Queria comentar hoje aqui sobre um recente estudo conduzido pela KPMG US nos EUA agora no começo de 2024 com 400 executivos em diversos setores sobre o futuro da gestão de riscos neste ambiente de risco cada vez mais complexo e desafiador, onde diversas forças externas e internas estão convergindo, exigindo das empresas uma reformulação fundamental de como os riscos são gerenciados, que destacou o aumento da importância de uma abordagem mais estratégica e integrada para enfrentar esses riscos.
Por exemplo, entre os fatores externos, incluem-se tensões geopolíticas, mudanças climáticas e pressões regulatórias, enquanto fatores internos abrangem limitações tecnológicas e desafios com talentos.
Queria compartilhar e refletir com vocês aqui abaixo sobre algumas das principais conclusões deste estudo e pesquisa, que destacam a necessidade de uma reformulação profunda na maneira como as empresas lidam com os riscos, adotando uma abordagem mais proativa, tecnológica e integrada para enfrentar esses desafios.
A Gestão de Riscos é Mais Arriscada do que Nunca:
O estudo da KPMG sublinha que a gestão de riscos está cada vez mais difícil devido a uma combinação de fatores externos e internos, e entre os fatores externos, estão as tensões geopolíticas, que afetam cadeias de suprimentos, sistemas financeiros e a estabilidade econômica global. Isso inclui crises políticas que impactam diretamente a operação de empresas, como sanções, restrições comerciais e instabilidade em regiões-chave.
Além disso, o aumento das regulamentações é outro fator importante, com novos marcos regulatórios surgindo em resposta a mudanças tecnológicas e ambientais. Esses regulamentos frequentemente impõem novas obrigações às empresas, que precisam adaptar rapidamente suas operações para garantir a conformidade e evitar penalidades severas.
Mas não são apenas fatores externos que tornam a gestão de riscos mais complexa. Internamente, muitas empresas estão sobrecarregadas com o que a KPMG chama de "dívida tecnológica", ou seja, sistemas e processos legados que não foram atualizados ou integrados com novas tecnologias. Isso impede a implementação de soluções modernas de gestão de riscos e, ao mesmo tempo, agrava a falta de talentos especializados em áreas cruciais como cibersegurança e análise de dados.
Transformação da Função de Riscos: De Controle para Criação de Valor:
Este é outro ponto que trago sempre nos meus posts, e que o estudo destaca que a função de riscos não pode mais ser vista como apenas um centro de custos focado em conformidade e controle, mas sim, ao invés disso, o gerenciamento de riscos precisa ser uma função criadora de valor dentro da empresa, o que implica que a gestão de riscos deve ser vista como um pilar estratégico, ajudando as empresas a identificar oportunidades enquanto minimizam os danos potenciais.
Outro ponto importante de mudança de mindset é que as empresas que enxergam os riscos apenas como ameaças podem estar perdendo oportunidades importantes de crescimento e inovação.
Por isso, o estudo indica que os líderes integrem a função de riscos ao processo de tomada de decisão, utilizando frameworks de risco baseados em valor que ajudem a alinhar os riscos com os objetivos estratégicos da empresa.
Por exemplo, o estudo menciona que calcular o impacto potencial de um ataque cibernético ou de uma interrupção na cadeia de suprimentos pode ajudar as empresas a direcionarem seus recursos de forma mais eficaz e a se prepararem melhor para desafios futuros.
Importância da Tecnologia no Gerenciamento de Riscos:
A tecnologia é vista como um elemento essencial para enfrentar os riscos em um ambiente cada vez mais dinâmico, em que o estudo, como não poderia deixar de ser, destacou que a Inteligência Artificial (IA) e a IA Generativa (gen AI) desempenharão papéis importantes na transformação da função de riscos nos próximos três a cinco anos.
Por exemplo, a pesquisa revela que 41% dos executivos esperam alocar mais da metade do orçamento de gestão de riscos para tecnologias emergentes no próximo ano, em comparação com 28% no ano anterior.
Essas tecnologias são fundamentais para automatizar processos, aumentar a eficiência e melhorar a qualidade dos dados utilizados na avaliação de riscos, onde a IA, por exemplo, pode ajudar na previsão de riscos futuros com base em dados históricos e tendências emergentes. Além disso, ferramentas como machine learning podem ser aplicadas para monitorar continuamente os riscos de PLD e Fraude, fornecendo insights em tempo real que podem ser utilizados para ações preventivas.
Contudo, a implementação dessas tecnologias também traz novos desafios, como a necessidade de melhorar a qualidade dos dados, onde o estudo aponta que 42% dos executivos entrevistados relatam que a fragmentação dos dados e a baixa qualidade dos mesmos dificultam a tomada de decisões eficazes. Portanto, é fundamental que as empresas invistam em uma arquitetura de dados robusta, que permita a coleta, armazenamento e análise de dados de forma precisa e integrada.
Integração da Gestão de Riscos nas Decisões de Negócios:
Uma das conclusões mais importantes do estudo é que a gestão de riscos precisa ser totalmente integrada às decisões de negócios, pois muitas vezes, as decisões que afetam um único departamento podem gerar consequências em outros setores, especialmente em situações que envolvem riscos geopolíticos, cibernéticos ou de conformidade regulatória. Por isso, é importante que as empresas criem frameworks abrangentes que integrem a identificação, avaliação e mitigação de riscos em todos os níveis.
A pesquisa revela que 65% dos executivos da C-suite, e 71% dos diretores de riscos (CROs) e gerentes de risco, acreditam que a integração de sistemas e processos de gestão de riscos pode melhorar significativamente a eficácia das decisões. E eu sou um deles!
No entanto, a realidade do dia a dia é outra, como o estudo bem mostra, apenas 31% relataram que suas empresas possuem essa integração em um nível significativo atualmente, e como sabemos, essa falta de integração dificulta uma visão holística dos riscos, limitando a capacidade da empresa de gerenciar riscos de forma eficaz.
A Construção de uma Força de Trabalho Centrada no Risco:
Além de investir em tecnologia, o estudo enfatiza que as empresas precisam desenvolver uma força de trabalho capacitada para lidar com os riscos emergentes, destacando que nos próximos anos haverá uma maior, para não dizer enorme, demanda por profissionais com habilidades em gestão de riscos cibernéticos, modelagem preditiva e análise de dados. Vai faltar profissional no mercado. Por isso mesmo, a formação de uma equipe centrada no risco será fundamental para garantir que as empresas possam enfrentar o aumento da complexidade e a velocidade das mudanças no ambiente de risco.
Para alcançar essa meta, as empresas deveriam realizar, digamos, uma auditoria das habilidades de seus profissionais de risco e desenvolver programas de treinamento para preencher lacunas, pois isso não apenas ajudará a equipar os profissionais com as competências necessárias, mas também permitirá que eles adotem uma abordagem mais proativa na gestão de riscos.
Mudança Cultural para Tornar o Risco um Parceiro de Negócio Confiável:
O estudo conclui que a percepção do risco dentro das empresas precisa mudar, pois tradicionalmente o departamento de risco ainda é visto como uma função que apenas diz "não" (até já escrevi um post no passado sobre isto), ou como uma função reativa, focada em evitar erros.
No entanto, para que a gestão de riscos se torne um parceiro confiável dentro da empresa, é necessário que haja uma mudança de mentalidade. Isso requer a implementação de uma cultura organizacional que veja o risco não como um obstáculo, mas como uma ferramenta para a criação de valor e resiliência.
O estudo da KPMG reforça que as empresas precisam adotar uma abordagem mais integrada, proativa e baseada em tecnologia para a gestão de riscos, de que a função de riscos não pode mais operar isoladamente ou como uma unidade de controle e conformidade. Em vez disso, ela deve se alinhar às metas estratégicas da empresa e desempenhar um papel central na criação de valor. Essa transformação será viabilizada pela liderança do C-suite, pela integração de dados e sistemas, pelo uso de tecnologias emergentes e pelo desenvolvimento de uma força de trabalho capacitada.
Além disto, o estudo também fala mais detalhes sobre 5 pontos estratégicos para a Função de Riscos, que visam transformar a função de riscos, que tradicionalmente tem sido vista como uma função de controle e conformidade, em uma peça central de valor estratégico, conectando-a diretamente às decisões de negócios e impulsionando o crescimento sustentável.
Vou tentar detalhar um pouco mais de cada um desses pontos:
O C-suite Deve se Tornar o R-suite:
Este primeiro ponto destaca a necessidade de a alta liderança (C-suite) de uma empresa assumir um papel mais ativo e integrado na gestão de riscos, pois, como dito acima, tradicionalmente a gestão de riscos tem sido vista como uma função isolada, muitas vezes gerida pelo Chief Risk Officer (CRO) ou pelo departamento de conformidade.
No entanto, o estudo da KPMG sugere, e que eu defendo sempre, em especial quando falo de linhas de defesa, que todos os membros do C-suite, incluindo CEO, CFO, COO e outros, precisam assumir a responsabilidade pelo risco, integrando-o em suas decisões estratégicas e operacionais.
A cultura de conscientização sobre riscos deve ser fomentada a partir do topo da empresa, com a alta liderança demonstrando um compromisso claro e proativo com a gestão de riscos. Essa liderança deve se traduzir em um modelo onde o risco é considerado em cada nível da empresa, tornando-se parte do DNA organizacional. De acordo com o estudo, 76% dos executivos acreditam que liderar pelo exemplo, com uma postura proativa, é essencial para enfrentar os desafios internos e externos de risco.
Essa mudança também requer que a alta liderança adote uma visão de longo prazo sobre como os riscos podem impactar a estratégia da empresa e como a gestão de riscos pode ser um habilitador de valor, e não apenas uma função de mitigação de danos.
Para que a alta liderança assuma a gestão de riscos como uma responsabilidade central, são necessárias ações que promovam o envolvimento ativo dos executivos e a disseminação de uma cultura de conscientização sobre riscos por toda a organização, as ações recomendadas pelo estudo são:
- Abordar proativamente os riscos da empresa: O C-suite deve adotar uma visão abrangente das necessidades da organização e liderar um processo que expanda a gestão de riscos para todas as funções. Isso aumentará a conscientização organizacional e a capacidade de resposta a riscos que mudam rapidamente. A pesquisa destaca que a proatividade da liderança é o fator mais importante para o sucesso na transformação da gestão de riscos.
- Empoderar os líderes com dados: Para garantir decisões eficazes, os líderes precisam de informações precisas e em tempo real. A qualidade dos dados é fundamental. Ações devem ser focadas em habilitar a função de riscos a fornecer relatórios consistentes e completos, permitindo que os executivos façam escolhas informadas com base em dados confiáveis. Segundo o estudo, 42% dos líderes apontam que a fragmentação de dados e sua baixa qualidade são obstáculos à tomada de decisões eficazes.
- Desenvolver a resiliência: Para enfrentar crises e disrupções, as empresas devem adotar frameworks quantitativos que apoiem a resiliência organizacional, através da utilização de técnicas computacionais avançadas para integrar princípios de resiliência no processo de tomada de decisões. Isso permitirá às empresas antecipar, responder e se adaptar a eventos disruptivos com mais agilidade e eficácia.
Risco Como Criador de Valor em Toda a Empresa:
O segundo ponto aborda que as empresas comecem a ver o risco como um criador de valor, o que é sempre uma difícil mudança de paradigma, já que historicamente o risco sempre foi tratado como algo a ser evitado ou minimizado, quando, em vez de apenas evitar riscos, as empresas devem procurar alavancar os riscos para gerar valor estratégico e operacional.
Uma abordagem focada em valor ajuda a empresa a reconhecer que, quando bem geridos, os riscos podem oferecer oportunidades de crescimento, inovação e diferenciação competitiva.
Por exemplo, entender os riscos relacionados a um novo produto ou a uma nova tecnologia pode permitir que a empresa aloque recursos de maneira mais eficiente, minimizando potenciais interrupções e maximizando os retornos.
O estudo mostrou a importância de implementar um framework de riscos baseado em valor, no qual a função de risco é integrada nas discussões estratégicas e ajuda a moldar as decisões de negócios. Esse modelo permite que os líderes quantifiquem os riscos (como uma possível violação cibernética ou uma crise de reputação nas redes sociais) e avaliem o impacto dessas situações em termos de valor perdido ou ganho, criando uma abordagem mais informada e eficaz para a tomada de decisões.
Para transformar o risco em um elemento que cria valor, as empresas precisam repensar como o risco é percebido e integrado nas decisões de negócios. As ações para este ponto incluem:
- Desenvolver um framework de riscos baseado em valor: A função de riscos deve ajudar a empresa a modelar suas decisões estratégicas e operacionais em torno de riscos e das oportunidades de valor que esses riscos oferecem. Por exemplo, o impacto de uma violação cibernética ou disrupção na cadeia de suprimentos deve ser quantificado para que os executivos priorizem os riscos de maior relevância e aloque recursos adequados.
- Reforçar a primeira linha de defesa: Importante fortalecer o papel da primeira linha de defesa (as unidades de negócios), responsabilizando-as pela gestão dos riscos do dia a dia. Isso permite que as funções de conformidade e auditoria interna (segunda e terceira linhas) se concentrem em suas prioridades de monitoramento e planejamento, como os eventos inesperados de grande impacto ("cisnes negros").
- Definir requisitos de dados e relatórios: O sucesso na criação de valor por meio da gestão de riscos depende da qualidade dos dados utilizados. As empresas devem definir claramente suas necessidades de dados para garantir que as informações utilizadas em modelos de risco sejam confiáveis e precisas. Essa ação é particularmente relevante no contexto de riscos emergentes, como as mudanças climáticas, onde o impacto deve ser antecipado com modelos sofisticados.
Integrar e Conectar o Risco nas Decisões de Negócios:
Este ponto reflete a importância de integrar a gestão de riscos em todas as decisões de negócios da empresa, pois decisões que afetam um departamento ou função específica podem gerar impactos em outras áreas, e os riscos associados a essas decisões devem ser entendidos e mitigados de forma abrangente.
O estudo mostra que 71% dos CROs e gerentes de risco acreditam que a integração de sistemas, domínios e processos de risco pode melhorar significativamente a eficácia das decisões relacionadas a riscos. E sou um deles!
No entanto infelizmente apenas 31% dos executivos relataram que suas empresas atingiram níveis significativos de integração, o que revela uma lacuna que muitas organizações precisam preencher para garantir que as decisões de risco sejam consistentes em toda a empresa.
Para alcançar essa integração é necessário que os dados e insights sobre riscos sejam compartilhados entre os departamentos e que os sistemas de gestão de riscos estejam conectados em uma plataforma comum. Esta abordagem de "ERP para risco" facilita uma visão holística dos riscos, elimina silos de informação e torna os processos de mitigação mais eficientes. A falta dessa integração pode resultar em decisões fragmentadas e inconsistentes, aumentando a exposição da empresa a riscos desnecessários.
Para que o risco esteja totalmente integrado nas decisões de negócios, importante ter ações que promovam a interconexão de sistemas e processos de gestão de riscos em toda a empresa, tais como:
- Revisar o panorama tecnológico de riscos: As empresas devem avaliar suas capacidades tecnológicas e de dados em relação às futuras necessidades de gestão de riscos. Isso envolve realizar um inventário dos sistemas e software atualmente em uso e identificar onde são necessárias mudanças. A revisão deve ser holística, abordando tanto os requisitos de tecnologia para riscos quanto os de governança da tecnologia em geral.
- Alinhar todos os stakeholders em plataformas comuns: Para superar a fragmentação dos sistemas de riscos, as empresas devem consolidar suas plataformas em uma arquitetura comum. Isso pode encontrar resistência interna, especialmente em setores financeiros, mas é essencial para garantir que os sistemas estejam interconectados. Um executivo sênior deve ser designado para liderar essa transformação, garantindo uma arquitetura de tecnologia consistente.
- Modernizar e otimizar para impacto: Uma vez que uma plataforma integrada esteja em vigor, a gestão de riscos pode ser aprimorada por meio de serviços gerenciados, modelos de entrega personalizados e automação, reduzindo o "tech debt" e liberando profissionais de risco para fornecer insights mais valiosos. A adoção de tecnologias como IA e IA generativa deve ser acelerada para permitir análises de risco quase em tempo real e a modelagem de cenários complexos.
Acelerando Digitalmente e Aproveitando a Análise de Dados:
O uso de tecnologia é um pilar central na transformação da função de riscos, e este imperativo destaca a importância de acelerar a adoção de tecnologias digitais e utilizar análises de dados avançadas para melhorar a identificação, o monitoramento e a mitigação de riscos.
O estudo mostrou que 98% dos executivos entrevistados acreditam que a aceleração digital melhorou sua abordagem de gestão de riscos, com o uso crescente de Inteligência Artificial (IA), IA generativa (gen AI) e machine learning (ML) para prever e mitigar riscos. Obviamente sou um deles!
Essas tecnologias podem processar grandes volumes de dados de maneira rápida e identificar padrões que humanos poderiam deixar passar, fornecendo uma análise preditiva poderosa que antecipa riscos antes que eles se materializem.
No entanto a qualidade dos dados é um desafio contínuo. 42% dos executivos indicaram que fragmentação e má qualidade dos dados impedem a tomada de decisões eficazes e limitam a capacidade de desenvolver planos de mitigação apropriados. Assim, a KPMG recomenda que as empresas invistam em uma arquitetura de dados comum e estabeleçam governança de dados robusta para garantir a qualidade e a integridade das informações utilizadas no processo de gestão de riscos.
Além disso, a tecnologia também oferece oportunidades de automação, o que pode reduzir os custos operacionais e permitir que os profissionais de risco se concentrem em atividades de maior valor, como a análise estratégica e o planejamento de cenários.
O uso de tecnologias avançadas e análise de dados está no centro da transformação da função de riscos, e as ações propostas no estudo visam melhorar a qualidade dos dados e sua aplicação para previsão de riscos, tais como:
- Incorporar a análise de dados: A identificação precoce de ameaças emergentes é essencial para mitigar riscos e tomar melhores decisões integrando dados de risco em seus relatórios para a liderança, ajudando a aumentar a conscientização e a compreensão sobre o impacto dos riscos em toda a empresa. A análise de dados, potencializada por IA e machine learning, deve ser usada para filtrar grandes volumes de informações e gerar insights acionáveis.
- Melhorar a qualidade dos dados: Dados fragmentados e de baixa qualidade continuam sendo um problema significativo para as empresas. O estudo indica que isso compromete a visibilidade em tempo real dos riscos e impede o desenvolvimento de planos eficazes de mitigação. Para enfrentar esse desafio deve-se implementar uma arquitetura de dados comum, que permita uma visão precisa e atualizada dos riscos em todos os departamentos da empresa.
- Colocar a confiança no centro do uso de IA: A adoção de IA e IA generativa exige uma abordagem cautelosa para garantir que esses sistemas sejam confiáveis. Empresas devem investir em governança de IA, garantindo que as decisões automatizadas sejam baseadas em dados precisos e que não comprometam a privacidade dos usuários ou causem danos à reputação. A implementação de IA deve ser gradual, com testes em áreas onde os ganhos podem ser alcançados rapidamente, ao mesmo tempo em que se mantém o foco na construção de confiança nos sistemas.
Construir uma Força de Trabalho Centrada no Risco:
O último ponto estratégico ressalta a necessidade de desenvolver uma força de trabalho capacitada para lidar com os desafios crescentes na gestão de riscos. Isso inclui não apenas profissionais especializados em cibersegurança, modelagem preditiva e análise de dados, mas também pessoas com habilidades multidisciplinares que possam trazer inovação e pensamento estratégico para a função de riscos.
De acordo com o estudo, os executivos identificam a capacitação em TI e cibersegurança como áreas prioritárias para os próximos anos, junto com a integração da análise de dados preditiva.
Outra recomendação é criar um programa de mentoria focado em gestão de riscos, que incentive os funcionários a desenvolverem um entendimento mais profundo sobre como os riscos afetam suas atividades diárias e como podem contribuir para a resiliência da empresa.
O desenvolvimento de uma força de trabalho capaz de lidar com os riscos emergentes é fundamental para que a transformação da função de riscos seja eficaz, aonde as principais ações recomendadas são:
- Mudar a percepção da função de riscos: A função de riscos frequentemente é vista como a "oficina do não" dentro das empresas. Para mudar essa percepção, as empresas devem reformular a cultura organizacional, promovendo a criação de valor a partir da gestão de riscos. Importante investir sempre em treinamento e mudanças culturais para transformar a função de riscos em um parceiro de confiança que contribui para a resiliência e o crescimento da organização.
- Encorajar a auto-reflexão: Uma abordagem proativa para riscos exige que os profissionais de risco sejam capazes de analisar fatores internos e externos que afetam o negócio, como mudanças climáticas, eventos geopolíticos e crises financeiras. A função de risco deve adotar uma mentalidade orientada para a gestão de riscos empresariais (ERM), desenvolvendo cenários e insights que ajudem as unidades de negócios a se prepararem melhor para eventos disruptivos.
- Investir em habilidades de IA e cibersegurança: As habilidades em análise de dados, IA e gestão de cibersegurança estão se tornando cada vez mais importantes para os profissionais de risco. Empresas devem criar programas de desenvolvimento de competências para garantir que seus funcionários estejam preparados para enfrentar os desafios trazidos pela digitalização e pelos riscos tecnológicos. A automação pode ajudar a acelerar essa transformação, liberando os funcionários para assumir papéis de maior valor estratégico.
Veja o documento completo oiriginal (em inglês) em:
Documento consultado na Okai.
