Outro dia estávamos batendo um papo na reunião da Comissão de Riscos do IBGC sobre o tema, falando de que nem sempre as pessoas e empresas têm a real noção e conhecimento deste assunto, por isto resolvi escrever um pouco a respeito.
A matriz de riscos é uma ferramenta utilizada na gestão de riscos para ajudar as organizações a identificar, avaliar e priorizar os riscos que uma organização pode enfrentar. O objetivo é ajudar as organizações a entender o perfil de risco e tomar decisões adequadas sobre a gestão desses riscos.
A matriz de risco é geralmente representada como uma grade com a probabilidade de ocorrência do risco em um eixo e a severidade ou impacto do risco no outro eixo. Cada risco identificado é então colocado na matriz de acordo com esses dois fatores. Os riscos que são tanto altamente prováveis como altamente impactantes geralmente são considerados os mais críticos e são, portanto, priorizados para mitigação.
Pessoalmente gosto inclusive de incluir mais uma dimensão que acho também importante, que chamo de velocidade, que é a rapidez com que este risco se concretiza, pois alguns podem ser bem rápidos, e merecerem mais atenção.
Aqui é onde os riscos inerentes e residuais entram nesta história.
1) Risco Inerente:
Este é o nível de risco de um evento ou atividade antes de qualquer medida de controle ou mitigação ser aplicada. Quando os riscos são identificados pela primeira vez e colocados na matriz de risco, eles são frequentemente avaliados em termos de risco inerente. Por exemplo, um risco pode ser considerado "Alto" em termos de probabilidade e impacto, resultando em um risco inerente alto.
Por exemplo, se você estivesse considerando o risco de um incêndio em uma fábrica, sem considerar quaisquer medidas de segurança existentes, esse seria o risco inerente.
2) Risco Residual:
Após a aplicação de controles e mitigadores, o risco é reavaliado. Este é o risco residual. Digamos que, depois de aplicar controles, a probabilidade de ocorrência de um risco seja reduzida de "Alta" para "Média". O impacto ainda pode ser "Alto", mas a classificação geral do risco na matriz de riscos será reduzida.
No contexto de uma matriz de risco, após a implementação de controles (por exemplo, instalação de um sistema de sprinklers na fábrica), o risco de incêndio seria reavaliado e colocado na matriz de risco como um risco residual. Idealmente, os controles teriam reduzido a probabilidade, o impacto, ou ambos, movendo o risco para uma parte menos crítica da matriz.
Esses conceitos ajudam a empresa a entender melhor onde está o maior risco antes e após a implementação de controles, permitindo que priorizem efetivamente suas ações de mitigação de risco. A análise de riscos inerentes e residuais também pode destacar áreas em que os controles atuais podem ser insuficientes e precisam ser reforçados.
As matrizes de riscos podem ser usadas para visualizar tanto riscos inerentes quanto residuais. Uma abordagem comum é ter duas matrizes: uma para o risco inerente e outra para o risco residual. Isso pode ajudar a mostrar a eficácia dos controles em reduzir o risco.
Ao usar a matriz de riscos, as organizações podem se concentrar em áreas onde o risco residual é inaceitavelmente alto e mais controles ou estratégias de mitigação precisam ser implementados. Isso pode ajudar a garantir que os recursos sejam alocados de forma eficaz para gerenciar riscos.
Calcular riscos inerentes e residuais envolve a identificação, análise e avaliação dos riscos que podem afetar a organização. Embora possa não haver uma fórmula exata para calcular esses riscos (dada a variabilidade e natureza subjetiva dos riscos), o seguinte roteiro geral pode ser usado:
1) Identificação do Risco:
O primeiro passo é identificar os riscos inerentes que sua empresa enfrenta. Estes podem incluir riscos operacionais, financeiros, de conformidade, estratégicos, etc. Essa identificação pode ser feita através de uma variedade de métodos, incluindo sessões de brainstorming, análises de cenário, revisão de incidentes passados, consultas com especialistas e revisão de documentos da indústria.
2) Análise do Risco:
Uma vez identificados os riscos, o próximo passo é avaliar cada um deles. A análise de risco normalmente envolve a determinação da probabilidade de ocorrência do risco e a avaliação do impacto potencial se o risco ocorrer. Uma abordagem comum é usar uma matriz de risco, onde os riscos são classificados com base em sua probabilidade de ocorrência (baixa, média, alta) e o impacto potencial (baixo, médio, alto). O produto dessas duas classificações pode dar uma estimativa do risco inerente.
3) Avaliação do Controle:
Aqui, você deve avaliar os controles existentes em termos de sua eficácia na redução do risco. Isso pode ser feito revisando os processos de controle, realizando testes de controle ou avaliando o histórico de eficácia do controle.
4) Cálculo do Risco Residual:
Depois de avaliar a eficácia dos controles, você pode calcular o risco residual. Isso é normalmente feito reavaliando a probabilidade e o impacto do risco, levando em consideração os controles existentes. O risco residual é então a nova classificação de risco depois que os controles foram levados em consideração.
Vale ressaltar que, enquanto essa abordagem pode fornecer uma estrutura útil, o cálculo dos riscos inerentes e residuais envolve uma quantidade significativa de julgamento e subjetividade. É importante reavaliar regularmente os riscos e controles, pois eles podem mudar com o tempo.
A avaliação da probabilidade de um risco é uma parte importante da gestão de riscos e, em muitos casos, requer uma combinação de análise quantitativa e qualitativa.
Aqui estão algumas maneiras de avaliar a probabilidade de um risco:
1) Dados Históricos:
Uma das formas mais diretas de avaliar a probabilidade é olhar para os dados históricos. Se um tipo de risco ocorreu frequentemente no passado, é provável que ele ocorra novamente.
Por exemplo, se uma empresa teve vários incidentes de segurança cibernética nos últimos anos, a probabilidade de futuros incidentes de segurança cibernética pode ser considerada alta.
2) Análise de Tendências do Setor:
As tendências do setor também podem informar a probabilidade.
Por exemplo, se as violações de dados estão se tornando mais comuns no setor em que a empresa opera, isso pode aumentar a probabilidade de riscos de segurança cibernética.
3) Conhecimento Especializado:
Os especialistas podem usar sua experiência para avaliar a probabilidade de um risco.
Por exemplo, um engenheiro estrutural poderia avaliar a probabilidade de falhas estruturais em uma ponte com base em seu conhecimento dos materiais de construção, do projeto e das condições ambientais.
4) Modelagem e Simulação:
Em alguns casos, técnicas de modelagem e simulação podem ser usadas para avaliar a probabilidade de um risco.
Por exemplo, uma empresa pode usar a modelagem de Monte Carlo para avaliar o risco financeiro, que leva em conta a variação de vários fatores econômicos.
Depois de avaliar a probabilidade, você pode classificá-la como baixa, média ou alta. A definição exata do que constitui baixa, média ou alta probabilidade pode variar dependendo do contexto e da tolerância ao risco da empresa. Por exemplo, uma empresa pode considerar um risco que tem uma chance de 1 em 100 de ocorrer em um ano como alta probabilidade, enquanto outra empresa pode considerar isso como média probabilidade.
Lembre-se de que a avaliação da probabilidade é apenas uma parte da equação. Você também precisa considerar o impacto potencial do risco para obter uma visão completa do perfil de risco.
Neste sentido, a avaliação do impacto de um risco envolve considerar o efeito potencial que um evento de risco teria sobre a organização. Este efeito pode ser medido em termos de prejuízo financeiro, danos à reputação, interrupção do negócio, não conformidade regulatória, entre outros.
Aqui estão algumas maneiras de avaliar o impacto de um risco:
1) Análise Financeira:
Uma das formas mais diretas de avaliar o impacto é considerar o custo financeiro potencial do risco.
Por exemplo, um risco que poderia custar à empresa milhões em multas regulatórias teria um alto impacto.
2) Consequências Operacionais:
Outra forma de avaliar o impacto é considerar as potenciais consequências operacionais.
Por exemplo, um risco que poderia interromper a produção na linha de montagem principal de uma fábrica teria um alto impacto.
3) Impacto na Reputação:
O impacto na reputação da empresa também deve ser considerado.
Por exemplo, um risco que poderia levar a publicidade negativa e danos à marca teria um alto impacto.
4) Consequências Regulatórias:
Finalmente, as consequências regulatórias também devem ser consideradas.
Por exemplo, um risco que poderia levar à não conformidade com leis ou regulamentos importantes teria um alto impacto.
Mais uma vez aqui, como acima na probabilidade, a definição de baixo, médio e alto impacto pode variar dependendo do contexto e da tolerância ao risco da empresa. Uma empresa pode considerar um impacto que custa milhares como de baixo impacto, enquanto outra empresa pode considerar isso de alto impacto.
Também é importante notar que a avaliação do impacto deve ser considerada em conjunto com a avaliação da probabilidade para obter uma visão completa do risco. Um risco com alta probabilidade, mas baixo impacto, pode ser menos preocupante do que um risco com baixa probabilidade, mas alto impacto. As empresas geralmente usam uma matriz de riscos para visualizar e priorizar riscos com base em ambos, probabilidade e impacto.
Por fim, queria dar abaixo algumas dicas para quem está querendo montar sua primeira matriz na sua empresa, ou então querendo melhorar a que já tem, seguindo os seguintes cuidados:
1) Defina claramente os critérios para probabilidade e impacto:
Você precisa de critérios claros para o que constitui baixo, médio e alto impacto, e baixa, média e alta probabilidade. Esses critérios devem ser definidos em função do contexto específico da sua empresa e da sua tolerância ao risco.
2) Use dados sempre que possível:
Sempre que possível, use dados para informar suas avaliações de probabilidade e impacto. Isso pode incluir dados históricos, benchmarks do setor e análise de especialistas. Quando os dados não estão disponíveis, não tenha medo de fazer julgamentos informados.
3) Envolver a equipe adequada:
A avaliação e a gestão de riscos devem ser uma atividade interfuncional que envolva as pessoas certas em toda a organização. Certifique-se de incluir pessoas que tenham um bom entendimento dos riscos e do negócio.
4) Revisar e atualizar regularmente:
A matriz de riscos deve ser uma ferramenta viva que seja revisada e atualizada regularmente. Os riscos podem mudar com o tempo, e a matriz de riscos deve refletir essas mudanças.
5) Ação a partir dos resultados:
O propósito de criar uma matriz de riscos é informar a tomada de decisões. Certifique-se de que você está usando os resultados para orientar suas ações de mitigação de riscos.
Em relação aos erros comuns, aqui estão alguns que você deve tentar evitar:
1) Não considerar todos os tipos de risco: Os riscos podem vir de muitas fontes diferentes, incluindo riscos operacionais, financeiros, estratégicos, de conformidade e outros. Certifique-se de considerar todos os tipos relevantes de risco na sua matriz.
2) Superestimar ou subestimar riscos:
Às vezes, as empresas podem cair na armadilha de superestimar ou subestimar certos riscos. É importante ser tão objetivo e fundamentado quanto possível ao avaliar riscos.
3) Não considerar riscos interdependentes:
Alguns riscos não ocorrem de forma isolada, mas são interdependentes. É importante considerar essas interdependências ao avaliar riscos.
4) Concentrar-se apenas nos riscos negativos:
Embora seja importante considerar os riscos que podem ter um impacto negativo na sua empresa, também é importante considerar os riscos que podem ter um impacto positivo. Estes são conhecidos como oportunidades e devem ser gerenciados da mesma forma que os riscos negativos.
Espero que estas dicas sejam úteis ao criar ou melhorar a sua matriz de riscos!
Por fim, queria então dar algumas dicas de livros, tanto em inglês como em português, que abordam em mais detalhes este tema, para quem deseja ir mais a fundo no assunto:
Embora não haja muitos livros especificamente dedicados às matrizes de riscos inerentes e residuais, muitos textos sobre gestão de riscos abordam esses conceitos como parte de uma abordagem mais ampla à gestão de riscos. Aqui estão algumas recomendações:
1) "Enterprise Risk Management: From Incentives to Controls" por James Lam:
Este livro é uma leitura completa para quem quer entender o risco empresarial. Ele aborda tópicos como identificação de riscos, avaliação, respostas a riscos e controle de riscos, conceitos que são fundamentais na construção e uso de matrizes de riscos.
2) "Risk Management and Financial Institutions" por John Hull:
Este clássico livro oferece uma visão mais aprofundada sobre o gerenciamento de riscos no setor financeiro, onde a avaliação e a mitigação do risco inerente e residual são particularmente importantes.
3) "The Essentials of Risk Management" por Michel Crouhy, Dan Galai, e Robert Mark:
Este livro aborda vários tipos de riscos e como gerenciá-los, incluindo a discussão sobre risco inerente e residual. Ele oferece uma visão detalhada e estruturada do gerenciamento de riscos.
4) "Gestão de Riscos com Foco em Controles Internos" por Cleyber Lopes de Araujo:
Neste livro, o autor explora a gestão de riscos no contexto de controles internos e fornece uma discussão sobre como identificar, avaliar e gerenciar riscos, incluindo a avaliação do risco inerente e residual.
5) "Gestão de Riscos em Projetos" por Vitor Abdala:
O livro detalha o processo de gestão de riscos em projetos, o que naturalmente inclui a discussão sobre risco inerente e residual. Ele fornece exemplos práticos de como os riscos podem ser identificados, avaliados e mitigados.
6) "Auditoria: Uma Abordagem Moderna e Completa" por William C. Boynton, Rayond N. Johnson e Walter G. Kell:
Este livro pode ser útil para entender como a matriz de risco inerente e residual é usada no contexto de auditoria. A gestão de riscos é uma parte importante da auditoria, e este livro oferece uma visão sobre como esses conceitos se aplicam.
Queria reforçar que esses livros não se concentram exclusivamente na matriz de riscos inerentes e residuais, mas incluem esses conceitos como parte de uma abordagem mais ampla ao gerenciamento de riscos.
