COSO (Internal Control Framework)

Définition

Le COSO, Committee of Sponsoring Organizations of the Treadway Commission, désigne à la fois l'organisation à l'origine du référentiel de contrôle interne le plus largement utilisé au monde et le nom donné à ce référentiel lui-même, structurant l'ensemble du dispositif de contrôle interne d'une organisation autour de cinq composantes interdépendantes : l'environnement de contrôle, qui reflète la culture et l'engagement de la gouvernance en matière d'intégrité et d'éthique, l'évaluation des risques, l'activités de contrôle, l'information et la communication, ainsi que les activités de pilotage permettant de vérifier dans la durée l'efficacité effective du dispositif. Bien que ce référentiel couvre l'ensemble du contrôle interne d'une organisation et non spécifiquement les systèmes d'information, il constitue le fondement conceptuel sur lequel s'appuient de nombreuses exigences de conformité informatique, notamment les contrôles internes financiers exigés par la loi Sarbanes-Oxley aux États-Unis, qui référence explicitement le COSO comme cadre de contrôle interne reconnu pour l'évaluation exigée par la loi. Le COSO a également publié un référentiel complémentaire dédié spécifiquement à la gestion des risques d'entreprise, dit COSO ERM, structurant l'articulation entre stratégie, performance et gestion des risques à un niveau plus large que le seul contrôle interne opérationnel. Pour un auditeur ou un responsable de la gouvernance des risques, la maîtrise de ce référentiel constitue un socle conceptuel commun à de nombreux autres cadres de conformité plus spécialisés.