Você está na página 1de 7

COSO - The Committee of Sponsoring Organizations of the Treadway

Commission

Eduardo Martins Pereira


Fernando Bracalente
Marcelo Dinofre
Mario Luiz Bernardinelli
mariolb@gmail.com

Abstract  AAA - American Accounting Association


(Associação Americana de Contadores)
 FEI - Financial Executives Internacional
The purpose of this article is to discuss the
Committee of Sponsoring Organizations of the (Executivos Financeiros Internacionais)
 IIA - The Insititute of Internal Auditors
Treadway Commission, known as COSO. This
discussion will include its origin, short history, and (Instituto dos Auditores Internos)
 IMA - Institute of Management
purpose. Also we will introduce some fundamental
concepts of COSO as an Enterprise Risk Accountants (Instituto dos Contadores
Management framework. Gerenciais)

Em 1992 esta comissão publicou o trabalho Internal


Control – Integrated Framework (Controle Interno –
Resumo Um Modelo Integrado), que tornou-se uma referência
mundial para o estudo e aplicação dos controles
O objetivo deste artigo é discutir o COSO (The internos.
Committee of Sponsoring Organizations of the
Treadway Commission). Esta discussão apresentará a Posteriormente a Comissão transformou-se em
sua origem, um resumo de sua história e seu objetivo. Comitê, passando a ser conhecida como COSO –
Além disso, serão apresentados os conceitos The Committee of Sponsoring Organizations of the
fundamentais do COSO como um modelo de Treadway Commission (Comitê das Organizações
Gerenciamento de Riscos Corporativos. Patrocinadoras).

O COSO é uma entidade sem fins lucrativos,


1. Introdução dedicada à melhoria dos relatórios financeiros
através da ética, efetividade dos controles internos e
Criada originalmente em 1985 nos Estados Unidos, a governança corporativa.
National Commission on Fraudulent Financial
Reporting (Comissão Nacional sobre Fraudes em
Relatórios Financeiros), também conhecida como 2. Atendimento à lei Sarbanes-Oxley
Treadway Commission[4], foi uma iniciativa
independente do setor privado com a finalidade de Em 2002, após os escândalos das companhias que
estudar as causas da ocorrência de fraudes em manipularam suas informações contábeis (Enron,
relatórios financeiros e contábeis e desenvolver Tyco, WorldCom e outras), e que abalaram a
recomendações para empresas públicas e seus confiança dos investidores e reforçaram a
auditores independentes e para as instituições necessidade de maior transparência e confiabilidade
educativas. na confecção e divulgação das informações contábeis
e financeiras, o Congresso Americano pressionado
Esta Comissão foi patrocinada por cinco grandes pela Sociedade aprovou a Lei Sarbanes-Oxley, (Paul
associações de profissionais de classe ligadas à área S. Sarbanes e Michael Oxley) que reformulou e
financeira, sendo totalmente independentes de suas regulamentou o mercado de capitais, como forma de
entidades patrocinadoras: erradicar a manipulação indevida de informações
financeiras.
 AICPA - American Institute of Certified
Public Accounts (Instituto Americano de As mudanças básicas foram nas regras de governança
Contadores Públicos Certificados) corporativa com o aumento da responsabilidade dos
executivos das organizações bem como dos operacionais ou até mesmo encerrar com as
responsáveis perante a emissão e divulgação de atividades de uma organização.
relatórios financeiros. Também foi dada mais ênfase
no uso de controles internos mais rígidos.
3. Processo de Controle Interno
Como decorrência dos fatos apontados, vários
estudos foram realizados, procurando identificar as O controle interno é um processo constituído de
principais falhas nos controles dessas instituições. cinco elementos básicos, a saber:
Neste cenário, o COSO identifica os objetivos  Ambiente de controle
essenciais do negócio da organização e define  Avaliação e gerenciamento de riscos
controles internos, fornece critérios a partir dos quais  Atividades de controle
os sistemas de controle podem ser avaliados, gera  Informação e comunicação
subsídios para que a administração, auditoria e  Monitoramento
demais interessados possam utilizar, avaliar e validar
os controles. Conforme descrito anteriormente, o objetivo
principal dos controles internos é auxiliar a entidade
O controle interno é um processo efetuado pelo atingir seus objetivos. Controle interno é um
conselho de administração, executivos ou qualquer elemento que compõe o processo de gestão.
outro funcionário de uma organização com a
finalidade de possibilitar o máximo de garantia nas
seguintes categorias de objetivos: 3.1. Ambiente de controle
 Eficiência e eficácia das operações. Ambiente de controle é uma atitude global da
Salvaguarda de seus ativos e prevenção e organização, é a disposição, a conscientização e o
detecção de fraudes e erros. comportamento de todo o pessoal da empresa a
 Confiabilidade das demonstrações respeito da importância de seus controles e, portanto,
financeiras. Exatidão, integridade e envolve o comprometimento dos empregados.
confiabilidade dos registros financeiros e
contábeis. Neste cenário, os funcionários devem ser capazes de
 Conformidade com as leis e regulamentos saber o que deve ser feito, como deve ser feito e,
vigentes. Aderência às normas finalmente, devem querer fazê-lo. A quebra de um
administrativas, às políticas da empresa e à destes elos compromete todo o ambiente de controle.
legislação a qual está subordinada.
O papel do conselho de administração e da alta
Ressalta-se que o sistema de controles internos é um gerência é primordial neste cenário: é essencial que
instrumento de administração. Apesar de terem o fiquem claros:
comportamento de processos, os controles internos
são avaliados em um ponto específico do tempo e • Quais são as políticas, procedimentos e o
não ao longo do tempo. É nesse ponto, que parte das código de conduta a serem adotados.
exigências da Lei Sarbanes-Oxley fica atendida. • A filosofia de funcionamento e de estilo de
administração.
Observa-se, no entanto, que os controles internos • A estrutura organizacional da entidade e os
auxiliam na consecução dos objetivos, mas não métodos de atribuição de autoridade e
garantem que eles serão atingidos. Isto ocorre responsabilidade.
devido, principalmente, a três motivos básicos: • A função de auditoria interna, de pessoal, de
políticas e procedimentos e segregação de
 Custo/benefício. Todo controle tem um funções.
custo, que deve ser inferior ao custo da
consumação do risco que está sendo
controlado. 3.2. Avaliação e gerenciamento de riscos
 Conluio entre pessoas. As pessoas
responsáveis pelos controles, também Os controles internos visam atingir determinados
podem usar de seus conhecimentos para objetivos que, por sua vez, devem ser claros, caso
burlar o sistema com objetivos ilícitos em contrário os controles perdem o sentido.
parceria com outros funcionários, clientes
ou fornecedores. Uma vez estabelecidos os objetivos, deve-se
 Eventos externos. Eventos externos estão
identificar os riscos que possam ameaçar o seu
além do controle de qualquer organização cumprimento e executar as ações necessárias para
podendo ser responsáveis por levar um gerenciá-los.
negócio a deixar de alcançar suas metas
A avaliação de riscos é um processo de identificação definir as responsabilidades, políticas corporativas,
e análise e deverá permitir à entidade identificar as fluxos operacionais, funções e procedimentos.
conseqüências pertinentes ao não cumprimento das
metas e objetivos operacionais (concretização dos
riscos), formando uma base de conhecimento para o 3.4. Informação e comunicação
seu gerenciamento.
A comunicação é o fluxo de informações dentro da
Assim, a avaliação dos riscos é uma atividade pró- organização e é essencial para o funcionamento dos
ativa que tem por objetivo evitar surpresas controles. A comunicação eficaz ocorre quando esta
desagradáveis á empresa. flui na organização em todas as direções, e quando os
empregados recebem informações claras quanto às
O processo de avaliação dos riscos tem que suas funções e responsabilidades. Uma comunicação
considerar os fatores internos e externos que podem eficaz deve ocorrer em todos os níveis da
ter impacto sobre a consecução dos objetivos e organização.
devem analisar os riscos e fornecer as bases para o
seu manuseio. As informações sobre os planos, ambientes de
controle, riscos, atividades de controle e desempenho
devem ser transmitidas a todos os funcionários. Já as
3.3. Atividades de controle informações provenientes de entidades externas ou
internas, devem ser devidamente identificadas e
Atividades de controle são as atividades executadas verificadas quanto a sua confiabilidade e relevância,
durante o processo de execução do trabalho que processadas e transmitidas apenas às pessoas
permite o gerenciamento e a redução dos riscos. pertinentes ao assunto.

Nesta atividade, são estabelecidos os limites de A forma e o prazo em que as informações relevantes
decisão de cada funcionário, isto é, o funcionário são identificadas, colhidas e comunicadas permitem
deve saber quais são seus limites operacionais e que as pessoas cumpram com suas atribuições. Para
decisórios e quais transações necessitam de identificar, avaliar e responder ao risco, a
aprovação superior para que seja efetivada. Antes de organização necessita das informações em todos os
autorizá-la, ele deve assegurar que todas as níveis hierárquicos. A comunicação eficaz ocorre
informações necessárias a aquela atividade foram quando esta flui na organização em todas as direções,
executadas. Já os responsáveis pela autorização e quando os empregados recebem informações claras
devem verificar a documentação pertinente. quanto às suas funções e responsabilidades.

Atividades de detecção de falhas ou não Sistemas de informação e elaboração de relatórios


conformidades devem ser estabelecidas de forma a contendo informações operacionais, financeiras, e de
permitir a confrontação das informações com dados conformidade, permitem subsidiar a execução e
vindos de outras áreas e, se necessário, efetuar as controle das atividades da empresa.
correções necessárias.

Na atividades de controle também se faz a avaliação 3.5. Monitoramento


de adequação e/ou desempenho em relação às metas
e objetivos traçados bem como o acompanhamento Monitoramento é a avaliação dos controles internos
contínuo do mercado de forma a antecipar desvios ao longo do tempo. É um processo no qual olha-se
que possam ter impacto para a organização. para a qualidade do desempenho em todos os
momentos.
As atividades de controle também compreendem a
segurança física dos ativos, através da A função do monitoramento é verificar se os
implementação de controles de acesso, entrada e controles internos estão adequados e efetivos e pode
saída de materiais, senhas para acesso remoto etc. ser realizado por acompanhamento contínuo das
atividades ou por avaliações pontuais.
Outra atividade de controle é a utilização da
segregação de funções, a qual é um método O monitoramento contínuo é incorporado às
preventivo e de fundamental importância para a atividades normais e repetitivas de uma organização,
eficácia dos resultados dos controles internos é conduzida durante a realização da atividade. O
adotados. monitoramento contínuo é mais eficaz do que as
avaliações pontuais, as quais geralmente ocorrem
Por fim, a normatização interna também é uma após a constatação de algum fato (problema).
atividade de controle que visa definir, de maneira
formal, as regras internas da organização, que devem
ser de fácil acesso para os funcionários e devem
A profundidade e freqüência do monitoramento organização. Os componentes servem de critério para
dependem da avaliação dos riscos e da eficácia dos determinar se o gerenciamento de riscos é eficaz ou
procedimentos de fiscalização. não.

As deficiências identificadas devem ser comunicadas Segundo o documento Gerenciamento de Riscos


ao mais alto nível da organização. Corporativos - Estrutura Integrada o gerenciamento
de riscos corporativos requer:

4. O COSO no Gerenciamento de Riscos  Alinhar o apetite a risco e a estratégia


Corporativos  Otimizar as decisões de resposta a risco
 Reduzir surpresas e prejuízos operacionais
Desde a publicação em 1992 do trabalho Internal  Identificar e administrar os riscos inerentes
Control – Integrated Framework (Controle Interno – aos empreendimentos
Um Modelo Integrado), o COSO tornou-se  Fornecer respostas integradas aos diversos
referência para ajudar empresas e outras riscos
organizações a avaliar e aperfeiçoar seus sistemas de  Aproveitar as oportunidades
controle interno, sendo que essa estrutura foi  Melhorar a alocação de capital
incorporada em políticas, normas e regulamentos
adotados por milhares de organizações para controlar O gerenciamento de riscos corporativos é a
melhor suas atividades visando o cumprimento dos identificação e análise dos riscos associados ao não
objetivos estabelecidos. cumprimento das metas e objetivos operacionais, de
informação e de conformidade, formando uma base
Com a preocupação com o gerenciamento de riscos, de conhecimento que permita definir como estes
tornou-se cada vez mais clara a necessidade de uma riscos deverão ser gerenciados.
estratégia sólida, capaz de identificar, avaliar e
administrar riscos. Os administradores devem definir os níveis de riscos
operacionais, de informação e conformidade que
Em 2001, o COSO iniciou um projeto preocupado estão dispostos a assumir.
com o gerenciamento mais intenso de riscos e
solicitou à Pricewaterhouse Coopers que A avaliação de riscos é uma responsabilidade da alta
desenvolvesse uma estratégia de fácil utilização pelas administração, mas cabe à auditoria interna fazer
organizações para avaliar e melhorar o próprio uma avaliação própria dos riscos, confrontando-a
gerenciamento de riscos. com a avaliação feita pelos administradores.

Essa obra, chamada Enterprise Risk Management A identificação e gerenciamento dos riscos é uma
Framework (Gerenciamento de Riscos Corporativos ação pró-ativa.
– Estrutura Integrada), ampliou o alcance dos
controles internos, oferecendo um enfoque mais
vigoroso e abrangente de gerenciamento de riscos 4.2. Componentes do gerenciamento de riscos
corporativos. corporativos

Os oito componentes do gerenciamento de risco


4.1. Gerenciamento de Riscos Corporativos corporativos são:

No curso normal dos negócios, as organizações • Ambiente Interno


enfrentam incertezas, desafios e uma ampla gama de • Fixação de Objetivos
riscos e o grande desafio da administração é • Identificação de Eventos
determinar qual é o nível de incerteza ao qual a • Avaliação de Riscos
empresa está preparada para aceitar. • Resposta a Risco
• Atividades de Controle
Nem todos os riscos apresentam o mesmo nível de • Informações e Comunicações
importância. O gerenciamento de riscos corporativos • Monitoramento
permite aos administradores identificar, avaliar e
administrar riscos diante de incertezas,
concentrando-se nos riscos de maior impacto – tanto 4.3. Relação entre objetivos e componentes
positivo como negativo a fim de agregar valor para
os acionistas. Existe uma relação direta entre os objetivos, que é
aquilo que a entidade deseja atingir, e os
O processo de gerenciamento de riscos é constituído componentes do gerenciamento de risco que
de oito componentes inter-relacionados que integram representam o que é necessário para atingir os
o modo pelo qual a administração gerencia a objetivos. Esta relação está representada no formato
de uma matriz tridimensional, com o aspecto de um 4.5. Por dentro dos componentes
cubo, conforme figura a seguir:
Cada um dos componentes do gerenciamento de
riscos corporativos definidos pelo COSO possui
características próprias que devem ser bem
entendidas.

4.5.1. Ambiente interno

Abrange a cultura da organização, a base para como


o risco é visto e dirigido por uma entidade, incluindo
a gerencia do risco, a consciência interna sobre risco,
a integridade, os valores éticos e o ambiente em que
a empresa opera.

4.5.2. Fixação de objetivos

Consiste na identificação e análise de risco externo


O cubo mostra a habilidade que uma entidade tem ou interno que são importantes e podem impactar nos
para focar no gerenciamento de risco corporativo, objetivos da empresa. Esta avaliação deve considerar
sendo por categoria de objetivo, componentes de a severidade dos riscos, a freqüência com que estes
gestão de risco, por unidade de negócio ou por ocorrem e o seu grau de impacto. Assim a empresa
qualquer outro subconjunto. poderá determinar como administrar tais riscos.

Em razão da exigência de que a avaliação dos


controles internos seja realizada com base em um 4.5.3. Identificação de eventos
framework reconhecidamente eficaz, o COSO
tornou-se referência para as empresas que, nesse A identificação de riscos determina quais riscos
momento, estão em processo de reestruturação ou podem afetar a organização positivamente ou
adaptação de seus ambientes de controle para atender negativamente.
às novas demandas regulatórias.
Eventos de impacto positivo representam
oportunidades que são canalizados de volta aos
4.4. O gerenciamento de riscos corporativos e processos e objetivos da organização.
o processo de gestão
Eventos de impacto negativo representam riscos e
O gerenciamento de riscos corporativos é uma das exigem avaliação e resposta.
atividades do processo de gestão. Os componentes
dessa estrutura são no contexto das ações da direção A identificação de eventos de riscos é um processo
ao administrar a organização. Observe, porém, que iterativo porque novos riscos podem ser conhecidos
nem todas as atividades da administração fazem parte durante a execução da atividade.
do gerenciamento de riscos corporativos.

O gerenciamento de riscos corporativos abrange os 4.5.4. Avaliação de riscos


elementos do processo administrativo que
possibilitam à administração tomar decisões. Porém A organização, ao avaliar os riscos, leva em
as decisões selecionadas, a partir de uma série de consideração até que ponto os eventos previstos e
escolhas possíveis, por si só, não são capazes de imprevistos podem impactar na realização de seus
determinar se o gerenciamento de riscos corporativos objetivos. Em sua análise, leva ainda em
está sendo eficaz. consideração a probabilidade e o impacto de sua
ocorrência.
No entanto, mesmo considerando-se que as repostas
aos riscos e as atividades de controle selecionadas Os objetivos da avaliação de riscos são aumentar a
sejam uma questão de julgamento administrativo, as probabilidade e o impacto dos eventos positivos e
escolhas devem possibilitar a redução dos riscos a diminuir a probabilidade e o impacto dos eventos
níveis aceitáveis, conforme determinados pelo apetite adversos (negativos).
à risco e à razoável garantia de realização dos
objetivos da organização. Na análise dos riscos, pode-se recorrer à análises
qualitativas ou quantitativas dos mesmos. A análise
qualitativa faz a priorização dos riscos através de responsabilidades do gerenciamento de riscos
avaliação e combinação de sua probabilidade de corporativos devem ser levadas a sério e é uma
ocorrência e impacto. Já a análise quantitativa faz a responsabilidade de todos.
análise numérica do efeito dos riscos identificados
nos objetivos gerais. A organização deve estabelecer um plano de
comunicações entre os níveis hierárquicos bem como
um plano de comunicação com terceiros, clientes,
4.5.5. Resposta a riscos fornecedores, órgãos reguladores e acionistas.

A resposta ao risco é o processo de desenvolver e


determinar ações para aumentar a produtividade e 4.5.8. Monitoramento
reduzir as ameaças aos objetivos da organização.
Os riscos corporativos são monitorados avaliando-se
As respostas incluem evitar, reduzir, compartilhar, a presença e o funcionamento de seus componentes
transferir ou aceitar os riscos. ao longo do tempo de forma contínua e com
avaliações independentes ou mesmo através de uma
A administração avalia a probabilidade, o impacto da combinação de ambos.
potencial ocorrência do risco, os custos e benefícios
e a prioridade da ação e seleciona então a resposta O monitoramento deve ser contínuo e de forma
com a melhor relação dentro das tolerâncias a risco normal das atividades de administração. As
desejadas, inserindo recursos e atividades no deficiências no gerenciamento de riscos são relatadas
orçamento. aos superiores e as questões mais graves são
relatadas ao conselho de administração e à diretoria
A administração identifica as oportunidades que da organização.
possam existir e obtêm uma visão dos riscos em toda
organização, determinando se os riscos residuais
gerais são compatíveis com o risco que a organização 5. Conclusão
deseja assumir.
Dentro de uma organização, os processos devem ser
controlados permitindo assim que qualquer desvio,
4.5.6. Atividades de controle por menor que seja, possa ser avaliado e corrigido, se
necessário.
As atividades de controle são as respostas aos riscos
planejados e definidos nas políticas e procedimentos. Para que um processo possa ser controlado, devem
ser estabelecidos os meios para que o controle seja
Estas atividades são executadas durante todo o ciclo efetuado. Mas um controle só tem sentido se o
da atividade que deve ser controlada continuamente objetivo final for claro e conhecido por todos os
para encontrar novos riscos e mudanças nos riscos. envolvidos.
As atividades de controle ocorrem em todos os níveis A alta administração deve definir objetivos da
da organização e compreendem uma série de organização e passá-los a todos os seus membros e
atividades tais como aprovação, autorização, por toda a hierarquia, de forma que fiquem claros e
verificação, reconciliação e revisão do desempenho conhecidos.
operacional, da segurança dos bens e da segregação
de responsabilidades. Como uma organização é composta de muitos
processos internos, simultâneos ou não, que se inter-
relacionam, se faz necessária a coordenação e o
4.5.7. Informação e comunicação estabelecimento de objetivos para cada um dos
mesmos, de forma que o objetivo maior, estabelecido
As informações devem ser identificadas, coletadas e pela alta administração, possa ser atingido.
comunicadas a tempo de permitir que as pessoas
cumpram as suas responsabilidades. Os sistemas de Eventos, internos ou externos, que podem provocar
informações da Organização geralmente possuem desvios nos objetivos dos processos podem ocorrer a
dados obtidos internamente através de lições todo e qualquer momento. Cabe então aos
aprendidas e também de fontes externas que administradores detectar os riscos destes eventos
possibilitam o gerenciamento de riscos e a tomada de ocorrerem, determinando a probabilidade de sua
decisão. ocorrência e o impacto que a sua ocorrência teria nos
objetivos da organização.
A comunicação deve atingir todos os níveis da
organização. Todo o pessoal da organização recebe O COSO é um framework que auxilia no
da alta administração a mensagem alertando que as estabelecimento dos controles internos e no
gerenciamento dos riscos corporativos. A sua visão
corporativa visa oferecer os mecanismos necessários
para que os riscos envolvidos na consecução dos
objetivos da organização sejam analisados com foco
no objetivo principal da organização e não apenas no
objetivo do processo em questão.

Referências
[1] GRA – Campinas. Entendendo o COSO.
http://www.auditoriainterna.com.br/coso.htm

[2] COSO. The Committee of Sponsoring


Organizations. http://www.coso.org

[3] COSO.http://www.scribd.com/doc/221693/
COSO-um-resumo

[4] International Financial Risk Institute. http://


riskinstitute.ch/00013184.htm