COSO-modellen: ramverket för intern kontroll förklarat

När styrelser, revisorer och myndigheter talar om intern kontroll använder de i stor utsträckning samma karta. Den heter COSO-modellen. Här går vi igenom vad modellen är, de fem komponenterna och hur även organisationer långt från börsen kan låna strukturen. Guiden är generell vägledning, inte juridisk rådgivning.

Vad är COSO-modellen?

COSO, Committee of Sponsoring Organizations of the Treadway Commission, är en amerikansk organisation. Den står bakom två av de mest etablerade ramverken: ett för intern kontroll och ett för övergripande riskhantering, ofta kallat COSO ERM. Med COSO-modellen avses i regel det första, Internal Control, Integrated Framework. Det gavs ut 1992 och fick sin nuvarande form 2013.

Modellen definierar intern kontroll som en process som genomförs av styrelse, ledning och medarbetare. Processen ska ge rimlig säkerhet för att mål nås inom tre kategorier: verksamhet, rapportering och regelefterlevnad. Rapporteringsmålen kan avse intern eller extern rapportering, finansiell eller icke-finansiell. Orden är valda med precision. Rimlig säkerhet, inte garanti. Process, inte pärm.

COSO-ramverket är frivilligt att använda i Sverige. Det utesluter inte att lag, stadgar eller praxis ställer särskilda krav på kontroll. Styrelser i aktiebolag, ekonomiska föreningar och bostadsrättsföreningar har exempelvis lagstadgade kontrolluppgifter. Ideella föreningar styrs främst av stadgar och praxis. En stiftelse kan ha en styrelse eller en förvaltare. Vissa aktiebolag måste dessutom upprätta en bolagsstyrningsrapport. Det gäller när bolagets överlåtbara värdepapper är upptagna till handel på en reglerad marknad. Rapporten ska beskriva de viktigaste inslagen i systemen för intern kontroll och riskhantering i samband med den finansiella rapporteringen. COSO används ofta som struktur för beskrivningen.

De fem komponenterna

Kontrollmiljö

Kontrollmiljön är grunden som allt annat vilar på: organisationens kultur, värderingar, ansvarsfördelning och styrande principer. Den skapas av styrelsens och ledningens sätt att leda, ofta sammanfattat som tonen från toppen. I praktiken byggs kontrollmiljön av tydliga roller och mandat, aktuella styrande dokument, kompetens på rätt platser och ett ansvarigt organ som följer upp principerna. En svag kontrollmiljö går inte att kompensera med fler kontroller längre ned. Om ledningen själv rundar reglerna tappar policyerna sin verkan.

Riskbedömning

Riskbedömningen identifierar och värderar det som kan hindra organisationen från att nå sina mål. Bedömningen utgår från målen. Utan mål finns inget att bedöma risker mot. Riskerna värderas efter sannolikhet och konsekvens, så att arbetet läggs där det gör nytta. Hur processen byggs beskrivs i genomgången av riskhantering.

Kontrollaktiviteter

Kontrollaktiviteter är konkreta åtgärder som hanterar identifierade risker. Exempel är attestregler, avstämningar, behörighetsstyrning och en ansvarsfördelning där ingen ensam hanterar hela betalkedjan. Två praktiska överväganden styr utformningen. Kontrollernas utformning bygger på riskens betydelse, vald riskhantering och vilken risknivå organisationen accepterar. En väsentlig risk kan behöva flera kompletterande åtgärder. Varje kontroll ska dessutom ha en ägare. En aktivitet utan ansvarig blir inte utförd.

Information och kommunikation

Organisationen identifierar, hämtar eller tar fram relevant information från interna och externa källor. Informationen ska nå de personer som behöver den för att styra, genomföra och följa upp kontrollen, i tid. För styrelsen är frågan konkret. Vilken rapportering får vi om den interna kontrollen? Skulle vi få veta om en central kontroll slutade fungera?

Uppföljning

Den femte komponenten sluter cirkeln: löpande och återkommande utvärdering av att kontrollsystemet fungerar och att brister åtgärdas. I större organisationer står ofta en internrevision för en oberoende granskning. I mindre organisationer kan en samlad årlig genomgång komplettera den löpande uppföljningen. Hur ofta en kontroll behöver följas upp avgörs av risken, förändringstakten och kontrollens betydelse. En kontroll som aldrig följs upp tappar med tiden sin verkan utan att någon märker det.

Modellen i en mindre organisation

COSO-ramverket är principbaserat och kan tillämpas proportionerligt i olika typer av organisationer. De fem komponenterna är översikten, 2013 års ramverk innehåller också 17 principer. En mindre organisation kan låna frågorna bakom komponenterna, utan att därmed påstå att kontrollsystemet är utformat enligt hela ramverket. Frågorna kan användas vid en återkommande genomgång. Är ansvaret tydligt? Vet vi vilka de största riskerna är? Finns kontroller för dem? Når informationen rätt mottagare? Följer vi upp att det fungerar? Svaren ryms ofta på en sida. Poängen är inte dokumentationens omfång utan att ingen av de fem delarna lämnas åt slumpen. För organisationer med styrelse beskrivs ansvaret närmare i genomgången av styrelsens ansvar.

Så hjälper Hippoly

I Hippoly får arbetet med intern kontroll en praktisk hemvist. Styrande dokument ligger samlade och versionshanterade i samarbetsytan. Riskgenomgångar och kontrolluppföljning läggs som återkommande punkter i mötesplaneringen. Beslutade åtgärder följs upp som uppgifter med ansvarig och deadline. När användaren ger AI-assistenten hi tillgång kan den söka i samarbetsytans protokoll och dokument, till exempel efter tidigare beslut om en kontroll eller policy. Läs mer om fildelning och möteshantering.