Infelizmente, os recentes eventos da chuva e inundação de Porto Alegre e todo o Rio Grande do Sul me fizeram pensar um pouco com a visão de gestão de riscos, e o tema do chamado Risco Operacional foi uma das coisas que me veio logo à mente, assim como o conceito dos "cisnes negros" dos eventos raros, mas este já havia escrito algo, então resolvi escrever um pouco a respeito das fases da gestão dos riscos operacionais, e este primeiro post é sobre a fase inicial, e depois escrevo mais sobre as demais para não ficar longo demais.
Queria falar um pouco sobre este processo de autoavaliação dos riscos, que é uma ferramenta essencial na gestão de riscos operacionais, fornecendo uma estrutura para avaliar exposições operacionais e ajudar na eficácia dos controles internos. Vou tentar falar abaixo um pouco mais sobre sua aplicação e escopo, e se o foco deve ser em processos ou eventos, assim como os papéis e responsabilidades de cada um, além da frequência e o momento adequados para sua realização.
O primeiro passo crítico na implementação deste processo de avaliação dos riscos operacionais é decidir se ele será necessário para alguns ou todos os riscos operacionais aos quais a empresa está exposta. Em muitas, o normal é exigir que todos os riscos operacionais identificados sejam submetidos ao processo de avaliação, garantindo assim uma cobertura abrangente e completa. Pessoalmente, sou favorável a este approach.
Mas, considerando uma eventual grande quantidade de exposições a riscos operacionais que podem existir em uma empresa, essa abordagem pode ser extremamente demorada e custosa. Por isto, não podemos descartar como alternativa, infelizmente, limitar a granularidade desta avaliação de riscos operacionais e focar apenas nos riscos operacionais mais significativos que ameaçam o alcance dos objetivos organizacionais, garantindo assim uma gestão eficiente sem sobrecarregar o processo com detalhes excessivos.
Existem duas linhas que normalmente podem ser seguidas com este processo de análise dos riscos, sendo o primeiro que pode ser focado em eventos específicos como: inundações, desmoronamentos, incêndios, fraudes ou até (meus temidos) ataques cibernéticos, ou então uma segunda opção de caminho, que seria baseado em processos, com o mapeamento dos processos organizacionais e identificando pontos potenciais de falha.
Gosto mais desta segunda opção para começar, e a primeira depois que estiver mais maduro com elas. Pois o foco em processos alinha o gerenciamento de riscos operacionais às operações diárias da empresa, tornando-o mais fácil de entender e assim relevante para a gestão. Contudo, essa abordagem exige tempo significativo para mapear detalhadamente os processos, o que pode não ser viável para todas as empresas. Mas, em um momento ou outro, será preciso fazer.
Em relação aos papéis e as responsabilidades, a área de risco operacional, dentro da área de gestão de riscos, é a responsável por liderar e conduzir este processo de avaliação dos riscos operacionais, sendo a responsável pelo seu design e implementação, o que inclui também a documentação de todo este processo, além da ajuda com o treinamento e o apoio na realização de workshops, pois não podemos esquecer nunca que este processo não é apenas da área de riscos em si, mas que diferentes partes da empresa têm também suas responsabilidades, em especial na ajuda da identificação de fraquezas de suas áreas, ajudando a montar a matriz de riscos com impactos e frequência, afinal ninguém melhor do que elas para conhecer isto, pois está no seu dia a dia.
Bom lembrar que desde o conselho de administração e seus comitês de riscos e/ou auditoria têm a responsabilidade de garantir que um processo apropriado de controle interno esteja em vigor, recebendo as garantias sobre a eficácia da gestão destes riscos operacionais ao revisar os resultados deste processo e olhando para as exposições mais significativas ao risco operacional. Ou seja, essencialmente os órgãos de governança devem supervisionar e validar a integridade do processo, e principalmente garantir que ele esteja alinhado com os objetivos estratégicos e a tolerância ao risco da empresa.
Já o que eu chamo dos "donos do risco", são os responsáveis pela realização deste processo de levantamento e da gestão destes riscos operacionais, garantindo que as exposições ao risco estejam dentro do apetite e da tolerância definidos e que não haja fraquezas significativas ou lacunas nos controles. Além disso, os donos destes riscos devem supervisionar a conclusão de quaisquer ações necessárias para abordar as deficiências dos controles.
Não podemos esquecer da alta administração, que é a responsável por apoiar o trabalho do conselho de administração, garantindo que uma abordagem e processo eficaz de riscos operacionais esteja em vigor, em especial na figura do chamado: Diretor de Riscos (CRO), que no final das contas tem a principal responsabilidade por supervisionar o design e a implementação de tudo isto.
Um pouco do que vejo muitas vezes acontecer é que se contrata uma consultoria externa, que faz o trabalho quase que sozinha, pois o pessoal da empresa está mergulhado no seu dia a dia, sem tempo para fazer este processo e a matriz. O problema acontece depois que a matriz está pronta, e principalmente depois de um tempo, porque todo este processo é dinâmico e acompanha a vida da empresa, e assim devem ser revisados regularmente (anualmente é uma boa opção) para garantir que permaneçam atualizados. O certo é fazer isto antes das revisões anuais dos objetivos e orçamentos organizacionais ou das áreas, para que assim esteja alinhado com as atividades estratégicas da empresa.
Para quem está começando nisto, após definir bem os papéis e responsabilidades, está na hora da fase de planejamento e do desenho do processo, que influencia bastante o sucesso ou fracasso de sua implementação. Este desenho deve ser meticulosamente planejado para refletir as especificidades e complexidades da empresa, se integrando ao restante do processo de avaliação dos riscos.
Neste sentido, este desenho e planejamento devem começar com uma consideração cuidadosa dos elementos que serão incluídos, pois não devemos nunca esquecer que o equilíbrio entre custo e benefício da adição de cada elemento deve ser cuidadosamente avaliado para assegurar que o processo em si seja não apenas abrangente, mas também prático e gerenciável. Não vamos esquecer que o ótimo é inimigo do bom....
Este processo precisa incluir a criação de uma matriz de risco com a probabilidade e o impacto, de forma a ter avaliações de risco inerente e residual, além de uma análise das causas e efeitos dos eventos de risco operacional.
Importante também avaliar a eficácia dos controles existentes, e com base nisso identificar as ações necessárias para melhorar esses controles.
Inicialmente muitas empresas optam por utilizar planilhas para a implementação deste processo, devido obviamente à sua flexibilidade e facilidade de modificação, que podem ser adaptadas ao longo do tempo para atender às necessidades em evolução da empresa antes de se considerar a transição para sistemas informatizados mais complexos.
Outro ponto importante neste momento é em relação ao uso de uma metodologia de "cima para baixo", mais conhecida em inglês: "top-down", onde a abordagem garante que os riscos significativos sejam gerenciados no nível mais alto e estratégico, proporcionando uma visão geral clara dos riscos principais.
Por outro lado, pode-se usar uma abordagem de "baixo para cima", ou seja: "bottom-up", mais apropriada para capturar riscos no nível operacional, proporcionando uma visão detalhada que é essencial para a gestão "local" de riscos, permitindo que o nível gerencial se concentre nos riscos mais pertinentes às suas operações específicas.
Ambas as abordagens devem ser consistentes em termos dos elementos e terminologia utilizados, para facilitar a integração e comunicação eficaz das informações de risco através dos diferentes níveis da empresa.
Vou parar por enquanto por aqui, mas depois vou dar continuidade nas próximas fases da gestão do risco operacional de uma empresa.
Consulta realizada na Okai.
