Green - Módulo

Legislação Transpetro - Administração e Controle

Nesse módulo vamos aprender sobre a Gestão de Riscos segundo o COSO II!

Bons estudos!

Duração Total: 28 minutos 14 segundos

Auditoria

Gestão de Riscos segundo o COSO II

Auditoria EmÁudio: COSO II - ERMOlá, que ue bom te encontrar por aqui. Seja bem-vindo a mais um módulo de auditoria. Vamos iniciar um módulo falando sobre o COSO II - ERM, um assunto importante na área.Em 2004 surgiu o modelo Inter Price Risk Management Integrare Fray - Gerenciamento de Riscos Corporativos Estrutura Integrada, também conhecido como COSO ERM ou COSO II. Essa obra amplia o alcance dos controles internos, oferecendo um enfoque mais vigoroso e extensivo ao tema, agregando técnicas de gerenciamento integrado de riscos sem abandonar, mas incorporando o COSO I. Enquanto o COSO I foca na avaliação e aperfeiçoamento do sistema de controle interno, o ERM, ou seja, COSO II prioriza o gerenciamento de riscos corporativos.Nesse sentido, é importante sabermos distinguir o COSO I do COSO II, já que o COSO I não aborda o gerenciamento de risco, no COSO II o gerenciamento de riscos será a base dos controles internos. Ok, guarde isso!Vamos entender como surgiu o COSO II. A estrutura de controles internos do COSO I vigorou até 2002, quando, em virtude dos escândalos contábeis do início dos anos 2000, a sociedade americana passou a pressionar o Congresso americano a atuar em prol da transparência no mercado.No mesmo ano, como aprendemos anteriormente, foi publicada a Lei Sarbanes-Oxley com o intuito de acabar com os mecanismos de manipulação financeira. As principais mudanças na SOx ocorreram nas regras de governança corporativa, aumentando a responsabilidade dos executivos nas organizações e dos responsáveis pela elaboração das demonstrações contábeis. Essas mudanças contribuíram para aumentar a importância dada à auditoria interna.Em vista disso, os controles internos passaram a fazer parte da pauta da alta administração como parte das boas práticas de governança coporativa. Logo, em 2004, foi divulgado o COSO II - Gerenciamento de Riscos Corporativos Estrutura Integrada com um enfoque mais voltado para o gerenciamento de riscos corporativos. A nova postura é de prever e prevenir os riscos inerentes ao conjunto de processos da organização que possam impedir ou dificultar o alcance de seus objetivos. Uma tendência mundial calcada no gerenciamento de riscos e em modelos de governança corporativa como, inclusive, recomenda a INTOSAI.O COSO II define gerenciamento de riscos corporativos da seguinte forma: um processo conduzido em uma organização pelo Conselho de Administração, diretoria e demais empregados, aplicado no estabelecimento de estratégias formuladas para identificar em toda a organização eventos em potencial capazes de afetá-la e administrar os riscos de modo a mantê-los compatíveis com o apetite a risco da organização e possibilitar garantia razoável do cumprimento dos seus objetivos.Segundo o COSO II, os eventos são incidentes ou ocorrências originadas a partir de fontes internas ou externas, que afetam a implementação da estratégia ou a realização dos objetivos. Os eventos podem provocar impacto positivo, negativo, ou ambos. Uma infinidade de fatores externos e internos impulsiona os eventos que afetam a implementação da estratégia e o cumprimento dos objetivos. Como parte do gerenciamento de riscos corporativos, a administração reconhece a importância de compreender esses fatores e o tipo de evento que podem emanar deles. Os fatores externos com os exemplos de eventos correlatos e as suas implicações incluem o seguinte:- Econômicos: Os eventos relacionados contemplam oscilações de preços, disponibilidade de capital, ou redução nas barreiras à entrada da concorrência, cujo resultado se traduz em um custo de capital mais elevado ou mais reduzido; e em novos novos concorrentes.- Meio ambiente: Refere-se aos seguintes eventos: incêndios, inundações ou terremotos que provocam danos a fábricas ou edificações; restrição quanto ao uso de matérias-primas e perda de capital humano.- Políticos: Eleição de agentes do governo com novas agendas políticas e novas leis e regulamentos, resultando, por exemplo, na abertura ou na restrição ao acesso a mercados estrangeiros ou elevação ou redução na carga tributária.- Sociais: São alterações nas condições demográficas, nos costumes sociais, nas estruturas da família, nas prioridades de trabalho, vida e a atividade terrorista, que por sua vez, podem provocar mudanças na demanda de produtos e serviços. Novos locais de compra, demandas relacionadas a recursos humanos e paralisações da produção.- Tecnológicos: são novas formas de comércio eletrônico que podem provocar aumento na disponibilidade de dados, reduções de custos de infraestrutura e aumento da demanda de serviços com base em tecnologia. Os eventos também se originam das escolhas que a administração faz em relação ao seu funcionamento. Capacidade e a habilidade de gestão da organização refletem suas escolhas passadas, influenciam eventos futuros e afetam as decisões gerenciais.Os fatores internos e os exemplos de eventos correlatos e de suas implicações incluem o seguinte:- Infraestrutura: Aumento da alocação de capital em manutenção preventiva e suporte ao call center, reduzindo o tempo de paralisação de equipamentos e aumentando a satisfação do cliente; - Pessoal: Acidentes de trabalho, atividades fraudulentas, e expiração de acordos de trabalho, causando redução de pessoal disponível, danos pessoais, monetários, ou a reputação da organização e paralisações da produção.- Processo: Modificações de processos sem alteração adequada nos protocolos administrativos, erros de execução de processos e terceirização da entrega a clientes sem uma supervisão adequada, implicando perda de participação de mercado, ineficiência, insatisfação do cliente e diminuição da fidelidade deste.- Tecnologia: Aumento de recursos para fazer face à variabilidade de volume, violações de segurança, e paralisação em potencial de sistemas, provocando redução da carteira de pedidos, transações fraudulentas e incapacidade de se manter as operações.Vou chamar sua atenção aqui agora! Gerenciamento de riscos corporativos tem por finalidade: 1. Alinhar o apetite a risco com a estratégia adotada pela entidade.2. Fortalecer as decisões em resposta aos riscos.3. Identificar e administrar riscos múltiplos e entre empreendimentos.4. Reduzir as surpresas e prejuízos operacionais.5. Aproveitar oportunidades (risco positivo).6. Otimizar o capital.Entendeu? Ótimo! Vamos agora resolver um exercício para você ver como o assunto pode cair na sua prova. Vamos lá.Essa questão é adaptada da banca CESP. Vou ler: "Diversos tipos de alterações, como, por exemplo, nas condições demográficas, nos costumes sociais, nas estruturas das famílias, nas prioridades de trabalho podem provocar mudanças na demanda de produtos e serviços. Novos locais de compra demandas relacionadas a recursos humanos e paralisações da produção. De acordo com o COSO, as relações entre essas alterações e seus efeitos são consideradas eventos sociais."O que você acha? Certo ou errado? Certo, não é mesmo? De acordo com o COSO II, os eventos decorrem de fatores internos e externos. Os fatores externos com os exemplos de eventos correlatos e as suas implicações incluem o seguinte:- Econômicos: os eventos relacionados contemplam oscilações de preços, a disponibilidade de capital, ou redução nas barreiras à entrada da concorrência, cujo resultado se traduz em um custo de capital mais elevado ou mais reduzido; e em novos concorrentes.- Meio ambiente: refere-se aos seguintes eventos: incêndios, inundações ou terremotos que provocam danos a fábricas ou edificações; restrição quanto ao uso de matérias-primas e perda de capital humano.- Políticos: eleição de agentes do governo com novas agendas políticas e novas leis e regulamentos, resultando por exemplo na abertura ou na restrição ao acesso a mercados estrangeiros ou elevação ou redução na carga tributária.- Sociais:  são alterações nas condições demográficas, nos costumes sociais, nas estruturas da família, nas prioridades de trabalho, vida e a atividade terrorista, que por sua vez, podem provocar mudanças na demanda de produtos e serviços. Novos locais de compras, demandas relacionadas a recursos humanos, paralisações da produção.- Tecnológicos: novas formas de comércio eletrônico que podem provocar aumento na disponibilidade de dados, reduções de custos de infraestrutura e aumento da demanda de serviços com base em tecnologia.Vamos ficando por aqui. No próximo áudio, vamos estudar sobre os objetivos do COSO II. Fique comigo.

01 - COSO II – ERM

Auditoria EmÁudio: Objetivos do COSO IIOlá! Neste áudio, vamos estudar sobre os objetivos do COSO II. Fique atento!Aprendemos que o COSO I apresenta três categorias de objetivos, o que permite às organizações se concentrarem em diferentes aspectos do controle interno: operacional, relatórios e conformidade.Vejamos agora os objetivos de acordo com o COSO II. Em primeiro lugar, temos o objetivo estratégico que são metas gerais macro relacionadas à missão da entidade. Exemplo: conquistar 25% do mercado, reduzir 15% dos gastos, etc. Em segundo lugar, temos o objetivo operacional com a utilização eficaz e eficiente dos recursos. Exemplo: Diminuir o custo unitário em R$3,00, organizar escala de plantões diminuindo as horas extras. Em terceiro lugar, temos o objetivo de comunicação sobre a confiabilidade dos relatórios. Exemplo: registros contábeis com baixo nível de erros, claros e concisos. Em quarto lugar, temos a conformidade sobre o cumprimento de leis e normativos. Exemplo: Baixo índice de multa dos organismos reguladores.Fácil, não é mesmo? Vamos agora resolver alguns exercícios para fixar melhor o conteúdo? Vou ler a afirmativa e você diz se está certo ou errado. Ok, ótimo. Vamos lá!A primeira questão é adaptada da Banca CESP. Vou ler: "Entre as quatro categorias de objetivos organizacionais estabelecidas pelo COSO, inclui-se a categoria dos Objetivos Operacionais, cujo propósito é utilizar de forma eficaz e eficiente os recursos." Certo ou errado?Está certa! Como a questão falou que são quatro objetivos organizacionais, temos que responder de acordo com o COSO II . Segundo o COSO II, as quatro categorias de objetivos são: estratégicos (objetivos e metas alinhados à missão da entidade), operacionais (utilização eficaz e eficiente dos recursos), comunicação (confiabilidade dos relatórios) e conformidade (cumprimento das leis e regulamentos aplicáveis).A segunda questão vai ser adaptada da Banca FGV - A Estrutura integrada de controle interno e gerenciamento de risco proposta pelo COSO está baseada em quatro categorias de objetivos. Categoria de objetivo relacionada à sobrevivência, continuidade e sustentabilidade organizacional é a estratégica."Já vou logo avisando que está certa! Mais uma questão baseada no COSO II. Observem que o objetivo que está relacionado com sobrevivência, continuidade e sustentabilidade é o estratégico, que trata dos objetivos e metas alinhados à missão da entidade.Assim, vamos ficando por aqui. No próximo áudio, daremos início aos componentes do COSO II. Até lá!

02 - Objetivos do COSO II

Auditoria EmÁudio: Componentes do COSO II - Parte IOlá, caro aluno e aluna. Força aí! Pois agora vamos dar início aos componentes do COSO II.  Som na Caixa.No COSO II também houve uma mudaça nos componentes, passando a ser em número de 8, na seguinte forma. Vou citar:1. Ambiente Interno2. Fixação de Objetivos3. Identificação de Eventos4. Avaliação de Riscos5. Resposta a Risco6. Atividades de Controle7. Informações e Comunicações8. MonitoramentoA primeira informação que eu quero que você ligue o alerta é a seguinte: Repare que nos componentes do COSO I temos o ambiente de controle. Já no COSO II temos o ambiente interno, ok? Vou repetir, atenção: no COSO I temos ambiente de controle, no COSO II temos ambiente interno.Além disso, repare que no COSO II três componentes foram acrescentados aos já existentes no COSO I. Quais são eles? Fixação de Objetivos, Identificação de Eventos e Resposta a Risco. Tudo bem até aqui? Ótimo! Agora vamos falar um pouco sobre cada componente do COSO II. Atenção! Em primeiro lugar temos o componente Ambiente Interno. O ambiente interno do COSO II é equivalente ao ambiente de controle do COSO I. Um ambiente interno é moldado pela história e cultura da organização e, por sua vez, molda de maneira explícita ou não a cultura de riscos da organização e a forma como eles são encarados e gerenciados. O tom da organização, influenciando a consciência de controle das pessoas, que é a base para todos os outros componentes do sistema, provendo disciplina e estrutura.Em segundo lugar, temos o componente Fixação de Objetivos. O modelo requer que todos os níveis da organização tenham objetivos fixados e comunicados, estratégicos, operacionais, comunicação e conformidade. Ou seja, ao nível da organização como um todo e para todas suas divisões, processos e atividades. São definidos pela alta Administração, devendo ser divulgados a todos os componentes da organização antes da identificação dos eventos que possam influenciar na consecução dos objetivos. Os objetivos devem estar alinhados à missão da entidade e devem ser compatíveis com o apetite a riscos, o qual direciona os níveis de tolerância a riscos para a organização.A fixação de objetivos é uma pré-condição à identificação de eventos, à avaliação de riscos e às respostas aos riscos. Em primeiro lugar, é necessário que os objetivos existam para que a administração identifique e avalie os riscos quanto à sua realização, bem como adote as medidas necessárias para administrá-los. Um processo adequado para a fixação de objetivos representa um componente crítico do gerenciamento de riscos corporativos. Embora os objetivos propiciem as metas mensuráveis na direção das quais a organização move-se ao realizar suas atividades, eles possuem diferentes graus de importância e prioridade.Vou chamar sua atenção aqui. Aqui começa a diferença entre os modelos. Como dissemos, o enfoque do COSO II é no gerenciamento dos riscos. Desta forma, ele abriu o segundo componente do COSO I, avaliação de Riscos, em quatro, sendo a fixação dos objetivos o primeiro deles. Na verdade, esses novos componentes já estavam presentes no modelo anterior, apenas com um enfoque menos abrangente. Lembra quando falamos na necessidade de se estabelecer os objetivos como pré-condição para avaliação de risco? Isso é para depois identificar os riscos. Será o próximo componente no COSO - ERM e executar as ações necessárias para gerenciá-los, avaliar e responder aos riscos, segundo o COSO II. Em terceiro temos o componente Identificação de Eventos. Todos os processos de uma organização têm algum risco associado inerente à sua própria natureza, mas também sempre existem oportunidades de negócios. Eventos são situações em potencial que ainda não ocorreram e que podem causar impacto na consecução dos objetivos da organização caso venham a ocorrer. Vimos nas páginas anteriores que os fatores internos e externos que impulsionam os eventos. Os eventos podem ser positivos (oportunidades) ou negativos (riscos).A identificação de Eventos consiste em determinar e catalogar os riscos e oportunidades nos diversos níveis da organização, sejam eles internos ou externos. Ou seja, mapear a existência de situações que possam impedir o alcance dos objetivos fixados ou a ausência de situações consideradas necessárias para se chegar a tais objetivos, ao nível da organização, de suas unidades de negócio, processos e atividades. Bem como aproveitar as oportunidades, canalizando para os processos estratégicos da administração. Portanto, por meio da identificação de eventos, pode-se planejar o tratamento adequado para as oportunidades e para os riscos, que devem ser entendidos como parte de um contexto, e não de forma isolada.Em quarto lugar temos o componente Avaliação de Riscos. Com os eventos identificados no componente anterior estes devem ser, então, avaliados sob a perspectiva de probabilidade e impacto de sua ocorrência. O objetivo da avaliação é formar uma base para o desenvolvimento de estratégias de Resposta a Risco, próximo componente de como os riscos serão administrados, de modo a diminuir a probabilidade de ocorrência e a magnitude do impacto. A avaliação de riscos é feita por meio de análises qualitativas e quantitativas, ou da combinação de ambas.Vamos ficando por aqui, por enquanto. No próximo áudio, daremos continuidade aos componentes do COSO II. Continue ligado aqui  no Emáudio.

03 - Componentes do COSO II – Parte 1

Auditoria EmÁudio: Componentes do COSO II - Parte IIOlá, queridos alunos e alunas. Como prometido, voltei com a continuação dos componentes do COSO II. Agora vamos voltar à sequência com o quinto componente: Resposta a Riscos.Para cada risco identificado, será prevista uma resposta que pode ser de quatro tipos: evitar, aceitar, compartilhar ou reduzir, cuja a escolha dependerá do nível de exposição a riscos previamente estabelecido pela organização em confronto com a avaliação que se fez do risco. Portanto, a resposta aos riscos é o processo de desenvolver e determinar estratégias para gerenciar os riscos identificados. Podem ser utilizados outros verbos como sinônimos dos citados anteriormente, mas a essência é a mesma. Por exemplo: eliminar, acatar, transferir e mitigar, logo de acordo com o tipo do risco as respostas a riscos classificam-se nas seguintes categorias:- Evitar: alterar o plano do projeto para eliminar totalmente o risco, protegendo os objetivos do projeto dos impactos deste risco eliminado; é a descontinuação das atividades que geram os riscos. Evitar riscos pode implicar a descontinuição de uma linha de produtos. O declínio da expansão de um novo mercado geográfico ou a venda de uma divisão. Exemplo: mudar o local da festa de uma área aberta para um salão aberto, evitando o risco de chuva ou mau tempo.- Transferir: transferir o risco para um terceiro, transferindo os impactos e a responsabilidade. É preciso ter em mente que o risco não é eliminado e quase sempre envolve o pagamento de prêmios à parte que está assumindo o risco. As técnicas comuns compreendem a aquisição de produtos de seguro, a realização de transações de hedge ou a terceirização de uma atividade (exemplo: contratação de um seguro de carro ou residência).- Mitigar: reduzir a probabilidade ou o impacto de um risco até um nível aceitável. Tipicamente, esse procedimento abrange qualquer uma das centenas de decisões do negócio no dia a dia (exemplo: ir ao banco sacar R$500.000.00 no caixa eletrônico, acompanhado de seguranças fortemente armados e sair de lá em um carro blindado).- Aceitar: quando não é possível aplicar nenhuma das outras estratégias e a equipe do projeto decide correr o risco. Portanto, evitar sugere que nenhuma opção de resposta tenha sido identificada para reduzir o impacto e a probabilidade a um nível aceitável. Reduzir ou compartilhar reduzem o risco residual a um nível compatível com as tolerâncias desejadas ao risco. Enquanto aceitar indica que o risco inerente já esteja dentro das tolerâncias do risco.Vou chamar sua tenção aqui, atente para o fato de aceitar o risco é uma forma de respodner ao risco, ou seja, se nada for feito em relação ao risco, ainda assim estamos respondendo a ele, desde que esse "não fazer nada" seja consciente. Isso pode ocorrer quando o custo de implementação de uma medida qualquer para responder a determinado risco fica muito alto, maior até do que os benefícios que a resposta traria para a organização. Entendeu? Então vamos resolver uma questão para ver se entendeu tudo mesmo.Questão CESP: A administração de uma universidade estadual, identificou e avaliou os riscos associados com a gerência da residência estudantil. Concluiu que a referida gerência não atendia internamente os requisitos necessários e as funcionalidades para administrar eficazmente essa grande propriedade residencial. Por essa razão, optou por terceirizar a administração da residência para uma empresa especializada que, entre outros fatores, tivesse condições de reduzir o impacto e a probabilidade de riscos. De acordo com o COSO, a categoria de resposta a risco descrita na situação hipotética apresentada é "compartilhar". Certo ou errado? Certinho, né? Observem que a administração da universidade optou por terceirizar a administração da residência para uma empresa especializada. Aprendemos que na resposta ao risco, transferir/compartilhar o risco é transferido para um terceiro, transferindo os impactos e a responsabilidade. É preciso ter em mente que o risco não é eliminado e quase sempre envolve o pagamento de prêmios à parte que está assumindo o risco. As técnicas comuns compreendem a aquisição de produtos de seguro, a realização de transações de hedging ou a terceirização de uma atividade.Vamos voltar à nossa sequência dos componentes do COSO II.Sexto componente: Atividades de Controle. As observações do COSO I valem para este modelo também. As políticas e procedimentos de controle devem ser estabelecidos e implementados para assegurar que as respostas aos riscos sejam executadas com eficácia. Antes, a sistemática do COSO considerava-se controle interno justamente estas atividades de controle, como a segregação de funções.Sétimo componente: Informação e Comunicação. As observações do COSO I também valem para este modelo. As informações devem ser relevantes, tempestivas, claras, internas ou externas, fluindo em todas as direções.Oitavo componente: Monitoramento. Mesmo as observações do COSO I, monitoramento contínuo, o monitoramento pontual ou ambos são usados para saber se os controles internos estão sendo efetivos.Vamos, então, resolver mais uma questão para fixar o conteúdo. Aumenta o som aí.De acordo com o COSO, são componentes de gerenciamento de riscos: o ambiente interno, a fixação de objetivos, a identificação de eventos, a avaliação de riscos, a resposta aos riscos, as atividades de controle, as informações e as comunicações. Está correta, não é mesmo?Resolução: No COSO II, existem oito componentes, quais sejam: ambiente interno, fixação de objetivos, identificação de eventos, avaliação de riscos, resposta a risco, atividades de controle, informações e comunicações, e monitoramento.Assim, vamos encerrando mais um conteúdo. Nosso próximo áudio será sobre a matriz tridimensional do COSO II. Fique comigo.

04 - Componentes do COSO II – Parte 2

Auditoria EmÁudio: Matriz Tridimensional do COSO IIOlá, esta vai ser uma aula em áudio bem curtinha mesmo para te explicar sobre a matriz tridimensional do COSO II. O Modelo é representado no formato de uma matriz tridimensional, da mesma forma que para o COSO I, com as alterações trazidas pelo COSO II.O que você precisa saber sobre a matriz tridimensional do COSO II é que na primeira dimensão, a dos objetivos, uma nova categoria de objetivos foi incluída na versão do COSO II: o estratégico. A estrutura organizacional permaneceu a mesma na segunda dimensão. Quanto aos componentes de controle, na terceira dimensão, foram adicionados três componentes: fixação de objetivos, identificação de eventos e resposta ao risco.Pronto, amigo! Acredito ser o suficiente para o seu objetivo. Espero que você resolva muitos exercícios para fixar a matéria. Ficamos por aqui, mas para encerrar com chave de ouro o nosso estudo sobre o COSO II, preparei um resumão em áudio para você. Não perca!

05 - Matriz Tridimensional do COSO II

Resumão de Auditoria EmÁudio: Gestão de Riscos segundo o COSO IIOlá querido aluno e aluna. Como prometido, trouxe um resumão em áudio sobre gestão de riscos, segundo o COSO II. Aumenta o som para você relembrar e fixar todos os conceitos.Os objetivos do controle interno, de acordo com o COSO II, são:1. Estratégico: com metas gerais macro relacionadas à missão da entidade. Exemplo: conquistar 25% do mercado, reduzir 15% dos gastos, etc.2. Operacional: que é a utilização eficaz e eficiente dos recursos. Exemplo: diminuir custo unitário em R$3,00, organizar a escala de plantões, diminuindo o pagamento de horas extras.3. Comunicação: que é a confiabilidade dos relatórios. Exemplo: registros contábeis com baixo nível de erros, claros e concisos.4. Conformidade: que é o cumprimento de leis e normativos. Exemplo: baixo índice de multa dos organismos reguladores.No COSO II também houve uma mudança quanto aos componentes, passando a ser em número de oito, da seguinte forma:1. Ambiente interno;2. Fixação de objetivos;3. Identificação de eventos;4. Avaliação de riscos;5. Resposta a risco;6. Atividades de controle;7. Informações e comunicações;8. Monitoramento.Lembre-se que no COSO I temos o ambiente de controle. Já no COSO II temos o ambiente interno. Para finalizar, o que você precisa saber sobre a matriz tridimensional do COSO II é que na primeira dimensão dos objetivos, uma nova categoria de objetivos foi incluída na versão do COSO II, o estratégico. A  estrutura organizacional permaneceu a mesma na segunda dimensão. Quanto aos componentes de controle, na terceira dimensão foram adicionados três componentes: fixação de objetivos, identificação de eventos e resposta ao risco.Prontinho! Tenho certeza que agora você vai acertar muitas questões. Obrigado pela companhia e até a próxima aula EmÁudio.

06 - Resumão EmÁudio: Gestão de Riscos segundo o COSO II

Legislação Transpetro - Administração e ControleAuditoriaGestão de Riscos segundo o COSO IITranspetro

Transpetro

01 - COSO II – ERM

02 - Objetivos do COSO II

03 - Componentes do COSO II – Parte 1

04 - Componentes do COSO II – Parte 2

05 - Matriz Tridimensional do COSO II

06 - Resumão EmÁudio: Gestão de Riscos segundo o COSO II

Legislação Transpetro - Administração e Controle

Auditoria
Gestão de Riscos segundo o COSO II

Transpetro