O envolvimento do Conselho e de seus comitês no tema da gestão de riscos é um aspecto fundamental da governança corporativa, até por ser algo essencial para a tomada de decisões, por isto queria hoje falar mais exatamente da gestão de riscos, mas com a visão dos conselheiros, onde quero detalhar mais alguns tópicos que acho relevantes neste sentido como: a abordagem integrada à gestão de riscos para uma boa governança, o ambiente regulatório, o interesse dos acionistas na supervisão da gestão de riscos pelo conselho, a distribuição de responsabilidades, os comitês de auditoria e risco, a cultura organizacional, ferramentas e processos de melhoria, riscos não financeiros e emergentes, e até o que acontece quando a gestão de riscos falha.
Dever Fiduciário dos Conselheiros:
Queria começar lembrando do importante dever fiduciário de agir no melhor interesse da empresa que os conselheiros têm, que por isto mesmo exige que eles compreendam e avaliem adequadamente a natureza e a magnitude dos riscos enfrentados pela empresa, pois a falta de uma avaliação precisa e oportuna desses riscos pode resultar em decisões ruins, que podem comprometer a sustentabilidade e o sucesso.
Importância de um Framework Integrado de Governança e Gestão de Riscos
Um framework integrado de governança e gestão de riscos é importante para a tomada de decisões racionais pelo conselho, pois permite que o conselho tenha uma visão holística dos riscos e oportunidades, facilitando a implementação de estratégias eficazes para mitigação e aproveitamento de oportunidades.
Temos visto ano após ano casos reais de escândalos corporativos de alta relevância, está aí o caso Americanas para não nos deixar esquecer, que têm destacado frequentemente falhas na gestão de riscos, servindo como um lembrete importante da necessidade de supervisão rigorosa por parte do conselho, some-se a isto aos novos desafios das cadeias de suprimentos globalizadas, e a aceleração de novos padrões de trabalho e ameaças cibernéticas, desafiou fundamentalmente como os conselhos identificam, mitigam e monitoram riscos.
Expectativas de Stakeholders
Os acionistas e investidores esperam cada vez mais que os conselhos demonstrem e divulguem publicamente uma supervisão eficaz da gestão de riscos, especialmente mais recentemente em relação aos riscos climáticos, e principalmente os cibernéticos. Por isto mesmo existe um entendimento crescente sobre uma melhor capacitação do conselho de gerenciar e divulgar riscos de forma eficaz que impacta uma ampla gama de stakeholders, incluindo funcionários e as comunidades ao redor.
Aumento Maturidade do Conselho:
Minha percepção pessoal é que, ainda que devagar e longe do ideal, nos últimos anos aos poucos as empresas e seus conselhos têm evoluído no tema e estão mais maduros, se tornando mais sistemáticos e adotando processos de gestão de riscos mais estruturados.
O desafio agora é continuar este amadurecimento em outras áreas, como cultura e riscos não financeiros, incluindo segurança cibernética.
Conceitos Básicos:
Sempre bom voltar aos conceitos básicos, então queria lembrar que risco é definido pela norma ISO 31000 de 2018 como o efeito da incerteza nos objetivos, e a gestão de riscos, por sua vez, se refere às atividades coordenadas para dirigir e controlar uma empresa em relação ao risco, incluindo tanto as oportunidades que podem criar valor (risco de oportunidade) quanto as ameaças que podem comprometer esse valor (risco de ameaça), reconhecendo as incertezas associadas a ambas.
Os principais componentes de um framework de gestão de riscos incluem:
Avaliação do Apetite e Tolerância ao Risco: Definição clara do quanto de risco a organização está disposta a assumir.
Responsabilidade e Accountability: Linhas de responsabilidade e accountability documentadas para a gestão e decisões de risco.
Processo de Identificação de Eventos: Identificação de tipos de eventos que podem comprometer os objetivos organizacionais e oportunidades para criação de valor.
Políticas e Processos de Mitigação: Implementação de políticas e processos para mitigar riscos identificados.
Monitoramento e Gerenciamento Contínuo: Monitoramento e gerenciamento contínuo dos riscos em nível operacional.
Planos de Contingência: Estabelecimento de planos de contingência para eventos de risco maiores e emergências.
Avaliação Regular: Avaliação contínua da adequação do framework de gestão de riscos.
Ambiente Regulatório:
A gestão de riscos está sob crescente atenção regulatória globalmente, e os conselheiros têm deveres legais e fiduciários que incluem a supervisão e, quando apropriado, a divulgação dos riscos enfrentados pela entidade.
Isso envolve cumprir com diversas normas e regulamentos, como os Princípios e Recomendações de Governança Corporativa, leis de privacidade e segurança cibernética, legislação de proteção ambiental, leis anti-discriminação, leis de prevenção à lavagem de dinheiro entre outras.
Interesse dos Acionistas e Membros na Supervisão do Conselho sobre a Gestão de Riscos
Acionistas exigem clareza sobre a supervisão da gestão de riscos pelo conselho, e querem saber sobre a capacidade do conselho de estabelecer o apetite ao risco e garantir que a estrutura de gestão de riscos implementada pela administração seja robusta e eficaz, até porque o "accountability" do conselho é relevante para a preservação e criação de valor.
Distribuição de Responsabilidade:
O Papel do Conselho:
O conselho tem responsabilidade geral pela definição da estratégia e do modelo de negócios da organização e pelo correspondente nível de risco. O conselho define o apetite ao risco da entidade e supervisiona o framework integrado de gestão de riscos e governança, garantindo que seja contínuo e estruturado.
Conselheiros Individualmente:
Os conselheiros devem estar cientes de suas responsabilidades e deveres em relação à gestão de riscos, assim devem entender o negócio da entidade e os riscos materiais que ela enfrenta. O presidente do conselho deve revisar e concordar com cada conselheiro sobre suas necessidades de treinamento e desenvolvimento para garantir que todos mantenham as habilidades e o conhecimento necessários.
Comitês de Auditoria e Risco:
Os comitês de auditoria (CoAud) e/ou de riscos (CoRis) são essenciais na supervisão da gestão de riscos, e devem operar sob um estatuto escrito que articule claramente seu papel, composição e responsabilidades específicas. A estrutura e as funções desses comitês dependem das circunstâncias particulares de cada empresa, como tamanho, complexidade e natureza de suas operações.
O Papel da Alta Administração:
A alta administração é responsável por recomendar, executar e operar dentro do apetite ao risco e do framework aprovado pelo conselho, estabelecendo mecanismos para monitorar a exposição e o desempenho da gestão de riscos, aprovar a retenção de riscos e monitorar e avaliar rotineiramente os processos de gestão de riscos.
Um dos papéis mais importantes do conselho é selecionar, nomear e, se necessário, substituir o CEO e outros executivos seniores. O conselho deve considerar periodicamente se a administração atual tem capacidade para gerenciar riscos de maneira eficaz.
Chief Risk Officer (CRO):
É cada vez mais comum que as organizações nomeiem um executivo para liderar o processo de gestão de riscos, promovendo accountability, sendo que o CRO deve ter uma linha de reporte clara e direta para o conselho e/ou o comitê de auditoria/risco para garantir uma voz independente e não conflitante sobre riscos.
A função de gestão de riscos é responsável por projetar e implementar o framework de gestão de riscos apropriado para a empresa, e deve estar suficientemente próxima do negócio para aconselhar adequadamente, mas também deve manter independência para cumprir sua função de garantia.
Auditoria Interna e Externa:
O conselho deve garantir que o framework de gestão de riscos está operando efetivamente, por isto que a auditoria interna e a externa são ferramentas importantes para testar a eficácia do framework, devendo possuir uma função de auditoria interna independente.
Todos Funcionários de Linha de Frente:
A gestão de riscos deve ser uma preocupação de todos os funcionários, não apenas da alta administração.
Documento apresentado pela Okai.
