Post on 21-Jun-2015
COSO 2 – COSO 2 – Gerenciamento Gerenciamento
de Riscos de Riscos CorporativosCorporativos
COSO
Sigla de Committee of Sponsoring Organizations da National Comission on Fraudlent Financial Reporting, também conhecida como Treadeway Comission.
Criada em 1985, é uma entidade do setor privado, sem fins lucrativos, voltada para o aperfeiçoamento da qualidade de relatórios financeiros por meio de éticas profissionais, implementação de controles internos e governança corporativa.
Organizações patrocinadoras: American Institute of Certified Public Accountants – AICPA; American Accounting Association – AAA, The Institute of Internal Auditors - IIA, Institute of Management Accountants - IMA e Financial Executives Institute – FEI.
Controles Internos
Controles internos são um processo, conduzido pelo conselho de diretores, por todos os níveis de gerência e por outras pessoas da entidade, projetado para fornecer segurança razoável quanto à consecução de objetivos nas seguintes categorias:
eficácia e eficiência das operações; confiabilidade de relatórios financeiros; e cumprimento de leis e regulamentações
aplicáveis.
Controles Internos
controles internos representam um processo que consiste em uma série de ações que permeiam a infra-estrutura de uma entidade e a ela se integram;
controles internos são operados por pessoas, constituindo o resultado da interação de pessoas em todos os níveis da organização;
controles internos fornecem apenas segurança razoável, e não absoluta, à administração e ao conselho de administração; e
controles internos vinculam-se à consecução de objetivos nas três categorias (relatórios financeiros, conformidade e operações).
Incertezas
Incertezas geram riscos e oportunidades Incerteza: incapacidade em determinar com precisão a probabilidade de ocorrência de determinados eventos Derivam das próprias escolhas estratégicas das organizações
Riscos
Possibilidade de que um evento ocorrerá e afetará negativamente a realização dos objetivos Eventos de impacto negativo podem originar-se de situações aparentemente positivas (inflação de demanda)
Gerenciamento de Riscos:
“… um processo, efetivado pela diretoria, gerência e funcionários, aplicado em toda a empresa, para identificar eventos potenciais que podem afetar a organização e gerenciar riscos adequados à sua disposição de exposição a riscos, para propiciar segurança razoável quanto ao atingimento de seus objetivos
Fonte: COSO Enterprise Risk Management – Integrated Framework. 2004. COSO.
Importância do Gerenciamento de Riscos
Princípios Básicos:
Toda organização, de fins lucrativos ou não, existe para gerar valor para seus “stakeholders”
Valor é criado, preservado ou destruído pelas decisões de gestão em todas as atividade, desde as definições estratégicas até a operação do dia-a-dia
O Gerenciamento de Riscos propicia que a organização se posicione quanto a eventos futuros que podem criar incertezas e comprometer sua capacidade de gerar valor
Importância do Gerenciamento de Riscos
Aspectos conceituais:
Visão de risco de portfólio, aplicado à definição das estratégias – visão combinada possibilita avaliar se a carteira de risco é condizente com o apetite a risco da organização – atenção aos riscos inter-relacionados
Identificação de eventos em potencial que podem afetar a organização
O Gerenciamento de riscos inicia-se na própria definição da estratégia – o caminho escolhido implica a sujeição a determinados riscos
Estrutura de Gerenciamento de Riscos COSO
Componentes
Ambiente Interno – o ambiente interno compreende o tom de uma organização e fornece a base pela qual os riscos são identificados e abordados pelo seu pessoal, inclusive a filosofia de gerenciamento de riscos, o apetite a risco, a integridade e os valores éticos, além do ambiente em que estes estão.
Ambiente Interno
Abrange a cultura e estilo operacional de uma organização sobre o tratamento de riscos, a influência sobre a consciência de risco de seu pessoal, sendo a base para todos os outros componentes do gerenciamento de riscos corporativos, possibilita disciplina e estrutura.
Filosofia administrativa de uma organização no que diz respeito aos riscos
A filosofia estabelece a medida em que a organização tem a expectativa de que eventos inesperados ocorram
Requisito de Governança: conselheiros e diretores independentes
Componentes
Fixação de Objetivos – os objetivos devem existir antes que a administração possa identificar os eventos em potencial que poderão afetar a sua realização. O gerenciamento de riscos corporativos assegura que a administração disponha de um processo implementado para estabelecer os objetivos que propiciem suporte e estejam alinhados com a missão da organização e sejam compatíveis com o seu apetite a riscos.
Fixação de Objetivos
Os objetivos são fixados no âmbito estratégico, estabelecendo-se uma base para os objetivos operacionais, de comunicações (relatórios) e de conformidade.
Toda organização enfrenta uma variedade de riscos oriundos de fontes externas e internas, sendo o estabelecimento de objetivos, condição prévia para a identificação eficaz de eventos, avaliação de riscos e resposta a riscos.
Os objetivos são alinhados ao apetite a riscos, que impulsiona os níveis de tolerância a riscos para a organização.
Fixação de Objetivos
Os objetivos podem ser agrupados em quatro categorias:
Estratégicos: suportam a missão da organização Operacionais: eficácia e eficiência na utilização dos recursos
Salvaguarda de ativos
De comunicação: confiabilidade dos dados e informações produzidas pela organização
De conformidade: com leis e regulamentos
Sujeitos a eventos externos
Maior controlabilidade
Tolerância a riscos
Objetivo
Baixatolerância
a riscos
Alta tolerância a riscos
Apetite a risco: quantidade de risco que a organizaçãoestá disposta a aceitar na busca de sua missão\visão
Componentes
Identificação de Eventos – os eventos internos e externos que influenciam o cumprimento dos objetivos de uma organização devem ser identificados e classificados entre riscos e oportunidades. Essas oportunidades são canalizadas para os processos de estabelecimento de estratégias da administração ou de seus objetivos.
Identificação de Eventos
A administração identifica os eventos em potencial que, se ocorrerem, afetarão a organização e seus objetivos e determina se estes representam oportunidades ou se podem ter algum efeito adverso na sua capacidade de implementar adequadamente a estratégia e alcançar os objetivos.
Eventos de impacto negativo representam riscos que exigem avaliação e resposta da administração.
Os eventos de impacto positivo representam oportunidades que são canalizadas de volta aos processos de fixação das estratégias e dos objetivos.
Identificação de Eventos
Ao identificar eventos, a administração considera uma variedade de fatores internos e externos que podem dar origem a riscos e a oportunidades no contexto de toda a organização.
Observação de tendências passadas e emergentes que podem provocar a ocorrência de eventos
mesmo os eventos com possibilidade de ocorrência relativamente baixa não devem ser ignorados se o impacto na realização de um objetivo importante for elevado.
Identificação de Eventos Externos
Econômicos – oscilações de preços, disponibilidade de capital ou redução nas barreiras à entrada da concorrência
Meio ambiente – incêndios, inundações ou terremotos.
Políticos – eleição de agentes do governo com novas agendas políticas e novas leis e regulamentos.
Sociais – alterações nas condições demográficas, nos costumes sociais, nas estruturas da família, nas prioridades de trabalho/vida
Tecnológicos – novas formas de comércio eletrônico
Identificação de Eventos Internos
Infra-estrutura – disponibilidade e capacidade dos bens, alocação de capital em atividades de suporte x atividades finalísticas
Pessoal – acidentes de trabalho, saúde e segurança, atividades fraudulentas e expiração de acordos de trabalho
Processo – modificações de processos sem alteração adequada nos protocolos administrativos, erros de execução de processo e terceirização da entrega a clientes sem uma supervisão adequada
Tecnologia – integridade dos dados, aumento de recursos para fazer face à variabilidade de volume, violações da segurança e paralisação, em potencial, de sistemas
22
SWOT Analysis
S – StrengthsW – WeaknessesO – OpportunitiesT – Threats
I. Ambiente externo: oportunidades e ameaças (SWOT)
II. Ambiente interno: pontos fortes e fracos (SWOT)
Análise SWOT
23
Strengths
Um Ponto Forte (Strength) é algo que você tem mais do que seus concorrentes mais importantes e que pode lhe conferir vantagem competitiva.
Possíveis Pontos Fortes: Recursos financeiros abundantes Liderança do mercado Economias de escala Conhecimento proprietário Boa reputação
24
Weaknesses
Um Ponto Fraco (Weakness) é algo que seus concorrentes mais importantes têm mais do que você e que lhe impede de ter vantagem competitiva.
Possíveis Pontos Fracos: Falta de direção estratégica Custos mais altos Qualidade deficiente Produtos antiquados
25
Opportunities
Uma Oportunidade (Opportunity) é uma possibilidade de crescimento ou de progresso para a empresa devida a uma conjuntura favorável no ambiente de negócios.
Possíveis Oportunidades: Necessidades emergentes dos clientes Melhorias na qualidade Mercados globais em expansão Integração vertical
26
Threats Uma Ameaça (Threat) é um fator no ambiente
externo da sua empresa que representa um perigo para o seu progresso ou sobrevivência.
Possíveis Ameaças: Entrada no mercado de um novo
concorrente Mudanças na demografia ou na demanda Surgimento de tecnologias mais baratas Novas exigências legais
27
Chavão Pontos Fortes Potenciais Pontos Fracos Potenciais
Atendimento pós-venda estável Antiquado
Experiente Inflexível
Confiável Sem inovação
Linha de produtos abrangente Burocrático
Especialização técnica Só fornece a empresas grandes
Suprimento estável Impessoal
Status elevado
Ampla variedade Suprimento raso de peças e componentes
Fornecedor único Especialização limitada em cada produto
Conveniente
Adoção ampla do produto Vulnerável a mudanças na tecnologia
Imagem e status elevados Visão limitada de concorrência potencial
Boa alavancagem no mercado
"Temos longa tradição no ramo."
"Somos um fornecedor de peso."
"Temos uma linha de produtos abrangente."
"Detemos o padrão do ramo."
Certas afirmações sobre as vantagens competitivas da empresa podem ter valor ambíguo:
SWOT Analysis
28
29
Componentes
Avaliação de Riscos – os riscos são analisados, considerando-se a sua probabilidade e o impacto como base para determinar o modo pelo qual deverão ser administrados. Esses riscos são avaliados quanto à sua condição de inerentes e residuais.
Avaliação de Riscos
A avaliação de riscos permite que uma organização considere até que ponto eventos em potencial podem impactar a realização dos objetivos.
A administração avalia os eventos com base em duas perspectivas – probabilidade e impacto – e, geralmente, utiliza uma combinação de métodos qualitativos e quantitativos.
Avaliação de Riscos
Os impactos positivos e negativos dos eventos em potencial devem ser analisados isoladamente ou por categoria em toda a organização. Os riscos são avaliados com base em suas características inerentes e residuais.
Risco inerente é o risco que uma organização terá de enfrentar na falta de medidas que a administração possa adotar para alterar a probabilidade ou o impacto dos eventos.
Risco residual é aquele que ainda permanece após a resposta da administração.
Baixo
Alto
Alta
IMPACTO
PROBABILIDADE
Risco Alto
Sob avaliação
Sob Avaliação
Risco Baixo
Examplo: Call Center
• Desparecimentos de equipamentos
• Alto tempo de espera• Cliente não consegue ser
atendido• Cliente não consegue
respostas
• Obsolescência de equipamentos
• Chamadas para mesmos problemas
• Fraudes• Perda de transações
• Moral dos empregados
Um exemplo de avaliação de risco
Um ganho certo de $240 ou 25% de chancede ganhar $1.000, e 75% de chance de não ganhar nada.
Um prejuízo certo de $750, ou 75% de chance de perder $1.000, e 25% de chance de não perder nada
Segundo a teoria de expectativas, as pessoas não desejam colocar em risco o que já tem ou pensam que podem ter, porém apresentarão maior tolerância a riscos quando podem minimizar os prejuízos.
Componentes
Resposta a Risco – a administração escolhe as respostas aos riscos - evitando, aceitando, reduzindo ou compartilhando – desenvolvendo uma série de medidas para alinhar os riscos com a tolerância e com o apetite a risco.
Resposta a Riscos
Após ter conduzido uma avaliação dos riscos pertinentes, a administração determina como responderá aos riscos.
As respostas incluem evitar, reduzir, compartilhar ou aceitar os riscos. Ao considerar a própria resposta, a administração avalia o efeito sobre a probabilidade de ocorrência e o impacto do risco, assim como os custos e benefícios, selecionando, dessa forma, uma resposta que mantenha os riscos residuais dentro das tolerâncias a risco desejadas.
A administração identifica as oportunidades que possam existir e obtêm, assim, uma visão dos riscos em toda organização ou de portfólio, determinando se os riscos residuais gerais são compatíveis com o apetite a riscos da organização.
Objetivo: obter um nível de risco residual compatível com o nível de tolerância a riscos da organização
Resposta a Riscos - Exemplos
Evitar – Uma organização sem fins lucrativos identificou e avaliou os riscos de fornecer serviços médicos diretos aos seus membros e decidiu, desse modo, não aceitar os riscos associados.
Reduzir – Uma Companhia avaliou o risco de seus sistemas permanecerem inoperantes por um período superior a três horas. A Companhia investiu em tecnologia no aprimoramento de sistemas de auto-detecção de falhas e sistemas de back-up para reduzir a probabilidade de indisponibilidade do sistema.
Resposta a Riscos - Exemplos
Compartilhar – Uma universidade avaliou os riscos associados com a administração de seus dormitórios de estudantes e concluiu que não possuía os requisitos necessários para administrar eficazmente essas grandes propriedades residenciais. Terceirizou a administração do dormitório a uma empresa de administração de patrimônio, a fim de apresentar melhores condições de reduzir o impacto e a probabilidade de riscos relacionados com a propriedade.
Aceitar – Um órgão do governo identificou e avaliou os riscos de incêndio de sua infraestrutura por meio de diversas regiões geográficas e o custo de compartilhar o impacto de seu risco mediante cobertura de seguro. O órgão concluiu que o custo adicional dos seguros e os dedutíveis associados ultrapassavam o custo provável de substituição e decidiram aceitar esse risco.
Resposta a Riscos
Evitar – Descontinuação das atividades que geram os riscos. Evitar riscos pode implicar a descontinuação de uma linha de produtos, o declínio da expansão em um novo mercado geográfico ou a venda de uma divisão.
Reduzir – São adotadas medidas para reduzir a probabilidade ou o impacto dos riscos, ou, até mesmo, ambos. Tipicamente, esse procedimento abrange qualquer uma das centenas de decisões do negócio no dia-a-dia.
Compartilhar – Redução da probabilidade ou do impacto dos riscos pela transferência ou pelo compartilhamento de uma porção do risco. As técnicas comuns compreendem a aquisição de produtos de seguro, a realização de transações de headging ou a terceirização de uma atividade.
Aceitar – Nenhuma medida é adotada para afetar a probabilidade ou o grau de impacto dos riscos.
Componentes
Atividades de Controle – políticas e procedimentos são estabelecidos e implementados para assegurar que as respostas aos riscos sejam executadas com eficácia.
Atividades de Controle
As atividades de controle são as políticas e os procedimentos que contribuem para assegurar que as respostas aos riscos sejam executadas.
Essas atividades ocorrem em toda a organização, em todos os níveis e em todas as funções, pois compreendem uma série de atividades – tão diversas, como aprovação, autorização, verificação, reconciliação e revisão do desempenho operacional, da segurança dos bens e da segregação de responsabilidades.
Tipos de atividades de Controle
Revisões da Alta Direção – a alta direção compara o desempenho atual em relação ao orçado, às previsões, aos períodos anteriores e aos de concorrentes, para medir até que ponto as metas estão sendo alcançadas. A implementação de planos é monitorada no caso de desenvolvimento de novos produtos, join ventures ou novos financiamentos.
Administração Funcional Direta ou de Atividade – gerentes, no exercício de suas funções ou atividades examinam relatórios de desempenho. Um gerente responsável pelos empréstimos bancários a consumidores revisa os relatórios por filial, região e tipo de empréstimo (com caução), verificando resumos e identificando tendências e associando os resultados a estatísticas econômicas e metas.
Tipos de atividades de Controle
Processamento da Informação – uma variedade de controles é realizada para verificar a precisão, a integridade e a autorização das transações. O desenvolvimento de novos sistemas e as mudanças nos já existentes são controlados da mesma forma que o acesso a dados, arquivos e programas.
Controles Físicos – os equipamentos, estoques, títulos, dinheiro e outros bens são protegidos fisicamente, contados periodicamente e comparados com os valores apresentados nos registros de controle.
Tipos de atividades de Controle
Indicadores de Desempenho – relacionar diferentes conjuntos de dados, sejam eles operacionais sejam financeiros, em conjunto com a realização de análises dos relacionamentos e das medidas de investigação e correção, funciona como uma atividade de controle. Ao investigar resultados inesperados ou tendências incomuns, a administração poderá identificar circunstâncias nas quais a falta de capacidade para concluir processos fundamentais pode significar menor probabilidade dos objetivos serem alcançados
Segregação de funções – as obrigações são atribuídas ou divididas entre pessoas diferentes com a finalidade de reduzir o risco de erro ou de fraude. Por exemplo, as responsabilidades de autorização de transações, do registro e da entrega do bem em questão são divididas.
Componentes
Informação e Comunicação – as informações relevantes são identificadas, colhidas e comunicadas de forma e no prazo que permitam que cumpram suas responsabilidades. A comunicação eficaz também ocorre em um sentido mais amplo, fluindo em todos níveis da organização.
Informação e Comunicação
As informações são necessárias em todos os níveis de uma organização, para identificar, avaliar e responder a riscos. Requisitos: pontualidade e profundidade
Dados de eventos passados, presentes e futuros, relativos a uma ou mais categorias de objetivos.
Comunicação interna: papéis e responsabilidades
Comunicação externa: stakeholders (clientes, fornecedores, sociedade)
Infra-estrutura de TI: suporte à conversão de dados em informações
Informação e Comunicação – requisitos de qualidade
Conteúdo é apropriado – detalhamento necessário
Informações oportunas e disponíveis quando necessário
Informações atualizadas Exatidão e correção Acessibilidade Comunicação deve transmitir:
Importância do gerenciamento de risco Objetivos da organização Apetite e tolerância a risco Linguagem de riscos Funções e responsabilidades
Informação e Comunicação – requisitos de qualidade
O conteúdo é apropriado – está no nível de detalhes adequado?
As informações são oportunas – estarão disponíveis quando necessário?
As informações são atuais – são as mais recentes?
As informações são exatas – os dados estão corretos?
As informações são de fácil acesso – são de fácil obtenção por aqueles que as necessitam?
Componentes
Monitoramento – a integridade da gestão de riscos corporativos é monitorada e são feitas as modificações necessárias. O monitoramento é realizado através de atividades gerenciais contínuas ou avaliações independentes ou de ambas as formas.
Monitoramento
O gerenciamento de riscos corporativos é monitorado, avaliando-se a presença e o funcionamento de seus componentes ao longo do tempo.
Essa tarefa é realizada mediante atividades contínuas de monitoramento, avaliações independentes ou uma combinação de ambas.
O monitoramento contínuo ocorre no decurso normal das atividades de administração. As deficiências no gerenciamento de riscos corporativos são relatadas aos superiores, sendo as questões mais graves relatadas ao Conselho de administração e à diretoria executiva.
Auditoria interna: avaliação dos desenhos de controle Comunicações de partes externas confirmam
informações geradas internamente
Estrutura de Gerenciamento de Riscos COSO
O gerenciamento de riscos não é um processo em série, pelo qual um dos componentes afeta apenas o próximo
É multidirecional e interativo: todos os componentes influenciam os outros
Eficácia do Gerenciamento de Riscos
O processo de gerenciamento de riscos é eficaz quando os agentes: Entendem até que ponto objetivos estratégicos
estão sendo alcançados (efetividade) Entendem até que ponto objetivos operacionais
estão sendo alcançados (eficácia e eficiência) Têm segurança razoável quanto à confiabilidade
dos relatórios e das informações Têm segurança razoável de que leis e
regulamentos estão sendo observados
Papel da Auditoria Interna
Avaliar a eficácia do gerenciamento de riscos corporativos e recomendar melhorias.
Avaliação da confiabilidade das informações, a eficácia e a eficiência das operações e o cumprimento de leis e normas aplicáveis.
Objetividade da avaliação da auditoria interna refletida pela posição e autoridade dentro da organização.