A definição e implementação eficazes de um apetite a riscos são fundamentais para a governança de uma empresa, e um chamado "framework" robusto de apetite a riscos ajuda a orientar decisões estratégicas e operacionais, garantindo que a empresa não se exponha a riscos além de sua capacidade de suportar perdas.
Há considerações importantes que os conselhos de administração e seus comitês de assessoramento de riscos e/ou auditoria devem fazer, e queria levar este tema fazendo isto através de algumas perguntas importantes de serem feitas sobre o tema, com respostas detalhadas para garantir uma compreensão completa e aplicação eficaz do apetite a riscos, pois acho que ajudam a refinar e aprimorar continuamente esta definição e aplicação prática deste importante conceito do apetite a riscos, garantindo que a empresa esteja bem preparada para enfrentar desafios e aproveitar oportunidades.
- Os gestores que tomam decisões entendem o grau de exposição permitido?
Os gestores devem ter uma compreensão clara das políticas e diretrizes relacionadas ao apetite a riscos, que especificam os limites de exposição a diferentes tipos de risco, e para ajudar nisto sempre oferecer um treinamento contínuo e comunicação eficaz por parte da liderança da empresa.
É importante que essas diretrizes sejam traduzidas em termos práticos e aplicáveis ao dia a dia dos gestores, permitindo-lhes tomar decisões informadas sem ultrapassar os limites estabelecidos.
Ferramentas como matrizes de risco e cenários de risco ajudam a ilustrar esses limites e as potenciais consequências de suas decisões.
Além disso, deve-se assegurar que os gestores tenham acesso a sistemas de informação de risco que forneçam dados precisos e oportunos, facilitando a identificação e avaliação dos riscos em suas respectivas áreas.
A integração de indicadores-chave de risco (KRIs) e a realização de análises de sensibilidade podem melhorar ainda mais a compreensão dos gestores sobre os riscos e a conformidade com o apetite a riscos definido pelo conselho.
- Os executivos entendem o nível agregado e interligado dos riscos?
Os executivos devem ter uma visão abrangente dos riscos que a empresa enfrenta, considerando tanto os riscos individuais quanto a interconexão entre eles. Isso envolve a utilização de ferramentas de agregação de risco que consolidam dados de diferentes áreas da empresa, proporcionando uma visão "holística" dos riscos.
Por exemplo, um executivo de finanças deve estar ciente de como os riscos de crédito podem interagir com os riscos de mercado e operacionais, potencialmente amplificando o impacto financeiro em um cenário de crise.
Por isto que a realização de reuniões e workshops entre as áreas sobre risco pode facilitar essa compreensão, promovendo discussões sobre como diferentes riscos podem se interligar e impactar a empresa como um todo.
- O conselho e a liderança executiva entendem o nível agregado e interligado de risco da empresa como um todo?
Para garantir que o conselho, seus comitês, e a liderança executiva compreendam plenamente os riscos agregados e interligados, o que pode ser feito com bons e didáticos relatórios de risco.
Relatórios regulares e abrangentes devem ser apresentados ao conselho, detalhando os principais riscos e suas interconexões, bem como as ações mitigadoras que estão sendo feitas.
Esses relatórios devem incluir análises detalhadas de stress testing e simulações de impacto destes riscos, demonstrando como diferentes eventos podem impactar a empresa de maneira interligada.
Por exemplo, um relatório pode mostrar como uma crise econômica global pode afetar simultaneamente os riscos de mercado, crédito e liquidez, resultando em uma visão integrada do impacto potencial.
Além disso, a criação de um comitê de riscos com representantes de diferentes áreas da empresa pode facilitar uma discussão mais profunda sobre os riscos interligados, promovendo uma visão compartilhada entre o conselho e a liderança executiva. Melhor ainda se tiver integrantes independentes.
A participação ativa em discussões e a revisão crítica de relatórios de risco ajudam a garantir que todos os níveis de liderança estejam alinhados e cientes dos riscos agregados.
- Gestores e executivos estão cientes de que o apetite a riscos não é constante?
É fundamental que tanto os gestores quanto os executivos entendam que o apetite a riscos da empresa pode e deve mudar em resposta a novas condições de mercado, mudanças regulatórias e outras variáveis externas e internas. Isso requer a incorporação de mecanismos de revisão periódica do apetite a riscos. Pessoalmente acho que anualmente uma boa periodicidade.
Por exemplo, a empresa pode adotar uma abordagem trimestral para apresentar e revisar os indicadores do apetite a riscos, onde os gestores e executivos avaliam o ambiente de risco atual e ajustam os limites de risco conforme necessário. Essas revisões devem considerar fatores como mudanças na economia global, novas ameaças de concorrentes, inovações tecnológicas e alterações nas regulamentações.
A flexibilidade no apetite a riscos também deve ser comunicada claramente em todas as políticas e diretrizes de risco, assegurando que todos na empresa estejam cientes de que os limites de risco podem ser ajustados.
- As decisões de risco são tomadas com plena consideração da recompensa?
Para garantir que as decisões de risco considerem adequadamente as recompensas potenciais, é essencial integrar a análise de risco e retorno em todos os processos de tomada de decisão.
Isso envolve o uso de métricas financeiras como o Retorno sobre o Risco Ajustado ao Capital e a Margem de Contribuição Ajustada pelo Risco, que ajudam a avaliar a relação entre risco e retorno em diferentes operações, projetos e iniciativas.
Os gestores devem ser treinados para aplicar essas métricas e para considerar tanto os riscos quantificáveis quanto os intangíveis, como riscos reputacionais e de conformidade. A realização de análises de custo-benefício e a aplicação de técnicas de decisão podem ajudar a balancear os riscos e recompensas, assegurando que as decisões sejam tomadas com uma visão abrangente.
Além disso, a criação de comitês de investimento ou de risco, que revisam e aprovam grandes projetos e iniciativas, pode proporcionar uma camada adicional de controle e equilíbrio, garantindo que todas as decisões de risco sejam avaliadas quanto ao seu potencial de retorno.
A comunicação transparente dos critérios utilizados para avaliar risco e recompensa também reforça a confiança dos stakeholders e promove uma cultura de tomada de decisão informada e equilibrada.
- Quais são os riscos significativos que o conselho está disposto a assumir? Quais são os riscos significativos que o conselho não está disposto a assumir?
Os conselhos e seus comitês de riscos e auditoria precisam definir claramente os tipos de riscos que estão dispostos a assumir para alcançar os objetivos estratégicos da empresa. Isso inclui identificar áreas onde a empresa está disposta a correr riscos maiores (por exemplo: inovação e desenvolvimento de novos produtos) e áreas onde a aversão ao risco é maior (por exemplo: conformidade regulatória e reputação). Mais uma vez, a clareza sobre esses limites ajuda a orientar decisões em todos os níveis da empresa.
Para isso, o conselho deve realizar uma análise detalhada dos riscos inerentes às suas atividades e discutir abertamente quais riscos são aceitáveis.
Ferramentas como matrizes de risco e perfis de risco ajudam a visualizar e categorizar esses riscos.
Além disso, é importante documentar essas decisões em uma política formal de apetite a riscos, garantindo que todos na organização tenham acesso a essas informações.
- Quais são os objetivos estratégicos da empresa? Eles são claros? O que é explícito e o que é implícito nesses objetivos?
Os objetivos estratégicos devem ser claramente definidos e comunicados, e o conselho deve revisar se esses objetivos são explícitos (claramente declarados e documentados) ou implícitos (subentendidos e não formalmente documentados). Essa clareza é importante para alinhar o apetite a riscos com as metas estratégicas da empresa.
Para garantir a clareza, o conselho deve trabalhar em estreita colaboração com a liderança executiva para definir e documentar os objetivos estratégicos, incluindo metas de curto e longo prazo. Reuniões sobre estratégias e sessões de planejamento podem ajudar a esclarecer e alinhar esses objetivos, garantindo que todos na empresa entendam e trabalhem em direção às mesmas metas.
- O conselho está claro sobre a natureza e extensão dos riscos significativos que está disposto a assumir para atingir seus objetivos estratégicos?
O conselho precisa ter uma compreensão detalhada dos riscos que está disposto a assumir para atingir seus objetivos estratégicos, o que envolve não apenas a identificação dos riscos, mas também a definição da extensão (quantidade) desses riscos que são aceitáveis.
Para isso, é útil usar ferramentas de quantificação de risco para modelar e prever os impactos potenciais dos riscos, e assim ajudar a visualizar a tolerância ao risco e a alinhar as estratégias de mitigação com os objetivos da empresa.
Relatórios regulares e dashboards de risco podem fornecer uma visão contínua dos níveis de risco e ajudar o conselho a monitorar e ajustar seu apetite a riscos conforme necessário.
- O conselho precisa estabelecer uma governança mais clara sobre o apetite e a tolerância a riscos da empresa?
A governança clara sobre o apetite e a tolerância a riscos é importante para assegurar que toda a empresa esteja alinhada e que os riscos sejam gerenciados de maneira consistente, sendo que o conselho e seus comitês devem avaliar se a estrutura de governança atual é adequada ou se são necessárias melhorias.
Isso pode incluir a criação de um comitê de riscos dedicado, responsável por supervisionar o desenvolvimento, implementação e monitoramento do framework de apetite a riscos. Este comitê deve ter representantes de diferentes áreas da empresa, garantindo uma visão holística e integrada dos riscos. Se tiver membros independentes, melhor ainda.
Políticas e procedimentos claros devem ser estabelecidos, documentados e comunicados a toda a empresa.
- Quais medidas o conselho tomou para garantir a supervisão da gestão dos riscos?
O conselho deve ter mecanismos robustos de supervisão para garantir que a gestão dos riscos esteja alinhada com o apetite a riscos definido, o que inclui a implementação de relatórios regulares de risco, auditorias internas e externas, e a realização de revisões periódicas das políticas e procedimentos de risco.
Os relatórios de risco devem ser detalhados e incluir informações sobre os principais riscos, suas tendências e as ações mitigadoras implementadas, com o uso de dashboards de risco e indicadores-chave de desempenho (KPIs), o que pode ajudar a monitorar o desempenho em relação aos objetivos de risco.
Além disso, auditorias internas regulares podem identificar áreas de melhoria e garantir que as práticas de gestão de riscos estejam sendo seguidas.
- O conselho e a equipe de gestão revisaram as capacidades da empresa para gerenciar os riscos que enfrenta?
A revisão das capacidades da empresa para gerenciar riscos envolve uma avaliação crítica dos recursos disponíveis, incluindo pessoal, tecnologia e processos, sendo que o conselho deve garantir que a empresa tenha as competências necessárias para identificar, avaliar e mitigar os riscos de maneira eficaz.
Esta avaliação pode incluir a realização de auditorias de competência e a implementação de programas de treinamento contínuo para fortalecer as habilidades de gestão de risco.
Ferramentas tecnológicas, como sistemas de gestão integrada de risco, podem facilitar a identificação e o monitoramento de riscos.
A empresa deve também revisar regularmente suas capacidades e fazer ajustes conforme necessário para responder a novos desafios e oportunidades.
- Quais são as principais características da cultura de risco da empresa em termos de tom no topo, governança, competência e tomada de decisão?
A cultura de risco de uma empresa é moldada por diversos fatores, incluindo a liderança, a governança, as competências e a abordagem à tomada de decisão.
Neste sentido, o conselho deve avaliar se a cultura de risco está alinhada com o apetite a riscos da empresa e se promove comportamentos que suportam uma gestão eficaz dos riscos.
O "tom no topo" refere-se à atitude e aos comportamentos dos líderes seniores em relação ao risco, por isso é importante que a liderança demonstre um compromisso claro com a gestão de riscos, incentivando práticas de risco responsáveis em toda a empresa.
A governança deve incluir estruturas claras e processos de tomada de decisão que incorporem considerações de risco.
Programas de desenvolvimento de competências e treinamentos contínuos podem ajudar a construir uma base sólida de habilidades de gestão de risco em todos os níveis da empresa.
- O entendimento de risco permeia a organização e sua cultura?
Para que a gestão de riscos seja eficaz, é fundamental que o entendimento do risco permeie toda a empresa, o que significa que todos os funcionários, independentemente de seu nível ou função, devem estar cientes dos riscos relevantes para suas atividades e da importância de gerenciá-los de maneira eficaz.
A comunicação clara e contínua sobre o apetite a riscos e as políticas de gestão de risco é essencial, através de programas de conscientização e treinamento regular sobre riscos, que podem ajudar a promover uma cultura de risco sólida.
Ferramentas como newsletters internas, workshops e campanhas de comunicação podem reforçar a importância da gestão de riscos e assegurar que todos na empresa estejam engajados e informados.
- A gestão é incentivada para a boa gestão de riscos?
Os incentivos são uma ferramenta poderosa para promover a gestão eficaz de riscos.
Por isso, o conselho deve garantir que a estrutura de remuneração e incentivos da empresa recompense comportamentos que suportem uma gestão de riscos responsável.
Isso pode incluir a incorporação de métricas de risco nos planos de bônus e nas avaliações de desempenho. Por exemplo, gestores que demonstram uma gestão eficaz de riscos, conforme medido por KPIs específicos de risco, podem receber recompensas financeiras ou reconhecimento formal.
A criação de uma cultura onde a gestão de riscos é valorizada e recompensada incentiva os funcionários a priorizar a identificação, avaliação e mitigação de riscos em suas atividades diárias.
- Quanto a empresa gasta em gestão de riscos a cada ano? Quanto precisa gastar?
O investimento em gestão de riscos deve ser adequado para suportar as atividades de identificação, avaliação e mitigação de riscos.
Por isso, o conselho deve revisar regularmente o orçamento alocado para a gestão de riscos e avaliar se é suficiente para cobrir as necessidades da empresa.
Esta avaliação deve considerar os custos de pessoal, tecnologia, treinamento e outros recursos necessários para uma gestão eficaz de riscos.
Ferramentas de benchmarking podem ajudar a comparar os gastos com as práticas de outras empresas do setor. Se identificadas lacunas, o conselho deve estar disposto a aumentar o investimento para garantir que a empresa esteja bem equipada para gerenciar seus riscos.
- Qual é o grau de maturidade da gestão de riscos na empresa? A visão é consistente em diferentes níveis da empresa? A resposta a essas perguntas é baseada em evidências ou especulação?
A maturidade da gestão de riscos pode variar dentro de uma empresa, e o conselho deve avaliar o grau de maturidade da gestão de riscos em diferentes níveis e áreas da empresa, utilizando algum tipo de frameworks de maturidade.
Para obter uma visão precisa, é importante basear essa avaliação em evidências concretas, como auditorias internas, avaliações de desempenho e feedback dos funcionários.
A realização de avaliações regulares de maturidade pode ajudar a identificar áreas de melhoria e desenvolver planos de ação para aumentar a maturidade da gestão de riscos em toda a empresa.
- A empresa entende claramente por que e como se engaja com os riscos?
Entender claramente o motivo e a maneira como a empresa se engaja com riscos é essencial para uma gestão eficaz de riscos, inclusive compreender os objetivos estratégicos que impulsionam a aceitação de certos riscos e os processos específicos utilizados para gerenciar esses riscos.
O conselho deve assegurar que a empresa tenha políticas e procedimentos claros que definam os motivos para aceitar riscos e as abordagens para mitigá-los.
A realização de workshops de estratégia e risco pode ajudar a alinhar a compreensão dos riscos com os objetivos estratégicos da empresa.
- A empresa está abordando todos os riscos relevantes ou apenas aqueles que podem ser capturados em processos de gestão de riscos?
É importante que a empresa aborde todos os riscos relevantes, não apenas aqueles facilmente capturáveis em processos formais de gestão de riscos, incluindo também os riscos intangíveis, como riscos reputacionais e riscos de conformidade, que podem ser mais difíceis de quantificar mas igualmente críticos.
O conselho deve garantir que os processos de gestão de riscos sejam abrangentes e incluam avaliações qualitativas, além de quantitativas.
Ferramentas como análises de impacto qualitativo e entrevistas com stakeholders podem ajudar a identificar e avaliar esses riscos.
- A empresa possui um framework para responder a riscos?
Ter um framework claro para responder a riscos é importante para uma gestão eficaz de riscos, o que inclui as políticas, procedimentos e planos de ação específicos para identificar, avaliar e mitigar riscos.
O conselho deve assegurar que o framework esteja bem documentado e comunicado a todos os níveis da empresa com a definição de responsabilidades claras e a criação de planos de contingência para responder a eventos de risco.
A realização de exercícios de simulação e testes de stress pode ajudar a validar a eficácia do framework e identificar áreas de melhoria. Gosto quando os conselheiros são chamados para isto.
- Quem são os principais stakeholders externos e suas opiniões foram consideradas adequadamente no framework final?
Os stakeholders externos, como investidores, reguladores e clientes, também desempenham um papel importante na definição do apetite a riscos da empresa, por isso o conselho deve assegurar que suas opiniões sejam consideradas e incorporadas no framework final de apetite a riscos.
Isso pode ser feito por meio de consultas regulares e feedback com stakeholders externos, com tudo isto documentado, em especial essas interações e demonstrar como suas opiniões influenciaram o desenvolvimento do framework.
A transparência e o engajamento ativo com stakeholders externos ajudam a construir confiança e alinhamento com as expectativas externas.
- A empresa seguiu uma abordagem robusta para desenvolver seu apetite a riscos?
Desenvolver um apetite a riscos requer uma abordagem estruturada e robusta.
Neste sentido, o conselho deve garantir que a empresa seguiu um processo detalhado e bem documentado para desenvolver seu apetite a riscos, incluindo a realização de análises de risco abrangentes e consultas com stakeholders internos e externos.
Este processo deve incluir a identificação de todos os riscos relevantes, a avaliação de sua probabilidade e impacto, e a definição de limites claros de apetite a riscos.
A empresa deve também revisar regularmente esse apetite a riscos para assegurar que continue relevante e alinhado com os objetivos estratégicos.
- O apetite a riscos passou por processos de aprovação adequados, incluindo o conselho (ou comitê de riscos)?
A aprovação formal do apetite a riscos pelo conselho ou por um comitê de riscos é importante para garantir a sua legitimidade e aceitação em toda a organização.
Por isso, o conselho deve assegurar que o apetite a riscos foi submetido a uma revisão rigorosa e recebeu a aprovação necessária, incluindo a realização de reuniões dedicadas para discutir e aprovar o apetite a riscos, documentando todas as decisões e justificativas.
A transparência no processo de aprovação ajuda a garantir que todos os stakeholders compreendam e aceitem os limites de risco definidos.
- O apetite a riscos é adaptado e proporcional à empresa?
O apetite a riscos deve ser adaptado às necessidades e capacidades específicas da empresa, e deve refletir a natureza, tamanho e complexidade da empresa, bem como seu ambiente operacional e competitivo.
O conselho deve assegurar que o apetite a riscos seja proporcional aos recursos disponíveis para gerenciar riscos e aos objetivos estratégicos da empresa.
A realização de análises comparativas com empresas semelhantes pode ajudar a ajustar e calibrar o apetite a riscos, garantindo que seja adequado e realista.
- Qual é a evidência de que a empresa implementou efetivamente o apetite a riscos?
A evidência de que a empresa implementou efetivamente o apetite a riscos inclui relatórios de conformidade, auditorias internas e externas, e indicadores de desempenho que mostram a aderência aos limites de risco definidos.
Neste sentido, o conselho deve revisar regularmente essas evidências para assegurar que a empresa esteja cumprindo com seu apetite a riscos.
Relatórios de risco detalhados e dashboards de gestão de risco podem fornecer uma visão contínua da implementação do apetite a riscos, com a realização de revisões periódicas e auditorias independentes que podem validar a eficácia das práticas de gestão de risco e identificar áreas de melhoria.
- O conselho está satisfeito com os arranjos de governança para dados e informações de gestão de riscos?
A governança de dados é importante para garantir que a informação utilizada na gestão de riscos seja precisa, completa e oportuna.
Por isso, o conselho deve avaliar se os arranjos de governança de dados são adequados para suportar a gestão de riscos, com a implementação de políticas claras de governança de dados, a utilização de sistemas de informação robustos e a realização de auditorias regulares de qualidade de dados.
A empresa deve assegurar que todos os dados relevantes de risco sejam coletados, armazenados e analisados de maneira consistente e segura.
- O conselho desempenhou um papel ativo na aprovação, medição, monitoramento e aprendizado do processo de apetite a riscos?
O envolvimento ativo do conselho é importante para o sucesso do apetite a riscos, e neste sentido o conselho deve participar ativamente na aprovação inicial, bem como na medição, monitoramento e aprendizado contínuo do processo de apetite a riscos, com a revisão regular dos relatórios de risco, a participação em discussões sobre a evolução do apetite a riscos e a adaptação do framework conforme necessário.
O conselho deve também promover uma cultura de aprendizado contínuo, incentivando a identificação e a implementação de melhorias baseadas em experiências passadas e melhores práticas.
- O conselho tem, ou precisa, de um comitê de riscos para supervisionar o desenvolvimento e monitoramento do framework de apetite a riscos?
A criação de um comitê de riscos dedicado pode melhorar significativamente a supervisão e o desenvolvimento do framework de apetite a riscos.
Esse comitê deve ser composto por membros do conselho e membros independentes com experiência na área, proporcionando uma visão ampla e integrada dos riscos.
O comitê de riscos deve ser responsável por revisar e aprovar políticas de risco, monitorar a conformidade com o apetite a riscos e recomendar ajustes conforme necessário.
A existência de um comitê de riscos pode garantir que a empresa mantenha uma abordagem proativa e bem informada na gestão de seus riscos.
- O que precisa mudar para a próxima revisão?
A revisão contínua e a adaptação do apetite a riscos são essenciais para garantir que ele permaneça relevante e eficaz, por isso o conselho deve identificar áreas de melhoria com base em experiências passadas, feedback dos stakeholders e mudanças no ambiente de negócios.
A realização de revisões pós-implementação e a coleta de feedback de todas as partes interessadas podem fornecer insights valiosos para futuras revisões.
A empresa deve estar disposta a ajustar seu apetite a riscos e suas práticas de gestão de riscos para se adaptar a novas realidades e desafios.
- A empresa tem recursos e sistemas suficientes e apropriados?
A disponibilidade de recursos e sistemas adequados é fundamental para a implementação eficaz do apetite a riscos, por isso o conselho deve avaliar se a empresa possui os recursos humanos, tecnológicos e financeiros necessários para suportar a gestão de riscos.
Investir em tecnologia de gestão de riscos, como sistemas integrados de gestão de risco, e em programas de desenvolvimento de competências pode fortalecer a capacidade da empresa de identificar, avaliar e mitigar riscos.
O conselho deve também garantir que os recursos sejam alocados de maneira eficiente e que as prioridades de gestão de risco sejam apoiadas adequadamente.
- Qual foi o impacto do processo e como gostaríamos que ele impactasse da próxima vez?
Avaliar o impacto do processo de apetite a riscos é importante para entender sua eficácia e identificar áreas de melhoria, e aí o conselho deve revisar os resultados alcançados, incluindo a conformidade com os limites de risco e a eficácia das ações mitigadoras.
A realização de análises de desempenho e a comparação com benchmarks internos e externos podem ajudar a medir o impacto do processo.
O conselho deve usar esses insights para ajustar o framework de apetite a riscos e melhorar a eficácia da gestão de riscos na próxima revisão.
A promoção de uma cultura de aprendizado contínuo e a implementação de melhorias baseadas em lições aprendidas são essenciais para garantir o sucesso contínuo da gestão de riscos.
Vimos, através destas perguntas e as respectivas respostas, que o apetite a riscos é uma componente primordial da governança corporativa e da gestão de riscos. Assim, ao fazer estas perguntas certas e buscar respostas detalhadas e baseadas em evidências, os conselhos de administração e seus comitês podem garantir que suas empresas estejam bem preparadas para enfrentar os desafios e aproveitar as oportunidades de maneira informada e equilibrada.
Versão consultada na Okai.
