Em 2004, o COSO publicou o Enterprise Risk Management - integrated framework (COSO ERM ou COSO II). Esse modelo, foi projetado com o objetivo de orientar as organizações no estabelecimento de um processo de gestão de riscos corporativos e na aplicação de boas práticas sobre o tema

De acordo com o COSO II, a estrutura de gerenciamento de riscos é orientada a fim de alcançar os objetivos de uma organização, classificados em quatro categorias: estratégicos, operações, comunicação e conformidade

A versão 2013 do COSO Internal Control — Integrated Framework define a relação existente entre controle interno, gestão de riscos corporativos e a governança corporativa

O COSO-ERM introduz conceitos interessantes como apetite a risco e tolerância a riscos

O modelo COSO-ERM, ao orientar a aplicação de um processo de gestão de riscos corporativos, invalida completamente o modelo COSO-IC pela inclusão de componentes e elementos adicionais que asseguram a realização de todas as atividades necessárias