Uma Estrutura de Apetite à Risco (Risk Appetite Framework - RAF) define o nível máximo de risco que uma organização está disposta a aceitar para perseguir o seu plano de negócios e objetivos estratégicos de longo prazo, tendo em conta os interesses das partes interessadas e os requisitos regulamentares específicos de risco. Seu desenho e parametrização devem envolver todas as Três Linhas de Defesa uma vez que, dado o seu propósito estratégico, incorporar uma avaliação organizacional completa é essencial para tornar a Estrutura de Apetite à Risco uma ferramenta de orientação eficiente.
O conceito de apetite à risco evoluiu muito ao longo dos últimos anos, atingindo a maturidade não só através de novas normas regulamentares, mas também dos esforços práticos e dos ajustes contínuos das organizações. Atualmente, os conceitos fundamentais subjacentes a uma Estrutura de Apetite à Risco padrão, reconhecidos por unanimidade pelos reguladores e aplicados transversalmente aos riscos financeiros e não financeiros, são: “apetite”, “capacidade” e “limite”. Esses conceitos expressam como o risco é medido e os limites relevantes são monitorados, ou seja:
• Apetite à Risco: Declaração expressa e formal relativa aos níveis de riscos que uma entidade está disposta a aceitar no seu esforço para atingir os seus objetivos estratégicos. Pode ser expresso como uma medida quantitativa ou como uma frase qualitativa. Quando detalhado a nível de métrica / indicador, é frequentemente identificado como “alvo” e fornece o limiar de referência para o desenvolvimento e orientação do negócio, indicando o nível de risco considerado ideal para a organização.
• Capacidade de Risco: Entendida como o nível máximo de risco que pode ser tolerado pela entidade, antes de violar restrições relevantes (regulatórias ou internas). Valores superiores a esse são considerados inaceitáveis, e tanto a alta administração como o conselho devem levar isso em consideração ao tomarem decisões de risco, tanto em condições normais como em condições de estresse.
• Meta / Atenção / Limite de Risco: Limites quantitativos que propagam o apetite à risco agregado no nível operacional da organização (linha de negócios, departamento, etc.). Eles representam o desvio máximo aceitável do nível-alvo e devem ser definidos deixando espaço suficiente para operar também em condições de estresse.
Os Três Níveis de uma Estrutura de Apetite à Risco
Considerando as definições acima, as organizações normalmente definem três níveis diferentes nas suas Estrutura de Apetite à Risco:
Nível 1: Declaração Geral de Apetite à Risco (Risk Appetite Statement - RAS)
É uma declaração formal de alto nível que define os tipos e níveis de riscos que podem ser assumidos na perseguição dos objetivos estratégicos de negócio, para cada tipo de risco. Para que uma RAS seja acionável, ela deve conter uma indicação expressa de:
• Princípios fundamentais que orientam a resposta aos riscos não financeiros, a serem transpostos para métricas de apetite ao risco.
• Atividades proibidas para a organização às quais se aplica “tolerância zero”.
Essa declaração, e, especial para riscos não financeiros, desempenha um papel fundamental, e, portanto, deve ser suficientemente estruturada e específica para fornecer orientação e implicações acionáveis para as decisões de gestão de risco.
Como boa prática, os seguintes quatro elementos devem ser abordados na declaração para cada tipo de risco:
Definir a ambição da organização em relação à conformidade regulamentar (por exemplo, conformidade com os requisitos mínimos aplicáveis versus a conformidade total com os requisitos não obrigatórios).
Traduzir ambição em objetivos, expressos, por exemplo, em termos de operações internas e interações com clientes.
Expressão de mecanismos de monitoramento através dos quais é possível reconhecer o progresso em direção ao objetivo.
Identificação dos padrões pelos quais a organização mede o seu desempenho.
Abaixo segue um exemplo de uma Declaração Geral de Apetite à Risco de uma instituição financeira relacionada ao risco de conformidade (compliance):
“A Instituição Financeira está empenhada em cumprir todos os regulamentos e legislação aplicáveis ao longo das suas operações e em cooperar com as autoridades para identificar, prevenir e eliminar atividades, práticas e comportamentos que conduzam a violações. A Organização monitoriza continuamente o seu desempenho de conformidade e inicia ações corretivas conforme necessário, sempre de acordo com as normas nacionais e internacionais estabelecidas.”
Nível 2: Tolerância dos fatores de riscos
Deve-se então definir os fatores de risco (eventos que precisam ocorrer nas atividades / processos da organização para a materialização do risco) nos quais os riscos declarados na RAS podem ser desagregados e seus respectivos limites de tolerância definidos.
Geralmente ligado a medidas de risco residual capturadas por uma avaliação de risco, este é o passo principal para permitir a mensuração e o monitoramento do desempenho da organização em relação aos objetivos e limites de apetite à risco aplicáveis.
Para riscos não financeiros, uma das melhores ferramentas para executar esta etapa é a utilização dos resultados de uma avaliação de risco que permita análises mais profundas sobre riscos específicos, fornecendo ao mesmo tempo uma visão holística dos riscos e seus respectivos níveis de prioridade / criticidade. Uma avaliação de riscos executada através de um Mapa de Calor de Riscos Residuais pode ser uma boa ferramenta para definir os diferentes fatores de risco e seus respectivos limites de tolerância.
Nível 3: Indicadores e limites de risco detalhados
O Nível 3 representa o cascateamento da Estrutura de Apetite à Risco até o nível das linhas de negócio e suporte através de Indicadores Chave de Risco (KRIs) específicos, que permitem a detecção precoce de potenciais desvios dos objetivos de apetite ao risco, facilitando a intervenção tempestiva. Os KRIs permitem à organização medir e monitorar o desempenho das métricas de apetite ao risco definidas e definir limites de tolerância detalhados (meta, atenção, limite) para cada um.
A seguinte sequência de três filtros pode ser usada para selecionar os KRIs que são coletivamente mais significativos para esse processo:
Filtro 1: Identificação dos indicadores candidatos
Aqui deve-se focar nas áreas / operações onde o risco inerente é mais elevado (por exemplo, para o risco de lavagem de dinheiro, selecionar indicadores sobre clientes que operam em setores de alto risco, como jogos e apostas). Além disso, conclusões resultantes de inspeções externas, avaliações internas ou áreas críticas afetadas por alterações regulamentares recentes também podem representar fontes relevantes para a identificação de KRIs.
Pode-se também adotar regras para garantir que os riscos explorados sejam corretamente equilibrados, com o objetivo de alcançar um enfoque adequado no monitoramento de riscos mais críticos. Por exemplo, pode ser decidido que riscos / fatores de risco “médio” não podem ter um número maior de KRIs do que riscos / fatores de risco “alto”.
Filtro 2: Adequabilidade para rastreamento de apetite
A seleção inicial de potenciais KRIs é submetida então a um exame mais aprofundado, com o objetivo de identificar aqueles cujas características têm maior probabilidade de garantir uma mensuração confiável e relevante. Essa avaliação é geralmente realizada em três dimensões:
1. Viabilidade: É fundamental avaliar a facilidade com que cada indicador pode ser medido a partir da informação existente ou a necessidade de implementar novos processos / ferramentas para realizar essa mensuração.
2. Disponibilidade: Indicadores baseados em dados que são significativos e normalmente usados em outros processos podem ser mais facilmente explicados e avaliados quanto à sua consistência.
3. Relevância Regulatória: Os indicadores devem capturar dimensões que são especificamente visadas pelos requisitos regulamentares aplicáveis e que, por esta razão, podem ser áreas típicas de investigação para autoridades e outras funções de controle.
Filtro 3: Julgamento de especialistas
Os especialistas no assunto normalmente refinam a escolha final com base em:
• Riscos emergentes no mercado.
• Identificação de peculiaridades de determinados indicadores (indicadores que possam apresentar variabilidade excessiva ou que não sejam monitoráveis entre diferentes grupos de clientes, por exemplo).
• Identificação de complementaridade entre indicadores, que pode ser explorada para fornecer uma representação mais completa do seu desempenho / risco associado.
A Governança de uma Estrutura de Apetite à Risco
Para permitir o apoio às decisões de negócio, a Estrutura de Apetite à Risco de uma organização deve ser apoiada por uma governança forte, com papéis claros para todas as partes interessadas envolvidas em todos os seus níveis (conselho de administração, alta gestão, linhas de negócio, funções de risco e controle, entidades jurídicas, etc.). Como parte do quadro global de governança corporativa, espera-se que as declarações de apetite a risco sejam utilizadas para promover discussões robustas sobre riscos e questões estratégicas, não apenas no âmbito do conselho de administração, mas também em conjunto com as funções de gestão de risco e de conformidade.
A Estrutura de Apetite à Risco também deve ser divulgada dentro da organização. Isto significa que, idealmente, devem ser estabelecidas também declarações de apetite a risco para linhas de negócio e áreas de suporte, de forma a garantir que a sua estratégia e limites de risco estejam alinhados com a declaração de apetite a risco geral da organização.
Os componentes de uma Estrutura de Apetite à Risco devem ser revisados periodicamente (em geral, anualmente), para garantir que sejam significativos, completos e atualizados. Além disso, o regulador também exige revisões independentes periódicas da Estrutura de Apetite à Risco pela função de auditoria interna.
Processo de Escalamento
Caso algum indicador viole os limiares de “atenção” (amarelo) ou “limite” (vermelho), são ativados processos de escalamento para gerir os riscos relacionados, onde devem ser enviadas comunicações para informar as áreas afetadas notificando a violação e dando início à investigação das suas causas.
Diferentes processos de escalamento são projetados para refletir a urgência específica, tempestividade e gravidade da violação, diferenciando assim entre aqueles desencadeados por uma violação do limiar de "atenção" (normalmente envolvendo comitês de risco) e aqueles desencadeados por uma violação do limiar de "limite" (normalmente envolvendo o conselho de administração). Os processos de escalonamento devem ser desenhados considerando:
• Princípios e critérios para escalamento (por exemplo, materialidade confirmada do risco, consistência com outros alertas, etc.).
• Escopo da escalada (por exemplo, em nível local, regional ou matriz).
• Envolvimento do proprietário no tipo apropriado de risco.
• Identificação de potenciais estratégias de risco a adotar (por exemplo: nenhuma ação / mitigação / eliminação / transferência).
Em relação às ações tomadas quando um indicador específico excede o limiar:
• As funções de negócio / suporte relevantes devem ser envolvidas e informadas em tempo hábil para concentrar a atenção na situação crítica e induzir uma abordagem mais prudente, mesmo antes da concepção e adoção de medidas corretivas.
• Potenciais ações corretivas devem ser propostas e definidas em conjunto com todas as áreas afetadas.
• As ações corretivas acordadas devem ser prontamente ativadas e monitoradas.
• Após a conclusão, a ação corretiva deve ser revisada pela 2ª / 3ª linhas de defesa antes das ações serem encerradas.
