O COSO ERM é uma estrutura internacional para gerir riscos de uma organização de ponta a ponta, da estratégia à execução. Ele vem do COSO, comitê formado por entidades profissionais, e foi atualizado em 2017 para ligar mais diretamente risco, estratégia e desempenho. Para o gestor municipal, a ideia central é útil: risco não é assunto de auditoria, é assunto de quem tem objetivos a cumprir. Este texto explica a origem e mostra um caminho para adaptá-lo à prefeitura.
O que é e de onde vem
Segundo a página oficial do COSO, a primeira publicação, Enterprise Risk Management: Integrated Framework, saiu em 2004 e teve ampla aceitação. Com o tempo, os riscos se tornaram mais complexos, surgiram novos riscos e conselhos e executivos passaram a exigir relatórios mais completos. Em resposta, o COSO publicou, em 2017, Enterprise Risk Management: Integrating with Strategy and Performance, uma atualização que trata da evolução da gestão de riscos corporativos e da necessidade de melhorar a abordagem. Há um resumo executivo gratuito e um compêndio de exemplos.
A atualização organiza o tema em cinco componentes: governança e cultura; estratégia e definição de objetivos; desempenho; revisão e ajuste; e informação, comunicação e divulgação. A mensagem é que o risco precisa estar presente quando se escolhe a estratégia, quando se executa e quando se avalia, e não apenas em uma auditoria ao final.
O COSO também é conhecido por outro documento, o de controles internos. O ERM não o substitui: amplia o olhar, partindo dos objetivos e dos eventos que podem afetá-los, e dá lugar aos controles como uma das formas de resposta.
Por que serve ao setor público
Planos de governo, programas e projetos têm objetivos, e há eventos incertos que podem impedi-los: queda de arrecadação, mudança de lei, atraso de repasse, falta de equipe. A estrutura ajuda a conectar essas incertezas ao que a gestão se comprometeu a entregar, em vez de listar riscos genéricos.
Outro ganho é a cultura. A atualização dá atenção à governança e à cultura: quem lidera, como o assunto é discutido, se errar é motivo de punição ou de aprendizado. Em prefeituras, em que o medo de apontar problemas é comum, esse componente costuma ser o primeiro passo.
Em prefeituras, uma porta de entrada realista é o ciclo orçamentário. Ao elaborar o plano plurianual e as metas anuais, cada área já tem objetivos escritos. Acrescentar a pergunta sobre o que pode impedi-los costuma ser mais fácil do que criar um comitê novo.
Como aplicar na prefeitura, passo a passo
- Peça o compromisso da liderança. Prefeito e secretários precisam falar de risco como parte do trabalho, e não só como assunto de controle.
- Ligue os riscos aos objetivos. Parta de metas do plano de governo, do PPA ou de programas e pergunte o que pode impedi-las.
- Escolha as respostas. Evitar, reduzir, compartilhar ou aceitar o risco, de forma consciente e registrada.
- Defina responsáveis. Cada risco prioritário tem um dono na área responsável pelo objetivo.
- Crie um ritmo de revisão. Reunião periódica com painel simples de riscos e respostas.
- Comunique em linguagem clara. Relate ao gabinete e ao controle o que mudou, sem excesso técnico.
- Aprenda com o que ocorreu. Quando um risco se materializa, registre causas e melhorias, sem buscar culpados.
Modelo para preencher
Use a ficha abaixo como ponto de partida. Adapte à legislação e à realidade do seu órgão.
| Objetivo ou meta | Evento de risco | Resposta | Responsável | Indicador de alerta |
|---|---|---|---|---|
| Meta 1 do plano | ||||
| Meta 2 do plano | ||||
| Programa A | ||||
| Projeto B | ||||
| Serviço C |
Exemplo prático
Exemplo hipotético. A prefeitura define como meta ampliar o atendimento de uma política de saúde em 20% em dois anos. O comitê de riscos lista eventos como redução de repasses, dificuldade de contratação de profissionais e aumento inesperado da demanda. Cada evento recebe resposta e responsável.
A equipe cria um indicador de alerta, como a evolução trimestral das receitas vinculadas, e uma reunião mensal curta. Em um trimestre, o indicador sinaliza queda e o comitê antecipa um ajuste de cronograma, em vez de descobrir o problema no fim do ano.
Erros comuns
- Tratar como tarefa do controle interno. O dono do risco é o gestor do objetivo. O controle interno apoia e avalia.
- Copiar modelos de empresas. A estrutura é geral. Adapte-a à realidade, à legislação e ao ciclo orçamentário públicos.
- Focar só em controles. O ERM começa nos objetivos e na estratégia, e os controles vêm depois.
- Ignorar a cultura. Sem ambiente seguro para apontar problemas, a lista de riscos fica vazia.
- Produzir relatórios longos sem decisão. Relatório útil leva a uma escolha: aceitar, reduzir ou evitar.
Perguntas frequentes
O que é COSO?
O Committee of Sponsoring Organizations of the Treadway Commission, que publica estruturas de controle interno e de gestão de riscos.
Qual a diferença entre COSO ERM e ISO 31000?
Ambos orientam a gestão de riscos. A ISO 31000 é uma norma de princípios e processo; o COSO ERM é uma estrutura com componentes e princípios, ligada à estratégia e ao desempenho.
Quando foi atualizado o COSO ERM?
Em 2017, com o título Enterprise Risk Management: Integrating with Strategy and Performance. A primeira versão é de 2004.
É obrigatório?
Como estrutura de referência, não. A obrigação de gerir riscos vem de normas aplicáveis ao seu ente, que devem ser consultadas.
