Фреймворк внутреннего контроля COSO: пять компонентов и 17 принципов, лежащих в основе каждого аудита

Ваш бухгалтер вносит счета, подписывает чеки и сверяет банковский счёт — и больше никто никогда не смотрит на эти цифры. Если эта фраза описывает ваш бизнес, вы уже знаете неудобную правду: ничто в такой схеме не поймает ошибку, не говоря уже о том, чтобы помешать ей войти в привычку. Вопрос в том, как на самом деле выглядят «надлежащие контроли», когда у вас пять сотрудников, а не пятьсот.

Ответ, к которому прибегают аудиторы, — это фреймворк COSO. Он служит мерилом практически любой оценки внутреннего контроля в Соединённых Штатах: от аудитов публичных компаний по Sarbanes-Oxley до опросника по контролям, который ваш CPA вручает вам перед выездной проверкой. Это руководство разбирает, что это такое, пять компонентов и 17 принципов, из которых он состоит, и как применять те части, которые важны для малого бизнеса.

Что такое COSO и почему аудиторы считают его стандартом​

COSO — это аббревиатура Комитета спонсирующих организаций Комиссии Тредуэя (Committee of Sponsoring Organizations of the Treadway Commission). Он был создан в середине 1980-х годов после волны мошенничества в финансовой отчётности при совместном спонсорстве пяти профессиональных организаций: Американской ассоциации бухгалтеров, AICPA, Financial Executives International, Института внутренних аудиторов и Института управленческих бухгалтеров.

В 1992 году COSO опубликовал «Концептуальные основы внутреннего контроля» (Internal Control–Integrated Framework) — единое определение внутреннего контроля, на которое могли ссылаться аудиторы, менеджеры и регуляторы. В 2013 году документ был обновлён, чтобы отразить изменения двух десятилетий — аутсорсинг операций, глобальные цепочки поставок и прежде всего перемещение контролей в технологии. Когда руководство публичной компании оценивает свои контроли в соответствии с разделом 404 Sarbanes-Oxley, фреймворк COSO 2013 года — это те критерии, которые большинство из них называют. Частные компании не подпадают под действие SOX, но кредиторы, покупатели бизнеса и грантодатели всё чаще задают те же вопросы, а проверки контролей вашим аудитором организованы вокруг тех же пяти компонентов.

Одно уточнение: COSO публикует два фреймворка. «Концептуальные основы внутреннего контроля» (пять компонентов, 17 принципов) посвящены проектированию и оценке контролей, тогда как «Концептуальные основы управления рисками предприятия» (Enterprise Risk Management Framework), обновлённые в 2017 году, связывают управление рисками со стратегией. В этом посте рассматривается первый — фреймворк, лежащий в основе каждого аудита.

Куб COSO: цели, компоненты и структура​

COSO изображает внутренний контроль в виде куба с тремя измерениями, и этот образ стоит держать в голове, потому что он объясняет, почему фреймворк спрашивает о вещах, которые на первый взгляд не имеют ничего общего с бухгалтерией.

Три цели расположены на одной грани. Каждый контроль существует, чтобы служить хотя бы одной из них:

• Операции — ваш бизнес работает результативно и эффективно, а его активы защищены.
• Отчётность — внутренние и внешние отчёты, финансовые и иные, надёжны и своевременны.
• Соблюдение требований — бизнес соблюдает применимые законы и нормативные акты.

Пять компонентов расположены на второй грани. Именно им посвящена большая часть этого поста: контрольная среда, оценка рисков, контрольные процедуры, информация и коммуникация, а также мониторинг.

Организационная структура — уровень юридического лица, подразделения, операционной единицы, функции — расположена на третьей грани. Контроли должны работать на каждом уровне, а не только в финансовом отделе.

Смысл куба в том, что сбой контроля никогда не является просто «проблемой бухгалтерии». Склад без процедуры приёмки — это операционный сбой, который превращается в сбой отчётности в тот момент, когда неучтённые запасы искажают вашу себестоимость проданных товаров. Фреймворк заставляет вас смотреть на все три измерения одновременно.

Компонент 1: Контрольная среда​

Контрольная среда — это фундамент: стандарты, структуры и ожидания, которые определяют, есть ли у всех остальных компонентов на что опереться. COSO называет её тоном сверху, и аудиторы проверяют её в первую очередь, потому что слабая среда подрывает всё, что построено над ней. Её пять принципов:

1. Приверженность честности и этическим ценностям. Организация демонстрирует, как выглядит честное поведение и что происходит, когда кто-то от него отклоняется. В малом бизнесе это редко печатный кодекс поведения; это то, обходит ли владелец процедуры, когда они ему неудобны. Каждый такой обход учит сотрудников, что контроли необязательны.
2. Независимость совета директоров и надзор. Совет директоров — или, в компании, управляемой собственником, тот, кто играет эту роль, — осуществляет надзор за контролями и руководством. Если вы одновременно собственник и руководитель, этот принцип ложится на вас дважды, и именно поэтому внешний взгляд (обзор от CPA, член консультативного совета) значит больше, чем кажется.
3. Структуры, линии подотчётности и обязанности. Полномочия и ответственность распределены достаточно чётко, чтобы у каждой важной задачи был владелец. «Кто-то занимается депозитами» — это не структура.
4. Приверженность компетентности. Организация привлекает, развивает и удерживает людей, способных выполнять работу по контролю. Передача расчёта зарплаты тому, у кого есть свободное время, нарушает этот принцип ещё до того, как выписан первый чек.
5. Подотчётность. Лица несут ответственность за свои контрольные обязанности, и последствия действительно наступают. Сверка, которую никто не проверяет, — это декорация.

Для малого бизнеса контрольная среда сводится к двум видимым фактам: следует ли владелец тем же правилам, что и все остальные, и принадлежат ли контрольные обязанности названным людям, а не тем, кто оказался под рукой.

Компонент 2: Оценка рисков​

Оценка рисков — это непрерывный процесс выявления того, что может помешать вам достичь трёх целей, и взвешивания этих рисков против того, что вы можете себе позволить. COSO прямо указывает, что это непрерывный, а не ежегодный процесс: риски меняются по мере изменения бизнеса, его систем и его окружения. Её четыре принципа:

6. Цели, определённые с достаточной ясностью. Вы не можете оценивать риск, пока не скажете, чего пытаетесь достичь. «Надёжная финансовая отчётность к 10-му числу» — это оцениваемая цель; «хорошие книги» — нет.
7. Выявление и анализ рисков. Руководство выявляет риски по всему бизнесу и анализирует их как основу для решения, как ими управлять. Для фрилансера это может быть упражнение на пятнадцать минут: что сломается, если мой ноутбук умрёт, если клиент оспорит счёт, если мой платёжный процессор заморозит выплаты?
8. Оценка риска мошенничества. Организация отдельно рассматривает потенциальное мошенничество — стимулы, возможности и самооправдания — и разрабатывает ответные меры. Обратите внимание, что это отдельный принцип, а не сноска к принципу 7. Ваш аудитор спросит об этом напрямую, в том числе о том, как руководство могло бы обойти контроли.
9. Выявление и анализ существенных изменений. Новое программное обеспечение, новые сотрудники, новые продуктовые линейки, новые нормативные акты — именно в изменениях контроли незаметно перестают работать. Принцип требует пересматривать риск всякий раз, когда меняется обстановка, а не предполагать, что прошлогодние контроли по-прежнему подходят.

Самая распространённая ошибка малого бизнеса здесь — относиться к оценке рисков как к разовому мероприятию. Вы настроили процедуры, когда в бизнесе было два человека, и никогда не пересматривали их при двенадцати, когда человек, утверждающий закупки, перестал быть тем, кто знал, для чего каждая закупка.

Компонент 3: Контрольные процедуры​

Контрольные процедуры — это то, что большинство людей представляет себе, когда слышит «внутренние контроли»: утверждения, авторизации, проверки, сверки, обзоры и разделение обязанностей, которые претворяют ответы на риски в практику на каждом уровне бизнеса. На практике они составляют основную часть фреймворка. Его три принципа:

10. Контрольные процедуры, выбранные для снижения риска. Организация разрабатывает процедуры, которые действительно устраняют риски, выявленные в компоненте 2, — с привязкой к целям операций, отчётности и соблюдения требований. Контроль, который не восходит к какому-либо риску, — это бюрократия; риск без контроля — это подверженность риску.
11. Общие контроли над технологиями. Организация разрабатывает контроли над технологиями, обеспечивающими её процессы: безопасность доступа, управление изменениями, эксплуатация систем. Когда ваши книги живут в облачном программном обеспечении, тот, у кого есть пароль администратора, держит ключи от каждой контрольной процедуры, которую выполняет программа. Принцип 11 — причина, по которой аудиторы спрашивают о списках доступа пользователей и о том, кто может редактировать проведённую транзакцию.
12. Внедрение через политики и процедуры. Контроли документируются в политиках, которые говорят, что ожидается, и процедурах, которые говорят, как это делать, — включая когда это происходит, кто это делает и какие корректирующие действия следуют за исключением. Контроль, существующий только в чьей-то голове, рушится в тот день, когда этот человек уходит в отпуск.

Разделение обязанностей заслуживает особого внимания, потому что это контроль, который малый бизнес нарушает чаще всего и легче всего оправдывает. Классическая несовместимая триада — хранение активов, авторизация транзакций и их учёт — никогда не должна сосредотачиваться в одних руках. Когда численность персонала делает это невозможным, COSO всё равно ожидает ответных мер: компенсирующих контролей, обычно прямого обзора владельцем. Владелец, открывающий банковскую выписку до того, как бухгалтер выполнит сверку, — это хрестоматийный компенсирующий контроль, и он стоит около десяти минут в месяц.

Компонент 4: Информация и коммуникация​

Контроли работают на информации, а информация помогает, только если доходит до нужных людей в пригодной для использования форме. Этот компонент охватывает как данные, так и каналы их передачи. Его три принципа:

13. Релевантная информация надлежащего качества. Организация получает или создаёт информацию, поддерживающую контроли, — и эта информация должна быть достаточно точной, своевременной, актуальной и полной, чтобы ею можно было пользоваться. Отчёт о прибылях и убытках, доставленный через шесть недель после конца месяца, не может支持 никакого решения, поэтому он не соответствует этому принципу, сколь бы точен он ни был.
14. Внутренняя коммуникация. Контрольные обязанности, цели и ожидания доводятся до сведения внутри организации, в том числе вверх по цепочке. Сотрудникам нужен способ сообщать о проблемах — включая проблемы с соблюдением требований их собственным руководителем — без страха возмездия. В компании из десяти человек этим каналом может быть просто искренний вопрос владельца и готовность выслушать.
15. Внешняя коммуникация. Организация сообщает значимую информацию внешним сторонам — клиентам, поставщикам, регуляторам, кредиторам — и получает от них обратную связь. Выписки от поставщиков, в которых указаны остатки, которых вы не узнаёте, — это внешняя коммуникация, выполняющая контрольную работу бесплатно, но только если кто-то их открывает и принимает меры.

Практическая проверка для этого компонента: выберите любую цифру в финансовой отчётности за прошлый месяц и спросите, сколько времени займёт проследить её до первичного документа. Если ответ — «спросить бухгалтера, который помнит», то в принципах 13 и 14 есть пробелы. Читаемые книги с аудиторским следом от отчёта до квитанции — вот как выглядит этот компонент в малом масштабе.

Компонент 5: Мониторинг​

Мониторинг — это компонент, который заставляет остальные четыре держать слово: непрерывные и периодические оценки, проверяющие, присутствуют ли контроли, функционируют ли они и по-прежнему ли пригодны для своей цели. Его два принципа:

16. Непрерывные и отдельные оценки. Организация оценивает контроли посредством сочетания встроенного мониторинга (надзорный обзор, отчёты об исключениях, сверки, выполняемые в ходе работы) и отдельных оценок (периодическая проверка, внешний обзор), соразмерных темпу изменений и связанному с ними риску.
17. Оценка и сообщение о недостатках. Пробелы в контролях оцениваются на предмет серьёзности и доводятся до сведения — существенные недостатки доводятся до руководства и совета директоров, — чтобы их устраняли, а не складывали в архив. Журнал недостатков, по которому никто не действует, — доказательство того, что вы знали, а это хуже, чем не знать.

Для бизнеса, управляемого собственником, мониторинг — это ежемесячная рутина, а не отдел: проверьте банковскую сверку, просмотрите старение дебиторской задолженности, сравните фактические расходы с бюджетом и задайте вопросы обо всём незнакомом. Дисциплина — в регулярности, а не в изощрённости: простой контрольный список, выполняемый каждый месяц, превосходит сложный обзор, выполняемый когда кто-то вспомнит.

Разумная уверенность и ограничения, которые не устраняет ни один фреймворк​

COSO обещает разумную, а не абсолютную уверенность, и это различие важно. Никакая система внутреннего контроля не может гарантировать достижение целей, потому что у каждой системы есть одни и те же присущие ей ограничения: человеческое суждение подводит, люди неверно понимают указания, случаются ошибки — и два решительных человека могут вступить в сговор, чтобы обойти контроли, построенные исходя из предположения, что они этого не сделают. Обход контролей руководством — ограничение, которое аудиторы больше всего опасаются в малом бизнесе, где владелец может обойти каждый контроль в компании просто попросив.

Эти ограничения не делают контроли бессмысленными; они определяют, для чего нужны контроли. Хорошая система заставляет мошенничество требовать сговора, а не возможности, заставляет ошибки всплывать за дни, а не в конце года, и делает честную ошибку отличимой от нечестной. Разумная уверенность означает, что остаточный риск находится на уровне, который вы сознательно приняли, а не на уровне, который вы никогда не изучали.

Как применить COSO на практике без отдела комплаенса​

Фреймворк масштабируется вниз лучше, чем можно судить по его лексике. Вам не нужна платформа GRC или служба внутреннего аудита, чтобы применять его; вам нужно, чтобы пять компонентов были охвачены соразмерно вашему риску. Работоспособная версия для малого бизнеса выглядит так:

• Среда: запишите, кто владеет каждой денежной задачей — выставлением счетов, оплатой счетов, расчётом зарплаты, депозитами, сверкой, — и следуйте тем же правилам утверждения, которые вы установили для сотрудников.
• Оценка рисков: раз в год и всякий раз, когда происходит что-то существенное, перечисляйте, что может пойти не так с денежными средствами, записями и соблюдением требований, включая мошенничество.
• Контрольные процедуры: разделяйте авторизацию, хранение и учёт там, где можете; там, где не можете, добавляйте обзор владельцем как компенсирующий контроль. Сверяйте каждый счёт каждый месяц.
• Информация и коммуникация: закрывайте книги по фиксированному графику, сохраняйте каждый отчёт прослеживаемым до первичных документов и дайте сотрудникам безопасный способ сообщать о проблемах.
• Мониторинг: проводите фиксированный ежемесячный обзор — банковская сверка, старение дебиторской задолженности, сравнение с бюджетом — и записывайте, что вы обнаружили и что с этим сделали.

Сверка как контрольная процедура в ваших книгах​

Сверка находится на пересечении принципов 10 и 16: это и контрольная процедура, и форма непрерывного мониторинга. В текстовом реестре контроль механистичен — утверждение о балансе, которое громко срабатывает, если книги расходятся с реальностью:

2026-10-01 balance Assets:Checking:Operating  12,480.22 USD

Эта единственная строка кодирует контроль конца месяца: баланс в книгах должен равняться балансу по банковской выписке на эту дату, иначе файл откажется валидироваться. Дополните его отдельным счётом для каждого разделения, которое имеет значение, — операционные денежные средства отдельно от денежных средств на зарплату, изъятия владельца отдельно от деловых расходов, — и сам план счетов начнёт обеспечивать разделение. Документация подробнее описывает утверждения о балансе и структуру счетов, а панель управления делает ежемесячный обзор наглядным: просмотрите там балансы и тренды, затем подтвердите детали в реестре.

Распространённые ошибки, подрывающие каждый компонент​

Несколько шаблонов провала встречаются в бизнесах любого размера, и они аккуратно соотносятся с фреймворком:

• Среда: владелец раз за разом обходит утверждения «только на этот раз», пока сотрудники не перестают спрашивать.
• Оценка рисков: контроли, разработанные для бизнеса, который у вас был три года назад, так и не пересмотренные после нового программного обеспечения, новых сотрудников или новых потоков выручки.
• Контрольные процедуры: один человек, совмещающий хранение, авторизацию и учёт без компенсирующего обзора, — или общие учётные записи администраторов, делающие каждый технологический контроль непроверяемым.
• Информация и коммуникация: отчёты конца месяца настолько запоздалые, что описывают историю, а не поддерживают решения, и первичные документы, разбросанные по почтовым ящикам.
• Мониторинг: сверки выполняются, но никогда не проверяются, поэтому ошибки накапливаются в файле, который никто не читает до аудита.

Ни одна из этих ошибок не требует большого бюджета для исправления. Каждая требует решения, что контроль достаточно важен, чтобы выполнять его по графику, — а это, в конечном счёте, то, что контрольная среда говорила всё это время.

Ваш следующий шаг​

Начните с того, где подверженность риску наибольшая: перечислите каждую денежную задачу в вашем бизнесе, напишите рядом имя человека, который выполняет каждую из них, и обведите каждое место, где одно и то же имя совмещает хранение, авторизацию и учёт. Эти круги — ваш первый проект по контролю: разделите то, что можете, поставьте обзор владельцем над тем, что не можете, и сверяйте счета ежемесячно, чтобы цифры подтверждали, что схема работает. Это единственное упражнение охватывает все пять компонентов в масштабе малого бизнеса, и это ровно та проверка, которую ваш аудитор попросит показать.