No nosso último artigo, falamos sobre os três passos necessários para entender quais são as reais necessidades de gestão de risco operacional de uma organização. Com esses três passos, podemos verificar qual o nível de detalhamento necessário do arcabouço (framework) de gestão de risco operacional mais adequado e como mantê-lo continuamente eficaz e eficiente.
Agora, uma vez que essas diretrizes estão estabelecidas, quais seriam os principais componentes desse framework? Como já eu disse anteriormente em outros artigos, não existe uma abordagem única para a gestão do risco operacional. O framework deve ser customizado para as necessidades específicas da organização e continuamente adaptado às mudanças no ambiente de negócios.
Além disso, é vital não complicar demais. Se a estrutura for intuitiva e tiver sido projetada com a simplicidade em mente, ela orientará os funcionários a tomarem decisões baseadas em riscos, aplicando o bom senso - e até mesmo sua intuição - definido pelo filósofo alemão Gerd Gigerenzer em seu livro “O Poder da Intuição” (o qual recomendo fortemente!) como um julgamento que "aparece rapidamente na consciência, cujas razões subjacentes razão não temos plena consciência, mas que é suficientemente forte para agirmos”.
Portanto, de maneira simples, eu entendo que um framework de gestão de riscos operacionais deve conter pelo menos três elementos (cujo nível de detalhamento irá depender dos três passos descritos no artigo anterior):
1. Elementos Centrais (Core):
Os elementos centrais podem ser encarados como as “ferramentas” que você deve utilizar para garantir que a organização realize a identificação, avaliação, mitigação e monitoramento de riscos e, dessa forma, gerencie os riscos operacionais que enfrenta. Um conjunto mínimo dessas ferramentas que eu considero essenciais são:
- Eventos de Risco Operacional: os eventos de risco operacional são os mais antigos e mais comuns dos quatro elementos centrais. Eles permitem que uma organização aja prontamente após um incidente, minimize o impacto da escalada do incidente e obtenha lições valiosas aprendidas. Mais ainda, permitem à organização obter uma compreensão clara do seu perfil de perdas e avaliar a adequação dos seus recursos de capital.
- Avaliações de Risco: A avaliação de risco é o elemento central da estrutura com visão proativa, para o futuro. Elas complementam os eventos de risco operacional (que são retrospectivos), ao mesmo tempo que os levam em consideração, permitindo à gestão identificar e mitigar os riscos antes que estes se cristalizem em eventos. As avaliações de risco permitem que a organização se concentre nas lacunas e fraquezas, proporcionando à gestão uma ferramenta poderosa para fortalecer o ambiente de controle.
- Indicadores-Chave de Risco: Os indicadores-chave de risco (KRIs) são usados para monitorar o ambiente de risco e controle da organização. A informação fornecida pelo KRI, assimilada e apresentada sob a forma de dashboards, é indispensável para observar o comportamento dos riscos mais significativos identificados durante os exercícios prospectivos.
- Análise de Cenários: A análise de cenários é um instrumento que utiliza um pensamento proativo de avaliação de riscos e o aplica a circunstâncias extremas, mas plausíveis. Ele aumenta o conjunto de dados de eventos de risco operacional, adicionando cenários considerados que – mesmo que sejam sintéticos – se baseiam no conhecimento derivado de outros elementos centrais. É tão valioso para a gestão de riscos como para fins de mensuração.
Claro que a composição dos elementos centrais pode ser alterada, modificando-a para atender às necessidades da sua própria organização. Cabe à área de risco operacional avaliar a melhor adequação ao tamanho e ao modelo de negócios da organização. Por exemplo, segregar dados de perdas em um elemento central distinto (no framework sugerido, essa atividade faz parte do elemento central Eventos de Risco Operacional) ou adicionar a garantia efetividade de controle e/ou mapeamento de processos como componentes separados (no framework sugerido, ambos são integrados elemento central Avaliações de Risco).
2. Elementos de ligação
Uma vez definidos os componentes centrais, é preciso agora conectar esses componentes através de elementos que interliguem todas as informações geradas por essas ferramentas core de forma que a gestão de risco possa ocorrer de maneira clara e eficiente. Eu entendo que são necessários pelo menos os seguintes elementos de ligação:
- Governança, Papeis e Responsabilidades: responsabilidades claras são particularmente importantes para a gestão do risco operacional, onde funções semelhantes podem ser desempenhadas pela primeira linha e pela segunda linha de defesa. Igualmente importantes são os papéis dos responsáveis pelos riscos e pelos controles, dos membros do conselho, da gestão sênior e dos comités de governança de risco, onde todos devem trabalhar em colaboração para multiplicar o poder da gestão de riscos.
- Apetite de Risco e Capacidade de Risco: O apetite de risco e a capacidade de risco, quando bem desenvolvidos convergem os demais elementos centrais do framework e tornam-se um mecanismo insubstituível para a tomada de decisões. Importante lembrar que o apetite de risco representa um nível agregado de diferentes tipos de risco operacional que uma organização está disposta a assumir para alcançar seus objetivos estratégicos. Já a capacidade de risco está relacionada a limites e tolerâncias, ou seja, a quantidade de risco que a organização é capaz de assumir sem que haja disfunção ou interrupção em suas atividades.
- Relatórios e Tomada de Decisões: Os relatórios são a janela através da qual a área de risco operacional se comunica com a gestão de toda a organização, o conselho e os comitês de governança. É aqui que os resultados de todos os elementos centrais devem consolidados de forma significativa e objetiva para apoiar uma ampla gama de decisões táticas e estratégicas.
3. Elementos de suporte
Os elementos de suporte são aqueles que mantêm a estrutura do framework coesa, da mesma forma que a moldura de um quadro. Eles funcionam como uma “cola” que mantém os demais elementos do framework unidos, estabelecendo as bases para uma gestão de risco operacional eficaz.
Exatamente por isso que esses elementos devem focados em pessoas, e não em sistemas ou outras ferramentas ou processos. É a consciência (risk awareness), as ações e o compromisso com os protocolos de gestão de riscos que realmente são essenciais para identificar, mitigar e prevenir riscos operacionais dentro de uma organização. E eu entendo que os elementos de suporte devem incluir no mínimo:
- Cultura de Riscos: o risco operacional está intimamente ligado e em grande parte dependente da cultura da organização.
- Treinamento e Educação: sem treinamento e educação é impossível incorporar práticas de gestão de risco operacional sólidas em toda a organização.
- Avaliação de Maturidade: é fundamental uma constante avaliação da jornada de implementação da gestão de riscos em uma organização, de forma a avaliar aonde se chegou em relação ao estado desejado e definir estratégias de melhoria.
- Taxonomia de Riscos: conforme já discutido em artigos anteriores, a Taxonomia de Risco é um sistema de classificação que define e distingue diferentes categorias de risco operacional, permitindo capturar o universo completo desses riscos e definindo uma linguagem comum de risco em toda a organização.
De forma gráfica, portanto, o framework descrito acima pode ser representado da seguinte maneira:
Concluindo: Embora frameworks de gestão de risco operacional específicos possam variar de uma organização para outra, geralmente eles consistem em alguns elementos principais conforme descrito acima. A integração correta desses elementos fundamentais é que permite com que as organizações possam corretamente compreender, antecipar e mitigar melhor os riscos operacionais.
Porém, é fundamental reconhecer que os funcionários são o coração do framework de gerenciamento de risco operacional de uma organização. O seu conhecimento, consciência, compromisso e ações impactam diretamente a capacidade da organização de identificar, avaliar e mitigar riscos de forma eficaz. Uma organização que valoriza e capacita continuamente os seus colaboradores para participarem ativamente na gestão de riscos estará sempre mais bem posicionada para se proteger dos diversos riscos operacionais à qual ela está sujeita.
