O COSO e a Gestão do Risco Empresarial

Qualquer organização, privada ou pública, com fins lucrativos ou não, existe para proporcionar valor à sua comunidade (stakeholders). Para que isso seja possível, a gestão tem que determinar a quantidade de incerteza que a empresa está preparada para aceitar. A incerteza representa riscos e oportunidades. Assim, a gestão de risco nas empresas permite lidar com os riscos e com as oportunidades para construir valor.

A incerteza deve-se à incapacidade de determinar com precisão a ocorrência de potenciais eventos e os resultados a eles associados. Esses eventos podem ser de natureza tecnológica, regulamentar, mercado, concorrência, ou mesmo ter origens internas. Quanto ao valor, é criado, preservado e desgastado através das decisões diárias de gestão. Consequentemente, as decisões terão que ter em conta os riscos e as oportunidades, considerando os ambientes interno e externo.

A figura apresenta o cubo COSO. Nas actividades de definição dos objectivos, identificação dos eventos, análise e avaliação dos riscos, resposta aos riscos, controlo, informação e comunicação, e acompanhamento e avaliação, as organizações precisam de ter em conta a estrutura (entidades, departamentos, unidades de negócio e a organização) e os objectivos (estratégicos, operacionais, de reporting e de conformidade) organizacionais.

O que é a gestão do risco empresarial?

De acordo com a Committee of Sponsoring Organizations of the Treadway Commission, "a gestão do risco empresarial é um processo realizado pelo conselho de administração, pela gestão e por outro pessoal, aplicado no ambiente estratégico e ao longo da empresa, planeado para identificar acontecimentos que possam afectar a entidade e gerir os riscos que se encontram dentro do risco aceitável, para proporcionar uma segurança razoável em relação à realização dos objectivos da entidade".

Com base nesta definição, a gestão do risco é:

• Um processo (significa que tem um fim, não é um fim em si);
• Realizado por pessoas (envolve pessoas de todos os níveis de uma organização);
• Aplicado à estratégia;
• Aplicado ao longo da empresa (em cada nível e unidade);
• Planeado para identificar potenciais eventos que afectam a organização e para gerir o risco dentro de níveis aceitáveis;
• Uma garantia para a gestão e para o conselho de administração das organizações;
• Adaptado para a realização dos objectivos.

A gestão do risco empresarial consiste em oito componentes inter-relacionados:

• Ambiente interno;
• Cenário dos objectivos;
• Identificação dos eventos;
• Avaliação do risco;
• Resposta ao risco;
• Actividades de controlo;
• Informação e comunicação;
• Monitorização.
• Vantagens da gestão do risco empresarial

A gestão do risco empresarial proporciona às organizações uma melhoria da sua capacidade para:

• Alinhar o risco aceitável com a estratégia organizacional. O risco aceitável é o grau de risco que uma organização está disposta a aceitar na prossecução dos seus objectivos. A gestão considera o risco aceitável para a avaliação de estratégias alternativas e depois alinha os objectivos com a estratégia adoptada, desenvolvendo mecanismos para gerir os riscos relacionados.
• Aumentar a capacidade de gerir o risco e optimizar o retorno. A gestão do risco empresarial proporciona uma melhoria da capacidade para identificar e avaliar os riscos, aumentando o retorno.
• Melhorar as decisões de resposta aos riscos. A gestão do risco empresarial proporciona rigor para identificar e seleccionar as respostas alternativas ao risco - anulação, redução, partilha e aceitação do risco. A gestão do risco empresarial proporciona metodologias e técnicas para a tomada de decisões.
• Minimizar as surpresas operacionais e os prejuízos. A gestão do risco permite melhorar a capacidade das organizações para identificar potenciais eventos, avaliar os riscos e estabelecer respostas, reduzindo deste modo a ocorrência de surpresas e a sua relação com custos ou perdas.
• Identificar e gerir os riscos transversais às organizações. Cada entidade enfrenta uma miríade de riscos que afecta diferentes partes da organização. A gestão precisa assim de gerir os riscos individualmente e de compreender os impactos inter-relacionados.
• Proporcionar uma resposta integrada para múltiplos riscos. Os processos de negócio têm muitos riscos inerentes e a gestão dos riscos empresariais permite integrar soluções para gerir os riscos.
• Aproveitar as oportunidades. A gestão considera eventos potenciais, mais do que riscos. Ao considerar um conjunto completo de eventos, a gestão obtém uma compreensão de como certos eventos representam oportunidades.
• Racionalizar o capital. A disponibilidade de mais informação sobre os riscos permite uma gestão mais eficaz da avaliação das necessidades de capital e melhora a distribuição do capital.

A gestão do risco empresarial não é um fim mas um meio importante. Torna apto o processo de gestão. A gestão do risco empresarial está inter-relacionada com o controlo da empresa, proporcionando informação aos directores sobre os riscos mais importantes e sobre a forma como estão a ser geridos.

A gestão do risco empresarial ajuda uma entidade a melhorar o seu desempenho, a alcançar os alvos de rentabilidade e a prever a perda de recursos. Também ajuda a assegurar relatórios eficazes e o cumprimento das leis e regulamentos, evitando prejudicar a sua reputação, entre outras consequências possíveis. Ajuda ainda a trilhar o caminho escolhido e a evita armadilhas e surpresas ao longo desse caminho.

Formas de resposta aos riscos

As respostas ao risco empresarial podem ser agrupadas nas seguintes categorias:

• Anulação. Acções implementadas para abandonar as actividades que deram origem ao risco. A anulação do risco envolve, por exemplo, o abandono de uma linha de produto, a rejeição da expansão para um novo mercado geográfico, ou a venda de uma divisão.
• Redução. Acções para reduzir a probabilidade ou o impacto do risco, ou ambos.
• Partilha. Acções para reduzir a probabilidade ou o impacto do risco pela transferência ou partilha de parte do risco. As técnicas de partilha do risco podem incluir a compra de produtos seguros, a junção de riscos, transações inferiores, ou o recurso ao outsourcing de uma actividade.
• Aceitação. Não é realizada nenhuma acção para afectar a probabilidade ou o impacto do risco.
  

Para determinar as respostas potenciais aos riscos, a gestão deve:

• Avaliar as consequências das respostas ao risco potencial;
• Avaliar os custos/benefícios das respostas ao risco potencial;
• Identificar as oportunidades possíveis para alcançar os objectivos da organização.
  

História do COSO

O COSO é a sigla do Committee of Sponsoring Organizations of the Treadway Commission e foi formado originalmente em 1985 para apoiar a National Commission on Fraudulent Financial Reporting, uma iniciativa privada destinada a estudar os aspectos que podem conduzir a relatórios financeiros fraudulentos. Paralelamente, desenvolveu recomendações para vários tipos de organizações, incluindo as organizações públicas e os seus auditores independentes, ou as instituições educacionais.

Esta comissão nacional foi apoiada por grandes associações profissionais dos Estados Unidos, nomeadamente a American Accounting Association, a American Institute of Certified Public Accountants, a Financial Executives International, o Institute of Internal Auditors, ou a National Association of Accountants (actual Institute of Management Accountants).

Produzido em 2005