Na semana passada li uma publicação interessantíssima do mestre Luiz Henrique Lobo sobre a importância da integração dos riscos de compliance dentro do processo de Auto Avaliação de Riscos e Controles (ou Risk and Controls Self Assessment – RCSA), normalmente executado pelo time de risco operacional (o link está no final dessa publicação). Essa publicação me inspirou a escrever o meu artigo hoje. Na minha opinião, a Auto Avaliação de Riscos e Controles (RCSA) é uma das ferramentas mais poderosas dentro do processo de gestão de riscos. Um RCSA bem executado pode produzir vários resultados valiosos para a organização, como por exemplo:
- Conscientização aprimorada e gestão de riscos proativa: em um processo de RCSA, as partes interessadas obtêm uma compreensão mais profunda dos riscos da organização, incluindo o seu potencial impacto e probabilidade. Esta maior consciência ajuda a identificar riscos emergentes e fraquezas de controle, permitindo que ações corretivas sejam tomadas antes que os problemas se transformem em problemas significativos.
- Identificação dos principais riscos e priorização consistente: o RSCA ajuda a identificar e priorizar os principais riscos que têm impacto mais significativo nos objetivos da organização, permitindo esforços concentrados na gestão de riscos de alta prioridade. Além disso, garante consistência na priorização de riscos em diferentes departamentos e processos.
- Estratégias aprimoradas de resposta a riscos: ao avaliar os riscos e controles, a organização pode desenvolver estratégias de resposta aos riscos mais direcionadas e eficazes. Isto pode envolver o reforço dos controles existentes, a introdução de novos ou a aceitação de certos riscos.
- Tomada de decisão informada: o RSCA fornece à gestão informações relevantes para a tomada de decisões sobre mitigação de riscos e alocação de recursos. Isso garante que as decisões estejam alinhadas com a tolerância ao risco e os objetivos estratégicos da organização.
Porém, apesar de serem amplamente utilizados por muitas empresas no setor de serviços financeiros, a avaliação do valor da execução de RCSAs muitas vezes gera uma resposta mista nas organizações, não apenas por parte das partes avaliadas (1ª Linha de Defesa), mas também dos próprios profissionais envolvidos em sua facilitação (2ª Linha de Defesa). Muitos ainda questionam se o processo traz algum benefício, enquanto críticos sugerem que os RCSAs são uma perda de tempo. Um estudo das práticas da indústria publicado pela Operational Riskdata eXchange Association (ORX) em 2020 (o link está no final dessa publicação), refletiu a visão de que os RCSAs eram vistos como não entregando valor suficiente e percebidos como um exercício para “cumprir tabela”, em vez de influenciar verdadeiramente as decisões de negócios. O estudo mostra a percepção de que o processo muitas vezes “não influencia suficientemente as decisões de negócios” e “não permite que as instituições sejam tão proativas na gestão de risco como pretendido.”
No atual estágio de evolução da disciplina de gestão de riscos operacionais, é razoável acreditar que as empresas tenham desenvolvido procedimentos detalhados, modelos predefinidos para o que precisa ser capturado em um software ou solução de planilha, e uma biblioteca de riscos e controles comumente formulados. Será que a metodologia se tornou demasiado prescritiva e que o esforço envolvido no processo superou o valor acrescentado do negócio?
Na minha opinião, não é isso. O que realmente ocorre é que muitos processos de RCSA não incluem os cinco fatores essenciais de sucesso para a sua execução, ou como eu gosto de chamar, os cinco ingredientes essenciais da receita de um RCSA eficiente. São eles:
-
Envolvimento pessoal e significativo da alta gestão:
O RCSA é um investimento na compreensão e melhoria do ambiente de controle para evitar que riscos potenciais se materializem no futuro. Portanto, é essencial ter a alta gestão, a qual em última análise é a responsável pelas falhas, totalmente envolvida no processo e totalmente familiarizada com a proposta de valor e com o compromisso de tempo necessário.
-
Elevado grau de preparação prévia:
Antes de iniciar o processo de RCSA, o profissional de risco deve ter formado a sua própria visão sobre os riscos que espera que surjam, com base na sua compreensão do negócio e do seu ambiente. Um pacote de pré-leitura com informação complementar é uma ajuda essencial para a avaliação, incluindo:
- Estratégia e plano de negócios, finanças, atas de reuniões do comitê de governança, programas planejados de mudanças materiais.
- Dados de risco operacional, incluindo um histórico de eventos de risco operacional, principais indicadores de risco e resultados de RCSAs anteriores, se existirem.
- Resultados de outras disciplinas de controle, como por exemplo, avaliações de compliance e relatórios de auditoria interna.
- Dados de fontes externas, incluindo dados de perdas externas de empresas pares, informações sobre o cenário regulatório e áreas prioritárias para reguladores.
-
Facilitador especializado:
O RCSA precisa ser facilitado por um indivíduo experiente. Para fornecer o nível de apoio necessário, o time de riscos envolvido no processo deve ter uma vasta experiência não só na disciplina de risco em si, mas também ter competências de softskills como facilitação e negociação. Caso contrário, pode-se chegar a uma situação em que nem os facilitadores nem os responsáveis pelas áreas auto avaliadas sabem realmente o que estão fazendo.
-
Racionalização do esforço:
Se o processo de RSCA não for adequado à sua finalidade, podem acabar surgindo centenas e, por vezes, milhares de riscos – enfatizando a quantidade em detrimento da qualidade e conduzindo rapidamente à fadiga organizacional. Embora não exista um número padrão, um bom e efetivo RCSA provavelmente gerará uma gama de 10 a 30 riscos, com no máximo três controles-chave por risco. Nem todos os riscos precisam de ser registrados. Lembre-se: o foco deve estar nos itens materiais. É uma boa prática incluir esta orientação na avaliação, por exemplo, recomendando a captura apenas dos riscos inerentes importantes e significativos e a eliminação de entradas menos importantes.
-
Definição de medidas de sucesso do processo:
A falta de resultados tangíveis leva a questões sobre o valor do RCSA, e deve ser feito um grande esforço para obter ações e próximos passos claros e bem formulados. Portanto, além da atestação do executivo proprietário do processo auto avaliado de que o RCSA reflete de forma verdadeira o perfil de risco / controle de sua respectiva área e da confirmação dos planos de ação e próximos passos, para apoiar a proposta de valor do RCSA é necessário desenvolver medidas específicas de sucesso do processo, como por exemplo:
- RCSA como motor de mudança: monitoramento das ações emanadas do RCSA, idealmente com o valor monetário de quaisquer projetos de melhoria iniciados como resultado do programa.
- RCSA como impulsionador da transparência em torno do ambiente de risco e controle: o RCSA deve minimizar surpresas em revisões subsequentes de auditoria interna ou externa, uma vez que os riscos materiais já são conhecidos e abordados. Em vista disso, o número de riscos significativos novos ou desconhecidos identificados pela auditoria interna (talvez como uma porcentagem do número total de riscos) pode ser usado como uma medida tangível da eficácia do RCSA.
Em última análise, o time de risco operacional é em grande parte responsável pelo sucesso (ou fracasso) do processo de RCSA, e deve garantir que os cinco ingredientes acima estejam efetivamente presentes durante a sua execução. O departamento de risco operacional é responsável pelo desenvolvimento da abordagem e metodologia e pela educação das partes interessadas sobre o processo e os benefícios esperados, além disso, também deve estar familiarizado com os processos da área avaliada, dominar habilidades de facilitação e fornecer a supervisão / desafio sobre se o resultado representa corretamente o ambiente de riscos e controles da área avaliada.
Como proprietárias dos riscos e dos controles, as unidades de negócio da linha da frente e as funções de suporte (1ª linha de defesa) são responsáveis pela identificação e gestão robustas dos riscos. É benéfico para eles, portanto, garantir que o exercício seja levado a sério e que as partes interessadas certas estejam à mesa para que o RCSA gere resultados significativos, incluindo o desenvolvimento de planos de ação para endereçar controles ineficientes e o seu acompanhamento até à resolução.
Artigo do Luiz Henrique Lobo : https://www.linkedin.com/posts/luizlobo_riscooperacional-compliance-controlesinternos-activity-7099013633644371968-jGB2?utm_source=share&utm_medium=member_desktop
Optimizing Risk and Control Self-Assessment - Operational Riskdata eXchange Association (ORX), 2020: managingrisktogether.orx.org/sites/default/files/public/downloads/2020/01/orx_rcsa_practice_benchmark_summary_report.pdf (arquivado em https://perma.cc/8G3N-2HNG)
