Queria falar hoje sobre a governança da gestão de riscos, abordando o papel da gestão de riscos de alguns personagens importantes, como: a alta direção, o Diretor de Riscos (CRO) e o conselho de administração, incluindo o seu comitê de riscos, que todos desempenham seus papéis críticos e complementares, fundamentais para o estabelecimento de uma estrutura robusta e eficaz de gestão de riscos na empresa.
Pois é sobre isto que queria falar mais hoje abaixo:
Alta Gestão e Diretoria Executiva:
A alta gestão através de sua diretoria executiva tem uma importante responsabilidade de implementar operacionalmente no dia a dia todos os processos de gestão de riscos, que são direcionados estrategicamente e supervisionados pelo conselho de administração e seus comitês de assessoramento como de riscos e/ou de auditoria.
São os responsáveis pela integração destes conceitos e processos de gestão de riscos nas atividades diárias da empresa, garantindo que as estratégias e políticas de risco sejam efetivamente comunicadas e compreendidas em todos os níveis da empresa.
Além disso, a alta gestão deve assegurar que os recursos necessários estejam disponíveis para a implementação de estratégias de gestão de riscos e para a resposta a incidentes quando estes ocorrerem.
Todos os membros da alta gestão devem estar envolvidos no processo da gestão de riscos, desde o CEO, passando pelo CFO, CIO, CISO, e obviamente o CRO, sem esquecer dos demais diretores, onde esta participação deve ser ativa e estratégica, garantindo que as decisões relativas à gestão de riscos estejam alinhadas com os objetivos e a estratégia da empresa, assim como todos devem promover uma cultura de risco consciente e integrada nas operações diárias da empresa.
Diante disto, obviamente que a participação e apoio do CEO é fundamental para o sucesso. Embora o CEO possa delegar a gestão diária dos riscos para o CRO ou outros executivos, precisa estar profundamente envolvido nas questões estratégicas de risco, garantindo que esteja integrado à visão e estratégia globais da empresa.
Importante ressaltar o papel do CIO e/ou CISO, pois têm um papel importante em garantir que as tecnologias de informação suportem eficazmente a gestão de riscos, garantindo que os riscos de TI, como segurança cibernética e continuidade dos negócios, sejam adequadamente geridos e integrados no plano de contingência.
A gestão executiva deve avaliar os riscos com base na eficácia com que ele ajuda a empresa a alcançar seus objetivos estratégicos e na eficiência com que os riscos são identificados, avaliados, monitorados e mitigados. Para isto, o uso de Indicadores chave de desempenho (KPIs) específicos para risco deve ser desenvolvido e monitorado regularmente. Assim como revisões periódicas do processo de ERM também são cruciais para garantir sua relevância e eficácia contínuas.
Diretor de Riscos (CRO):
O CRO desempenha um papel central neste processo, atuando como o principal executivo responsável pela gestão de riscos na empresa.
Este cargo envolve a liderança da estratégia de risco, incluindo a identificação, avaliação e priorização de riscos, garantindo assim que a empresa mantenha um equilíbrio entre risco e retorno, monitorando continuamente o ambiente de risco e ajustando as políticas conforme necessário.
Para isto, é fundamental que o CRO tenha uma comunicação direta e efetiva com o conselho de administração, seus comitês e com o restante da alta gestão para garantir que todos os níveis da empresa estejam alinhados com a tolerância ao risco e as estratégias da empresa.
A decisão de designar um CRO depende principalmente da escala, complexidade e natureza dos riscos enfrentados pela empresa, o que para empresas que operam em ambientes altamente regulamentados ou que enfrentam riscos significativos e complexos, ter um CRO é essencial para não dizer mandatório para gerenciar esses riscos de maneira eficaz.
Abaixo algumas das principais funções do CRO:
- Liderança Estratégica em Gestão de Riscos: O CRO lidera o desenvolvimento e a implementação da estratégia de gestão de riscos da empresa, garantindo que os riscos sejam identificados, avaliados e gerenciados de forma proativa.
- Integração de Riscos com Estratégias Corporativas: Assegura que as considerações de risco estejam integradas nas decisões estratégicas e de negócios da empresa.
- Comunicação e Relatório de Riscos: O CRO é responsável por comunicar informações de risco relevantes ao conselho de administração e à alta gestão, facilitando uma compreensão clara dos riscos enfrentados pela empresa.
- Cultura de Gestão de Riscos: Promove uma cultura organizacional que valoriza e compreende a gestão de riscos, aumentando a conscientização sobre riscos em todos os níveis da empresa.
Sobre esta pessoa, ela normalmente precisa de algumas competências necessárias para desempenhar seu papel adequadamente como:
Habilidades Técnicas:
Análise de Risco: Capacidade de identificar e avaliar riscos potenciais que a empresa possa enfrentar.
Gestão Financeira: Compreensão profunda de modelos financeiros e econômicos para avaliar impactos potenciais de riscos financeiros.
Habilidades de Liderança:
Tomada de Decisão: Capacidade de tomar decisões informadas e estratégicas sob pressão.
Comunicação Eficaz: Habilidade de comunicar complexidades de riscos de maneira clara para stakeholders, incluindo o conselho de administração e a alta gestão.
Habilidades Interpessoais:
Negociação e Influência: Capacidade de influenciar e negociar com diversas partes interessadas para garantir a aderência às políticas de gestão de riscos.
Integridade e Ética: Manter os mais altos padrões éticos para promover a confiança e o respeito dentro e fora da empresa.
Outro tema que sempre o pessoal tem dúvidas é sobre a linha de reporte do CRO:
- Diretamente ao CEO: Isso assegura que o CRO tenha acesso direto à liderança executiva.
- Ao Conselho de Administração: Em algumas empresas o CRO também reporta ao conselho de administração, particularmente ao comitê de auditoria ou comitê de riscos. Esta linha de reporte ajuda a garantir a independência, e também que o conselho esteja plenamente informado sobre questões de risco.
Conselho de Administração e Comitê de Riscos e/ou auditoria:
Sempre bom lembrar que a gestão de riscos é uma ferramenta essencial para a boa governança corporativa, proporcionando um framework estruturado para identificar, avaliar, gerenciar e monitorar os riscos que podem afetar a empresa, e isto depende de uma compreensão clara dos riscos que a empresa enfrenta e de como esses riscos são gerenciados.
Neste sentido, o conselho de administração tem a responsabilidade final pela governança de risco na empresa, assim como da supervisão da criação de políticas de risco apropriadas, a aprovação das principais iniciativas de gestão de riscos e a revisão da eficácia das práticas de gestão de riscos implementadas pela gestão executiva, garantindo que exista uma estratégia clara de gestão de riscos alinhada com os objetivos estratégicos da empresa.
O conselho deve também assegurar que a alta gestão esteja adequadamente comprometida com a gestão dos riscos, proporcionando os recursos necessários para a implementação eficaz.
Enquanto que o comitê de riscos e/ou auditoria, um suporte e assessoramento, apoia tecnicamente o conselho ao concentrar-se especificamente em questões de risco, sendo no final das contas na prática o responsável por revisar a estratégia de risco da empresa, avaliar os riscos significativos enfrentados pela empresa e supervisionar a aderência às políticas de risco estabelecidas. Deve garantir que a gestão de riscos seja na prática integrada nos processos de auditoria e conformidade da empresa, proporcionando uma avaliação independente e objetiva da eficácia das políticas e práticas de gestão de riscos. O comitê deve também revisar regularmente os relatórios de risco e assegurar que existam medidas adequadas para a mitigação de riscos.
Queria detalhar um pouco mais sobre algumas responsabilidades deles (CA e CoRis e/ou CoAud):
- Definição e Revisão da Apetite ao Risco: O conselho e seus comitês devem participar na definição da apetite ao risco da empresa, que é um guia crítico para as decisões de gestão de riscos. Além disso, essa apetite ao risco deve ser revisada regularmente para garantir que continua relevante diante das mudanças nas condições de mercado e objetivos empresariais.
- Alinhamento com a Estratégia Corporativa: A estratégia de gestão de riscos deve ser uma extensão da estratégia corporativa, garantindo que todos os riscos significativos sejam considerados no planejamento estratégico e nas decisões de investimento.
- Avaliação da Conformidade e Eficácia: Verificar se as políticas estão sendo seguidas e se são eficazes na mitigação de riscos a um nível aceitável.
- Atualizações Conforme Necessário: As políticas de risco devem ser atualizadas em resposta a mudanças significativas no ambiente de negócios ou na exposição ao risco da empresa.
- Alocação de Recursos: Garantir que a gestão disponha dos recursos necessários, incluindo pessoal qualificado e tecnologia, para implementar a estratégia de gestão de riscos eficazmente.
- Cultura de Risco: Promover uma cultura organizacional que valorize a gestão de riscos e incentive a comunicação aberta sobre riscos em todos os níveis da empresa.
- Exposições Atuais e Potenciais: Uma visão clara das exposições ao risco atual e potencial, permitindo que o conselho entenda onde a empresa está mais vulnerável.
- Ações de Mitigação de Riscos: Detalhes sobre as ações tomadas para mitigar riscos, incluindo o sucesso dessas medidas e quaisquer planos de ação futuros.
- Lacunas no Framework de Risco: Identificação de quaisquer lacunas no framework de gestão de riscos existente e planos para abordar essas lacunas.
Queria abordar agora a importância do relacionamento entre os papéis, através da interação entre o CRO, a alta gestão e o conselho de administração, para que se tenha uma gestão de riscos eficaz. O CRO reporta-se à alta gestão e, idealmente, possui acesso direto ao comitê de riscos para garantir que o conselho esteja continuamente informado sobre questões de risco. A alta gestão deve garantir que as estratégias de risco do CRO sejam implementadas nas operações diárias da empresa e que haja uma cultura de risco saudável em toda a organização.
Entre os principais desafios enfrentados nesses papéis estão a necessidade de contínua adaptação às mudanças no ambiente de negócios e regulatório, garantindo ao mesmo tempo que a empresa permaneça resiliente e responsiva às oportunidades e ameaças. A transparência, a comunicação e a educação contínua em todos os níveis da organização são essenciais para o sucesso da gestão de riscos.
Como podemos ver acima, a eficácia da gestão de riscos numa empresa depende fortemente do compromisso e da colaboração entre o conselho de administração, o CRO e a alta gestão, pois apenas eles juntos podem criar e manter um ambiente onde os riscos são adequadamente identificados, geridos e mitigados, contribuindo para a sustentabilidade e o sucesso a longo prazo da empresa.
Documento indexado pela Okai.
