component: tria qualsevol número dels estats financers del mes passat i pregunta quant trigaries a rastrejar-lo fins al seu document d'origen. Si la resposta és "pregunta al comptable, que se'n recorda", tant el principi 13 com el 14 tenen llacunes. Uns llibres llegibles amb una pista d'auditoria de l'informe al rebut és com es veu aquest component a petita escala.

Component 5: Activitats de supervisió​

La supervisió és el component que manté honestos els altres quatre — les avaluacions contínues i periòdiques que comproven si els controls hi són, funcionen i encara són adequats. Els seus dos principis:

16. Avaluacions contínues i independents. L'organització avalua els controls amb una combinació de supervisió integrada (revisió per part dels superiors, informes d'excepcions, conciliacions fetes com a part de la feina) i avaluacions independents (una revisió periòdica, una revisió externa) dimensionades segons el ritme de canvi i el risc implicat.
17. Avaluació i comunicació de les deficiències. Les llacunes de control s'avaluen per la seva gravetat i es comuniquen — les deficiències significatives a la direcció i al consell — perquè es corregeixin en lloc d'arxivar-se. Un registre de deficiències que ningú no actua és una prova que ho sabies, cosa que és pitjor que no saber-ho.

Per a una empresa gestionada pel propietari, la supervisió és una rutina mensual en lloc d'un departament: revisa la conciliació bancària, repassa els comptes a cobrar per antiguitat, compara la despesa real amb el pressupost i pregunta per qualsevol cosa desconeguda. La disciplina és en la regularitat, no en la sofisticació — una llista de verificació simple feta cada mes supera una revisió elaborada feta sempre que algú se'n recorda.

Garantia raonable i els límits que cap marc elimina​

COSO promet garantia raonable, no garantia absoluta, i la distinció importa. Cap sistema de control intern no pot garantir que s'assoleixin els objectius, perquè cada sistema comparteix les mateixes limitacions inherents: el judici humà falla, les persones malinterpreten les instruccions, els errors passen — i dues persones determinades poden confabular-se per derrotar controls dissenyats partint de la suposició que no ho faran. L'excepció de la direcció és la limitació que més preocupa els auditors en les petites empreses, on el propietari pot saltar-se cada control de l'edifici amb només demanar-ho.

Aquests límits no fan que els controls no serveixin de res; defineixen per a què serveixen els controls. Un bon sistema fa que el frau requereixi conspiració en lloc d'oportunitat, fa que els errors surtin a la llum en dies en lloc d'al tancament de l'any, i fa que l'error honest es pugui distingir del deshonest. Garantia raonable vol dir que el risc residual se situa en un nivell que has acceptat conscientment, no en un nivell que no has examinat mai.

Posar COSO a treballar sense un departament de compliment​

El marc s'adapta a escales menors millor del que suggereix el seu vocabulari. No necessites una plataforma GRC ni una funció d'auditoria interna per aplicar-lo; necessites cobrir els cinc components de manera proporcionada al teu risc. Una versió viable per a una petita empresa és així:

• Entorn: posa per escrit qui s'encarrega de cada tasca de diners — facturació, pagament de factures, nòmina, dipòsits, conciliació — i segueix les mateixes regles d'aprovació que estableixis per al personal.
• Avaluació de riscos: un cop l'any, i sempre que canviï alguna cosa significativa, fes una llista del que podria anar malament amb els diners, els registres i el compliment, incloent-hi el frau.
• Activitats de control: separa l'autorització, la custòdia i el registre sempre que puguis; on no puguis, afegeix la revisió del propietari com a control compensatori. Concilia cada compte, cada mes.
• Informació i comunicació: tanca els llibres amb un calendari fix, mantén cada informe rastrejable fins als documents d'origen i dona al personal una manera segura de senyalar problemes.
• Supervisió: executa una revisió mensual fixa — conciliació bancària, antiguitat dels comptes a cobrar, comparació amb el pressupost — i anota què has trobat i què has fet al respecte.

La conciliació com a activitat de control als teus llibres​

La conciliació se situa a la intersecció dels principis 10 i 16: és alhora una activitat de control i una forma de supervisió contínua. En un llibre major de text pla, el control és mecànic — una afirmació de saldo que falla sorollosament si els llibres divergeixen de la realitat:

2026-10-01 balance Assets:Checking:Operating  12,480.22 USD

Aquesta única línia codifica el control de tancament de mes: el saldo comptable ha de coincidir amb el saldo de l'extracte bancari en aquesta data, o el fitxer es nega a validar-se. Combina-la amb un compte específic per a cada separació que importi — efectiu operatiu separat de l'efectiu de nòmina, retirades del propietari separades de les despeses del negoci — i el pla de comptes mateix començarà a fer complir la segregació. La documentació tracta les afirmacions de saldo i l'estructura de comptes amb més profunditat, i el panell de control fa visual la revisió mensual: repassa-hi els saldos i les tendències, i després confirma els detalls al llibre major.

Errors comuns que soscaven cada component​

Uns quants patrons de fallada apareixen en negocis de qualsevol mida, i encaixen perfectament amb el marc:

• Entorn: el propietari passa per sobre de les aprovacions "només aquesta vegada", repetidament, fins que el personal deixa de preguntar.
• Avaluació de riscos: controls dissenyats per al negoci que tenies fa tres anys, mai revisats després de nou programari, personal nou o noves fonts d'ingressos.
• Activitats de control: una sola persona amb la custòdia, l'autorització i el registre sense cap revisió compensatòria — o inicis de sessió d'administrador compartits que fan que cada control tecnològic sigui inverificable.
• Informació i comunicació: informes de tancament de mes tan tardans que descriuen la història en lloc de donar suport a decisions, i documents d'origen escampats per les safates d'entrada.
• Supervisió: conciliacions fetes però mai revisades, de manera que els errors s'acumulen en un fitxer que ningú llegeix fins a l'auditoria.

Cap d'aquests requereix un gran pressupost per corregir-se. Cadascun requereix decidir que el control importa prou per executar-lo segons el calendari — que és, al capdavall, el que l'entorn de control ha estat dient tot el temps.

El teu següent pas​

Comença on l'exposició és més gran: fes una llista de cada tasca de diners del teu negoci, escriu al costat el nom de la persona que fa cadascuna i assenyala amb un cercle cada lloc on el mateix nom té la custòdia, l'autorització i el registre. Aquests cercles són el teu primer projecte de control — separa el que puguis, posa la revisió del propietari sobre el que no puguis, i concilia els comptes mensualment perquè els números confirmin que l'arranjament funciona. Aquest sol exercici cobreix els cinc components a l'escala d'una petita empresa, i és exactament la revisió que el teu auditor demanarà veure.