Treinamento em Gestão de Riscos

Módulo 2 – COSO ERM

O que é o COSO?
O COSO

O Committee of Sponsoring Organizations (COSO) é o Comitê das Organizações

Patrocinadoras da Comissão Nacional sobre Fraudes em Relatórios Financeiros. Fundado em
1985, trata-se de uma entidade privada sem fins lucrativos que atua de forma
independente, focada na melhoria da qualidade dos relatórios financeiros. Seu principal
objetivo é investigar as causas das fraudes nesses relatórios. Vale destacar que o modelo
COSO surgiu como resposta a diversos escândalos financeiros ocorridos nos Estados Unidos
na década de 1970, que abalaram a confiança nos relatórios empresariais.

3
O COSO

Em 2004, o COSO divulgou o trabalho “Gerenciamento de Riscos Corporativos – Estrutura

Integrada (COSO ERM) ”, com um foco mais voltado para o gerenciamento de riscos
corporativos, que definiu gerenciamento de riscos corporativos da seguinte forma:

É um processo conduzido em uma organização pelo conselho de

administração, diretoria e demais empregados, aplicado no estabelecimento
de estratégias formuladas para identificar, em toda a organização, eventos
em potencial, capazes de afetá-la, e administrar os riscos de modo a mantê-
los compatíveis com o apetite a risco da organização e possibilitar garantia
razoável do cumprimento dos seus objetivos. (COSO ERM, 2004)

4
A Estrutura do COSO

Conforme o COSO ERM, a administração, a partir da missão e visão estabelecidos, define os planos, escolhe as
estratégias e alinha os objetivos aplicáveis aos diferentes níveis da organização. Esta estrutura de
gerenciamento de riscos corporativos é projetada para alcançar os objetivos da organização e está dividida em
quatro categorias:

 Estratégicos – objetivos gerais que estão alinhados com a missão da organização.

• Exemplo de objetivo: Melhorar avaliação dos cursos de pós-graduação com notas 3 e 4
• Exemplo de risco: Baixa produção acadêmica dos docentes

 Operacionais – uso eficiente e eficaz dos recursos.

• Exemplo de objetivo: Manter a fiscalização sobre contratos em andamento
• Exemplo de risco: Atraso no envio de documentos

 Comunicação – confiabilidade dos relatórios.

• Exemplo de objetivo: Prestação de contas referentes a medidas de prevenção à corrupção
• Exemplo de risco: Informações incompletas, imprecisas ou manipuladas devido a pressões internas

 Conformidade – adesão às leis e regulamentos aplicáveis.

• Exemplo de objetivo: Garantia da privacidade e segurança de dados
• Exemplo de risco: Vazamento de dados pessoais

5
A Estrutura do COSO

O COSO ERM definiu oito componentes em sua estrutura:

 Ambiente de controle;

 Fixação de objetivos;

 Identificação de eventos;

 Avaliação de riscos;

 Resposta ao risco;

 Atividades de controle;

 Informações e comunicações;

 Monitoramento.

6
A Estrutura do COSO

A figura abaixo apresenta o Cubo COSO ERM, que indica a relação entre os objetivos, os níveis
institucionais e os componentes da gestão de riscos.

7
Figura 1 – O Cubo COSO ERM
Ambiente Interno

Este componente relaciona-se aos capital humano da organização e os atributos que os

compõem, como integridade, valores éticos e competência. Este componente reflete a
aderência da organização à cultura de controle e é diretamente impactado pelo histórico e
pela cultura geral da organização.

O Ambiente de Controle está diretamente ligado aos controles não operacionais, que
relacionam-se com os valores dos membros da organização e são igualmente essenciais para
criar um ambiente de controle efetivo. No entanto, esses controles não são facilmente
identificáveis por meio das abordagens e ferramentas tradicionais de auditoria, exigindo o
uso de técnicas menos convencionais, como a observação do ambiente.

O ambiente de controle deve refletir o grau de comprometimento em todos os níveis da

administração com a qualidade do controle interno como um todo, sendo o principal
componente.

8
Ambiente Interno

O gráfico ampulheta dos sistemas de governança pública da UFRJ são um exemplo de

análise do ambiente interno:

9
Fixação de Objetivos

Os objetivos, definidos pela alta administração, devem ser comunicados a todos os

integrantes da organização antes da identificação dos eventos que possam impactar sua
realização. Esses objetivos precisam estar alinhados à missão da entidade e ser compatíveis
com a tolerância ao risco. Todas estas variáveis dependem da estrutura do ambiente
interno, detectada e avaliada a partir do item anterior.

É uma etapa que envolve interação próxima com o processo de planejamento estratégico.

MISSÃO UFRJ: Contribuir para o avanço científico, tecnológico, artístico e cultural da sociedade por
meio de suas atividades de ensino, pesquisa e extensão, promovendo a construção de uma
sociedade justa, democrática e igualitária.

10
Identificação de Eventos

Eventos são situações potenciais que ainda

não ocorreram, mas que podem influenciar
a realização dos objetivos da organização
se vierem a acontecer. Esses eventos
podem ter impactos positivos ou negativos.
Quando o impacto é negativo, são
chamados de riscos; quando positivo, são
considerados oportunidades.

Por meio da identificação de eventos, é

possível planejar o tratamento adequado Ex: Convite para criar Ex: Insuficiência de
para as oportunidades e para os riscos, que convênio com programa financiamento para
de intercâmbio projeto de pesquisa.
devem ser entendidos como parte de um
contexto, e não de forma isolada.

11
Identificação de Eventos

Para um processo eficaz de identificação de riscos, deve-se contar com a colaboração de funcionários
que possuam profundo entendimento do processo em questão, bem como uma visão abrangente dos
negócios ou serviços da unidade em diversos níveis. Além disso, é crucial que esses colaboradores
estejam familiarizados com a metodologia de gestão de integridade, riscos e controles internos da
organização, tendo sido devidamente capacitados para aplicar essa metodologia e utilizar a
ferramenta de documentação apropriada.

Diversas técnicas podem ser utilizadas para a identificação de eventos de riscos, tais como
questionários, brainstorming, inspeções e auditorias, bem como o diagrama de Ishikawa, também
conhecido como “espinha de peixe”, ilustrado abaixo:

Figura 2 – Diagrama de Ishikawa 12

Avaliação de Riscos
Esta etapa tem por finalidade avaliar os eventos de riscos identificados na etapa anterior
segundo os critérios de sua probabilidade e impacto. Esta avaliação pode ser quantitativa,
qualitativa, ou uma combinação de ambos. Pode-se, ainda, levar em consideração os controles
exercidos sobre cada risco identificado, de modo a verificar não apenas o risco inerente do
evento (o nível de probabilidade e impacto do evento, se nenhuma medida de controle for
adotada), mas também o risco residual (aquele que permanece, mesmo após a aplicação de
controles).

É crucial que a organização reconheça os riscos significativos que impactam o negócio e os

gerencie para que não afetem os objetivos estratégicos. Para operar de maneira coesa e
organizada, a organização deve estabelecer objetivos estratégicos que estejam em
consonância com sua Missão e Visão.

A etapa de avaliação demonstra mais uma vez a importância da interação da gestão de riscos
com o planejamento estratégico, uma vez que ao identificar, analisar e tratar riscos, a
organização estará aumentando a probabilidade de alcançar seus objetivos.

13
Avaliação de Riscos

O Plano de Gestão de Riscos da UFRJ apresenta um exemplo de tipificação para a avaliação

de riscos, levando em consideração a probabilidade, impacto e, ainda, os controles
aplicados:

Tabela 1 – modelo de probabilidade, impacto e controles.

14
Avaliação de Riscos

Situação hipotética:

Tício, chefe de uma seção de natureza administrativa, que cuida da fiscalização de contratos, se dá conta que
os três eventos que mais lhe causam problemas no dia-a-dia da atuação de sua seção são:

(1) Recebimento de documentos contendo erros e inadequações, causados pelo desconhecimento da

empresa responsável pelo fornecimento dos documentos e resultando no atraso dos referidos
pagamentos. Notou, ainda, que, como controles para redução deste problema, são enviadas cartilhas de
preenchimento adequado dos documentos e são disponibilizados contatos para tratamento de dúvidas.

(2) Indisponibilidade das verbas necessárias para a realização do pagamento, causados pela insuficiência
dos repasses externos e resultando na possível interrupção do serviço prestado. Notou que não há
controles aplicados, tendo em vista que o problema é causado por uma externalidade fora do seu
alcance.

(3) Fluxo de trabalho excessivo para a quantidade limitada de servidores em sua seção, causados pela
distribuição desigual entre as seções da divisão e resultando em atrasos no andamento do serviço.
Notou que, como controle, são adotadas soluções tecnológicas para padronização e automatização do
fluxo de trabalho, de modo a aumentar a eficiência por servidor.

Constatou-se que todos os 3 riscos identificados são de natureza operacional. 15

Avaliação de Riscos
Situação hipotética:

Tício, ao responder formulário de avaliação de riscos, categorizou os riscos identificados

da seguinte forma:

Risco 1 – Documentos inadequados:

■ Probabilidade: 3 (média)
■ Impacto: 4 (alto)
■ Nível de Controles: 0,6 (controles medianos)

Risco 2 – Verbas insuficientes:

■ Probabilidade: 4 (alta)
■ Impacto: 4 (alto)
■ Nível de Controles: 1 (controle inexistente)

Risco 3 – Equipe insuficiente:

■ Probabilidade: 3 (média)
■ Impacto: 2 (baixo)
■ Nível de Controles: 0,8 (controles fracos)

16
Avaliação de Riscos

Como resultado da avaliação, é possível produzir um mapa de riscos, ilustrado abaixo:

Legenda FAC:
Risco Baixo (0 - 4,99) Inexistente - 1,0

Superintendência-Geral de Governança (SGGOV) Legenda Farol:

Risco Médio (5 - 11,99)
Fraco - 0,8
Mediano - 0,6
Risco Alto (12 - 19,99) Satisfatório - 0,4
Risco Extremo (20 - 25) Forte - 0,2
Avaliação
Identificação Análise Avaliação de Risco Inerente Avaliação Risco Residual
controles
Nível de
Nível do
Evento de risco Consequências Classificaçã probabilida Nível de risco Descrição do Fator de Avaliação Risco Residual Ação corretiva
Causas (CA) impacto do Farol
(ER) (CO) o do Risco de do Risco Inerente (RI) Controle dos Controles (FAC) (RR) recomendada
Risco (NI)
(NP)
Desconhecime
Cartilha e
Documentos nto da Atraso dos
Operacional 3 4 12 disponibilização 0,6 7,2 Risco Médio Transferir/Mitigar
Mitigar
Inadequados empresa pagamentos
de contatos
responsável

Verbas Insuficiência de Interrupção do

Operacional 4 4 16 Inexistente 1 16 Risco Alto Evitar/Transferir/Mitigar
Insuficientes repasses Serviço

Soluções
Equipe Distribuição Atraso no fluxo tecnológicas
Operacional 3 2 6 0,8 4,8 Risco Baixo Aceitar
Insuficiente Desigual de trabalho para ganhos de
eficiência

Tabela 2 – Mapa de Riscos

17
Resposta aos Riscos

Para cada risco identificado, o COSO prevê um tipo de resposta diferente, que pode ser:

 Aceitar: se o risco inerente1 já está dentro da tolerância, não havendo necessidade

de ações adicionais para mitigá-lo;

 Evitar: se nenhuma ação de resposta foi identificada para levar a probabilidade e o

impacto do risco a um nível aceitável;

 Reduzir/Mitigar: se há ações que possam ser tomadas para diminuir o risco

residual a um nível compatível com as tolerâncias adotadas;

 Compartilhar: se é recomendável a tomada de ações para transferir ou

compartilhar os riscos com entidades externas.
1 – Risco Inerente diz respeito aos níveis de impacto e probabilidade do risco antes da tomada de ações de resposta. Uma vez tendo-se adotado essas ações, o
risco torna-se “residual”.

18
Resposta aos Riscos

Ao se definir qual será a abordagem adequada para responder ao risco, é recomendável a

elaboração de um plano de ação, definindo de forma sistemática quais ações serão
tomadas de modo a levar o risco ao patamar tolerável. Um instrumento útil para elaboração
do plano de ação é aquela conhecida como 5W2H, que consiste na identificação, no plano
de ação de (1) o quê deve ser feito; (2) por que razão; (3) por quem; (4) onde; (5) em que
momento; (6) de que modo; (7) e com que custo. A figura abaixo ilustra esta ferramenta.

Figura 3 – Instrumento 5W2H 19

Atividades de Controle

Atividades de Controle são frequentemente formalizadas através de políticas e procedimentos, que

devem ser criados e implementados para garantir que as ações determinadas pela administração
para mitigar os riscos relacionados ao cumprimento dos objetivos da organização sejam executadas
de maneira eficiente.

São exemplos de atividades de controle:

 Atribuição de autoridade;

 Segregação de Funções;

 Desenvolvimento de indicadores de desempenho;

 Verificações;

 Planos de Contingência.

20
Atividades de Controle

Situação hipotética:

No caso de Tício, por exemplo, para tratar o risco médio identificado (documentos
inadequados), é possível utilizar de diferentes abordagens:

1. Segregar funções e atribuir autoridade para que um servidor fique responsável pela
comunicação direta com as empresas, de modo a auxiliar em tempo real no
preenchimento dos documentos necessários;

2. Desenvolver indicadores atrelados a cada contrato, de modo a saber quais são as

empresas com maior índice de erros, para realizar um trabalho focalizado;

3. Estabelecer um cronograma de verificações, de modo a direcionar os esforços da equipe,

periodicamente, para a mitigação deste risco.

21
Informação e Comunicação

Diz respeito à gestão de informações e sistemas de comunicação, facilitando que os

membros da organização coletem e compartilhem dados essenciais para conduzir,
administrar e supervisionar suas operações.

É crucial que todas as informações relevantes relacionadas aos objetivos, riscos e controles
sejam capturadas e disseminadas por toda a organização. Além disso, a organização deve
ter mecanismos para obter informações do ambiente externo que possam impactá-la, tais
como a ampla divulgação de e-mails institucionais e do mecanismo do Fala BR, e deve
comunicar essas informações de forma adequada às partes interessadas, sendo a principal
delas a própria sociedade.

A comunicação deve ser oportuna, abrangendo aspectos financeiros, econômicos,

operacionais e estratégicos. Deve ser vista como um canal que percorre a organização em
todas as direções, movendo informações de cima para baixo e vice-versa. Isso é crucial
porque certos assuntos são melhor entendidos pelos membros em níveis hierárquicos mais
baixos, que estão mais próximos da operação diária dos processos organizacionais.

22
Monitoramento

O monitoramento contínuo da qualidade do controle interno tem como objetivo garantir sua
adequação aos objetivos, ambiente, recursos e riscos organizacionais de forma dinâmica. Este
processo abrangente envolve ajustes dinâmicos para melhorias conforme inadequações forem
identificadas.

O monitoramento inclui atividades contínuas integradas às operações normais da organização

e avaliações independentes, como auditorias internas e externas, que asseguram a eficácia do
gerenciamento de riscos ao longo do tempo. Além disso, as autoavaliações são utilizadas
atualmente, facilitando aos auditores basearem suas avaliações independentes nessas
autoavaliações para confirmação.

Enquanto o monitoramento contínuo é realizado durante as atividades administrativas usuais,

a frequência e o escopo das avaliações independentes são determinados pela análise dos
riscos e pela eficácia dos procedimentos contínuos de monitoramento. Ao contrário das
atividades de controle que visam conformidade e gestão de riscos, o monitoramento busca
identificar vulnerabilidades e oportunidades de melhoria dentro da organização.

23
Ciclo de Gestão de Riscos

A partir destes elementos, é possível visualizar na Figura 3 o Ciclo de Gestão de Riscos:

Figura 4 – Ciclo de Gestão de Riscos 24

Referências Bibliográficas
1. COSO ERM. Gerenciamento de Riscos Corporativos - Estrutura Integrada, 2004.

2. ENAP. Gestão de Riscos em Processos de Trabalho (segundo o Coso). Brasília, 2018.

Disponível em: [Link]

25
Dúvidas?
Coordenador do GT Gestão
de Riscos e Membro da
UGI
Lucas Maragno
lucasmaragno@[Link]

Núcleo de Gestão de
Riscos
Rosi Chiavo
[Link]@[Link]

Pedro Gomes
pedrogomes@[Link]

Leonardo Dourado
leonardodourado@[Link]