INTRODUÇÃO: O COSO PARECE ABSTRATO ATÉ VOCÊ ENTENDER O PROBLEMA QUE ELE TENTA RESOLVER
Quem encontra COSO pela primeira vez em um edital de Tribunal de Contas ou Controladoria pode ter uma impressão pouco animadora. Surgem expressões como ambiente de controle, avaliação de riscos, atividades de controle, apetite a risco, monitoramento, governança e cultura, acompanhadas de modelos com componentes e princípios que parecem ter sido criados apenas para serem decorados.
A matéria fica ainda mais confusa porque “COSO” pode estar se referindo a estruturas diferentes. De um lado, existe o Internal Control – Integrated Framework, normalmente associado ao controle interno e atualizado em 2013. De outro, existe o Enterprise Risk Management (ERM), voltado ao gerenciamento de riscos e atualizado em 2017. Os dois modelos possuem relação, mas não são a mesma coisa e nem um simplesmente substituiu o outro. Essa distinção, inclusive, já foi explorada diretamente em prova do Cebraspe para o TCDF.
A melhor forma de estudar o assunto é sair por alguns minutos dos nomes e pensar no problema concreto. Um órgão público possui objetivos: prestar determinado serviço, executar uma política pública, arrecadar corretamente, contratar bens, pagar servidores ou disponibilizar um sistema à população. No caminho, existem eventos capazes de impedir ou dificultar esses resultados. A gestão precisa identificar esses riscos, decidir como tratá-los e criar controles proporcionais para aumentar a possibilidade de que os objetivos sejam alcançados.
É essa lógica que sustenta boa parte da matéria. Quando ela fica clara, os componentes do COSO deixam de ser uma lista arbitrária e passam a representar partes de um sistema de gestão.
O PRIMEIRO MITO: COSO É APENAS UMA LISTA DE CINCO COMPONENTES PARA DECORAR
Se você procurar questões de concursos de controle, encontrará bastante cobrança dos componentes do COSO. Portanto, é evidente que eles precisam ser memorizados. O problema está em parar nesse ponto.
No COSO Internal Control – Integrated Framework de 2013, o sistema de controle interno é organizado em cinco componentes integrados: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação e atividades de monitoramento. O modelo de 2013 explicita ainda 17 princípios relacionados a esses componentes.
Em vez de decorar cinco expressões independentes, tente visualizar uma organização funcionando. Primeiro, precisa existir um ambiente capaz de sustentar controles: integridade, responsabilidades, estrutura, compromisso da liderança e pessoas capacitadas. Depois, é necessário conhecer os objetivos e avaliar aquilo que pode impedir seu alcance. A partir dos riscos identificados, são desenhadas atividades de controle. Para que tudo funcione, informações relevantes precisam circular, e o sistema precisa ser monitorado para verificar se continua adequado.
Perceba que existe uma sequência lógica. Não significa que os componentes aconteçam necessariamente um depois do outro de maneira rígida, porque o modelo os trata como integrados, mas essa visualização ajuda muito no aprendizado.
Nos concursos, a banca pode simplesmente perguntar em qual componente determinada atividade se enquadra, mas também pode descrever uma situação e exigir que você reconheça a parte do modelo envolvida. É nesse segundo tipo de questão que compreender a lógica vale muito mais do que apenas saber recitar os cinco nomes.
CONTROLE INTERNO NÃO É UM FIM EM SI MESMO
Essa é uma frase importante para prova.
O controle interno existe para fornecer segurança razoável quanto ao alcance dos objetivos da organização. Ele não deve se transformar em uma coleção de procedimentos burocráticos executados apenas porque “sempre foi assim”.
Uma questão do TCDF de 2023 afirmou que, segundo o COSO, o controle interno seria um fim em si mesmo. O item foi considerado errado justamente porque controle interno é um processo utilizado como meio para alcançar objetivos, e não a finalidade da organização.
Essa ideia também ajuda a compreender gestão de riscos no setor público. Imagine um órgão exigindo oito assinaturas para autorizar uma compra de pequeno valor. Pode parecer que existe muito controle, mas isso não significa necessariamente que exista bom controle. Talvez o procedimento gere custo, demora e retrabalho sem reduzir de forma relevante o risco que deveria tratar.
A Instrução Normativa Conjunta MP/CGU nº 1/2016 trabalha justamente com a ideia de controles internos proporcionais ao risco e com consideração da relação custo-benefício. O gerenciamento de riscos deve apoiar a tomada de decisão e a melhoria dos processos, e não criar burocracia sem finalidade.
Essa relação entre risco e controle é uma das chaves para resolver questões mais interpretativas.
COSO IC E COSO ERM: NÃO CONFUNDA OS DOIS MODELOS
Esse é provavelmente um dos pontos com maior potencial de pegadinha.
O COSO IC, especialmente em sua estrutura de 2013, tem como foco o sistema de controles internos. Seus cinco componentes são os já mencionados: ambiente de controle, avaliação de riscos, atividades de controle, informação e comunicação e monitoramento. O framework trabalha com objetivos relacionados a operações, relatórios e conformidade.
Já o COSO ERM – Enterprise Risk Management, atualizado em 2017 com o título Integrating with Strategy and Performance, tem uma perspectiva mais ampla. O objetivo é integrar o gerenciamento de riscos à estratégia e ao desempenho da organização. A estrutura possui cinco componentes diferentes: Governança e Cultura; Estratégia e Definição de Objetivos; Performance; Revisão e Melhoria; Informação, Comunicação e Reporte, distribuídos em 20 princípios.
A diferença conceitual é importante. Avaliar riscos é um componente do COSO de controles internos, mas gestão de riscos corporativos envolve uma visão mais ampla sobre estratégia, objetivos, desempenho, cultura e decisões.
E cuidado com uma conclusão aparentemente lógica: o COSO ERM não substituiu o COSO de controles internos. Em prova do TCDF aplicada em 2021, o Cebraspe apresentou exatamente essa afirmação e a considerou errada.
Se o edital trouxer “COSO I e COSO II”, “COSO IC e COSO ERM” ou expressão semelhante, eu colocaria essa comparação entre os primeiros assuntos a serem estudados.
GESTÃO DE RISCOS NO SETOR PÚBLICO: O OBJETIVO VEM ANTES DO RISCO
Esse é um ponto simples, mas muito importante: não existe análise de risco útil sem conhecer o objetivo que está sendo perseguido.
Dizer que “falha em um sistema” é um risco ainda está incompleto. Qual objetivo pode ser afetado? Se estamos falando de um sistema que processa pagamentos, uma indisponibilidade pode impedir a execução tempestiva das despesas. Se o sistema contém informações sigilosas, uma falha de segurança pode comprometer confidencialidade, reputação e até gerar responsabilidades jurídicas.
A CGU apresenta risco como efeito da incerteza sobre os objetivos e destaca que sua avaliação pode combinar probabilidade e impacto. No Executivo Federal, a gestão de riscos deve ocorrer de maneira sistemática e estruturada, apoiar o processo decisório e contribuir para a melhoria contínua dos processos organizacionais.
Essa lógica aparece constantemente em concursos. A banca descreve um evento, apresenta seu impacto e pergunta sobre identificação, avaliação ou tratamento do risco. Em outros casos, pergunta sobre a responsabilidade da alta administração ou sobre a relação entre os controles e os riscos que deveriam reduzir.
Por isso, quando estiver estudando, tente sempre montar a sequência mental:
objetivo → risco → avaliação → resposta → controle → monitoramento.
Não é uma reprodução literal de um único framework, mas é uma excelente estrutura didática para organizar os conceitos.
APETITE, TOLERÂNCIA E RESPOSTA AO RISCO
Quando a matéria avança, aparecem conceitos que costumam ser confundidos.
Uma organização não consegue eliminar todos os riscos. Em alguns casos, tentar fazer isso seria financeiramente inviável ou até impediria o funcionamento da atividade. Por isso, gestão de riscos também envolve decidir qual nível de exposição é aceitável diante dos objetivos da organização.
No COSO ERM de 2017, o apetite a risco está diretamente relacionado à estratégia e à definição dos objetivos. O framework busca inserir o risco no processo decisório, em vez de tratá-lo apenas depois que a estratégia já foi definida.
Depois de identificar e avaliar determinado risco, a organização também precisa decidir o que fará com ele. Dependendo do modelo utilizado, aparecem respostas como evitar, reduzir ou mitigar, compartilhar ou transferir e aceitar o risco. O mais importante para prova é compreender que a resposta não pode ser escolhida mecanicamente: ela depende da exposição, do apetite, do custo dos controles e da relevância daquele risco para os objetivos.
Imagine um risco de indisponibilidade de um sistema essencial. A organização pode criar redundância de infraestrutura, planos de contingência e cópias de segurança. Isso reduz a probabilidade ou o impacto do evento, mas dificilmente torna o risco igual a zero.
Gestão de riscos trabalha com segurança razoável, não com garantia absoluta de que nenhum evento indesejado ocorrerá.
COMO ISSO FUNCIONA NO SETOR PÚBLICO BRASILEIRO
O COSO não ficou restrito ao ambiente empresarial. Seus conceitos foram incorporados a referenciais e metodologias utilizados no setor público brasileiro.
A CGU informa que sua metodologia de gestão de riscos foi desenvolvida com base, entre outras referências, no COSO ERM e na ISO 31000, além da IN Conjunta MP/CGU nº 1/2016. O TCU também possui um Referencial Básico de Gestão de Riscos construído com apoio em modelos como COSO e ISO 31000.
No âmbito do Poder Executivo Federal, a IN Conjunta nº 1/2016 estruturou práticas relacionadas a governança, gestão de riscos e controles internos. Posteriormente, o Decreto nº 9.203/2017 também passou a tratar da governança e do gerenciamento de riscos na administração pública federal direta, autárquica e fundacional.
O TCU, em sua própria política, trabalha com um processo que contempla estabelecimento do contexto, identificação, análise, avaliação e tratamento dos riscos, além de comunicação, consulta, monitoramento e melhoria contínua.
Esses documentos são importantes para quem estuda para concursos de controle porque mostram como os frameworks internacionais foram traduzidos para a realidade administrativa brasileira. A prova pode misturar conceitos do COSO com governança pública, auditoria interna, planejamento e controles da Administração.
COMO O COSO APARECE NOS CONCURSOS DE CONTROLE
Não é apenas uma possibilidade teórica. O assunto aparece expressamente em editais de controle. O concurso do TCDF, por exemplo, já trouxe em Auditoria Governamental “controles internos segundo o COSO I e COSO II – ERM”, além de planejamento de auditoria baseado em riscos e avaliação do controle interno.
A cobrança costuma acontecer de algumas formas.
A primeira é literal ou conceitual: a banca pergunta os componentes, objetivos ou princípios do modelo. Nessa parte, não existe muito atalho; alguns elementos precisam realmente ser memorizados.
A segunda é por comparação entre modelos. É aqui que aparecem afirmações como “COSO ERM substituiu o COSO I”, confusão entre componentes das duas estruturas ou troca entre gestão de riscos e controle interno.
A terceira é situacional. A banca apresenta um órgão, descreve um problema e pergunta qual componente está envolvido ou qual procedimento seria adequado. Em provas desse tipo, compreender a lógica passa a ser decisivo.
A quarta forma é relacionar COSO com auditoria governamental. Um erro bastante comum é atribuir à auditoria interna a responsabilidade de gerenciar os riscos da organização. A gestão é responsável por identificar e administrar os riscos de suas atividades, enquanto a auditoria desempenha papel de avaliação e asseguração, preservando sua independência. Questões antigas do próprio TCU já exploraram essa divisão de responsabilidades.
É justamente por isso que gestão de riscos costuma aparecer próxima de temas como governança, controles internos, auditoria interna e linhas de defesa.
ERROS COMUNS AO ESTUDAR COSO E GESTÃO DE RISCOS
O primeiro erro é misturar componentes de frameworks diferentes. O candidato estuda COSO IC, COSO ERM, ISO 31000 e modelos de governança na mesma semana e, quando chega à questão, sabe que determinada expressão existe, mas não lembra a qual modelo pertence. Nesse ponto, quadros comparativos costumam funcionar muito melhor do que resumos longos.
Outro erro é decorar sem compreender. Saber que “atividades de controle” é um componente ajuda em uma questão direta, mas pode não resolver uma situação em que a banca descreve segregação de funções, autorizações, conciliações ou restrição de acessos e exige que você reconheça a finalidade desses procedimentos.
Também é comum confundir gestão de riscos com auditoria interna. A gestão dos riscos pertence à administração. A auditoria pode avaliar o funcionamento dos processos de governança, risco e controle, mas assumir a gestão desses riscos comprometeria justamente a independência necessária para avaliá-los.
Por fim, cuidado com a ideia de que controle é sinônimo de eliminar risco. Bons controles reduzem riscos a níveis considerados adequados, levando em conta custo, benefício e objetivos. Excesso de controle também pode prejudicar eficiência e desempenho.
COMO EU ORGANIZARIA O ESTUDO PARA A PROVA
Começaria entendendo a finalidade dos controles internos e a relação entre objetivos, riscos e controles. Depois, estudaria os cinco componentes do COSO IC de 2013 e seus 17 princípios, dando atenção especial às diferenças entre ambiente de controle, avaliação de riscos e atividades de controle.
Em seguida, entraria no COSO ERM de 2017, primeiro entendendo sua proposta de integrar risco, estratégia e desempenho e somente depois memorizando os cinco componentes e os 20 princípios. O passo seguinte seria colocar os dois modelos lado a lado e marcar aquilo que costuma gerar confusão.
Depois dessa base, estudaria a aplicação no setor público: IN MP/CGU nº 1/2016, Decreto nº 9.203/2017 e referenciais do TCU ou da CGU, conforme o edital. Não tentaria decorar todos os documentos simultaneamente, mas buscaria observar como os mesmos conceitos reaparecem: objetivos, riscos, tratamento, controles, responsabilidade da liderança, comunicação e monitoramento.
Por último, faria muitas questões. COSO é um daqueles assuntos em que a banca repete determinadas confusões conceituais, e o contato com exercícios ajuda muito a perceber onde estão as pegadinhas.
DICAS PRÁTICAS PARA NÃO CONFUNDIR OS MODELOS
Mantenha uma folha de comparação entre COSO IC e COSO ERM. Coloque finalidade, versão mais relevante para o edital, componentes e quantidade de princípios. Uma página bem organizada costuma ter muito mais utilidade do que dezenas de páginas copiadas do framework.
Também associe exemplos aos componentes. Código de ética e atuação da liderança remetem ao ambiente de controle; identificação e análise de eventos remetem à avaliação de riscos; segregação de funções e autorizações são exemplos de atividades de controle; fluxo de dados está ligado a informação e comunicação; avaliações contínuas ou separadas ajudam a compreender o monitoramento.
Nas questões de gestão de riscos, procure identificar primeiro o objetivo. Depois descubra o risco e somente então analise a resposta e o controle. Essa ordem evita que você trate todo procedimento administrativo como se tivesse valor por si próprio.
E não deixe de verificar qual versão o edital exige. Questões e materiais antigos podem utilizar estruturas anteriores do COSO ERM, especialmente o modelo de 2004, cuja organização difere da atualização de 2017.
MINHA EXPERIÊNCIA COM RISCOS E CONTROLES
Durante minha preparação para a área fiscal, assuntos relacionados a Auditoria, controles internos e riscos inicialmente pareciam bastante teóricos. É fácil estudar uma definição, acertar algumas questões e ainda não visualizar com clareza por que uma organização precisa formalizar tudo aquilo.
Com o tempo, passei a perceber que a lógica fica muito mais simples quando o estudo começa pelos objetivos. Uma administração tributária, por exemplo, depende de processos, sistemas, pessoas e dados para alcançar seus resultados. Qualquer um desses elementos pode apresentar riscos, e não faria sentido criar controles sem antes entender o que estamos tentando proteger ou garantir.
Hoje, atuando dentro da Administração Tributária e tendo contato também com sistemas e processos, essa relação fica ainda mais concreta para mim. Um controle que não esteja ligado a um risco relevante pode apenas aumentar burocracia. Por outro lado, um processo importante sem controles adequados pode expor a organização justamente nos pontos que mais ameaçam seus objetivos.
Se eu tivesse que estudar COSO novamente para uma prova, portanto, não começaria tentando decorar vinte princípios. Primeiro entenderia a história que o modelo está contando: a organização possui objetivos, enfrenta incertezas, precisa tomar decisões e cria mecanismos para aumentar a segurança de que chegará aos resultados pretendidos. Depois disso, os componentes passam a ocupar lugares muito mais naturais dentro do raciocínio.
CONCLUSÃO: ENTENDA O SISTEMA ANTES DE DECORAR O CUBO
COSO e gestão de riscos no setor público são temas importantes nos concursos de controle porque estão diretamente relacionados àquilo que Tribunais de Contas e Controladorias fazem: avaliar governança, controles, riscos e capacidade das organizações de alcançar seus objetivos.
Para a prova, você precisa conhecer os componentes e princípios dos frameworks. Não há motivo para fugir da memorização. O erro é começar e terminar por ela.
Primeiro, entenda a diferença entre controle interno e gestão de riscos. Depois, organize o COSO IC de 2013 e o COSO ERM de 2017 separadamente. Em seguida, observe como esses conceitos aparecem nos referenciais do setor público e como se relacionam com a responsabilidade dos gestores, da alta administração e da auditoria.
Na Guruja, esse tipo de conteúdo funciona melhor quando é construído em etapas. A teoria fornece o mapa, as questões mostram onde as bancas criam confusões e as revisões consolidam os componentes que realmente precisam ser memorizados.
Quando você entende que o controle não existe para produzir burocracia, que o risco só faz sentido em relação a um objetivo e que a gestão precisa decidir conscientemente como responder às incertezas, o COSO deixa de parecer um desenho cheio de termos corporativos.
Ele passa a representar aquilo que realmente é: uma forma estruturada de pensar como uma organização pode aumentar suas chances de alcançar seus objetivos, mesmo em um ambiente cercado por riscos.
