Комитет организаций-спонсоров Комиссии Тредвея (, COSO) — является добровольной частной организацией, созданной в Соединенных Штатах и предназначенной для выработки соответствующих рекомендаций для корпоративного руководства по важнейшим аспектам организационного управления, деловой этики, финансовой отчетности, внутреннего контроля, управления рисками компаний и противодействия мошенничеству.

COSO разработал общую модель внутреннего контроля, в сравнении с которой компании и организации могут оценить собственные системы управления. Согласно опросу журнала «Финансовый директор»CFO Magazine: The Trouble with COSO проведенному в 2006 году, 82 % респондентов утверждали, что они использовали модель внутреннего контроля предложенную COSO.

В России перенимают опыт запада. Если еще несколько лет назад, представители малого и среднего бизнеса не задумывались о риск-ориентированном подходе по системе COSO, то по состоянию на 2022 год ситуация кардинально изменилась. Во многом это связано в внедрением налогового мониторинга. На рынке появилась новая услуга: внутренний налоговый контроль — это процедура наблюдение за правильностью ведения и сдачи налоговой отчетности, а также управления налоговыми рисками.

Общее представление об организации COSO был образован в 1985 году при поддержке Национальной комиссии по вопросам мошенничества в финансовой отчетности (комиссия Тредвея). Комиссия Тредвея была организована и финансируется совместно пятью основными профессиональными бухгалтерскими ассоциациями и институтами, размещающимися в США: Американским институтом дипломированных общественных бухгалтеров (), Американской ассоциацией бухгалтеров (), Международной ассоциацией финансовых руководителей (FEI), Институтом внутренних аудиторов (IIA) и Институтом бухгалтеров по управленческому учёту (). Комиссия Тредвея рекомендовала организациям, поддерживающим её работу совместно разработать комплексные рекомендации по внутреннему контролю. Эти пять организаций, сформировали то, что сейчас называется Комитет организаций-спонсоров Комиссии Тредвея.

Первоначально председателем Комиссии Тредвея был Джеймс C. Тредвей-младший, исполнительный вице-президент и генеральный советник Paine Webber Incorporated и бывший комиссар США по ценным бумагам и биржам. Отсюда, неофициальное название «Комиссия Тредвея». Дэвид Л. Лэндситтел (David L. Landsittel) является нынешним Председателем COSO, он сменил Ларри Е. Риттенберга.

История Из-за неоднозначной политики отдельных компаний в области корпоративных финансов и случаев международной коррупции в середине 1970-х годов Комиссия по ценным бумагам и биржам (SEC) и Конгресс США начали реформирование корпоративного финансового права, и в 1977 году был принят Закон США о коррупции за рубежом, который признал преступлением транснациональное взяточничество и потребовал от компаний проведения программ внутреннего контроля. В ответ на это, в качестве инициативы частного бизнеса, в 1985 году была создана Комиссия Тредвея с целью изучения, анализа и подготовки рекомендаций по вопросам мошенничества в корпоративной финансовой отчетности.

Комиссия Тредвея изучила информацию о финансовой отчетности за период с октября 1985 по сентябрь 1987 года и в октябре 1987 года опубликовала доклад с выводами и рекомендациями под названием «Доклад Национальной комиссии по вопросам мошенничества в финансовой отчетности» Report of the National Commission on Fraudulent Financial Reporting, оctober 1987 . В результате этого первоначального доклада был сформирован Комитет спонсорских организаций (COSO), который впоследствии был сохранен компанией Coopers & Lybrand, для изучения вопросов и подготовке доклада о концептуальных основ внутреннего контроля.

В сентябре 1992 года четвёртый раздел доклада, озаглавленный как «Концептуальные основы внутреннего контроля» Internal Control — Integrated Framework Executive Summary был опубликован COSO и позднее переиздан с небольшими поправками в 1994 году. В настоящем докладе представлено общее определение внутреннего контроля, а также предусмотрена его модель, с которой системы внутреннего контроля могут сравниваться и совершенствоваться. Этот отчет стал одним из стандартов, который американские компании используют для оценки их соответствия FCPA. Согласно опросу журнала «Финансовый директор» проведенному в 2006 году, 82 % респондентов утверждали, что они использовали модель внутреннего контроля предложенную COSO. Были названы и другие концепции, используемые респондентами, в частности COBIT, AS2 (Стандарт аудита № 2, ) и SAS 55/78 (AICPA).

Концептуальные основы внутреннего контроля

Основные понятия Модели COSO Модель COSO включает в себя несколько основных понятий: Внутренний контроль представляет собой процесс. Это средство для достижения цели, а не самоцель. Внутренний контроль зависит от людей. Он представляет собой не только политики, руководства и формы, но и людей на всех уровнях организации. Внутренний контроль может обеспечить руководству и Совету компании лишь достаточную уверенность, но не абсолютные гарантии, Внутренний контроль направлен на достижение целей в одной или нескольких отдельных, но пересекающихся категориях.

Определение внутреннего контроля и целей модели

Модель COSO определяет внутренний контроль как процесс, осуществляемый советом директоров, менеджментом и остальным персоналом компании, предназначенный для обеспечения «разумной уверенности» касательно достижения целей в следующих категориях: Эффективность и продуктивность операций Надежность финансовой отчетности Соблюдение законов и правил.

Пять компонентов модели Модель внутреннего контроля, предложенная COSO, состоит из пяти взаимосвязанных компонентов, происходящих из способов управления бизнесом. Согласно COSO, эти компоненты обеспечивают эффективную основу для описания и анализа системы внутреннего контроля, осуществляемой в организации в соответствии с требованиями финансового регламентаЗакон США о торговле ценными бумагами 1934 г., Раздел 24015D-15. Пять компонентов включают в себя:

Контрольная среда: Контрольная среда задает атмосферу в организации, влияя на контрольное сознание своего персонала. Она является основой для всех остальных компонентов внутреннего контроля, обеспечивая дисциплину и структуру. К факторам контрольной среды относятся целостность, этические ценности, стиль работы руководства, система делегирования полномочий, а также процессы управления и развития персонала в организации.

Оценка рисков: каждая организация сталкивается с различными рисками от внешних и внутренних источников, которые должны быть оценены. Предварительным условием для оценки риска является определение целей, поэтому оценка риска подразумевает выявление и анализ соответствующих рисков, связанных с достижением установленных целей. Оценка риска является необходимым условием для определения того, как необходимо управлять рисками.

Средства контроля: Средства контроля представляют собой внутренние документы и процедуры, которые помогают менеджменту в реализации своих решений. Они помогают обеспечить совершение необходимых действий, для устранения рисков, которые могут помешать организации достижению её целей. Средства контроля осуществляются в рамках всей организации, на всех её уровнях и во всех функциях. Они включают в себя целый ряд мероприятий, таких как согласования, разрешения, проверки, сверки, отчеты по текущей деятельности, безопасности активов и разделению обязанностей.

Информация и коммуникация: Информационные системы играют ключевую роль в системах внутреннего контроля, поскольку они создают отчеты, включающие, финансовую информацию, а также информацию по операционной деятельности и соблюдению процедур и законодательства, которая позволяет развивать и управлять бизнесом. В более широком смысле, эффективная коммуникация должна обеспечить информационные потоки вниз, и вверх во всей организации. Например, типовые процедуры для сообщения сотрудниками подозрений в мошенничестве. Эффективная коммуникация, по вопросам связанным с интересами компании, должна быть также обеспечена с внешними сторонами, например, клиентами, поставщиками, регулирующими органами и акционерами.

Мониторинг: Система внутреннего контроля, требует мониторинга — процесса оценки качества работы системы в течение промежутка времени. Это достигается путём постоянного мониторинга деятельности или отдельных оценок. Недостатки внутреннего контроля, выявленные в ходе таких контрольных мероприятий следует доводить до сведения руководства и устранять для обеспечения непрерывного совершенствования системы.

Ограничения Внутренний контроль является разновидностью человеческой деятельности, которая предусматривает возможность ошибки в процессах или суждениях. Внутренний контроль может быть изменен в результате сговора между сотрудниками, либо в результате давления со стороны высшего руководства.

Журнал «Финансовый директор» сообщил, что компании пытаются применять комплексную модель предложенную COSO. «Одна из самых больших проблем: ограничения внутреннего аудита в одной из трех ключевых целей модели. В модели COSO, эти целей применяются к пяти ключевым компонентам (мониторинг, информация и коммуникации, средства контроля, оценка рисков и контрольная среда). Учитывая число возможных вариантов, это не удивительно, что количество проверок может выйти из-под контроля». Журнал «Финансовый директор» продолжил, заявив, что многие организации создают свои собственные модели сочетания «риск-контроль» на основе модели COSO и изменяют его, фокусируя внимание на компоненты, которые непосредственно относятся к разделу 404 Закона Сарбейнса-Оксли.

Концептуальные основы управления рисками организаций (ERM COSO)

В 2001 году COSO инициировал проект по разработке концептуальных основ управления рисками для использования менеджментом компаний при оценке системы управления рисками и её дальнейшем усовершенствовании. Для реализации проекта была привлечена компания PricewaterhouseCoopers. В результате был принят закон Сарбейнса-Оксли. Данный закон расширяет давно существующее требование к открытым акционерным обществам по созданию и поддержанию систем внутреннего контроля, возлагая обязанность на руководство компаний представлять информацию об эффективности этих систем, а на независимого аудитора — удостоверять предоставленные сведения. «Концептуальные основы внутреннего контроля» продолжает выступать в качестве общепринятого стандарта при выполнении данных требований к предоставлению отчетности, однако в 2004 COSO публикует «Концептуальные основы управления рисками организаций»Enterprise Risk Management — Integrated Framework . COSO считает, что эта модель продолжает рассмотрение вопросов внутреннего контроля, при этом акцент делается на более широком понятии управления рисками.

Четыре категории бизнес-задач

Концептуальная основа управления рисками организаций по-прежнему направлена на достижение целей организации; однако теперь включает четыре категории: стратегические цели (strategic) — цели высокого уровня, соотнесенные с миссией/видением организации; операционные цели (operations) — эффективное и результативное использование ресурсов; цели в области подготовки отчетности (reporting) — достоверность отчетности; цели в области соблюдения законодательства (compliance) — соблюдение применимых законодательных и нормативных актов.

Восемь компонентов модели Восемь компонентов управления рисками включают предыдущие пять компонентов Концептуальных основ внутреннего контроля расширенных для удовлетворения растущего спроса на управление рисками:

Внутренняя среда (Internal environment). Внутренняя среда представляет собой атмосферу в организации и определяет, каким образом риск воспринимается сотрудниками организации, и как они на него реагируют. Внутренняя среда включает философию управления рисками и риск-аппетит, честность и этические ценности, а также ту среду, в которой они существуют.