0%
Rodrigo Vogliotti

Matriz de Riscos

Transcrição

E depois de identificarmos os riscos como nós vimos na aula anterior. A gente vai identificar os riscos para cada uma das atividades. A gente precisa agora avaliar qual é o impacto qual é o tamanho desse risco? Qual que é a probabilidade desse risco acontecer, qual que é o impacto financeiro senão fica muito subjetivo se a gente falar que existe o risco de inadimplência a gente sabe que ele é relevante, mas qual o tamanho dele qual que é o impacto o risco de falta de segurança dos dados do clientes, qual que é o impacto porque a gente vai se deparar com dezenas de riscos, centenas de riscos e a gente precisa priorizá-los para tomar a devida decisão. Agora, a etapa então é chegar em uma visão mais objetiva do tamanho desse e a gente vai utilizar duas classificações. Aqui, uma classificação da frequência que é a probabilidade é a chance do risco acontecer se ele acontece mais ou menos vezes e uma classificação do impacto financeiro ou severidade daquele evento de risco. Vamos lá os riscos identificados em cada área. Cada um dos riscos que nós marcamos na matriz no processo ou na atividade devem ser classificados com relação um. A probabilidade que é a frequência de ele acontecer e dois, o impacto financeiro que é a severidade qual que é o impacto financeiro que ele gera para a companhia. E aí eu trouxe um exemplo de tabela um exemplo de classificação que pode ser utilizado ou mesmo ser criado outras tabelas. Outras classificações, seguindo mais ou menos esse raciocínio, então vamos lá para a classificação da frequência por evento de risco, nós temos cinco classificações primeiro classificação raríssimo. O evento de risco ocorre menos de uma vez por ano e tem um peso um. O evento de risco raro acontece uma vez por ano peso dois eventual uma vez por semestre peso três frequente uma vez por semana peso quatro muito frequente mais de uma vez por semana peso cinco, então vejam quanto mais frequente é o risco maior é o peso. A gente vai usar esse peso logo mais e uma classificação de severidade por evento financeiros financeiro é quanto é uma visão quanto nós achamos que vamos perder financeiramente. Se acontecer aquele risco se materializar aquele risco e às vezes ou muitas das vezes a própria era de negócio consegue nos ajudar com isso, então a gente vai classificar com perda muito baixa para essa empresa. Para esse exemplo, se for de R$ 0,01 a R$ 500 peso, um vai ser uma perda baixa de R$ 500 a R$ 5000 peso, dois perda média de R$ 5000 a R$ 50000 peso, três perda alta de R$ 50000 a R$ 500000 peso, quatro e perda grave acima de R$ 500000 peso, cinco vejam que aqui a gente está falando de uma empresa relativamente pequena. Uma perda grave maior que R$ 500000 vamos pegar um exemplo aqui só para validar vamos pensar em uma grande empresa por exemplo, a petrobras a petrobras. A gente não pode usar essa tabela porque os valores são muito baixos. Uma perda de R$ 500000 de R$ 1 milhão para a petrobras para um grande banco é imaterial. É relevante ninguém quer perder 1 milhão, mas dentro dos ativos de bilhões de reais da petrobras de um banco relevante, 1 milhão é uma perda que é possível aceitar é uma perda que é possível ser contabilizada como perda faz parte do negócio. Não é uma perda grave, é uma perda grave e vão ser bilhões bilhões de reais. Aí sim, vai ser uma perda grave, então vejam que o valor dessa tabela tem que ser calibrado para cada empresa. Nesse caso uma pequena empresa, os valores são relativamente baixos, então dependendo do porte da empresa que vai ser avaliado. A classificação de severidade vai ter valores maiores em cada uma dessas linhas. Cada evento de risco mapeado deve ser classificado em função da sua frequência e severidade, e aí tem uma pergunta e quando existe um risco que nunca se materializou por quê, se já materializou um risco por exemplo de inadimplência eu sei o valor que teve a perda já realizada no passado. E aí eu consigo classificar aqui. Mas e se nunca teve a perda, vamos pegar um exemplo a falha da segurança dos funcionários quanto que eu vou perder com isso. O risco nunca se materializou naquela empresa como que a gente vai chegar na perda financeira. Aí como eu disse, tem que ser uma visão potencial, o que nós achamos junto com a área de negócio que seria uma perda. Então a área vai dizer, olha se tiver uma falha aqui com o cliente. Eu estimo que a gente vai perder uma falha de segurança de dados do cliente. Mesmo que a gente tenha alguma multa ali de um regulador. Eu acho que no máximo a gente perde uns R$ 300000 pronto está aqui perda alta R$ 300000 está aqui dentro vai ficar com peso quatro então é dessa forma se já materializou, o risco é mais fácil. O histórico vai direcionar aonde a gente vai classificar se nunca se materializou a perda. A gente vai na perda potencial que nós achamos quem a empresa acha que seria a sua perda, e agora a gente precisa combinar vou voltar aqui os pesos e chegar na matriz, vou explicar primeiro a matriz. Aqui a matriz de riscos já combinada a frequência com a severidade no eixo x nós temos os cinco pesos da severidade e no eixo y. Os cinco pesos de frequência. E aí a combinação dos dois vai plutar aqui nessa matriz o risco aqui o a se o risco ficar nessa região que é a soma dos dois de um a três. Na verdade, a multiplicação dos dois até três vai ficar aqui nessa região a que é um baixo risco. A combinação da frequência verdade vai falar que é um baixo risco se ele ficar nessa região que a multiplicação é de quatro até nove. Fica nessa região b médio risco. Aqui se a multiplicação der de 10 até dezasseis essa região c, e aí a gente vai ter alto risco e se ficar de 20 a 25 de risco extremo e claro, nenhuma empresa quer ter um risco extremo para gerir, vamos pegar um exemplo, vamos lá vamos pegar um exemplo em que ele é um risco raro peso, dois e perda baixa peso dois dois e dois vamos para lá frequência. Dois severidade dois dois com dois da quatro aqui quatro ele vai ser classificado como médio risco, vamos voltar, agora vamos pegar outro vamos pegar um q é cinco quatro e cinco a gente volta para a matriz frequência quatro é nessa linha aqui até encontrar com o cinco e encontrou com o cinco severidade cinco 24 vezes cinco 20 está aqui ele é um risco extremo, então é assim que a gente usa e aí a gente vai ter para cada risco uma classificação final. Se ela é baixo se ela é médio se ele é alto ou se ele é extremo claro um risco baixo eu vou precisar ter poucos ou nenhum controle. A empresa vai decidir um risco médio preciso de alguns controles risco alto preciso de controles mais robustos e risco extremo. Eu preciso de muitos controles, um ambiente extremamente controlado para mitigar esse risco e ele não acontecer. Então veja um racional como um racional bem interessante é um racional usado pelas grandes empresas para fazer a classificação dos seus riscos. Então a partir de hoje é possível você gestor de risco, construir a sua matriz de risco por área por atividades. Como a gente viu classificar os riscos em função da frequência severidade com os pesos e a partir daí trazer aqui para essa plotagem da matriz dos riscos e classificar o risco em baixo médio alto e extremo. Então é uma ferramenta muito poderosa. A gente está entrando aqui em questões práticas em que você pode aplicar a partir de hoje nas suas funções como gestor como avaliador de riscos e aqui, eu trouxe um exemplo de matriz de risco. Um exemplo de uma não é uma empresa não é uma indústria aqui é um projeto social bem interessante porque é uma organização que usa. Visa atender crianças e jovens atuação de caridade e usa a matriz de riscos, vejam que interessante é uma matriz um pouco diferente. Eu mostrei um modelo aqui é 1 s modelo, mas de certa forma, a gente tem aqui como nós vimos no eixo x o impacto que ele chama de baixo médio e alto, e a probabilidade de baixa média e alta. Da mesma forma, cada um dos riscos listados. Eles listaram sete riscos cada um dos riscos. Eles vão estar plotados aqui vejam o risco, um não encontrar possíveis patrocinadores para o projeto. A probabilidade é baixa de ele acontecer, mas é muito alto impacto claro se não tem patrocinador, não consegue fazer As atividades da casa assistencial e aí classificou cada um dos riscos aqui vejam que ele tem um risco que ele está chamando aqui de probabilidade alta impacto alto que a combinação é um risco máximo, uma prioridade máxima aqui de não conseguir horário para apresentar o projeto aos patrocinadores. O pior risco aqui na opinião deles. Então veja que interessante a gente fala muito de empresas, mas aqui é uma casa assistencial que usa a matriz de riscos, provavelmente um gestor de risco. Construiu essa matriz lá na organização.