COSO-raamwerk in een notendop

Het COSO-raamwerk is een middel voor het ontwerpen, implementeren en evalueren van controle binnen een organisatie. De vijf componenten van het COSO-raamwerk zijn controleomgeving, risicobeoordeling, controleactiviteiten, informatie en communicatie en monitoringactiviteiten. Als hulpmiddel voor frauderisicobeheer kunnen bedrijven interne controleprocedures ontwerpen, implementeren en evalueren.

Aspect	Omschrijving
Definitie	Het COSO Framework is een algemeen erkend raamwerk voor interne controle dat door organisaties wordt gebruikt om hun interne controlesystemen te ontwerpen, implementeren en evalueren. Het biedt een gestructureerde aanpak voor het beheren en verbeteren van interne controles, governance en risicobeheerprocessen.
COMPONENTEN	Het raamwerk bestaat uit vijf onderling samenhangende componenten: 1. Controle omgeving: Zet de toon voor het interne controlesysteem van een organisatie en omvat factoren als integriteit, ethische waarden en de toewijding van het management aan controle. 2. Risicobeoordeling: Betreft het identificeren en beoordelen van risico's die relevant zijn voor het bereiken van doelstellingen. 3. Controleactiviteiten: Omvat beleid, procedures en praktijken om geïdentificeerde risico's aan te pakken. 4. Informatie & Communicatie: Zorgt ervoor dat relevante informatie effectief wordt geïdentificeerd, vastgelegd en gecommuniceerd. 5. Bewakingsactiviteiten: Betreft een voortdurende beoordeling van de prestaties van het interne controlesysteem.
Ontwikkeling	1. Identificeer doelstellingen: Definieer duidelijk de doelstellingen van de organisatie. 2. Identificeer risico's: Identificeer risico's die het behalen van doelstellingen kunnen beïnvloeden. 3. Controles implementeren: Implementeer controles om geïdentificeerde risico's te beperken. 4. Monitoren en beoordelen: Continu monitoren en beoordelen van de effectiviteit van controles.
Metriek	Metrieken in het COSO Framework zijn vaak kwalitatieve en kwantitatieve metingen van risico's, controle-effectiviteit en compliance. Veel voorkomende meetgegevens zijn onder meer risicoscores, controletestresultaten en nalevingsbeoordelingen.
Voordelen	- Verbeterd risicobeheer: Biedt een gestructureerde aanpak voor het identificeren en beheren van risico's. – Verbeterd bestuur: Helpt bij het opzetten van een sterke controleomgeving. – Regulatory Compliance: Ondersteunt de naleving van wettelijke vereisten. – Efficiënte operaties: Stroomlijnt bedrijfsprocessen en vermindert inefficiënties.
Nadelen	- Ingewikkeldheid: Het implementeren van het raamwerk kan veel middelen vergen en complex zijn. – Benodigde bronnen: Kan veel tijd, moeite en expertise vergen. – Te veel nadruk op controles: Organisaties zouden zich te veel kunnen concentreren op controles, wat ten koste gaat van innovatie.
Toepassingen	- RISICO BEHEER: Wordt gebruikt om risico's effectief te identificeren, beoordelen en beheren. – Interne audit: Ondersteunt interne auditfuncties bij het evalueren van controles en risicobeheer. – Regulatory Compliance: Helpt organisaties te voldoen aan wettelijke vereisten. – Financiële rapportage: Verbetert de betrouwbaarheid van financiële rapportageprocessen.
Cases	- Openbare bedrijven: Veel beursgenoteerde bedrijven gebruiken het COSO-framework om de interne controles te versterken en te voldoen aan regelgeving zoals Sarbanes-Oxley (SOX). – Non-profitorganisaties: Non-profitorganisaties gebruiken het om risico's te beheren en het bestuur te verbeteren. – Overheidsinstanties: Overheidsinstanties passen het toe om de verantwoording en transparantie te verbeteren.
Voorbeelden	- Controle omgeving: Ervoor zorgen dat de ethische waarden van de organisatie in lijn liggen met haar doelstellingen. – Risicobeoordeling: Het identificeren van risico's zoals marktvolatiliteit of cyberveiligheidsbedreigingen. – Controleactiviteiten: Implementeren van procedures voor goedkeuringen en autorisaties. – Informatie & Communicatie: Ervoor zorgen dat relevante gegevens beschikbaar zijn voor besluitvorming. – Bewakingsactiviteiten: Het voortdurend beoordelen van de effectiviteit van het controlesysteem.

Inhoudsopgave

Het COSO-raamwerk begrijpen

Volgens de Association of Certified Fraud Examiners is een zwakke interne controle de oorzaak van bijna 50% van alle bedrijfsfraude.

Om een sterk en effectief intern controlesysteem te ontwikkelen, is het COSO-raamwerk opgesteld door het Committee of Sponsoring Organizations of the Treadway Commission (COSO).

De commissie bestaat uit vertegenwoordigers uit verschillende sectoren, waaronder boekhouding, financiën en auditing.

Gezamenlijk ontwikkelt de commissie procedurele richtlijnen die bedrijven helpen bij het beoordelen van risico's. Daarbij worden de interne controles versterkt om de kans op fraude te verkleinen.

Wat houdt interne controle in? Hoe wordt het gedefinieerd?

Het COSO-raamwerk stelt dat interne controle een "proces is dat wordt uitgevoerd door de raad van bestuur, het management en ander personeel van een entiteit, ontworpen om redelijke zekerheid te bieden over het bereiken van doelstellingen" in de volgende categorieën:

Operationele effectiviteit en efficiëntie. Dit omvat prestatiedoelen en het beveiligen van activa tegen mogelijke fraude.
Financiële rapportageverplichting – of dat nu intern of extern is. Transparantie, stiptheid en betrouwbaarheid zijn essentieel.
Naleving van wet- en regelgeving.

De vijf componenten van het COSO-raamwerk

Vijf componenten werken samen om een effectief intern controlesysteem te leveren en tegelijkertijd de visie, doelen of doelstellingen van het betreffende bedrijf te ondersteunen.

Laten we elk in meer detail bekijken.

1 – Besturingsomgeving

Dit omvat de normen of processen die de interne controle in een organisatie dicteren.

Doorgaans zal het hogere management de toon zetten met betrekking tot het belang van het opzetten en onderhouden van interne controle.

Dit creëert een omgeving die getalenteerde individuen aantrekt, ontwikkelt en vasthoudt.

Er wordt ook verantwoording afgelegd over de prestaties en beloningen en incentives worden routinematig gegeven waar nodig.

Tot op zekere hoogte strekt de controleomgeving zich ook uit tot ethische waarden en organisatiestructuur.

2 – Risicobeoordeling

Elk bedrijf gaat om met risico's, maar niet allemaal gaan ze effectief om met risico's.

Degenen met een robuuste interne controle zullen elk risico beoordelen op basis van het niveau van de bedreiging voor de bedrijfsdoelstellingen en vastgestelde risicotoleranties.

Belangrijk is dat bedrijven rekening moeten houden met interne en externe risico's die de interne controle kunnen verzwakken.

3 – Controleactiviteiten

Zodra de risico's zijn geïdentificeerd, moeten er beleidsmaatregelen en procedures worden opgesteld om deze te beperken.

Deze zogenaamde "controleactiviteiten" moeten in de hele organisatie worden geïmplementeerd om de gestelde doelen te helpen bereiken zonder onnodige risico's te nemen.

Hier wordt de interne controle gehandhaafd door autorisaties, goedkeuringen, verificaties en prestatiebeoordelingen. Indien mogelijk moeten de taken van de werknemer ook worden gescheiden in overeenstemming met ervaring of vaardigheidsniveau.

4 – Informatie en communicatie

De COSO-raamwerkprincipes helpen ervoor te zorgen dat alle interne en externe communicatie voldoet aan de bedrijfsprocedures en verdere bedrijfsdoelstellingen.

Informatie mag ook alleen worden verspreid als dat nodig is. Een nieuw beleid moet bijvoorbeeld aan elke medewerker in de organisatie worden gecommuniceerd.

Koersgevoelige informatie moet echter worden beperkt tot het hogere management totdat deze op de markt wordt vrijgegeven.

5 – Monitoring activiteiten

Het monitoren van controles is net zo belangrijk – zo niet belangrijker – dan het vaststellen ervan.

Periodieke evaluatie moet in alle bedrijfspraktijken worden opgenomen om ervoor te zorgen dat de controles worden gehandhaafd.

Extern is met name financiële verslaggeving van belang bij het tegengaan van fraude.

COSO raamwerk voorbeeld

De ontwikkeling van het COSO-framework is een complex en gedetailleerd proces, dus we zullen ons concentreren op een enkel voorbeeld om dit artikel af te sluiten.

In dit geval hebben we ons laten inspireren door een implementatiegids die de COSO-coalitie zelf in 2019 heeft uitgebracht voor de zorgsector.

Ziekenhuizen moeten voldoen aan een groot aantal wetten en andere richtlijnen.

Naast wetten die betrekking hebben op patiëntenzorg, moeten ze compliant zijn vanaf het moment dat de patiënt het gebouw betreedt tot het moment dat ze worden ontslagen en gefactureerd.

Als een van deze interne processen niet goed functioneert, kan het ziekenhuis geen vergoeding krijgen voor verleende diensten of wordt het in sommige gevallen ernstig belemmerd.

Dit heeft duidelijke gevolgen voor de financiële prestaties en het succes van de organisatie, met name voor zorginstellingen die particulier worden beheerd en geen overheidssteun ontvangen.

Omdat alle ziekenhuizen echter afhankelijk zijn van de naleving en coördinatie van tal van afdelingen en belanghebbenden om goede zorg te bieden, is er geen instelling die niet zou profiteren van een robuust intern controlesysteem.

Dat gezegd hebbende, laten we eens kijken hoe het COSO-raamwerk kan worden geïmplementeerd in een zorgorganisatie in vijf belangrijke fasen.

Fase 1 – Planning en scoping

Volgens COSO bestaat de eerste fase uit drie componenten die specifiek zijn voor de zorgcontext:

oriëntering – om te beginnen moet het uitvoerend management het initiatief volledig steunen en met sterke, consistente boodschappen communiceren naar de rest van de organisatie. Dit wordt als belangrijk gezien in grote en complexe zorgorganisaties die meerdere fusies en overnames hebben ondergaan.
Planning – aangezien er in ziekenhuizen vaak concurrerende gelijktijdige prioriteiten zijn, moeten de tijdlijnen flexibel zijn en erop kunnen worden afgestemd.
scoping – in zorgorganisaties moet de scoping van risicobeheer gericht zijn op de kwaliteit van de zorg, de veiligheid van patiënten en werknemers, IT-capaciteit, compliance en cyberbeveiliging.

Fase 2 – Beoordeling en documentatie

Net als de meeste andere organisaties hangt de bestaande controlestructuur van een ziekenhuis af van variabelen zoals grootte, locatie en verschillende staats- of federale vereisten. Enkele aspecten die relevanter zijn voor de gezondheidszorg zijn:

Gecentraliseerde versus gedecentraliseerde systeemstructuur – of de systeemstructuur gecentraliseerd of gedecentraliseerd is, is van invloed op de implementatiebenadering. Dit kan betrekking hebben op de afdelingen in kwestie, het aantal te interviewen personeelsleden en het aantal ziekenhuissysteemlocaties dat moet worden bezocht. Sommige zorgorganisaties met een wereldwijde aanwezigheid kunnen het ook nuttig vinden om proceskaarten te maken om controlegerelateerde variabiliteit te illustreren. Dit stelt het management op zijn beurt in staat om ziekteverzuim en reisonderbrekingen voor belangrijk personeel tot een minimum te beperken.
Inschatting van frauderisico – ziekenhuizen zijn niet immuun voor fraude. Enkele van de meest voorkomende gevallen van fraude hebben te maken met diefstal van medicijnen en voorraden, het factureren van patiënten voor procedures die niet zijn uitgevoerd en ongeautoriseerde toegang tot vertrouwelijke patiëntinformatie.
Kloofbeoordeling – voor een voorbeeld van waar controles mogelijk ontbreken, overweeg het proces voor verbetering van de klinische documentatie (CDI). Sommige ziekenhuissystemen voeren mogelijk een CDI-beoordeling uit voordat de medische rekening naar de patiënt wordt gestuurd, waarbij deze zwakte resulteert in substantiële fouten in de financiële rapportage.

Fase 3 – Planning en implementatie van sanering

Zodra alle hiaten zijn beoordeeld en de tekortkomingen zijn geïdentificeerd en beoordeeld, kan de zorgorganisatie beginnen met het proces van herstel en het opstellen van een actieplan.

Saneringsplannen in ziekenhuizen zijn vaak complex en vereisen mogelijk de samenwerking van meerdere processen, personeel, systemen en externe dienstverleners.

Deze plannen vragen ook om extra tijd en aandacht van het management voor een succesvolle uitvoering.

Fase 4 – Ontwerp, testen en rapporteren van controles

In de vierde fase selecteert de zorgorganisatie controles om te testen en ontwerpt vervolgens de testen voor elke controle. COSO pleit in deze context voor twee belangrijke testmethoden:

Observatie – waar het team de daadwerkelijke uitvoering van de controle observeert. Deze methode werkt goed voor real-time foutmeldingen, zoals een patiëntendossier dat een "niet geautoriseerd" foutbericht retourneert. Observatie is ook nuttig om het besturingsontwerp voor handmatige processen te valideren, aangezien het kan bepalen of schriftelijke procedures in de praktijk letterlijk worden gevolgd.
Documentatie onderzoek – waar de gehele populatie van activiteiten of transacties die de prestaties van de beheersing vereisen, wordt begrepen. Als een controle bijvoorbeeld aangeeft dat journaalboekingen moeten worden beoordeeld en goedgekeurd door gekwalificeerd personeel, zouden tests het ondersteunende bewijsmateriaal onderzoeken dat door de controle wordt gegenereerd. Met andere woorden, een bewijs dat de journaalboeking daadwerkelijk is gecontroleerd en goedgekeurd voordat deze werd geboekt.

Fase 5 – Optimalisatie van de effectiviteit van interne controles

In de laatste fase optimaliseert de zorgorganisatie haar interne beheersingssysteem door deze continu in lijn te brengen met haar visie, missie , strategieën en doelstellingen.

Het is ook belangrijk om een mix van preventieve en detectiecontroles te kiezen, en hetzelfde kan ook worden gezegd voor handmatige en geautomatiseerde controles.

Een voorbeeld van een handmatige controle in een ziekenhuis is de documentatiebeoordeling die wordt uitgevoerd door een CDI-specialist bij interactie met patiëntenkaarten of elektronische medische dossiers (EPD-schermen).

Deze controle moet de volledigheid, nauwkeurigheid en geschiktheid van de informatie controleren, aangezien het risico van onnauwkeurige informatie, zoals we aan het begin hebben besproken, kan leiden tot ontevredenheid van de patiënt, niet-naleving en financieel verlies.

Key afhaalrestaurants

Het COSO-raamwerk is een hulpmiddel voor frauderisicobeheer dat bedrijven gebruiken om interne controleprocedures te ontwerpen, implementeren en evalueren.
Het COSO-raamwerk leidt de best practices voor operationele effectiviteit, financiële rapportage en naleving van wet- of regelgeving.
Het COSO-raamwerk heeft vijf kerncomponenten. In combinatie stelt elk een bedrijf in staat om de interne controle te behouden zonder het vermogen op te offeren om doelen te bereiken of bedrijfswaarden hoog te houden.

Belangrijkste kenmerken

Inleiding tot het COSO-framework:
- Het COSO-framework helpt bij het ontwerpen, implementeren en beoordelen van controle binnen organisaties.
- Het bestaat uit vijf componenten: controleomgeving, risicobeoordeling, controleactiviteiten, informatie en communicatie, en monitoringactiviteiten.
- Het raamwerk dient als een instrument voor frauderisicobeheer om de interne controleprocedures te verbeteren.
Het COSO-raamwerk begrijpen:
- Zwakke interne controle draagt bij aan bijna 50% van de gevallen van bedrijfsfraude.
- Het COSO-framework is ontwikkeld door het Committee of Sponsoring Organizations of the Treadway Commission (COSO).
- Het bestaat uit vertegenwoordigers uit verschillende vakgebieden die advies geven over risicobeoordeling en de interne controles versterken om fraude te voorkomen.
Onderdelen van het COSO-framework:
- Controle omgeving: Stelt organisatorische normen, toon en cultuur vast met betrekking tot interne controle. Moedigt verantwoordelijkheid, talentbehoud en ethische waarden aan.
- Risicobeoordeling: Identificeert en evalueert risico's om deze af te stemmen op de risicotoleranties. Houdt rekening met zowel interne als externe risico's die van invloed kunnen zijn op de interne beheersing.
- Controleactiviteiten: Ontwikkelt beleid en procedures om geïdentificeerde risico's te beperken. Implementeert controles in de hele organisatie om doelen te bereiken zonder buitensporige risico's.
- Informatie en communicatie: Zorgt ervoor dat de interne en externe communicatie volgens procedures verloopt en bijdraagt aan de organisatiedoelstellingen.
- Monitoringactiviteiten: Evalueert en onderhoudt periodiek de interne controles om de effectiviteit ervan te garanderen. Van cruciaal belang voor de integriteit van financiële verslaggeving.
COSO-raamwerkvoorbeeld – Gezondheidszorg:
- Ziekenhuizen hebben robuuste interne controles nodig vanwege wettelijke en compliance-eisen, patiëntenzorg en facturering.
- De implementatie van het COSO-framework in de gezondheidszorg omvat meerdere fasen:
  - Planning en scope: Stemt prioriteiten, tijdlijnen en reikwijdte van risicobeheer af, rekening houdend met de ziekenhuisstructuur.
  - Beoordeling en documentatie: Evalueert bestaande controlestructuren, beoordeelt frauderisico's en identificeert hiaten.
  - Saneringsplanning en -implementatie: Pakt tekortkomingen aan met complexe herstelplannen, waarvoor samenwerking en betrokkenheid van het management vereist zijn.
  - Ontwerp, testen en rapporteren van controles: Selecteert controles voor testen en ontwikkelt testmethoden, zoals observatie of documentatieonderzoek.
  - Optimalisatie van de controle-effectiviteit: Zorgt voor voortdurende afstemming met de doelstellingen, strategieën en normen voor patiëntenzorg van de organisatie.
Key Takeaways:
- Het COSO-framework is een alomvattend hulpmiddel voor het beheren van frauderisico's door het ontwerpen, implementeren en beoordelen van interne controleprocedures.
- Het omvat vijf kerncomponenten die de operationele effectiviteit, financiële rapportage, compliance en risicobeheer sturen.
- De toepassing van het raamwerk in de gezondheidszorg illustreert het belang ervan bij het aanpakken van de complexe uitdagingen van interne controle in een cruciale sector.