COSO é a sigla de *Committee of Sponsoring Organizations of the Treadway Commission*, uma organização privada dos Estados Unidos, formada por entidades profissionais da área de contabilidade, auditoria e finanças, que publica referenciais de controle interno, gerenciamento de riscos corporativos e prevenção de fraudes. Seus documentos tornaram-se padrão de mercado e são usados como parâmetro por empresas, auditores e órgãos de controle de vários países, inclusive no Brasil. O COSO não é lei nem norma obrigatória: é um modelo de boas práticas que pode ser adaptado à realidade de cada organização.
Os dois principais referenciais
Controle interno: estrutura integrada
O referencial de controle interno (*Internal Control – Integrated Framework*), publicado em 1992 e atualizado em 2013, descreve o controle interno como um processo conduzido pelo conselho, pela administração e por demais pessoas, para dar segurança razoável quanto ao cumprimento de objetivos de operações, de divulgação e de conformidade. Ele se organiza em cinco componentes:
- Ambiente de controle: a cultura, a integridade, a estrutura e o compromisso da liderança.
- Avaliação de riscos: identificação e análise dos riscos aos objetivos.
- Atividades de controle: políticas e procedimentos que garantem a execução das respostas aos riscos, como aprovações, conferências e segregação de funções.
- Informação e comunicação: qualidade da informação e fluxo de comunicação interna e externa.
- Atividades de monitoramento: avaliações contínuas e pontuais para verificar se os controles funcionam.
A versão de 2013 detalha esses componentes em 17 princípios.
Gerenciamento de riscos corporativos (ERM)
O referencial de gerenciamento de riscos corporativos, publicado em 2004 e atualizado em 2017 sob o título *Enterprise Risk Management – Integrating with Strategy and Performance*, liga a gestão de riscos à estratégia e ao desempenho da organização, e não apenas aos controles. Esse referencial ajuda a definir o apetite a risco e a integrar riscos ao planejamento.
Como usar no setor público
Órgãos de controle e tribunais de contas costumam usar o COSO como parâmetro na avaliação de controles internos. Para a prefeitura, os cinco componentes servem de lista de verificação do sistema de controles internos: existe código de conduta e liderança comprometida? Os riscos dos processos críticos foram avaliados? Há controles documentados? A informação circula? O monitoramento é regular? Cada resposta negativa indica uma melhoria possível.
Um exemplo hipotético: ao aplicar o roteiro dos cinco componentes na área de compras, a prefeitura percebe que tem rotinas de controle, mas não mapeou riscos nem monitora as exceções. O plano de ação então prioriza a avaliação de riscos e relatórios periódicos de desvios.
COSO e ISO 31000
Os dois referenciais são compatíveis: o COSO é mais voltado ao controle interno e à integração com estratégia, enquanto a ISO 31000 oferece princípios e processo genéricos para a gestão de riscos. Muitas organizações usam ambos de forma complementar. A estruturação da gestão de riscos em órgãos públicos pode combinar elementos dos dois, adaptados ao porte da prefeitura.
Erros comuns
- Achar que adotar o COSO é obrigatório ou que basta citá-lo na política de riscos.
- Copiar o modelo sem adaptar ao tamanho e à realidade da prefeitura.
- Usar o COSO apenas para auditoria, e não para melhorar a gestão.
- Ignorar o ambiente de controle: sem liderança comprometida, os demais componentes têm pouco efeito.
