Queria então dar continuidade ao último post e comentar sobre os primeiros princípios de Basiléia para Riscos Operacionais, falando um pouco mais sobre cada um deles abaixo. E o interessante disto, que ao passar por cada um dos 6 primeiros princípios, vai nos dar a oportunidade de falar sobre vários conceitos e pontos relevantes sobre a forma de gerir estes riscos operacionais.
Princípio 1: A Diretoria deve assumir a liderança no estabelecimento de uma cultura forte de gestão de riscos, implementada pela alta administração
A implementação de uma cultura forte de gestão de riscos requer uma liderança clara e contínua da diretoria, que deve definir os padrões e incentivos para um comportamento profissional e responsável. Estas ações têm impacto direto na resiliência do banco a eventos de risco operacional e na eficácia com que tais eventos são tratados.
A diretoria deve estabelecer um Código de Conduta e uma Política de Ética e Integridade que seja abrangente, definindo claramente as expectativas para os padrões de integridade e valores éticos a serem seguidos à risca. Já tive a oportunidade de construir e preparar alguns destes documentos, o que é sempre um desafio cultural, mas que é o começo de uma jornada em busca da maior e melhor maturidade.
Este código deve identificar práticas empresariais aceitáveis e proibir conflitos de interesse ou a prestação inadequada de serviços financeiros, seja intencional ou negligente.
A adesão a este código deve ser regularmente revista e aprovada pela diretoria e atestada por todos os funcionários. O cumprimento deste código deve ser supervisionado por um comitê de ética, de auditoria e de riscos mais sênior ou outro comitê de nível de diretoria.
Além disto a alta administração deve também alinhar as políticas de remuneração com a declaração do apetite e tolerância ao risco do banco. Isso ajuda a equilibrar os incentivos financeiros com as metas de longo prazo e a integridade operacional do banco, mantendo um controle eficaz sobre os riscos operacionais. Já tive a oportunidade de trabalhar em empresas ainde isto não era feito, e obviamente criava distorções e riscos.
Também é importante que a alta administração garanta um nível adequado de treinamento em gestão de riscos operacionais em toda a empresa. Os programas de treinamento devem ser diferenciados de acordo com o nível hierárquico e as responsabilidades dos indivíduos, desde os chefes das unidades de negócios até os gerentes sênior responsáveis pelos controles internos.
O apoio contínuo da diretoria e da alta administração é essencial para reforçar eficazmente os códigos de conduta e ética, as estratégias de remuneração e os programas de treinamento. A consistência neste apoio contribui para uma cultura organizacional que valoriza e prioriza a gestão de riscos e o comportamento ético.
A implementação e manutenção de uma cultura de gestão de riscos sólida não são tarefas que possam ser delegadas ou terceirizadas. Elas devem ser consideradas funções centrais da diretoria e da alta administração, que são em última instância responsáveis pela gestão eficaz dos riscos operacionais.
O princípio de que a diretoria deve assumir a liderança no estabelecimento de uma cultura forte de gestão de riscos está alinhado com as melhores práticas e diretrizes estabelecidas por órgãos regulatórios e padrões internacionais, como os Princípios para a Supervisão Bancária Eficaz do Comitê de Basileia sobre Supervisão Bancária.
Princípio 2: Os bancos devem desenvolver, implementar e manter uma estrutura de gestão de riscos operacionais totalmente integrada aos processos gerais de gestão de riscos do banco.
O tipo de gestão de riscos operacionais adotado pela empresa dependerá de uma série de fatores, incluindo a natureza, tamanho, complexidade e perfil de risco, mas para que isto seja eficaz, a diretoria e a administração do banco devem compreender plenamente os riscos inerentes ao portfólio de produtos, serviços, atividades e sistemas do banco.
Os componentes da gestão de riscos operacionais devem ser totalmente integrados aos processos gerais de gestão de riscos do banco pelas três linhas de defesa. A primeira linha de defesa é responsável pela implementação, a segunda linha por revisões e desafios adequados, e a terceira linha por revisões independentes. Essa estrutura deve ser incorporada em todos os níveis da organização, inclusive em iniciativas de novos negócios.
Uma política de riscos operacionais deve conter os seguintes itens e abordar os seguintes pontos:
a) Identificar as estruturas de governança usadas para gerir o risco operacional, incluindo linhas de reporte e responsabilidades.
b) Referir-se às políticas e procedimentos relevantes de gestão de risco operacional.
c) Descrever as ferramentas para identificação e avaliação de risco e controle, e o papel e responsabilidades das três linhas de defesa.
d) Explicitar o apetite e a tolerância ao risco operacional aceitos pelo banco, incluindo limiares, atividades materiais gatilho ou limites para riscos inerentes e residuais.
e) Detalhar a abordagem do banco para garantir que os controles sejam projetados, implementados e operados eficazmente.
f) Explicar a abordagem do banco para estabelecer e monitorar limiares ou limites para exposição a riscos inerentes e residuais.
g) Inventariar riscos e controles implementados por todas as unidades de negócio (por exemplo, em uma biblioteca de controle).
h) Estabelecer sistemas de relatório de risco e sistemas de informações de gestão que produzam dados oportunos e precisos.
i) Fornecer uma taxonomia comum de termos de risco operacional para garantir a consistência da identificação, avaliação de exposição e objetivos de gestão de riscos em todas as unidades de negócio.
j) Prover para uma revisão e desafio independentes apropriados dos resultados do processo de gestão de riscos.
k) Exigir que as políticas sejam revisadas e revisadas conforme apropriado com base na avaliação contínua da qualidade do ambiente de controle, abordando mudanças internas e externas no ambiente ou sempre que ocorrer uma mudança material no perfil de risco operacional do banco.
Não consigo ver risco operacional sendo tratado de forma separada. Mas sim sempre de forma integrada.
Princípio 3: Aprovação e Revisão Periódica da Política e Estratégia de Gestão de Riscos Operacionais pelo Conselho de Administração
O terceiro princípio ressalta a necessidade do Conselho de Administração aprovar e revisar periodicamente a política e estratégia de Gestão de Riscos Operacionais. O conselho deve criar uma cultura robusta de gestão de riscos e garantir que os processos sejam dinâmicos, abrangentes e integrados à política e estratégia de gestão de riscos da empresa. Isso inclui uma revisão rigorosa e aprovação de novas atividades, produtos e mudanças no perfil de risco, levando em consideração fatores ambientais externos e internos.
Nem sempre o conselho vê esta revisão com a devida importância que tem. Não é meramente uma burocracia a ser cumprida por exigência regulatória, mas sim uma boa oportunidade para ao menos uma vez por ano, parar para pensar no tema, e como ele está sendo tratado.
Princípio 4: Aprovação e Revisão de Declarações de Apetite e Tolerância a Riscos
O quarto princípio foca no estabelecimento de um apetite e tolerância a riscos claramente definidos, aprovados pelo conselho. Esta declaração deve ser comunicável, de fácil entendimento para todos os envolvidos, e alinhada aos planos estratégicos e financeiros da empresa. A revisão regular desta declaração é crítica, especialmente em vista de mudanças no ambiente externo, eficácia da gestão de riscos, e quaisquer quebras de limites.
Sempre acho que esta parte da definição da tolerância e do apetite a riscos é uma das mais importantes, e só reforça a necessidade de envolvimento da área de riscos não apenas como uma visão passiva de polícia controlando, mas sim de uma visão proativa de participar e ter voz e opinião nas decisões estratégicas da empresa.
Princípio 5: Estrutura de Governança de Riscos Clara, Efetiva e Robusta
O quinto princípio atribui à alta administração a responsabilidade de desenvolver uma estrutura de governança de riscos clara, eficaz e robusta. Isso inclui mecanismos desafiadores e processos de resolução eficazes, bem como a transformação desta gestão de forma prática em políticas e procedimentos específicos que possam ser implementados e verificados nas diferentes unidades de negócio. Além disso, a alta administração deve assegurar que o pessoal responsável pela gestão de riscos operacionais coordene e comunique eficazmente com aqueles que gerenciam outros tipos de riscos, tais como riscos de crédito e de mercado.
Ao projetar a estrutura de governança de risco operacional, bancos devem considerar:
- Estrutura do Comitê de Riscos: Para organizações maiores e mais complexas, práticas recomendam a criação de um comitê de risco a nível empresarial que supervisione todos os riscos.
- Composição do Comitê de Riscos: O comitê deve incluir membros com uma variedade de especializações, cobrindo atividades de negócios, atividades financeiras, questões legais, tecnológicas e regulatórias.
- Operação do Comitê de Riscos: As reuniões devem ser realizadas com frequência adequada e com recursos suficientes para permitir discussões e tomadas de decisões produtivas.
Princípio 6: Identificação e Avaliação Abrangente de Riscos Operacionais
O Princípio 6 defende que a alta administração deve garantir a identificação e avaliação abrangente dos riscos operacionais inerentes em todos os produtos, atividades, processos e sistemas materiais. Esta tarefa é importante para compreender os riscos e incentivos inerentes à operação. Tudo começa com uma boa identificação e avaliação de riscos são características fundamentais de um sistema eficaz de gestão de riscos operacionais e contribuem diretamente para a capacidade de resiliência operacional.
Abaixo alguns pontos relevantes sobre as ferramentas de identificação e avaliação dos riscos:
- Gestão de Eventos: Os bancos geralmente possuem protocolos predefinidos para a identificação, análise, gerenciamento e relatório de eventos de risco operacional. Essa abordagem ajuda a identificar novos riscos operacionais, entender as causas subjacentes e fraquezas de controle, e formular uma resposta apropriada para evitar recorrências.
- Dados de Eventos de Risco Operacional: Os bancos frequentemente mantêm um conjunto de dados completo que coleta todos os eventos materiais vivenciados e que serve como base para avaliações de risco operacional.
- Autoavaliações: Os bancos realizam autoavaliações para avaliar tanto o risco inerente (o risco antes de se considerar os controles) quanto o risco residual (o risco após a consideração dos controles).
- Monitoramento e Controle: Um framework apropriado para monitoramento e de controle facilita uma abordagem estruturada para a avaliação, revisão e monitoramento contínuo dos KPIs.
- Métricas: Usando dados de eventos de risco operacional e avaliações de risco e controle, os bancos frequentemente desenvolvem métricas para avaliar e monitorar sua exposição ao risco operacional.
- Análise de Cenários: É um método para identificar, analisar e medir uma gama de cenários, incluindo eventos de baixa probabilidade e alta severidade.
- Benchmarking e Análise Comparativa: Comparativos com outras instituições e ferramentas podem ser realizados para aprimorar o entendimento do perfil de risco operacional do banco.
É fundamental que os relatórios dessas ferramentas de avaliação de risco operacional sejam baseados em dados precisos, cuja integridade é garantida por uma governança robusta e procedimentos rigorosos de verificação e validação.
Estas ferramentas podem também contribuir diretamente para a abordagem de resiliência operacional de um banco, permitindo a identificação e o monitoramento de ameaças e vulnerabilidades às suas operações críticas.
Para não ficar grande e pesado demais, no próximo post vou falar sobre os próximos outros princípios.
Cada um destes princípios de Basileia para riscos operacionais, que constam no relatório do Comitê de Basileia para Supervisão Bancária de 2014 sobre os "Princípios para a sólida gestão de riscos operacionais".
Registro consultado na Okai.
