Estava lendo outro dia um interessante paper chamado: What’s Wrong with Enterprise Risk Management? escrito pelo: John Fraser, Rob Quail e Betty Simkins, que aborda um interessante tema do chamado: "Enterprise Risk Management", ou simplesmente: ERM, que é uma metodologia que ganhou relevância nas últimas décadas, sendo amplamente adotada por empresas e exigida por órgãos reguladores como uma prática de boa governança corporativa, mas no entanto, apesar de seu crescente reconhecimento, muitas empresas falham na implementação efetiva do ERM, o que levanta questões críticas sobre os desafios e limitações desse sistema, e queria refletir de como superar esses desafios.
Queria abordar abaixo então alguns destes problemas e erros mais comuns que vemos, e que precisamos estar ligados antenados para não cometer os mesmos. Espero que isto ajude neste sentido, ainda que muitos destes pontos já tratei em outros posts no passado, acho relevante trazê-los novamente abaixo para sua reflexão:
Excesso de Foco em Relatórios
O ERM foi originalmente concebido para ser uma ferramenta estratégica que ajudaria as empresas a gerenciar riscos de forma proativa e integrada, mas com o tempo, muitas empresas passaram a ver o ERM como um meio para cumprir requisitos regulatórios, como os impostos pela Lei Sarbanes-Oxley (SOX) de 2002.
Isso levou a um foco desproporcional em relatórios e conformidade, ao invés de utilizar o ERM como uma ferramenta gerencial e estratégica para a tomada de decisões mais acertivas, e o problema se agravou com a proliferação de sistemas de Governança, Risco e Conformidade (GRC), que muitas vezes priorizam a coleta e o monitoramento de dados, em detrimento da análise qualitativa e da discussão sobre como os riscos podem impactar a estratégia e os objetivos de longo prazo.
Esse foco excessivo em relatórios cria um ciclo onde os gestores veem o ERM apenas como uma obrigação burocrática, aonde as interações com o ERM muitas vezes se limitam ao preenchimento de relatórios periódicos, que são enviados aos conselhos de administração e a outras partes interessadas sem uma análise crítica ou discussão sobre as implicações estratégicas dos riscos.
Como resultado de tudo isto, o ERM deixa de ser uma ferramenta para melhorar a tomada de decisões e se torna um exercício de check point, perdendo seu potencial transformador.
Práticas Recomendadas:
Redefinir a Função do ERM: Encoraje a empresa a ver o ERM como uma ferramenta para a tomada de decisões estratégicas, e não apenas como um mecanismo de conformidade. Reforce a ideia de que o principal objetivo do ERM é melhorar a capacidade de tomar decisões sob incerteza.
Balanceamento de Relatórios e Ação: Além de gerar relatórios, o ERM deve focar em ações e discussões que ajudem a mitigar riscos e explorar oportunidades. Promova reuniões periódicas para discutir os riscos emergentes e como pode se adaptar a eles.
Integração com a Estratégia: Os relatórios de ERM devem estar diretamente conectados com a estratégia organizacional. Isso pode ser feito garantindo que os principais riscos sejam discutidos durante as sessões de planejamento estratégico, com ênfase em como esses riscos podem impactar a realização dos objetivos de longo prazo.
Falta de Inserção nos Processos de Tomada de Decisão
Para que o ERM seja eficaz, ele deve ser profundamente integrado aos processos decisórios da organização, o que significa que o ERM deve estar presente em todas as etapas do planejamento estratégico, na alocação de recursos, na seleção de projetos de tecnologia e em qualquer outro processo que envolva a tomada de decisões sob incerteza. Mas infelizmente em muitas empresas, o ERM opera de forma isolada, como uma função separada que não influencia diretamente as decisões de negócio.
A ausência do ERM nos processos decisórios pode levar a decisões ruins, onde os riscos não são adequadamente considerados ou são tratados de forma superficial, como ao planejar a terceirização de uma função crítica, a empresa pode não avaliar corretamente os riscos associados à gestão do fornecedor, o que pode resultar em falhas operacionais significativas. Da mesma forma, em projetos tecnológicos complexos, a falta de uma avaliação de risco abrangente pode levar a atrasos, estouros de orçamento e até mesmo ao fracasso do projeto.
Para evitar esses problemas, é fundamental que o ERM seja visto como um "agente provocador", que questiona e melhora os processos decisórios, ajudando a empresas a tomar decisões mais informadas e alinhadas com sua estratégia de longo prazo.
Práticas Recomendadas:
Inclusão em Comitês de Decisão: Assegure que o ERM tenha um assento nos comitês estratégicos, como o comitê de investimentos e o comitê de planejamento estratégico. Isso permite que a perspectiva de risco seja considerada em todas as principais decisões de negócio.
Ferramentas de Apoio à Decisão: Desenvolva ferramentas e frameworks que integrem a análise de risco aos processos de decisão. Por exemplo, use a análise de cenários de risco para apoiar decisões sobre investimentos ou projetos de grande escala.
Educação e Sensibilização: Treine executivos e gestores sobre a importância de considerar riscos na tomada de decisão. Promova workshops e treinamentos para demonstrar como o ERM pode agregar valor nos processos decisórios.
Aderência Excessiva a Processos Estáticos
O uso de padrões globais de mercado, tais como o ISO 31000 e o COSO, é comum na implementação do ERM, aonde esses padrões fornecem uma estrutura valiosa para a gestão de riscos, mas por outro lado, a aderência rígida a esses processos pode ser prejudicial, pois pode levar à estagnação e à falta de inovação na gestão de riscos. Não podemos esquecer de que o mundo dos negócios é dinâmico, ou seja, os riscos evoluem rapidamente, por isto que é necessário que as empresas sempre adotem uma abordagem mais flexível e adaptativa na gestão de riscos.
Por exemplo nos cenários de stress atípicos, que conhecemos como dos "cisnes negros", que são eventos raros com impactos extremamente graves, muitas vezes não podem ser previstos ou gerenciados adequadamente através de processos padrão de ERM, aí nesses casos as empresas precisam desenvolver métodos alternativos, como exercícios de planejamento de cenários, que permitem testar a resiliência frente a eventos imprevistos.
Além disso a implementação de critérios personalizados, que levem em conta as especificidades do negócio e os desafios únicos que a organização enfrenta, pode ser mais eficaz do que seguir um processo estático que pode não se adequar completamente às necessidades da empresa.
Práticas Recomendadas:
Customização do Processo: Adapte os processos de ERM às necessidades específicas da empresa, evitando a rigidez excessiva. Avalie continuamente os processos e esteja disposto a ajustá-los conforme as condições do mercado e os desafios específicos mudem.
Inovação no ERM: Introduza técnicas como o planejamento de cenários, que permitem pensar em como reagir a eventos extremos e inesperados. Isso ajuda a preparar para lidar com os chamados cisnes negros e outras incertezas que não são bem abordadas por processos padrão.
Avaliação Contínua: Revise regularmente os processos de ERM para garantir que eles ainda sejam relevantes e eficazes. Implementar ciclos de feedback onde as partes interessadas possam sugerir melhorias e adaptações ao processo de ERM.
Tratamento dos Riscos como Itens Discretos:
Uma falha comum na prática do ERM é o tratamento dos riscos como elementos isolados, sem considerar as interdependências entre eles, e como bem sabemos, ao contrário, os riscos não operam de forma independente, mas sim estão conectados em uma rede complexa, onde um evento em uma área pode desencadear consequências em outras partes da empresa, como por exemplo, problemas na gestão de terceirização de TI podem impactar a segurança cibernética, que por sua vez pode afetar a reputação da empresa e suas relações com os clientes.
A compreensão dessas interconexões é essencial para uma gestão de riscos eficaz, e neste sentido a utilização de ferramentas visuais, como mapas de interdependências, pode ajudar os gestores a visualizar como os riscos estão conectados e a prever os impactos em cascata que podem ocorrer quando um risco se materializa, permitindo assim uma abordagem mais holística e integrada na gestão de riscos, garantindo que as empresas estejam melhor preparadas para lidar com eventos complexos e inter-relacionados.
Práticas Recomendadas:
Mapeamento de Interdependências: Desenvolva mapas de interdependência de riscos que mostram como diferentes riscos estão conectados. Isso permite que os gestores vejam como um risco pode impactar múltiplas áreas.
Simulações e Modelagem de Impactos: Utilize simulações para entender como os riscos podem se propagar através das áreas da empresa. Ferramentas como a análise de impactos em cascata podem ajudar a prever as consequências de eventos de risco interconectados.
Abordagem Holística: Adote uma abordagem holística para a gestão de riscos, considerando não apenas os riscos isoladamente, mas também como eles podem interagir e amplificar uns aos outros.
Mau Uso de Modelos:
Os modelos são ferramentas poderosas na gestão de riscos, mas devem ser utilizados com cautela, até porque um dos problemas mais comuns é o uso inadequado de matrizes de riscos e mapas de calor para a tomada de decisões críticas, até porque, como já havia comentado em outros posts no passado, esses modelos simplificam demais a realidade, ao representar os riscos como pontos em um gráfico, sem capturar toda a gama de possíveis resultados e suas probabilidades associadas.
Confiar em um mapa de calor para decidir entre dois investimentos pode ser enganoso, pois o modelo não leva em conta as interdependências entre os riscos, nem os impactos de eventos em cascata que podem resultar em consequências muito maiores do que as inicialmente previstas. Além disso, a definição e a escala dos riscos podem variar, o que torna difícil comparar riscos de diferentes investimentos de forma precisa.
Por isso é importante que os gestores reconheçam as limitações dos modelos e evitem depender exclusivamente deles para a tomada de decisões, assim os mapas de calor devem ser usados para estimular discussões e reflexões, mas a decisão final deve considerar uma análise mais abrangente e profunda dos riscos.
Práticas Recomendadas:
Educação sobre Limitações dos Modelos: Instrua os tomadores de decisão sobre as limitações dos modelos utilizados no ERM. Esclareça que modelos como mapas de calor são simplificações e devem ser usados como um ponto de partida para discussões mais profundas.
Diversificação de Ferramentas: Não confie exclusivamente em um único tipo de modelo. Use uma variedade de ferramentas analíticas, como análises quantitativas e qualitativas, para obter uma visão mais completa dos riscos.
Validação Contínua dos Modelos: Revise e valide regularmente os modelos utilizados para garantir que eles continuem sendo relevantes e precisos. Inclua cenários que desafiem os pressupostos do modelo para testar sua robustez.
Crença de que Todo Risco é Ruim:
Um erro comum é a crença de que todo risco é negativo e deve ser evitado, quando na verdade, o risco é inerente a qualquer atividade empresarial e é essencial para a inovação e o crescimento, assim empresas que adotam uma postura avessa ao risco podem acabar perdendo oportunidades valiosas e ficando para trás em relação aos concorrentes.
O desafio é encontrar um equilíbrio entre a aversão ao risco e a disposição para tomar riscos calculados que possam gerar retornos significativos, e assim estabelecer um apetite ao risco claro, que defina os níveis de risco que a empresa está disposta a aceitar para alcançar seus objetivos estratégicos, o que é fundamental, pois permite que tome decisões mais assertivas sobre quais riscos valem a pena serem assumidos e quais devem ser mitigados ou evitados.
Práticas Recomendadas:
Definição Clara do Apetite ao Risco: Desenvolva e comunique claramente o apetite ao risco. Certifique-se de que todos os níveis entendam quais riscos são aceitáveis e quais devem ser evitados.
Cultura de Risco Positiva: Promova uma cultura organizacional onde o risco seja visto como uma oportunidade e não apenas como uma ameaça. Incentive a inovação e a tomada de riscos calculados que possam levar a ganhos estratégicos.
Incorporação de Riscos em Objetivos Estratégicos: Alinhe o apetite ao risco com os objetivos estratégicos. Isso permite que a tomada de riscos seja vista como uma parte integrante do processo de alcançar metas de longo prazo.
Falta de Clareza de Papéis:
Finalmente, a falta de clareza na definição dos papéis dentro do ERM pode comprometer a eficácia do programa, pois em muitas empresas o ERM é tratado apenas como uma simples extensão da Auditoria Interna ou de funções de conformidade, o que pode criar conflitos de interesse e limitar a capacidade do ERM de atuar de forma independente e estratégica.
Importante que o ERM seja visto sim como uma função separada e independente, focada em apoiar a tomada de decisões e promover discussões sobre a aceitação de riscos, pois ao combinar o ERM com funções de auditoria ou conformidade pode enfraquecer ambas as funções, pois a auditoria interna perde sua independência e o ERM perde sua capacidade de ser um espaço seguro para a discussão aberta sobre riscos.
Para que o ERM seja realmente eficaz é necessário que haja uma clareza absoluta sobre seu papel e sua função dentro da empresa, garantindo que ele esteja alinhado com a estratégia de longo prazo da empresa e contribua para uma tomada de decisões mais assertivas e eficaz.
Práticas Recomendadas:
Separação de Funções: Assegure que o ERM seja uma função independente da Auditoria Interna ou de outras funções de controle. Isso ajuda a preservar a objetividade e a integridade de ambos os departamentos.
Definição Clara de Papéis: Estabeleça papéis e responsabilidades claras para o ERM dentro da empresa. Todos devem entender que o ERM é responsável por apoiar a tomada de decisões e não apenas por relatar conformidade.
Comunicação Transparente: Facilite uma comunicação transparente entre o ERM, os gestores e o conselho de administração. Isso garante que as discussões sobre riscos sejam abertas, honestas e focadas na melhoria contínua da gestão de riscos.
Os que desejarem ler o paper completo (em inglês) fica a dica do link:
https://www.researchgate.net/publication/381910924_What's_Wrong_with_Enterprise_Risk_Management
