Jak wykorzystać ramy COSO do ograniczenia ryzyka

Nadzorowanie, kierowanie, pomiar i optymalizacja procesów biznesowych to fundamenty ciągłego rozwoju i minimalizacji ryzyka finansowego.

Firmy stosują także kontrole wewnętrzne – mechanizmy służące ochronie przed nieuczciwymi działaniami, jednocześnie gwarantując płynność operacji. Jednakże, niesprawność tych kontroli może być źródłem poważnych zagrożeń dla przedsiębiorstw.

Z raportów wynika, że 43% mniejszych firm doświadcza nadużyć z powodu luk w kontroli wewnętrznej, a 20% dużych korporacji pada ofiarą oszustw w wyniku omijania istniejących zabezpieczeń.

W odpowiedzi na te wyzwania, Komitet Organizacji Sponsorujących (COSO) organizacji Trendway opracował specjalny model, który ma na celu wspomóc przedsiębiorstwa w nadzorowaniu i zarządzaniu ich działaniami. Model ten umożliwia firmom upewnienie się, że ich procesy są spójne, a także pomaga w identyfikacji i ograniczaniu potencjalnych zagrożeń.

Wdrożenie modelu COSO nie jest obowiązkowe, jednak pozwala organizacjom na zachowanie zgodności z obowiązującymi normami prawnymi oraz na zapobieganie działaniom nieuczciwym, co w innym przypadku mogłoby okazać się trudne. Niepowodzenie w tej sferze może mieć dla firm bardzo poważne konsekwencje.

Zatem, jeśli chcesz uniknąć takich nieprzyjemnych sytuacji, zachęcamy do dalszej lektury. W tym wpisie omówimy strukturę COSO, jej zalety oraz sposób, w jaki przedsiębiorstwa mogą wykorzystać ją do redukcji ryzyka.

Czym charakteryzuje się struktura COSO?

Struktura COSO to zbiór wytycznych i zasad, które wspomagają organizacje w nadzorowaniu i zarządzaniu ich operacjami.

Komitet COSO utworzył ten model w roku 1992, a inicjatorem był radca prawny i wiceprezes wykonawczy James Treadway Jr., we współpracy z innymi podmiotami z sektora prywatnego, takimi jak:

• Dyrektorzy Finansowi International (FEI)
• Amerykańskie Stowarzyszenie Księgowych (AAA)
• Amerykański Instytut Biegłych Księgowych (AICPA)
• Instytut Audytorów Wewnętrznych (IIA)
• Instytut Rachunkowości Zarządczej (IMA), wcześniej znany jako Krajowe Stowarzyszenie Księgowych Kosztów

W 2013 roku, komisja dokonała aktualizacji i przedstawiła bardziej zaawansowaną wersję struktury, prezentowaną w formie kostki COSO, jak pokazano poniżej.

Ten trójwymiarowy diagram pokazuje, jak różne elementy systemu kontroli wewnętrznej współdziałają w celu dostosowania procesów biznesowych.

W roku 2017 komisja COSO przedstawiła uzupełnienie struktury COSO, które ma na celu ułatwienie przedsiębiorstwom ocenę i ustalanie priorytetów ryzyka, kształtując tym samym wyniki biznesowe i strategie zarządzania ryzykiem.

Zatem zrozumienie struktury COSO niesie ze sobą istotne korzyści dla organizacji, wspierając ją w zarządzaniu i efektywnym ustanawianiu kontroli wewnętrznych w całym ekosystemie biznesowym. Sprawne procesy kontroli wewnętrznej są gwarancją etycznych, otwartych i zgodnych z standardami branżowymi operacji.

Jakie korzyści daje model COSO?

Ustalenie strategii ograniczania ryzyka, która dostosowuje się do zmiennych warunków cyberbezpieczeństwa i nowych wyzwań, ma fundamentalne znaczenie dla każdej firmy.

Sprawdź, w jaki sposób implementacja struktury COSO może wspomóc firmy w walce z oszustwami, jak również chronić ich procesy biznesowe oraz reputację.

# 1. Bardziej precyzyjna ocena ryzyka

Nieefektywne zarządzanie jest jedną z głównych przyczyn większości incydentów w środowisku pracy. Ponadto, incydenty i zagrożenia występujące w jednej sferze mogą poważnie oddziaływać na pozostałe obszary biznesowe, mając tym samym wpływ na ogólne rezultaty finansowe.

Proaktywne wdrożenie modelu COSO i trafne oceny ryzyka mogą pomóc w wykrywaniu, kontrolowaniu oraz zapobieganiu zagrożeniom, jak również ich negatywnemu wpływowi na firmę.

#2. Ulepszone mechanizmy kontroli wewnętrznej

Struktura COSO oferuje firmom efektywniejsze mechanizmy kontroli wewnętrznej, umożliwiając bardziej spójne działanie procesów biznesowych w oparciu o ustalone kontrole wewnętrzne, oraz wykorzystanie danych niezbędnych do podejmowania trafnych decyzji.

#3. Skuteczniejsze wykrywanie nadużyć

Struktura COSO zwiększa skuteczność wykrywania nadużyć i zarządzania ryzykiem, niezależnie od tego, czy nieuczciwe działania są przeprowadzane przez hakerów, cyberprzestępców, zaufanych pracowników, czy klientów.

Model ten ułatwia przedsiębiorstwom zapobieganie nieuczciwym działaniom poprzez implementację kontroli wewnętrznych w celu wykrywania oszustw, jak i reagowanie na te incydenty w momencie ich wystąpienia, aby zminimalizować szkody, zanim zdążą one wyrządzić większe straty.

#4. Lepsza kontrola zarządcza

Niedostateczny nadzór nad wynikami biznesowymi i nieefektywne zarządzanie często prowadzą do niepowodzeń przedsiębiorstw i utraty dochodów. Dlatego podstawowym zadaniem struktury COSO jest wzmocnienie funkcji ładu korporacyjnego firm, który monitoruje ryzyko na bieżąco, zapewniając zgodność z zasadami, przepisami i celami.

#5. Wzmocnione bezpieczeństwo aplikacji

Oprócz zagrożeń związanych z oszustwami i cyberbezpieczeństwem, organizacje są także narażone na ciągłe ataki na aplikacje biznesowe. Struktura COSO oferuje firmom i organizacjom wskazówki dotyczące oceny i usprawniania ich środowiska kontroli aplikacji w celu lepszego wykrywania i zapobiegania cyberatakom.

#6. Zwiększona elastyczność

Strukturę COSO można z łatwością dostosować do potrzeb i wymagań danej organizacji, niezależnie od branży, czy wielkości. Dzięki temu jest to idealne i wydajne rozwiązanie dla szerokiego zakresu procesów biznesowych.

#7. Stabilne rezultaty

Model COSO ułatwia przewidywanie zagrożeń i wyprzedzanie problemów, zmniejszając zmienność rezultatów. W rezultacie pomaga firmom w maksymalizowaniu rentowności oraz minimalizowaniu zakłóceń, poprawiając tym samym odporność biznesową.

#8. Efektywność kosztowa

Właściwa implementacja modelu COSO umożliwia firmom usprawnienie procesów biznesowych, utworzenie i wdrożenie efektywnych kontroli wewnętrznych, lepsze ograniczanie zagrożeń, jak również zarządzanie kosztami zgodności.

W jaki sposób wykorzystuje się strukturę COSO?

Przedsiębiorstwa korzystają ze struktury COSO przede wszystkim w celu projektowania, tworzenia i wdrażania efektywnych kontroli wewnętrznych, jak również w celu zwiększenia ich całkowitej efektywności.

Struktura COSO oferuje organizacjom wskazówki dotyczące wykrywania i minimalizowania zagrożeń, ustalania precyzyjnych kontroli i celów oraz podejmowania skutecznych decyzji. Dzięki temu, firmy mogą przestrzegać norm etycznych i prawnych, skupiając się na zarządzaniu ryzykiem i jego ocenie.

Model ten jest szczególnie często wykorzystywany przez firmy księgowe i finansowe oraz przedsiębiorstwa notowane na giełdzie.

Struktura COSO ma konkretne zastosowania biznesowe, w tym:

# 1. Rozszerzenie działalności

Załóżmy, że Twoja firma planuje poszerzyć swoją działalność na nowe miasta lub kraje i chce się upewnić, że rozważyła oraz ograniczyła wszystkie możliwe zagrożenia, które mogłyby wpłynąć na jej procesy biznesowe. W takim przypadku struktura COSO może okazać się bardzo pomocna.

Struktura COSO oferuje systematyczne podejście do identyfikacji, zarządzania i oceny ryzyka oraz do opracowywania strategii minimalizacji zagrożeń.

#2. Zmiana strategii

Załóżmy, że Twoja organizacja planuje wprowadzić istotne zmiany w swoich procesach i działaniach, takie jak wprowadzenie nowego produktu lub usługi, czy też zmiana strategii biznesowej. W takim przypadku wykorzystanie struktury COSO może wspomóc Twoją firmę.

Może ona pomóc w zaplanowaniu znaczących zmian biznesowych i skutecznym zarządzaniu nimi, dostarczając sposób na znalezienie potencjalnych zagrożeń związanych ze zmianami, jak również opracowanie planów mających na celu ich rozwiązanie.

#3. Utrzymanie przewagi nad konkurencją

Znalezienie sposobów na wyprzedzenie konkurencji w obliczu wyzwań ze strony rywali lub zauważenie strat biznesowych ma kluczowe znaczenie dla zwiększenia konkurencyjności. Jednym ze sposobów jest zrozumienie preferencji i oczekiwań klienta.

Model COSO pomaga firmom sprostać temu wyzwaniu, oferując ustrukturyzowane podejście do badań rynku oraz analizy klientów.

Pięć kluczowych elementów struktury COSO

Struktura COSO opiera się na pięciu elementach kontroli wewnętrznej, zwanych również „CRIME” (od pierwszych liter):

• Środowisko kontroli
• Ocena ryzyka
• Informacja i komunikacja
• Działania monitorujące
• Istniejące działania kontrolne

Przyjrzyjmy się każdemu z tych elementów bardziej szczegółowo.

Środowisko kontroli

Środowisko kontroli to fundament wszystkich systemów kontroli wewnętrznej, czyli zestaw procesów, standardów oraz struktur, które zapewniają sprawny system kontroli wewnętrznej w obrębie całej organizacji.

Składa się z takich elementów, jak struktura organizacyjna, etyczne wartości kierownictwa i delegowana władza.

Silne środowisko kontroli wprowadza dyscyplinę w organizacji, zapewnia przestrzeganie zasad i wymogów prawnych, a także minimalizuje ryzyko udziału pracowników w nieuczciwych działaniach.

W dobie coraz częstszych oszustw w świecie korporacyjnym, środowisko kontroli jest jednym z najważniejszych i najbardziej kluczowych elementów struktury COSO.

Ocena i zarządzanie ryzykiem

Ocena ryzyka i zarządzanie nim, nazywane również zarządzaniem ryzykiem korporacyjnym, obejmuje procesy, które wspomagają w identyfikacji i ocenie zagrożeń mogących zaszkodzić firmie i wpłynąć na jej podstawowe cele.

Ryzyko może mieć charakter wewnętrzny lub zewnętrzny. O ile ryzyko wewnętrzne obejmuje defraudację i oszustwa, ryzyko zewnętrzne może wynikać ze zmian warunków rynkowych, czy też z katastrof naturalnych.

Informacja i komunikacja

Systemy informacji i komunikacji odgrywają kluczową rolę w sprawnym funkcjonowaniu firmy, gwarantując zgodność komunikacji wewnętrznej i zewnętrznej z wartościami etycznymi, wymogami prawnymi i standardowymi praktykami branżowymi.

Systemy te gwarantują, że odpowiednie informacje są zawsze dostępne dla osób, które ich potrzebują, oraz że komunikacja przebiega zgodnie z najlepszymi praktykami, aby osiągnąć cele biznesowe.

Komunikacja jest procesem ciągłego pozyskiwania, przekazywania i terminowego dostarczania informacji ze źródeł wewnętrznych i zewnętrznych w całej organizacji. Umożliwia to kierownictwu wyższego szczebla skuteczne komunikowanie znaczenia kontroli wewnętrznych.

Działania monitorujące

Regularne monitorowanie wszystkich kontroli wewnętrznych, jak również przeprowadzanie bieżących i odrębnych ocen, ma zasadnicze znaczenie dla zapewnienia oraz weryfikacji ich prawidłowego działania. Działania monitorujące pomagają również w ocenie, czy systemy kontroli wewnętrznej funkcjonują zgodnie z założeniami, umożliwiając firmom podejmowanie działań naprawczych, jeśli zajdzie taka potrzeba.

Monitorowanie kontroli wewnętrznych pozwala firmom na ciągłe wykrywanie zagrożeń, problemów i słabych punktów w systemach, aby można je było szybko poprawić.

Istniejące działania kontrolne

Działania kontrolne to procesy, polityki oraz procedury, które pomagają w ograniczeniu ryzyka w całej organizacji i zapewniają odpowiednią kontrolę.

Występują na każdym poziomie organizacji, a ich głównym zadaniem jest upewnienie się, że procesy biznesowe są realizowane w sposób pozwalający organizacji na realizację jej celów bez wprowadzania niepotrzebnego ryzyka w obrębie tych procesów.

Przykłady działań kontrolnych to zabezpieczenia fizyczne, takie jak kamery monitoringu, podział obowiązków oraz konieczność autoryzacji.

Jak wdrożyć strukturę COSO?

Oto kroki, które należy wykonać, aby wdrożyć strukturę COSO w celu stworzenia, usprawnienia i utrzymania skutecznych systemów kontroli wewnętrznej.

# 1. Zrozumienie struktury COSO

Firmy, które chcą zastosować strukturę COSO, powinny powołać specjalny zespół, który pozna jej konstrukcję oraz przyjmie na siebie odpowiedzialność za jej implementację.

Zespół musi zrozumieć korzyści, zastosowania, i zasady struktury dla skutecznego systemu kontroli wewnętrznej.

#2. Opracowanie planu

Po właściwym zrozumieniu struktury, zespół musi opracować plan projektu lub mapę drogową, która uwzględni zakres wdrożenia struktury, zainteresowane strony, zasoby, strukturę organizacyjną i harmonogram.

#3. Ocena wdrożenia struktury

Wdrożenie struktury COSO różni się w zależności od firmy. Ocena systemów kontroli wewnętrznej pomoże firmom w zidentyfikowaniu zagrożeń, którymi muszą się zająć i które muszą zminimalizować.

Zespół wdrożeniowy powinien ustalić przejrzyste cele biznesowe, zbadać i przeanalizować obecny system kontroli wewnętrznej oraz zidentyfikować luki, angażując w ten proces pracowników niższego szczebla oraz kierownictwo wyższego szczebla, aby zebrać różnorodne perspektywy w celu opracowania solidnych systemów kontroli wewnętrznej.

#4. Naprawa rozwiązań

Na tym etapie należy zająć się wszystkimi słabościami i niedociągnięciami, które zostały zidentyfikowane w trakcie oceny. Kluczowe znaczenie ma również opracowanie rozwiązań w zakresie kontroli wewnętrznej, jak również środków zaradczych w celu wyeliminowania tych niedoskonałości.

Można zacząć od rozwiązań naprawczych dla zagrożeń o największym prawdopodobieństwie i powodujących największe szkody, przy wykorzystaniu najlepszego oprogramowania do zarządzania lukami w zabezpieczeniach, a następnie stopniowo przechodzić do mniej istotnych problemów.

#5. Testowanie, raportowanie i optymalizacja rozwiązań

Przedsiębiorstwa muszą szczegółowo zaprojektować rozwiązania oraz przeprowadzić weryfikacje w celu przetestowania i przedstawienia raportu na temat ich wydajności i skuteczności.

Odpowiedzialne strony muszą być na bieżąco informowane o wynikach testów, aby móc przekazywać swoje uwagi i sugestie dotyczące wymiany rozwiązań z lukami oraz tych kontroli, które okazały się nieskuteczne.

Jest to ciągły i iteracyjny proces, w którym bieżące oceny umożliwiają szybką reakcję na sygnały ostrzegawcze, związane ze zmianami w środowisku kontroli.

Ograniczenia struktury COSO

Chociaż struktura COSO oferuje organizacjom wiele korzyści, wiąże się ona również z pewnymi wyzwaniami i ograniczeniami, takimi jak:

• Trudność we wdrożeniu: Jednym z największych problemów związanych ze strukturą COSO jest to, że jest ona trudna do wdrożenia, zwłaszcza w przypadku firm, które wcześniej z niej nie korzystały. Aby odnieść sukces, struktura COSO wymaga pełnego zaangażowania ze strony pracowników i kierownictwa wyższego szczebla.
• Trudności w użytkowaniu: Struktura COSO nie jest łatwa w użyciu i zrozumieniu, ponieważ zawiera wiele technicznego żargonu, a w większości przypadków interpretacja struktury może być trudna, szczególnie dla osób nieobeznanych z najnowszymi technologiami biznesowymi i terminologią.
• Czasochłonność: Zrozumienie i wdrożenie struktury COSO może być czasochłonne, szczególnie w większych organizacjach i firmach, ponieważ wymaga dużego planowania i koordynacji pomiędzy wieloma zespołami i działami.

Podsumowanie

Struktura COSO jest kompleksowym narzędziem do zarządzania ryzykiem, które oferuje firmom wskazówki dotyczące doskonalenia ich systemów kontroli wewnętrznej.

Opiera się na pięciu powiązanych i istotnych elementach, które współpracują ze sobą, aby osiągnąć cele firmy, wspomóc wykrywanie i zapobieganie oszustwom, chronić aktywa oraz zapewnić zgodność z przepisami prawa i wymogami regulacyjnymi.

Zatem, jeśli planujesz stworzyć system kontroli wewnętrznej lub szukasz sposobów na usprawnienie już istniejącego, wybór i wdrożenie efektywnej struktury COSO będzie właściwym rozwiązaniem.

Zachęcamy również do zapoznania się z naszym kompleksowym przewodnikiem na temat jakości danych.