CBIS-påverkan på kontroller och COSO-länk

• April 28, 2024

Organisationer måste göra en riskbedömning för att identifiera, analysera och hantera risker som är relevanta för den finansiella rapporteringen. Kontroller bör genomföras beroende på identifierade risker och en korrekt kombination av manuella och CBIS-kontroller bör säkerställa ett tillräckligt klimat för organisationen. I linje med denna strategi ger COSO-ramverket vägledning till revisorer och revisorer.

De Kommittén för sponsororganisationer för Tradeway Commission (COSO) och dess Enterprise Risk Management, ERM Framework-aktiviteter är ett måste för kunskaper och revisorer som vill hjälpa organisationer att uppnå sina ekonomiska mål. COSO-aktiviteter inkluderar:

o Artikulera och kommunicera organisationens mål.
o Bestämma organisationens riskaptit.
o Upprätta en lämplig intern miljö, inklusive en ram för riskhantering.
o Identifiera potentiella hot mot uppnåendet av mål.
o Bedömning av risker, inklusive deras påverkan och sannolikhet att inträffa.
o Välja och implementera svar på risker.
o Kontrollåtgärder och andra svaraktiviteter.
o Kommunikera information om risker konsekvent på alla nivåer i organisationen.
o Centralt övervaka och samordna riskhanteringsprocesserna och resultaten.
o Säkerställa hur effektiv riskerna hanteras med.

Datorbaserade informationssystem, CBIS, är ett kraftfullt verktyg än förbättrar manuella kontroller över transaktionsautorisation, uppdelning av uppgifter, övervakning, åtkomstkontroll, adekvat redovisning och oberoende verifiering. COSO ERM-ramverksamhet bedöms minimera riskerna genom effektiva kontroller.

Från CBIS-miljöperspektivet är transaktioner godkända av regler som ofta är inbäddade i datorprogram. Till exempel, om en anställd anses arbeta bara 40 timmar per vecka, bör ett felmeddelande visas när någon har arbetat 42 timmar under en viss vecka. Auktorisationsförfaranden är kontroller som endast säkerställer processen med giltiga transaktioner. Giltiga transaktioner måste ligga inom ramen för en föreskriven myndighet.

Rätt uppdelning av arbetsuppgifter säkerställer att en individ inte är i stånd att stjäla och dölja. Oförenliga uppgifter under en transaktionsprocess måste separeras. Till exempel måste transaktionsautorisation separeras från transaktionsbehandlingen. Förvaring av tillgångar bör separeras från ansvar för registerföring. Om bedrägeri skulle hända skulle det uppnås endast genom samverkan mellan två eller flera personer med oförenliga uppgifter. I en CBIS-miljö bör aktiviteterna för programutveckling, programdrift och programunderhåll separeras ordentligt.

När en adekvat segregering av uppgifter inte är genomförbar, övervakning spelar en viktig roll som kompenserar bristen på korrekt segregering. I en CBIS-miljö bör tillsynskontroller utformas för att mildra bristen på direkt tillsyn. Till exempel skulle det vara besvärligt för en chef att direkt övervaka en dataprogrammerare medan han eller hon gör sitt jobb.

De bokföringsposter i ett manuellt system tillhandahålla en revisionsprövning medan revisionsversionen i en CBIS-miljö tillhandahålls av olika tekniker som tar form av pekare, index eller inbäddade nycklar.

Åtkomstkontroller bör förhindra missbruk av tillgångar, det överlägset största bedrägerisystemet, enligt Association of Certified Bedud Examiners, ACFE. CBIS tenderar att centralisera poster på en enda plats, vilket innebär hot om bedrägeri och förluster från katastrofer. En stor kontroll är att se till att individer endast får tillgång till data, program och begränsade områden som är absolut nödvändiga.

Oberoende verifiering identifiera fel och felaktiga föreställningar. Till exempel ett oberoende antal av inventarier, en avstämning av tillgångar till redovisningsregister, etc. I en CBIS-miljö utvärderar revisorer och revisorer kontroller över systemutveckling och logik för datorprogram.

COSO ERM-ramverk och kontrollaktiviteter, vare sig manuella eller genom CBIS strävar efter ett gemensamt mål: hjälpa organisationen med sin strävan efter ekonomisk hållbarhet genom korrekt kontroll som svar på identifierade risker.