Hoje queria falar mais sobre a gestão de risco de conformidade, onde a conformidade não deveria ser vista apenas como um requisito legal, mas um componente estratégico que protege as empresas de sanções, perdas financeiras e danos à reputação. Gosto sempre de dar a visão dos riscos para assuntos que nem sempre as pessoas percebem que é mais um tipo diferente de riscos, e que, como os demais, precisam ser tratados.
Para os profissionais e gestores da área de compliance, o risco de conformidade representa um desafio contínuo, pois envolve, assim como os demais riscos, a identificação, quantificação, monitoramento e mitigação de uma variedade de riscos que podem surgir de obrigações regulatórias, padrões internos e até de práticas do mercado.
A importância do tema se intensifica em um contexto onde as penalidades por não conformidade podem ser severas e os impactos financeiros e reputacionais são imediatos e duradouros. Além disso, o aumento do uso de tecnologia e a dependência de sistemas digitais elevam o risco de conformidade, especialmente em áreas como proteção de dados e segurança cibernética.
Por isso mesmo, os profissionais de conformidade e gestão de riscos devem, portanto, trabalhar juntos e alinhados, adotando abordagens proativas e estruturadas para identificar e mitigar riscos de forma eficaz, alinhando-se não apenas às regulamentações, mas também às melhores práticas de governança e resiliência operacional.
Queria então falar mais a respeito do conceito de risco de conformidade, tentando detalhar mais abaixo sobre os processos de avaliação, e como sempre tentando dar uma visão prática e teórica sobre como as empresas podem proteger-se de riscos regulatórios e aprimorar sua resiliência em um mercado competitivo.
Pois, no final das contas, ao entender e conhecer as dimensões do risco de conformidade, os profissionais vão estar preparados para construir uma estrutura robusta de controle que, além de mitigar estes riscos, vai também promover uma cultura de integridade e governança responsável.
Definição de Risco de Conformidade:
Vamos começar então com a definição do risco de conformidade, que se refere à possibilidade de uma empresa sofrer sanções legais, perdas financeiras ou danos reputacionais devido à falha em cumprir normas, regulamentos ou padrões internos de conduta.
Este risco está diretamente ligado ao ambiente regulatório em que a empresa opera e pode abranger desde leis e regulamentações governamentais até padrões de conduta autoimpostos.
Em termos práticos, o risco de conformidade abrange a exposição a consequências que uma empresa enfrenta quando não segue as diretrizes impostas por entidades reguladoras ou normas estabelecidas internamente.
A definição de risco de conformidade pode ser dividida em três dimensões principais:
- Legal: Envolve sanções e penalidades que uma empresa pode enfrentar caso não cumpra leis e regulamentos.
- Financeira: A não conformidade pode gerar perdas financeiras diretas, como multas, ou indiretas, como perda de oportunidades de negócios.
- Reputacional: Talvez o mais relevante na minha opinião, porém também o difícil de quantificar, o dano à reputação pode impactar negativamente a confiança dos clientes, parceiros e investidores na empresa, resultando em perdas de receita e oportunidades de negócios.
Embora o risco de conformidade seja específico, ele frequentemente se sobrepõe a outros riscos, como o risco operacional e o risco legal. Por exemplo, uma violação de um contrato pode ser considerada tanto um risco operacional quanto de conformidade, dependendo de como ele afeta a empresa e os padrões de conformidade que ela deve seguir. Esta sobreposição cria uma “zona cinzenta”, onde os riscos precisam ser avaliados de forma abrangente e contextual.
Processo de Avaliação de Risco de Conformidade:
Assim como em qualquer outro tipo de riscos, o processo de avaliação de risco de conformidade também consiste basicamente em três grandes etapas principais: identificação, análise e avaliação, e tratamento dos riscos, que vou tentar detalhar abaixo cada uma dessas fases e suas práticas associadas.
- Identificação de Risco:
A identificação de risco é, como sempre, o ponto de partida para um processo de avaliação bem-sucedido, o que muitos não dão o devido valor, mas o pior risco é, antes de mais nada, aquele que você desconhece, e pode lhe pegar desprevenido.
Nesta etapa, a empresa deve analisar todos os requisitos regulatórios e avaliar como podem se transformar em riscos de conformidade, utilizando duas abordagens:
Abordagem Centrada em Requisitos: Avalia as obrigações regulamentares específicas e busca identificar os cenários onde a empresa possa falhar em cumprir essas exigências. Essa abordagem é frequentemente usada para garantir que todas as regulamentações aplicáveis sejam rigorosamente cumpridas.
Abordagem Centrada em Fatos: Examina os processos internos da empresa e identifica potenciais áreas de não conformidade, com o intuito de mapear como os processos atuais podem expor a empresa a riscos de conformidade. O benefício desta abordagem é a capacidade de adaptar riscos identificados anteriormente em diferentes áreas da empresa, aumentando a precisão na identificação de potenciais ameaças à conformidade.
Combinação das Abordagens: Muitos especialistas recomendam combinar ambas as abordagens para cobrir de forma mais abrangente os riscos de conformidade. A partir dos requisitos regulamentares, é possível preparar um inventário de riscos e examinar em detalhes os processos de negócios relevantes, identificando, mas não necessariamente avaliando, os controles efetivos que já estão em vigor.
- Análise e Avaliação de Risco:
Após a identificação dos riscos, a empresa deve analisar e avaliar o impacto potencial e a probabilidade desses riscos, além da eficácia dos controles atuais, onde alguns dos métodos comuns são o uso de:
Indicadores de Desempenho de Risco (KPIs e KRIs): Estes indicadores ajudam a medir e monitorar o nível de conformidade, fornecendo sinais de alerta precoce para áreas de risco elevado. Exemplos incluem a quantidade de ações corretivas pendentes ou o índice de cumprimento de treinamentos.
Modelos de Avaliação: O uso de modelos quantitativos para avaliação que adiciona um fator de detecção aos modos de falha ajuda a mapear o nível de risco com maior precisão. Esse método permite que a empresa identifique fatores subjacentes que possam aumentar a probabilidade de falhas na conformidade, além de ajudar a priorizar os riscos com maior probabilidade de causar impacto financeiro e reputacional.
Classificação e Escalas de Risco: A avaliação de risco geralmente utiliza uma escala de três ou cinco níveis para classificar os riscos (por exemplo: baixo, médio e alto). Esse tipo de classificação ajuda na priorização de ações de mitigação, com base na probabilidade de ocorrência e impacto potencial.
- Tratamento e Mitigação dos Riscos:
O tratamento e mitigação dos riscos é a etapa final do processo de avaliação, onde a empresa implementa estratégias para mitigar ou gerenciar os riscos identificados, aonde algumas das estratégias de tratamento são:
Evasão: A empresa decide não realizar certas atividades ou utilizar tecnologias que possam expô-la a um risco de conformidade específico, como evitar o uso de dados pessoais em processos que não possuam medidas robustas de segurança.
Transferência: Em alguns casos, a empresa pode transferir o risco para terceiros, como parceiros especializados em proteção de dados, delegando a responsabilidade de proteção e monitoramento de riscos específicos.
Mitigação: A empresa investe em controles preventivos, como a criptografia de dados e firewall, para reduzir a probabilidade ou impacto dos riscos. Esse método é o mais comumente utilizado para lidar com riscos de conformidade em ambientes de alta regulamentação.
Aceitação: Em situações onde os riscos são considerados gerenciáveis, a empresa pode optar por aceitá-los, desde que existam planos de resposta bem definidos para casos de incidente.
Oportunidades e o que pode melhorar e se desenvolver:
Diria de que ainda várias lacunas em relação ao risco de conformidade que devem evoluir e se desenvolver para que tenhamos uma gestão deste risco mais madura. São desafios que todas as empresas e áreas de compliance têm pela frente, que podem melhorar e se desenvolver, tais como:
Métodos de Quantificação de Riscos: É necessário o desenvolvimento de metodologias robustas para quantificar o risco de conformidade, aprimorando a precisão na estimativa do impacto potencial de incidentes.
Integração com Outros Riscos: A integração da avaliação de risco de conformidade com outras avaliações, como o risco operacional e cibernético, oferece uma visão mais holística e completa do perfil de risco da empresa.
Inovações Tecnológicas para Conformidade: O uso de tecnologias emergentes, como a automação e inteligência artificial, pode revolucionar a maneira como o risco de conformidade é monitorado e gerenciado, melhorando a capacidade de detectar e responder a ameaças rapidamente.
Eficácia de Estratégias de Redução de Riscos: Medir o impacto das estratégias de redução de riscos ainda é um desafio para as empresas. Estudos futuros poderiam desenvolver modelos para avaliar a eficácia de diferentes práticas de mitigação e controle.
Tem mais alguns assuntos que queria aproveitar para levantar a bola, que merecem nossa atenção tais como:
- Cultura de Conformidade: Desenvolver uma cultura onde a conformidade é entendida como um valor estratégico, e não apenas uma obrigação regulatória. Esse ambiente promove o comprometimento dos colaboradores e facilita a implementação de controles preventivos.
- Treinamento e Capacitação Contínuos: Investir em programas de treinamento e reciclagem para as equipes, principalmente em setores que envolvem riscos complexos, como o financeiro e o de saúde. Um time bem treinado identifica riscos mais rapidamente e adota as melhores práticas para mitigar problemas.
- Uso de Tecnologia e Inovação: Adotar tecnologias que permitam a análise de dados em tempo real e facilitem a identificação de padrões de não conformidade. Ferramentas de monitoramento contínuo são essenciais para garantir que as atividades de conformidade estejam alinhadas com as melhores práticas e que as falhas possam ser detectadas e corrigidas prontamente.
- Supervisão e Governança: Os conselhos de administração e a auditoria interna devem entender a profundidade e complexidade dos riscos de conformidade. Capacitar esses grupos.
