auditoria no setor publico - livro 1

Prévia do material em texto

AUDITORIA NO 
SETOR PÚBLICO 
Guilherme Corrêa Gonçalves 
Modelos Coso I e II
Objetivos de aprendizagem
Ao final deste texto, você deve apresentar os seguintes aprendizados:
  Reconhecer a aplicação do modelo Coso I na auditoria interna.
  Definir a aplicação do modelo Coso II na auditoria interna.
  Diferenciar o modelo Coso I do modelo Coso II no âmbito da auditoria 
interna.
Introdução
O controle interno, além de uma função administrativa, é uma atividade 
política adotada pelas organizações, com o propósito de diminuir os riscos, 
melhorar os processos e aproximá-las de seus objetivos. A sua principal 
função é fornecer à organização as melhores condições para que seus 
objetivos sejam alcançados. Isso se dá por meio da proteção aos ativos 
da empresa, da obtenção de informações necessárias e adequadas e da 
promoção da eficiência operacional. 
Nesse sentido, é primordial pesquisar e reconhecer os mecanismos 
que auxiliam na atuação dos controles internos. É o caso das proposições 
do Committee of Sponsoring Organizations of the Treadway Commis-
sion (Coso), que, em 1992, publicou a primeira versão do guia Internal 
Control — Integrated Framework, mais conhecido como metodologia 
Coso de controle interno. Esta é largamente empregada como modelo 
internacional de referência para avaliação dos controles internos.
Neste capítulo, você vai estudar a aplicação dos modelos Coso I e 
Coso II, as suas semelhanças e diferenças e de que modo eles se inserem 
nas organizações, de modo a apoiar as atividades de controle interno.
1 Coso I
Em 1985, foi criada nos Estados Unidos a National Commission on Fraudulent 
Financial Reporting (Comissão Nacional sobre Fraudes em Relatórios Finan-
ceiros), também conhecida como Treadway Commission. Essa comissão foi 
criada por iniciativa independente do setor privado, a fi m de estudar as causas 
da ocorrência de fraudes em relatórios fi nanceiros e contábeis e desenvolver 
recomendações para empresas públicas e seus auditores independentes e para 
as instituições educativas, conforme leciona Nakano (2009). 
Posteriormente, essa comissão se transformou em um comitê de organi-
zações patrocinadoras, o Coso, uma entidade sem fins lucrativos dedicada 
à melhoria dos relatórios financeiros por meio da ética, da efetividade dos 
controles internos e da governança corporativa. Em 1992, o Coso publicou o 
guia Internal Control — Integrated Framework (Controle Interno — Estrutura 
Integrada), denominado de Coso Report e mais conhecido como metodologia 
Coso I, que se tornou referência mundial para o estudo e a aplicação dos 
controles internos (NAKANO, 2009).
A abrangência e a importância dessa metodologia levaram as principais 
organizações internacionais, tanto do setor público quanto do setor privado, 
que editam orientações sobre controles internos, a revisarem suas orientações, 
de modo a incorporarem os conceitos e elementos introduzidos pelo Coso. 
Especificamente com relação às orientações dadas aos órgãos responsáveis 
pelos controles internos no setor público, o Comitê de Padrões de Contro-
les Internos da International Organization of Supreme Audit Institutions 
(Intosai), em 2004, publicou o estudo denominado Guidelines for Internal 
Control Standards for the Public Sector, baseado no estudo do Coso Report, 
porém, contextualizando os conceitos e as diretrizes introduzidas pelo Coso 
às especificidades do setor público (NAKANO, 2009).
Metodologia Coso I
O manual da metodologia Coso I defi ne que o controle interno deve ser um 
procedimento constituído de cinco elementos básicos inter-relacionados, 
conforme apontado pelo Tribunal de Contas da União (BRASIL, 2019):
  ambiente de controle;
  avaliação e gerenciamento de riscos;
  atividades de controle;
  informação e comunicação;
  monitoramento. 
Além desses elementos, tratados como componentes de controle, o Coso I 
preconiza a integração dos controles por meio de uma estrutura tridimensional, 
Modelos Coso I e II2
conhecida como cubo do Coso, cujas dimensões compreendem os objetivos 
da organização, as unidades da organização e os componentes de controle 
(BRASIL, 2019), conforme mostra a Figura 1.
Figura 1. Cubo do Coso I.
Fonte: Adaptada de Nakano (2009).
Monitoramento
1a dimensão: os objetivos
2
a dim
ensão3a d
im
en
sã
o:
co
m
po
ne
nt
es
 d
os
co
nt
ro
le
s 
in
te
rn
os
Opera
çõ
es
Relató
rio
s
finance
iro
s
Cum
prim
ento
das r
egra
s
Informação e comunicação
Atividades de controle
Avaliação de riscos
Ambiente de controle
U
n
i
d
a
d
e 
A
U
n
i
d
a
d
e 
B
A
t
i
v
i
d
a
d
e 
1
A
t
i
v
i
d
a
d
e 
2
Conforme se pode observar na figura, a primeira dimensão é composta 
pelos objetivos de processo, registro e conformidade. A segunda dimensão 
é formada pelas unidades administrativas que deverão ser avaliadas, e a ter-
ceira, pelos cinco componentes de controle: ambiente de controle, avaliação 
de riscos, atividades de controle, processo de comunicação e monitoramento 
(BRASIL, 2019).
O cubo tem como finalidade auxiliar na análise e melhorar a efetividade 
dos controles internos, ao fornecer subsídios para avaliação do sistema de 
controle e vinculá-los à consecução de objetivos nas três categorias descritas 
a seguir (BRASIL, 2019). 
1. Eficiência e efetividade operacional: relacionada aos fins básicos da 
entidade, como os objetivos e as metas de desempenho e rentabilidade, 
bem como de segurança e qualidade dos ativos. 
2. Confiança nos registros contábeis e financeiros: referente aos registros 
de todas as informações e transações reais.
3. Conformidade: com as leis e normas aplicáveis à entidade e à sua área 
de atuação.
3Modelos Coso I e II
Desse modo, o Coso I é um modelo de referência para controles internos 
que utiliza o gerenciamento de riscos em sua base conceitual. Para aprimorar 
essa utilização e intensificar o foco no gerenciamento de riscos, em 2001, o 
Coso iniciou um projeto com essa finalidade e, em 2004, publicou o modelo 
Coso II, apresentado a seguir.
2 Coso II 
Como você pôde acompanhar até aqui, o Coso I se tornou referência para 
ajudar organizações a avaliar e aperfeiçoar seus sistemas de controle interno, 
incorporando essa estrutura em políticas, normas e regulamentos adotados 
para controlar melhor suas atividades, visando ao cumprimento dos objetivos 
estabelecidos. No entanto, a intensifi cação da preocupação com riscos fez com 
que o Coso encomendasse o desenvolvimento de uma estratégia para avaliar 
e melhorar o próprio gerenciamento de riscos. O resultado foi a publicação, 
em 2004, do modelo Enterprise Risk Management (ERM) — Integrated 
Framework (Gerenciamento de Riscos Corporativos — Estrutura Integrada), 
também conhecido como Coso ERM ou Coso II (BRASIL, 2019).
Essa publicação ampliou o alcance dos controles internos e ofereceu um 
enfoque mais vigoroso e extensivo ao tema, agregando técnicas de gerencia-
mento integrado de riscos, sem abandonar, mas incorporando, o que já fora 
preconizado no Coso I. Essa nova postura de prever e prevenir riscos inerentes 
aos processos da organização proporciona uma diminuição nas possibilidades 
de os riscos impedirem ou dificultarem o alcance dos objetivos organizacionais. 
Embora muitos objetivos sejam específicos a uma determinada organiza-
ção, o modelo definiu quatro categorias de objetivos comuns a praticamente 
todas as organizações. Esses objetivos devem ser previamente fixados, para 
permitir a identificação e a análise dos riscos que poderão impactar as em-
presas, formando uma base de conhecimento que buscará definir como esses 
riscos deverão ser gerenciados (BRASIL, 2019). Os objetivos são divididos 
nas quatro categorias descritas a seguir (BRASIL, 2019).
1. Estratégico: relacionado à sobrevivência, à continuidade e à sustenta-
bilidade. Metas de alto nível, alinhadas e dando suporte à missão da 
organização. 
2. Operacional: efetividade e eficiência na utilização dos recursos, me-
diante operações ordenadas, éticase econômicas e adequada salvaguarda 
contra perdas, mau uso ou dano. 
Modelos Coso I e II4
3. Comunicação: confiabilidade da informação produzida e sua disponibi-
lidade para a tomada de decisões e para o cumprimento das obrigações 
de accountability. 
4. Conformidade: aderência às leis e regulamentações aplicáveis à entidade 
e obediência às normas, às políticas, aos planos e aos procedimentos 
da própria organização.
Metodologia Coso II
Quando o Coso publicou seu guia para o Coso II, teve como objetivo orientar 
as organizações no desenvolvimento de um processo de gestão de riscos e na 
aplicação de boas práticas sobre esse tema, o que incrementa os preceitos já 
estabelecidos no modelo Coso I. O modelo Coso II introduziu conceitos novos 
e interessantes ao modelo anterior, como:
  apetite ao risco, que se refere ao montante de risco que uma organização 
está disposta a aceitar na criação de valor para seus produtos, serviços 
e processos; e
  tolerância a riscos, que trata do nível de aceitação da organização aos 
riscos que poderão surgir na busca por alcançar seus objetivos.
A Figura 2 apresenta os elementos que compõem o cubo do Coso II.
Figura 2. Cubo do Coso II.
Fonte: Adaptada de Brasil (2019).
5Modelos Coso I e II
Na Figura 2, você pode observar, na parte superior, as quatro categorias 
de objetivos, estratégicos, operacionais, de comunicação e conformidade. Os 
oito componentes de gerenciamento de riscos corporativos estão representados 
nas linhas horizontais; são eles (CARVALHO NETO; PAPARIELLO, 2012):
  ambiente interno;
  definição dos objetivos; 
  identificação de eventos;
  avaliação do risco;
  resposta ao risco;
  atividades de controle;
  informação e comunicação;
  monitoramento.
Já as unidades da organização estão no lado direito do cubo, na terceira 
dimensão (CARVALHO NETO; PAPARIELLO, 2012):
  unidades de negócio;
  departamentos;
  divisões;
  setores, etc.
Assim, por ser uma figura em três dimensões, o cubo permite visualizar 
como se dá a atuação do Coso II e permite focalizar os três conjuntos isola-
damente e de forma relacionada. Essa representação ilustra a capacidade de 
manter o enfoque na totalidade do gerenciamento de riscos, cujos componentes 
são descritos a seguir (CARVALHO NETO; PAPARIELLO, 2012).
  Ambiente interno: fornece a base pela qual os riscos são identificados 
e abordados, segundo a filosofia de gerenciamento de riscos, o apetite 
ao ímpeto, a integridade e os valores éticos, além do ambiente em que 
estes estão inseridos.
  Definição dos objetivos: para que a administração possa identificar 
os eventos em potencial.
  Identificação de eventos: identificação dos acontecimentos internos 
ou externos que podem influenciar o cumprimento dos objetivos or-
ganizacionais e devem ser identificados e classificados entre riscos e 
oportunidades. As oportunidades são canalizadas para os processos de 
estabelecimento de estratégias da administração ou de seus objetivos. 
Modelos Coso I e II6
  Avaliação do risco: análise da probabilidade de impacto, como forma 
de determinar o modo pelo qual os riscos devem ser administrados.
  Resposta ao risco: evitar, aceitar, reduzir ou compartilhar, alinhando 
os riscos com a tolerância e com o apetite ao risco. 
  Atividades de controle: políticas e procedimentos estabelecidos para 
assegurar que as respostas aos riscos sejam executadas com eficácia.
  Informação e comunicação: as informações relevantes são identifi-
cadas, colhidas e comunicadas na forma e no prazo que permitam que 
as responsabilidades sejam cumpridas.
  Monitoramento: para manter a integridade e realizar as modificações 
necessárias, por meio de atividades gerenciais contínuas ou avaliações 
independentes, ou de ambas as formas. 
Esses oito componentes do gerenciamento de riscos representam o que 
é necessário para sistematizar e identificar um caminho para o alcance dos 
objetivos da organização. Esse processo é voltado para resultados por meio 
da mitigação de riscos. O cubo do Coso II representa o relacionamento entre 
objetivos e componentes; assim, a eficácia do gerenciamento de riscos depende 
da presença e do bom resultado desses oito componentes. Esses são os cri-
térios definidos para verificar o grau de eficácia do gerenciamento de riscos 
corporativos da organização, conforme aponta Ferreira (2009).
Como você já deve ter percebido, os modelos Coso I e Coso II guardam 
entre si algumas semelhanças e diferenças, que serão abordadas a seguir.
3 Diferenças entre os modelos Coso I e Coso II
A adoção de estruturas de gerenciamento de riscos é cada vez mais presente 
em organizações públicas em todos os países. No Brasil, o TCU utiliza os 
modelos de referência Coso I e Coso II como ferramentas de avaliação do con-
trole interno. O Poder Executivo federal, por meio da publicação da Instrução 
Normativa nº. 01/2016, da Controladoria Geral da União e do Ministério do 
Planejamento, Orçamento e Gestão, defi niu esses modelos de referência para 
avaliação de controle interno.
O manual do Coso I define que o controle interno deve ser um procedimento 
constituído de cinco elementos básicos que se inter-relacionam. Já a estrutura 
do modelo Coso II, em vez de cinco, apresenta oito elementos básicos para o 
processo de avaliação do controle interno. A Figura 3 apresenta a comparação 
entre os cubos, destacando que a análise de riscos foi expandida de um para 
7Modelos Coso I e II
três elementos no Coso II, sendo complementada pelas seguintes atividades: 
identificação de eventos e resposta a riscos (BRASIL, 2019).
Figura 3. Comparação entre os cubos do Coso I e do Coso II, com destaque para a expansão 
da análise de riscos de um para três componentes.
Fonte: Adaptada de Brasil ([2019], documento on-line).
É importante ressaltar que o Coso II é uma evolução do Coso I, abrangendo todo o 
escopo do modelo anterior e incorporando ferramentas complementares. Na sua 
criação, foi deixada clara a intenção de incorporar e aprimorar o modelo de controle 
interno Coso I, em vez de substituí-lo (BRASIL, 2019).
A principal diferença a se constatar nos elementos dos modelos Coso I e 
Coso II é a abordagem do risco, que, no Coso II, passa a abranger três com-
ponentes, constituindo-se de: identificação de eventos, avaliação de riscos e 
respostas ao risco. Além disso, o controle interno, para oferecer segurança 
razoável para que os objetivos das empresas sejam alcançados, necessita 
seguir as recomendações dos modelos juntamente com a participação da alta 
administração. Portanto, a fixação de objetivos claros, adicionada ao Coso II, 
é um requisito primordial para o processo eficaz de controle interno e para a 
gestão de riscos (CARVALHO NETO; PAPARIELLO, 2012).
Modelos Coso I e II8
A gestão de riscos é o processo que permeia toda a organização, desde 
a alta administração, passando pelos gestores até os demais colaboradores. 
Ela é aplicada no estabelecimento da estratégia e projetada para identificar 
possíveis eventos que possam afetar a instituição. Além disso, ela serve para 
gerenciar os riscos para que eles possam ser mantidos dentro do apetite de 
risco estabelecido, com vistas a fornecer segurança razoável quanto ao alcance 
dos objetivos organizacionais (CARVALHO NETO; PAPARIELLO, 2012).
Nesse sentido, o processo de gestão de riscos, previsto no Coso II, é aplicável 
na realização das atividades operacionais, administrativas e de suporte. Porém, 
o ideal seria que ele fosse aplicado também nas atividades de planejamento 
voltadas à definição das estratégias das organizações. Isso fica mais evidente 
quando se observa que a perspectiva do cubo do Coso II relativa aos objetivos 
inclui um novo tipo de objetivo a ser assegurado e que não era listado no Coso 
I: os objetivos estratégicos (BRASIL, 2019)
O gerenciamento de riscos garante a implementação de um processo com objetivos 
preestabelecidos, que estejam alinhados à missão organizacional, de forma consistente 
com o apetite por riscosdeterminado pela organização.
Portanto, o modelo Coso II, ao orientar a aplicação de um processo de 
gestão de riscos, incorpora e aprimora o modelo Coso I pela inclusão de 
componentes e elementos adicionais que asseguram a realização de todas as 
atividades necessárias (BRASIL, 2019). Como você pôde observar, no modelo 
Coso II, em comparação com o modelo Coso I, a gestão de riscos, além de ser 
um processo que permeia todas as unidades e os processos organizacionais, 
passa a ser realizada desde a alta administração da entidade, envolvendo os 
gestores de todos os escalões, até os colaboradores do nível mais operacional. 
Desse modo, ela é aplicada no estabelecimento do planejamento estratégico e 
projetada para que todos os envolvidos possam identificar eventos que podem 
afetar os objetivos organizacionais e, dessa forma, consigam gerenciar riscos, 
de modo a mantê-los dentro do que foi definido como o seu apetite de risco.
Esse processo de gestão de riscos deve ser aplicado na realização tanto 
das atividades do dia a dia quanto nas atividades mais estratégicas, que envol-
vem o planejamento da organização. Essas definições ficam mais evidentes 
9Modelos Coso I e II
quando se compara a perspectiva do cubo do COSO II, relativa aos objetivos 
estratégicos, com o que era listado no Coso I.
BRASIL. Tribunal de Contas da União. Critérios gerais de controle interno na administração 
pública: um estudo dos modelos e das normas disciplinadoras em diversos países. 
Brasília: TCU, 2019. Disponível em: https://portal.tcu.gov.br/lumis/portal/file/fileDo-
wnload.jsp?fileId=8A8182A15A4C80AD015A4D5CA9965C37. Acesso em: 14 jan. 2020.
BRASIL. Tribunal de Contas da União. Modelos de referência de gestão corporativa de 
riscos. [2019]. Disponível em: https://portal.tcu.gov.br/planejamento-governanca-e-
gestao/gestao-de-riscos/politica-de-gestao-de-riscos/modelos-de-referencia.htm. 
Acesso em: 14 jan. 2020.
CARVALHO NETO, A. A.; PAPARIELLO, B. M. Curso de avaliação de controles internos. 2. 
ed. Brasília: TCU: Instituto Serzedello Corrêa, 2012.
FERREIRA, A. R. A avaliação de riscos para seleção de fiscalizações no Tribunal de Contas 
da União. Brasília: TCU, 2009.
NAKANO, V. M. COSO I: estudo do processo de fiscalização de obras no TCU. Brasília: 
TCU, 2009. Disponível em: https://portal.tcu.gov.br/lumis/portal/file/fileDownload.jsp
?fileId=8A8182A24F0A728E014F0AEC598D6E66. Acesso em: 14 jan. 2020.
Os links para sites da web fornecidos neste capítulo foram todos testados, e seu fun-
cionamento foi comprovado no momento da publicação do material. No entanto, a 
rede é extremamente dinâmica; suas páginas estão constantemente mudando de 
local e conteúdo. Assim, os editores declaram não ter qualquer responsabilidade 
sobre qualidade, precisão ou integralidade das informações referidas em tais links.
Modelos Coso I e II10