O que é o modelo COSO?
O COSO (Committee of Sponsoring Organizations of the Treadway Commission) é uma organização formada por entidades privadas, sediada nos Estados Unidos, dedicada a oferecer um modelo comum de orientação às organizações sobre aspectos essenciais de:
- gestão executiva e governança,
- ética empresarial,
- controle interno,
- gestão de riscos corporativos,
- controle de fraudes, e
- apresentação de relatórios financeiros.
Evolução do modelo COSO
1992: publicação do Internal Control – Integrated Framework (Relatório COSO ou COSO I), um framework integrado para ajudar as empresas a avaliar e melhorar os seus sistemas de controle interno.
2004: é publicado o modelo COSO ERM (Enterprise Risk Management – Integrated Framework), ou COSO II, que permite às empresas melhorar a gestão do controle interno com um processo mais completo de gestão de riscos.
2013: publicação do modelo COSO III, uma atualização do framework de controle interno de 1992.
2017: publicação do modelo COSO ERM 2017 (Enterprise Risk Management – Integrating with Strategy and Performance), que amplia o framework de gestão de riscos para cobrir melhor os riscos que as organizações enfrentam e o conecta diretamente à estratégia e ao desempenho.
Os componentes e princípios do controle interno (COSO 2013)
O framework de controle interno de 2013 (Internal Control – Integrated Framework) é a referência para o controle interno sobre as informações financeiras, por exemplo na lei SOX. Ele organiza o controle interno em cinco componentes e dezessete princípios. Para que o sistema seja considerado eficaz, os cinco componentes precisam estar presentes, funcionar e operar em conjunto; os princípios explicam o que cada um significa na prática.
- 1Integridade e valores éticos
- 2Supervisão independente do conselho
- 3Estrutura, autoridade e responsabilidade
- 4Competência profissional
- 5Prestação de contas
- 6Objetivos claros e específicos
- 7Identificação e análise de riscos
- 8Risco de fraude
- 9Mudanças significativas
- 10Atividades de controle que reduzem os riscos
- 11Controles gerais sobre a tecnologia
- 12Políticas e procedimentos
- 13Informação relevante e de qualidade
- 14Comunicação interna
- 15Comunicação externa
- 16Avaliações contínuas ou independentes
- 17Avaliação e comunicação de deficiências
Se você procura um framework para a gestão de riscos de toda a organização, além do controle interno, a referência é o COSO ERM 2017, que vemos a seguir.
Os cinco componentes e vinte princípios do COSO ERM 2017
O COSO ERM 2017 agrupa os seus vinte princípios em cinco componentes. Os princípios são a lista prática para verificar o que a organização já tem e o que falta.
- 1Supervisão de riscos pelo conselho
- 2Estruturas operacionais
- 3Cultura desejada
- 4Compromisso com os valores essenciais
- 5Atrair, desenvolver e reter talentos
- 6Análise do contexto de negócio
- 7Definição do apetite de risco
- 8Avaliação de estratégias alternativas
- 9Formulação de objetivos de negócio
- 10Identificação de riscos
- 11Avaliação da severidade
- 12Priorização de riscos
- 13Respostas ao risco
- 14Visão de portfólio do risco
- 15Avaliação de mudanças significativas
- 16Revisão do risco e do desempenho
- 17Melhoria da gestão de riscos
- 18Uso da informação e da tecnologia
- 19Comunicação das informações de risco
- 20Divulgação de risco, cultura e desempenho
Componentes do modelo COSO ERM
Os cinco componentes do COSO ERM 2017 funcionam de forma inter-relacionada para integrar a gestão de riscos à estratégia e ao desempenho:
O que é a metodologia ERM de gestão de riscos corporativos?
A gestão de riscos corporativos (ERM, Enterprise Risk Management) é uma estratégia empresarial baseada em planos que tem como objetivo identificar, avaliar e se preparar para qualquer risco ou evento que possa afetar, de forma positiva ou negativa, as operações e os objetivos de uma organização.
O objetivo do ERM é avaliar os riscos relevantes para a empresa (financeiros, estratégicos e operacionais), priorizá-los e tomar decisões bem informadas sobre como lidar com eles. Os planos de gestão de riscos criados estimam o impacto de várias ameaças e descrevem as possíveis respostas caso uma delas se materialize.
Um processo de ERM eficaz deve ser uma ferramenta estratégica importante para os líderes do negócio. O conhecimento sobre riscos que sai do processo de ERM deve alimentar o plano estratégico da organização.
Como os riscos surgem e evoluem o tempo todo, é importante entender que o ERM é um processo que precisa estar ativo e vivo, com atualizações e melhorias contínuas.
A estrutura do framework de gestão de riscos corporativos se aplica independentemente do porte da organização ou de como ela queira categorizar os seus riscos, e foi pensada para ajudar a gerência e os conselhos a gerenciar adequadamente os seguintes aspectos principais:
- Identificação de todos os riscos que podem afetar a estratégia e as operações comerciais, e a inter-relação entre eles.
- Nível de risco que pode ser assumido.
- Como gerenciar os riscos (cultura, governança e políticas).
- Como obter as informações necessárias para gerenciar os riscos.
- Como controlar os riscos.
- Como medir e avaliar os diferentes riscos.
- Que resposta dar aos riscos.
- Quais testes de resposta a cenários adversos são os mais adequados.
Um dos principais modelos desenvolvidos para uma gestão eficaz de riscos corporativos (ERM) é hoje o modelo COSO ERM 2017.
Benefícios para as organizações
COSO ERM em 2026: rumo a um ERM mais estratégico
O framework de referência continua sendo o COSO ERM 2017, mas o COSO segue publicando guias complementares que vale a pena conhecer, porque mostram para onde a prática de gestão de riscos está indo:
- Da orientação à ação (2026): em maio de 2026, o COSO publicou From Guidance to Action: Exploring Practical Enterprise Risk Management, um documento voltado a reforçar a relevância estratégica e o impacto real dos programas de ERM. Um dado revelador da sua pesquisa global: embora 98% dos profissionais acreditem que o ERM deveria ter um papel mais estratégico, só 7% dizem tê-lo totalmente integrado às decisões de estratégia. O desafio, portanto, já não é o que é o ERM, mas como torná-lo operacional no dia a dia.
- Dados alternativos (2024): o guia Alternative Data: The COSO Perspective trata de como integrar fontes de dados não tradicionais (análise de redes sociais, sensores IoT, web scraping ou indicadores ESG) ao ERM sem introduzir riscos inaceitáveis de qualidade, privacidade ou viés dos dados.
- Governança da IA: a inteligência artificial é a categoria de risco emergente que o ERM precisa incorporar (risco de modelo, governança de dados, viés e shadow AI). A abordagem por princípios do COSO combina com frameworks complementares como o NIST AI RMF.
A leitura para as organizações é clara: o valor do COSO ERM não está em documentá-lo, mas em usá-lo como ferramenta de decisão que conecte risco, estratégia e desempenho.
Como a GlobalSuite Solutions ajuda você
Na GlobalSuite Solutions temos o software GlobalSuite®, desenvolvido integralmente pela nossa equipe, que permite implantar, gerenciar e manter um Sistema de Gestão de Riscos a partir dos objetivos definidos. Ele também permite avaliar e acompanhar o tratamento do risco definido, ajudando você a levar o COSO ERM do framework teórico para a operação do dia a dia.
Quer ver como funcionaria na sua organização? Solicite uma demonstração e mostramos para você.
