حسابدار شما فاکتورها را ثبت می‌کند، چک‌ها را امضا می‌کند و حساب بانکی را تطبیق می‌دهد — و هیچ‌کس دیگری هرگز به اعداد نگاه نمی‌کند. اگر این جمله کسبوکار شما را توصیف می‌کند، حقیقت ناخوشایند را از قبل می‌دانید: هیچ چیزی در این ترتیب نمی‌تواند اشتباهی را بگیرد، چه رسد به اینکه مانع تبدیل شدن آن به یک عادت شود. سؤال این است که وقتی پنج کارمند دارید نه پانصد، «کنترلهای مناسب» واقعاً چه شکلی هستند.
پاسخی که حسابرسان به آن دست می‌یازند، چارچوب COSO است. این چارچوب معیاری است که پشت تقریباً هر ارزیابی کنترل داخلی در ایالات متحده قرار دارد، از حسابرسی‌های ساربنز-اکسلی شرکت‌های سهامی عام تا پرسش‌نامه کنترلی که حسابدار رسمی شما پیش از کار میدانی به دستتان می‌دهد. این راهنما توضیح می‌دهد که آن چیست، پنج مؤلفه و ۱۷ اصلی که آن را می‌سازند کدام‌اند، و چگونه بخش‌هایی را که برای یک کسبوکار کوچک اهمیت دارند به کار ببرید.
COSO چیست و چرا حسابرسان آن را استاندارد می‌دانند
COSO مخفف کمیته سازمان‌های حامی کمیسیون تردوی است. این کمیته در اواسط دهه ۱۹۸۰ پس از موجی از تقلب‌های گزارشگری مالی شکل گرفت و پنج نهاد حرفه‌ای به‌طور مشترک از آن حمایت می‌کنند: انجمن حسابداری آمریکا، AICPA، مدیران مالی بین‌المللی، مؤسسه حسابرسان داخلی، و مؤسسه حسابداران مدیریت.
در سال ۱۹۹۲، COSO چارچوب کنترل داخلی یکپارچه را منتشر کرد — تعریفی واحد از کنترل داخلی که حسابرسان، مدیران و تنظیم‌کنندگان همه بتوانند به آن استناد کنند. این چارچوب در سال ۲۰۱۳ برای بازتاب دو دهه تغییر به‌روزرسانی شد — عملیات برون‌سپاری‌شده، زنجیره‌های تأمین جهانی، و مهم‌تر از همه انتقال کنترل‌ها به فناوری. هنگامی که مدیریت یک شرکت سهامی عام کنترلهای خود را تحت بخش ۴۰۴ قانون ساربنز-اکسلی ارزیابی می‌کند، چارچوب COSO 2013 معیاری است که بیشتر آن‌ها نام می‌برند. شرکت‌های خصوصی مشمول SOX نیستند، اما وام‌دهندگان، خریداران و تأمین‌کنندگان کمک‌های مالی به‌طور فزاینده همان پرسش‌ها را می‌پرسند، و بررسی‌های کنترلی حسابرس شما حول همان پنج مؤلفه سازمان‌دهی می‌شوند.
یک توضیح: COSO دو چارچوب منتشر می‌کند. چارچوب کنترل داخلی یکپارچه (پنج مؤلفه، ۱۷ اصل) درباره طراحی و ارزیابی کنترل‌هاست، در حالی که چارچوب مدیریت ریسک سازمانی، که در سال ۲۰۱۷ به‌روزرسانی شد، مدیریت ریسک را به استراتژی گره می‌زند. این مطلب چارچوب اول را پوشش می‌دهد — همان چارچوبی که پشت هر حسابرسی قرار دارد.
مکعب COSO: اهداف، مؤلفه‌ها و ساختار
COSO کنترل داخلی را به‌صورت مکعبی با سه بُعد تصویر می‌کند، و این تصویر ارزش آن را دارد که در ذهن نگه داشته شود، زیرا توضیح می‌دهد چرا چارچوب درباره چیزهایی می‌پرسد که هیچ شباهتی به حسابداری ندارند.
سه هدف در امتداد یک وجه قرار دارند. هر کنترل برای خدمت به حداقل یکی از آن‌ها وجود دارد:
- عملیات — کسبوکار شما به‌طور اثربخش و کارا اداره می‌شود و دارایی‌هایش محافظت می‌شوند.
- گزارشگری — گزارش‌های داخلی و خارجی، مالی و غیرمالی، قابل اعتماد و به‌موقع هستند.
- انطباق — کسبوکار قوانین و مقررات مربوط را رعایت می‌کند.
پنج مؤلفه در امتداد وجه دوم قرار دارند. این‌ها موضوع بیشتر این مطلب هستند: محیط کنترلی، ارزیابی ریسک، فعالیت‌های کنترلی، اطلاعات و ارتباطات، و فعالیت‌های پایش.
ساختار سازمانی — سطح واحد تجاری، بخش، واحد عملیاتی، وظیفه — در امتداد وجه سوم قرار دارد. کنترل‌ها باید در هر سطحی کار کنند، نه فقط در بخش مالی.
نکته مکعب این است که شکست یک کنترل هرگز صرفاً «یک مشکل حسابداری» نیست. انباری بدون رویه دریافت کالا، یک شکست عملیاتی است که در همان لحظه‌ای که موجودی ثبت‌نشده بهای تمام‌شده کالای فروش‌رفته شما را تحریف می‌کند، به یک شکست گزارشگری تبدیل می‌شود. چارچوب شما را مجبور می‌کند هر سه بُعد را همزمان بررسی کنید.
مؤلفه ۱: محیط کنترلی
محیط کنترلی پایه و اساس است — استانداردها، ساختارها و انتظاراتی که تعیین می‌کنند آیا هر مؤلفه دیگر چیزی برای ایستادن روی آن دارد یا نه. COSO آن را لحن در رأس می‌نامد، و حسابرسان ابتدا آن را می‌آزمایند زیرا یک محیط ضعیف هر چیزی را که بالای آن ساخته شده تضعیف می‌کند. پنج اصل آن:
- تعهد به صداقت و ارزش‌های اخلاقی. سازمان نشان می‌دهد که رفتار صادقانه چه شکلی است و وقتی کسی از آن منحرف می‌شود چه اتفاقی می‌افتد. در یک کسبوکار کوچک این به‌ندرت یک آیین‌نامه رفتاری چاپی است؛ این همان چیزی است که آیا مالک رویه‌ها را وقتی ناراحت‌کننده‌اند زیر پا می‌گذارد یا نه. هر زیر پا گذاشتنی به کارکنان می‌آموزد که کنترل‌ها اختیاری هستند.
- استقلال و نظارت هیئت‌مدیره. هیئت‌مدیره — یا در یک شرکت تحت مدیریت مالک، هر کسی که آن نقش را ایفا می‌کند — بر کنترل‌ها و مدیریت نظارت می‌کند. اگر شما هم مالک هستید و هم مدیر، این اصل دو بار روی دوش شما می‌افتد، و دقیقاً به همین دلیل است که نگاه‌های بیرونی (یک بازبینی حسابدار رسمی، یک عضو هیئت مشورتی) بیش از آنچه به نظر می‌رسد اهمیت دارند.
- ساختارها، خطوط گزارش‌دهی و مسئولیت‌ها. اختیار و پاسخگویی به‌اندازه کافی روشن تعیین شده‌اند که هر وظیفه مهم یک صاحب داشته باشد. «یک نفر واریزها را انجام می‌دهد» یک ساختار نیست.
- تعهد به شایستگی. سازمان افرادی را جذب، پرورش و حفظ می‌کند که توانایی انجام کارهای کنترلی را دارند. سپردن حقوق و دستمزد به هر کسی که وقت آزاد دارد، این اصل را پیش از آنکه حتی یک چک صادر شود نقض می‌کند.
- پاسخگویی. افراد در قبال وظایف کنترلی خود مسئول شناخته می‌شوند، با پیامدهایی که واقعاً به دنبال می‌آیند. تطبیقی که کسی آن را بازبینی نمی‌کند، تزئین است.
برای یک کسبوکار کوچک، محیط کنترلی به دو واقعیت قابل مشاهده خلاصه می‌شود: آیا مالک از همان قوانینی پیروی می‌کند که همه دیگر، و آیا وظایف کنترلی متعلق به افراد نام‌دار هستند نه هر کسی که در دسترس است.
مؤلفه ۲: ارزیابی ریسک
ارزیابی ریسک فرآیند مستمر شناسایی آنچه می‌تواند شما را از دستیابی به سه هدف باز دارد و سنجش آن ریسک‌ها در برابر آنچه می‌توانید تحمل کنید است. COSO صریحاً می‌گوید این فرآیند پیوسته است، نه سالانه — ریسک‌ها با تغییر کسبوکار، سیستم‌ها و محیط آن تغییر می‌کنند. چهار اصل آن:
- اهداف با وضوح کافی مشخص‌شده. تا زمانی که نگویید به دنبال دستیابی به چه چیزی هستید، نمی‌توانید ریسک را ارزیابی کنید. «صورت‌های مالی ماهانه قابل اعتماد تا دهم ماه» یک هدف قابل ارزیابی است؛ «دفاتر خوب» نه.
- شناسایی و تحلیل ریسک. مدیریت ریسک‌ها را در سراسر کسبوکار شناسایی و تحلیل می‌کند تا مبنایی برای تصمیم درباره چگونگی مدیریت آن‌ها باشد. برای یک فریلنسر این می‌تواند تمرینی پانزده‌دقیقه‌ای باشد: اگر لپ‌تاپم از کار بیفتد، اگر مشتری‌ای فاکتوری را مورد اعتراض قرار دهد، اگر پردازشگر پرداخت من پرداخت‌ها را مسدود کند، چه چیزی خراب می‌شود؟
- ارزیابی ریسک تقلب. سازمان به‌طور خاص احتمال تقلب را در نظر می‌گیرد — انگیزه‌ها، فرصت‌ها و توجیه‌ها — و پاسخ‌هایی طراحی می‌کند. توجه کنید که این اصل جداگانه خودش است، نه پانوشتی بر اصل ۷. حسابرس شما مستقیماً درباره آن خواهد پرسید، از جمله اینکه مدیریت چگونه می‌تواند کنترل‌ها را زیر پا بگذارد.
- شناسایی و تحلیل تغییرات قابل توجه. نرم‌افزار جدید، کارکنان جدید، خطوط تولید جدید، مقررات جدید — تغییر همان جایی است که کنترل‌ها بی‌صدا از کار می‌افتند. این اصل می‌خواهد هر زمان که چشم‌انداز تغییر می‌کند، ریسک را دوباره بررسی کنید، نه اینکه فرض کنید کنترلهای سال گذشته هنوز مناسب‌اند.
شایع‌ترین شکست کسب‌وکارهای کوچک در اینجا این است که ارزیابی ریسک را یک رویداد یک‌باره می‌دانند. شما رویه‌ها را وقتی تنظیم کردید که کسبوکار دو نفر داشت و هرگز وقتی دوازده نفر شد دوباره به آن‌ها نپرداختید، وقتی کسی که خریدها را تأیید می‌کرد دیگر کسی نبود که می‌دانست هر خرید برای چه بود.
مؤلفه ۳: فعالیت‌های کنترلی
فعالیت‌های کنترلی همان چیزی است که بیشتر مردم با شنیدن «کنترلهای داخلی» تصور می‌کنند: تأییدها، مجوزها، راستی‌آزمایی‌ها، تطبیق‌ها، بازبینی‌ها و تفکیک وظایف که پاسخ‌های ریسک را در هر سطحی از کسبوکار به عمل تبدیل می‌کنند. این‌ها در عمل بخش عمده چارچوب هستند. سه اصل آن:
- انتخاب فعالیت‌های کنترلی برای کاهش ریسک. سازمان فعالیت‌هایی طراحی می‌کند که واقعاً به ریسک‌های شناسایی‌شده تحت مؤلفه ۲ می‌پردازند — نگاشت‌شده به اهداف عملیاتی، گزارشگری و انطباق. کنترلی که به یک ریسک بازنمی‌گردد، دیوان‌سالاری است؛ ریسکی که کنترلی ندارد، ریسک در معرض قرار گرفتن است.
- کنترلهای عمومی بر فناوری. سازمان کنترل‌هایی بر فناوری‌ای که فرآیندهایش را اداره می‌کند توسعه می‌دهد: امنیت دسترسی، مدیریت تغییر، عملیات سیستم. وقتی دفاتر شما در نرم‌افزار ابری قرار دارد، هر کسی که رمز عبور مدیر را دارد، کلیدهای هر فعالیت کنترلی را که نرم‌افزار انجام می‌دهد در دست دارد. اصل ۱۱ همان دلیلی است که حسابرسان درباره فهرست‌های دسترسی کاربران و اینکه چه کسی می‌تواند تراکنش ثبت‌شده را ویرایش کند می‌پرسند.
- استقرار از طریق سیاست‌ها و رویه‌ها. کنترل‌ها در سیاست‌هایی مستند می‌شوند که می‌گویند چه چیزی انتظار می‌رود و رویه‌هایی که می‌گویند چگونه انجام شود — از جمله چه زمانی اتفاق می‌افتد، چه کسی انجامش می‌دهد، و چه اقدام اصلاحی‌ای پس از یک استثنا دنبال می‌شود. کنترلی که فقط در ذهن یک نفر وجود دارد، روزی که او به مرخصی می‌رود از کار می‌افتد.
تفکیک وظایف سزاوار توجه ویژه است زیرا همان کنترلی است که کسب‌وکارهای کوچک بیشتر از همه نقض می‌کنند و آسان‌تر از همه توجیه می‌کنند. سه‌گانه ناسازگار کلاسیک — حفاظت از دارایی‌ها، مجازسازی تراکنش‌ها، و ثبت — هرگز نباید نزد یک نفر باشد. وقتی تعداد کارکنان این را غیرممکن می‌کند، COSO هنوز پاسخی انتظار دارد: کنترلهای جبرانی، معمولاً بازبینی مستقیم مالک. اینکه مالک صورت‌حساب بانکی را پیش از تطبیق حساب‌ها توسط حسابدار باز کند، یک کنترل جبرانی کتاب‌درسی است و ماهی حدود ده دقیقه هزینه دارد.
مؤلفه ۴: اطلاعات و ارتباطات
کنترل‌ها با اطلاعات کار می‌کنند، و اطلاعات تنها وقتی کمک می‌کند که به شکل قابل استفاده به افراد مناسب برسد. این مؤلفه هم داده‌ها و هم کانال‌ها را پوشش می‌دهد. سه اصل آن:
- اطلاعات مرتبط و باکیفیت. سازمان اطلاعاتی به دست می‌آورد یا تولید می‌کند که از کنترل‌ها پشتیبانی می‌کند — و اطلاعات باید به‌اندازه کافی دقیق، به‌موقع، به‌روز و کامل باشد تا قابل استفاده باشد. گزارشی از سود و زیان که شش هفته پس از پایان ماه ارائه شود نمی‌تواند پشتیبان هیچ تصمیمی باشد، پس این اصل را نقض می‌کند، هر چقدر هم که دقیق باشد.
- ارتباطات داخلی. مسئولیت‌های کنترلی، اهداف و انتظارات درون سازمان، از جمله به سمت بالا، اطلاع‌رسانی می‌شوند. کارکنان باید راهی برای گزارش مشکلات داشته باشند — از جمله مشکلات مربوط به انطباق سرپرست خودشان — بدون ترس از تلافی. در یک شرکت ده‌نفره این کانال می‌تواند به‌سادگی پرسیدن واقعی مالک و گوش دادن او باشد.
- ارتباطات خارجی. سازمان موضوعات مرتبط را به طرف‌های بیرونی — مشتریان، تأمین‌کنندگان، تنظیم‌کنندگان، وام‌دهندگان — اطلاع می‌دهد و ورودی آن‌ها را دریافت می‌کند. صورت‌حساب‌های تأمین‌کننده‌ای که با موجودی‌هایی می‌رسند که نمی‌شناسید، ارتباطات خارجی هستند که کار کنترلی را رایگان انجام می‌دهند، اما تنها اگر کسی آن‌ها را باز کند و پیگیری کند.
یک آزمون عملی برای این مؤلفه: هر عددی را در صورت‌های مالی ماه گذشته انتخاب کنید و بپرسید ردیابی آن به سند منبعش چقدر طول می‌کشد. اگر پاسخ این است که «از حسابدار بپرس، که به یاد دارد»، هر دو اصل ۱۳ و ۱۴ شکاف دارند. دفاتر خوانا با یک مسیر حسابرسی از گزارش تا رسید، همان چیزی است که این مؤلفه در مقیاس کوچک به نظر می‌رسد.
مؤلفه ۵: فعالیت‌های پایش
پایش مؤلفه‌ای است که چهار مؤلفه دیگر را صادق نگه می‌دارد — ارزیابی‌های مستمر و دوره‌ای که بررسی می‌کنند آیا کنترل‌ها وجود دارند، کار می‌کنند و هنوز مناسب هدف هستند. دو اصل آن:
- ارزیابی‌های مستمر و جداگانه. سازمان کنترل‌ها را از طریق ترکیبی از پایش درون‌ساخت (بازبینی سرپرستی، گزارش‌های استثنا، تطبیق‌هایی که به‌عنوان بخشی از کار انجام می‌شوند) و ارزیابی‌های جداگانه (یک بررسی دوره‌ای، یک بازبینی بیرونی) به‌اندازه نرخ تغییر و ریسک درگیر، ارزیابی می‌کند.
- ارزیابی و اطلاع‌رسانی نقص‌ها. شکاف‌های کنترلی از نظر شدت ارزیابی و گزارش می‌شوند — نقص‌های قابل توجه تا سطح مدیریت و هیئت‌مدیره — تا رفع شوند نه بایگانی. دفتر ثبت نقصی که کسی روی آن اقدام نمی‌کند، مدرکی است بر اینکه می‌دانستید، که بدتر از ندانستن است.
برای کسبوکار تحت مدیریت مالک، پایش یک روال ماهانه است نه یک بخش: تطبیق بانکی را بازبینی کنید، حساب‌های دریافتنی سنواتی را بررسی کنید، هزینه‌های واقعی را با بودجه مقایسه کنید، و درباره هر چیز ناآشنایی بپرسید. نظم در منظم بودن است، نه در پیچیدگی — یک چک‌لیست ساده که هر ماه انجام شود از یک بازبینی مفصل که هر وقت کسی به یاد آورد انجام شود بهتر عمل می‌کند.
اطمینان معقول و محدودیت‌هایی که هیچ چارچوبی حذف نمی‌کند
COSO اطمینان معقول را وعده می‌دهد، نه اطمینان مطلق، و این تمایز مهم است. هیچ سیستم کنترل داخلی نمی‌تواند تضمین کند که اهداف محقق خواهند شد، زیرا هر سیستمی محدودیت‌های ذاتی یکسانی دارد: قضاوت انسانی شکست می‌خورد، افراد دستورالعمل‌ها را اشتباه می‌فهمند، اشتباهات رخ می‌دهند — و دو نفر مصمم می‌توانند تبانی کنند تا کنترل‌هایی را که بر فرض عدم تبانی طراحی شده‌اند شکست دهند. زیر پا گذاشتن توسط مدیریت همان محدودیتی است که حسابرسان در کسب‌وکارهای کوچک بیشتر از همه نگران آن هستند، جایی که مالک می‌تواند با یک درخواست هر کنترلی در ساختمان را دور بزند.
این محدودیت‌ها کنترل‌ها را بی‌فایده نمی‌کنند؛ آن‌ها تعریف می‌کنند که کنترل‌ها برای چه هستند. یک سیستم خوب تقلب را نیازمند تبانی می‌کند نه فرصت، اشتباهات را در چند روز آشکار می‌کند نه در پایان سال، و اشتباه صادقانه را از ناصادقانه قابل تفکیک می‌کند. اطمینان معقول یعنی ریسک باقیمانده در سطحی قرار دارد که آگاهانه پذیرفته‌اید، نه سطحی که هرگز بررسی نکرده‌اید.
به‌کارگیری COSO بدون یک بخش انطباق
چارچوب بهتر از آنچه واژگانش نشان می‌دهد کوچک می‌شود. برای به‌کارگیری آن به یک پلتفرم GRC یا یک وظیفه حسابرسی داخلی نیاز ندارید؛ به پوشش پنج مؤلفه به تناسب ریسک خود نیاز دارید. یک نسخه کاربردی برای کسبوکار کوچک این‌گونه است:
- محیط: بنویسید هر وظیفه مالی متعلق به چه کسی است — صدور فاکتور، پرداخت قبوض، حقوق و دستمزد، واریزها، تطبیق — و از همان قواعد تأییدی که برای کارکنان تعیین کرده‌اید پیروی کنید.
- ارزیابی ریسک: سالی یک بار، و هر زمان که چیز قابل توجهی تغییر کرد، فهرست کنید چه چیزی می‌تواند در مورد نقدینگی، سوابق و انطباق اشتباه شود، از جمله تقلب.
- فعالیت‌های کنترلی: مجازسازی، حفاظت و ثبت را هر جا می‌توانید جدا کنید؛ هر جا نمی‌توانید، بازبینی مالک را به‌عنوان کنترل جبرانی اضافه کنید. هر حساب را هر ماه تطبیق دهید.
- اطلاعات و ارتباطات: دفاتر را طبق یک برنامه ثابت ببندید، هر گزارش را تا اسناد منبع قابل ردیابی نگه دارید، و به کارکنان راهی امن برای علامت‌گذاری مشکلات بدهید.
- پایش: یک بازبینی ماهانه ثابت انجام دهید — تطبیق بانکی، سنوات حساب‌های دریافتنی، مقایسه بودجه — و بنویسید چه چیزی پیدا کردید و چه کاری درباره آن انجام دادید.
تطبیق به‌عنوان یک فعالیت کنترلی در دفاتر شما
تطبیق در تلاقی اصول ۱۰ و ۱۶ قرار دارد: هم یک فعالیت کنترلی است و هم شکلی از پایش مستمر. در یک دفتر متنی ساده، کنترل مکانیکی است — یک تأییدیه موجودی که اگر دفاتر از واقعیت فاصله بگیرند با صدای بلند شکست می‌خورد:
2026-10-01 balance Assets:Checking:Operating 12,480.22 USDاین یک خط به‌تنهایی کنترل پایان ماه را رمزگذاری می‌کند: موجودی دفتر باید در آن تاریخ برابر با موجودی صورت‌حساب بانکی باشد، وگرنه فایل از اعتبارسنجی امتناع می‌کند. آن را با یک حساب متمایز برای هر تفکیکی که اهمیت دارد جفت کنید — نقدینگی عملیاتی جدا از نقدینگی حقوق و دستمزد، برداشت‌های مالک جدا از هزینه‌های کسبوکار — و خود جدول حساب‌ها شروع به اعمال تفکیک می‌کند. مستندات تأییدیه‌های موجودی و ساختار حساب را با عمق بیشتری پوشش می‌دهد، و داشبورد بازبینی ماهانه را بصری می‌کند: موجودی‌ها و روندها را آنجا بررسی کنید، سپس جزئیات را در دفتر تأیید کنید.
اشتباهات رایجی که هر مؤلفه را تضعیف می‌کنند
چند الگوی شکست در کسب‌وکارهای هر اندازه‌ای ظاهر می‌شوند و به‌طور مرتب بر چارچوب منطبق می‌شوند:
- محیط: مالک تأییدها را «فقط همین یک بار» زیر پا می‌گذارد، مکرراً، تا زمانی که کارکنان از پرسیدن دست برمی‌دارند.
- ارزیابی ریسک: کنترل‌هایی طراحی‌شده برای کسب‌وکاری که سه سال پیش داشتید، هرگز پس از نرم‌افزار جدید، کارکنان جدید یا جریان‌های درآمدی جدید بازبینی نشده.
- فعالیت‌های کنترلی: یک نفر که حفاظت، مجازسازی و ثبت را در اختیار دارد بدون بازبینی جبرانی — یا ورودیه‌های مشترک مدیر که هر کنترل فناوری را غیرقابل بررسی می‌کند.
- اطلاعات و ارتباطات: گزارش‌های پایان ماه چنان دیرهنگام که تاریخ را توصیف می‌کنند نه پشتیبانی از تصمیم‌ها، و اسناد منبع پراکنده در صندوق‌های ورودی.
- پایش: تطبیق‌هایی که انجام می‌شوند اما هرگز بازبینی نمی‌شوند، پس خطاها در فایلی انباشته می‌شوند که کسی تا زمان حسابرسی آن را نمی‌خواند.
رفع هیچ‌کدام از این‌ها بودجه بزرگی نمی‌خواهد. هر یک نیازمند این تصمیم است که کنترل به‌قدر کافی اهمیت دارد تا طبق برنامه انجام شود — که در نهایت همان چیزی است که محیط کنترلی از ابتدا می‌گفته است.
گام بعدی شما
از همان جایی شروع کنید که در معرض خطر بیشترین است: هر وظیفه مالی در کسب‌وکارتان را فهرست کنید، نام کسی که هر یک را انجام می‌دهد کنارش بنویسید، و هر جایی را که یک نام مشترک حفاظت، مجازسازی و ثبت را در اختیار دارد دور بزنید. آن دایره‌ها نخستین پروژه کنترلی شما هستند — آنچه می‌توانید جدا کنید، و بر آنچه نمی‌توانید بازبینی مالک را بگذارید، و حساب‌ها را ماهانه تطبیق دهید تا اعداد تأیید کنند که ترتیب کار می‌کند. همان یک تمرین هر پنج مؤلفه را در مقیاس یک کسبوکار کوچک پوشش می‌دهد، و دقیقاً همان بررسی‌ای است که حسابرس شما درخواست دیدنش را خواهد داشت.