Wat is het COSO model en wat kun je ermee?

Het COSO model is een raamwerk dat wordt gebruikt om interne controle binnen een organisatie te beoordelen en te verbeteren. Het geeft inzicht in het bereiken van organisatiedoelstellingen op het gebied van bijvoorbeeld:

• De effectiviteit en efficiëntie van de bedrijfsprocessen
• De naleving van wet- en regelgeving, beleidsrichtlijnen en procedures
• Risicomanagement

Het COSO raamwerk biedt een soort kapstok voor het in kaart brengen en implementeren van processen en het helpt bij het verbeteren hiervan.

COSO staat voor “Committee of Sponsoring Organizations of the Treadway Commission” en is ontwikkeld door een groep sponsorgezelschappen om organisaties te helpen bij het beheersen van risico’s en het verbeteren van interne controle. Sinds 2004 wordt het COSO model ook wel COSO II of COSO ERM (Enterprise Risk Management) genoemd.

COSO en integraal risicomanagement: dé perfecte match

Als organisatie wil je doelstellingen behalen, verwachtingen waarmaken en transparant kunnen zijn (naar zowel interne als externe stakeholders) om een goede vertrouwensband met belanghebbenden te kunnen opbouwen. Maar om dit te bereiken, moet je inspelen op veranderingen van buitenaf en risico’s integraal onderdeel laten uitmaken van alledaagse beslissingen. We bevinden ons namelijk in een snel veranderende omgeving en dat brengt zowel risico’s als kansen met zich mee waarop je moet kunnen anticiperen.

Door inzicht te creëren in alle risicocategorieën én de risico’s vervolgens goed te beheersen, zorg je ervoor dat jouw organisatie in control is. Dit proces wordt ook wel integraal risicomanagement (IRM) genoemd en stelt je in staat om alle voorkomende risico’s te identificeren, analyseren, beheersen en monitoren.

Wat is de COSO kubus?

Het COSO raamwerk wordt vormgegeven in een kubus. Hierin worden de 4 soorten risico’s (strategisch, operationeel, vanuit informatievoorziening en vanuit de wet- en regelgeving) verweven met de acht componenten, én de organisatieniveaus waar men mee te maken heeft.

Deze visueel vormgegeven kubus is een hulpmiddel om de interne beheersing van een organisatie te beoordelen. Het bestaat uit acht kubussen die samen een geheel vormen. Elk van de kubussen is geassocieerd met een specifiek aspect van de interne beheersing, zoals het beheer van risico’s, het in control zijn van activiteiten en het vastleggen van informatie en gegevens. De kubussen zijn verbonden met elkaar door middel van lijnen, wat aangeeft dat er een samenhang is tussen de verschillende aspecten van de interne beheersing. Op deze manier kan dit visuele hulpmiddel managers helpen om de interne beheersing van hun organisatie te begrijpen en te beoordelen.

De 8 beheersingscomponenten

1. Interne omgeving – dit omvat o.a. thema’s als cultuur, stijl van leiding geven, integriteit, hoe men omgaat met ethiek, hoe de verdeling van taken en bevoegdheden is, en wat de mate is waarin risico’s worden genomen;
2. Bepaling van doelstellingen – wat willen we nu eigenlijk bereiken?
3. Identificatie van de gebeurtenissen – welke kansen of risico’s die een positieve of negatieve invloed kunnen hebben op het behalen van de doelstellingen zien we?
4. De risico-inschatting waarbij we analyseren hoe hoog de waarschijnlijkheid is dat risico voor zal komen, en welke gevolgen dit met zich mee zal brengen
5. De risicobeheersingsmaatregelen – welke risico’s kunnen we vermijden, aanvaarden, delen of verminderen?
6. Beheersmaatregelen – wat gaan we doen om risico’s te beheersen?
7. Informatie en communicatie
8. Monitoring met periodieke evaluatie van het hele systeem van interne beheersing en samenhang

De 4 activiteiten

COSO benadrukt dat risicobeheer geen lijnprocessen zijn, waar een onderdeel enkel invloed heeft op de volgende, maar een multi-directionele werking heeft. Daarom moet het in alle organisatieniveaus toegepast worden. In de COSO kubus vindt je de volgende niveaus terug:

1. Het geheel van de organisatie
2. Afdeling
3. Bedrijfseenheden
4. Dochterondernemingen

De 4 organisatiedoelstellingen

Het COSO model benadrukt de risicobereidheid van een organisatie door het managen van de risico’s in vier categorieën om zo de doelstellingen te halen. Belanghebbenden krijgen hierdoor meerwaarde. Hierbij hebben we het over de volgende vier categorieën:

1. Strategisch – vastgesteld op hoog niveau, afgestemd op de missie en visie van een organisatie.
2. Operationeel – dit zijn de activiteiten welke worden uitgevoerd om doelen te bereiken, waarbij gekeken wordt naar effectiviteit en efficiëntie.
3. Rapportage – dit omhelst de behoefde aan betrouwbare rapportage over activiteiten en resultaten
4. Compliance – deze doelstelling verwijst naar de behoefte van organisaties om te voldoen aan wet- en regelgeving

Het COSO ERM framework effectief inzetten? Doe het samen!

Het COSO model identificeert dus de relaties tussen de ondernemingsrisico’s en het interne beheersingssysteem. Zo biedt het organisaties de mogelijkheid om risico’s te beheersen, zekerheid en kennis op te bouwen omtrent risico’s, mogelijke incidenten of schandalen te voorkomen én te voldoen aan de wet- en regelgeving. En dat biedt weer als voordeel dat je maximale waarde en transparantie kan bieden richting belanghebbenden.

Steeds meer organisaties zijn zich ervan bewust dat risicomanagement een punt van aandacht is. Dat is een mooie stap in de goede richting. Maar wat veel organisaties nog vergeten, is dat risicomanagement een doorlopend proces is en dat er niet alleen gefocust dient te worden op het in kaart brengen van risico’s, maar juist ook op het continu beheersen van risico’s.

Dit kan alleen als de volledige organisatie betrokken wordt in dit proces. We moeten onze focus dus meer gaan leggen op integraal risicomanagement om zo de risicovolwassenheid van de gehele organisatie te vergroten en in de toekomst succesvol te kunnen blijven zijn.

Het COSO model toepassen binnen jouw organisatie? Gebruik Zenya software

Door gebruik te maken van Zenya kunnen organisaties het COSO model op een efficiëntere en effectievere manier uitvoeren.

De module RISK kan bijvoorbeeld helpen bij het identificeren en beheren van risico’s, het bewaken van activiteiten om te zorgen dat ze voldoen aan de interne beheersingsvereisten en het vastleggen en analyseren van gegevens om de prestaties van de interne beheersing te meten en te verbeteren. Dit kan organisaties in staat stellen om snel en gemakkelijk inzicht te krijgen in hun interne beheersingsprocessen en om deze te verbeteren op basis van de gegevens die door de software worden verzameld.

Daarnaast kan de software ook helpen bij het implementeren van verbeteringen in de interne beheersing, door middel van bijvoorbeeld het automatiseren van bepaalde processen met Zenya FLOW, en het bewaken van de naleving van interne beheersingsrichtlijnen met Zenya CHECK. Dit kan leiden tot een efficiëntere en effectievere uitvoering van het COSO model en tot verbeteringen in de interne beheersing van de organisatie.