0%
Rodrigo Vogliotti

Programa de Gerenciamento de Riscos

Transcrição

Programa de gerenciamento de riscos. Quando nós falamos sobre o compliance, nós vimos o programa de integridade e ética do compliance. E para a gestão de riscos, nós temos algo parecido, nós podemos chamar de programa de gerenciamento de riscos, onde existe um passo a passo onde a organização precisa seguir para ter o processo estruturado que nós comentamos. A primeira etapa é a definição de objetivo objetivo do gerenciamento de riscos. Os objetivos da função de gerenciamento de riscos devem ser direcionados para os objetivos e metas da organização precisa ter um alinhamento, não adianta a empresa querer expandir o seu negócio e a forma de fazer o gerenciamento de riscos é muito burocrático muito lento. Isso não ajuda veja um outro exemplo, uma empresa de tecnologia, uma empresa inovadora, ela tem processos automatizados, normalmente trabalha na forma agile, onde squads de pessoas durante uma semana atuam com objetivos e respostas rápidas. O gerenciamento de risco deve ter uma atuação muito próxima dessa para não travar o processo para que as coisas fluam. Também. Então as metas da organização devem estar alinhadas com a meta do gerenciamento de risco, dois escopo estabelecer quais são as áreas de negócio envolvidas no processo de gerenciamento de riscos e quais são os riscos que serão cobertos pelo programa. No limite, todas as áreas de negócio são envolvidas e todos os riscos. Porém, nós podemos ter algumas situações em que alguns negócios são secundários e em uma visão de risco. Essas áreas de negócio não trazem riscos relevantes e pode ter uma decisão de elas não participarem do programa de gerenciamento de risco. Mas essa análise tem que ser feita tem que ser documentada e qualquer mudança na atuação dessa área que inicialmente não entrou no escopo precisa ser reavaliada. Três princípios e cultura de risco tem que ter uma definição das premissas, atitudes e conduta esperada dentro da organização. Nós falamos um pouquinho disso. Daqui no compliance toda a questão de cultura de risco e compliance est. As áreas responsáveis por treinamento e comunicação dissemos que era de compliance, treina e comunica tudo relacionado aos normativos atualização de normativos internos e externos, mas a assuntos relacionados a outros riscos que a área de compliance não está atuando, precisa ter um treinamento e comunicação advindo aqui da área de riscos. Da mesma forma que o compliance executa o objetivo é o mesmo é que os colaboradores conheçam sobre os principais riscos, como funciona a matriz de riscos, quais os controles que eles precisam ter e definir uma abordagem para fortalecer a cultura de riscos. Top down. Normalmente essa abordagem top down é a mais comum onde parte a gente vai falar na sequência, mas adiantando ando, onde parte de uma avaliação inicial dos riscos, a identificação avaliação e depois direcionar para uma resposta para esses riscos. Essa é a abordagem top down quatro apetite de risco aprovar junto com o conselho de administração, qual o nível de risco aceitável para cada um dos riscos mapeados claro, estamos falando dos grandes riscos. Os grandes riscos que afetam a empresa que afetam a organização. Então, para esses riscos é muito comum definir um apetite, definir o máximo de risco que a empresa quer aceitar vou dar um exemplo para ilustrar um exemplo comum a diversas empresas diversos segmentos que é o nível de inadimplência quando a empresa vende um produto, um serviço é normal que uma parte dos seus clientes não faça o pagamento e aí materializa a inadimplência o risco de crédito como a gente viu e a empresa pode definir aqui no seu conselho um percentual máximo de inadimplência. Por exemplo, não queremos ter acima de por c do volume de vendas inadimplentes. E aí, a área executiva comercial vai trabalhar e fazer o máximo para que esses cent não sejam superado se em algum momento. Ele superar tem que segurar um pouquinho as vendas ou direcionar para melhores clientes para que esse percentual de inadimplência não aumente muito. Estrutura de gerenciamento de riscos, a organização precisa criar uma estrutura clara e funcional para a gestão de riscos, considerando ali as três linhas de defesa que nós vimos empresas de grande porte empresas que têm ações negociadas na bolsa como nós, vimos gerdau csn. Os bancos que a gente comentou, também vão ter as três linhas de defesa. Claramente vai ter uma estrutura com uma quantidade razoável ali de profissionais, atuando na área de na área de compliance na área de auditoria interna e claro empresas de menor porte vai ter uma estrutura de acordo com o seu porte. Não é requerido que tenham muitos profissionais. Se a empresa é uma empresa de pequeno ou de médio porte. Deve ser suficiente para conseguir fazer uma boa avaliação dos seus riscos e as etapas do gerenciamento de risco precisa definir formalmente a metodologia para gerenciar os riscos. Utilização do método proposto pelo coso. Vamos lembrar da metodologia coso qual que é o passo a passo da metodologia coso para a gestão de riscos e controles, um identificação dos riscos, dois priorização desses riscos, quais os mais relevantes três mensurar os riscos da melhor forma que puder trazer aqui para valor financeiro e probabilidade de perda quatro resposta aos riscos, o que eu vou fazer com aquele risco, qual o controle que eu vou implantar cinco monitoramento dos riscos, que é o acompanhamento e seis toda a comunicação e reporte nos comitês e para o conselho da empresa. Essa é a sequência como nós vimos da metodologia aquoso e ela faz parte do programa de gerenciamento de riscos. Nós temos também mundialmente uma norma advinda que da iso, que é o iso que ele fala sobre regras e premissas de gestão de risco. Princípios e diretrizes foi desenvolvida pela iso. A iso é a organização internacional de normatização. A gente conhece bastante a iso pelo iso 9000 que é a qualidade de processos e aqui, a ideia é ter regras e diretrizes para gestão de riscos nas diversas organizações, o que essa norma traz primeiro os princípios da gestão de risco. A gestão de risco deve ser integrada nos processos da organização. Nós. Vimos falamos bastante que a área de riscos não tem que ser isolada. Ela tem que estar intrínseca ali nas atividades do dia a dia incluída como parte importante na tomada de decisão, a tomada de decisão de negócio deve con os deve ser formal sistemática e deve ter uma política. Os procedimentos tem que ter um sistema, o passo a passo como a gente viu aqui o passo a passo do estruturada uma sequência com responsáveis com reporte adaptada à natureza específica da empresa. Falei, aqui, do exemplo de uma empresa de tecnologia tem as suas peculiaridades às vezes, a forma que se faz gestão em outro segmento não se aplica nessa empresa de tecnologia precisam ter adequações. Ela deve ser dinâmica e continuamente melhorada, não adianta implantar e depois de cinco anos manter a mesma estrutura de riscos, ela deve ser melhorada constantemente, principalmente considerando as automações e as melhorias tecnológicas que a gente acompanha no mercado e sobre a estrutura da gestão de riscos, compromisso do conselho de administração e da alta administração para estabelecer e dar apoio à função de gestão de riscos. O board da empresa e os altos executivos têm que apoiar a função de gestão de riscos. Com isso, qualquer colaborador daquela organização vai saber que a atividade de gestão de riscos é importante por quê, porque o alto executivo acima da estrutura dele está promovendo está apoiando. Ele vê que a gestão de riscos é importante e o mesmo para o board da empresa e a gestão de riscos precisa ter uma política formal. Uma política corporativa que vai trazer as diretrizes e as premissas dessa atividade vai ter também um manual de procedimentos das funções de gestão de risco. Aqui é um nível menor, então a política vai ter as diretrizes e o manual vai ter de uma forma mais detalhada. As atividades que cada área de risco executa e daí, nesse manual vai ter o objetivo daquela atividade o escopo da atividade, quais são as atividades executadas os responsáveis pelas atividades alçadas de aprovação. Se tiver é um controle para mitigar risco de uma pessoa sem alçada aprovar um valor muito alto nível de reporte daquela atividade, como que é a comunicação e aí no manual vai ter a data da elaboração desse manual responsável pela elaboração, e que a esse manual então são melhores práticas que as empresas devem utilizar quando a gente fala de políticas e procedimentos e sobre a abordagem. Aqui nós temos duas principais abordagens abordagem Para depois avaliar os controles que podem mitigar os riscos. Estamos falando de uma abordagem top down em erm enterprise risk management então toda vez que eu vi top down é a sequência do cozo identificar avaliar os riscos e depois pensar nos controles. Já abordagem bottom up é principalmente utilizada para os riscos de segurança da informação ou de tecnologia, e ela é muito comum. Aquela análise que olha diretamente para os controles. É primeiro vou ver naquele fluxo sistêmico, qual é o controle que eu preciso ter e depois definir o risco relacionado, então é uma visão diferente. Na top da primeiro, identificamos os cisco para chegar nos controles e nessas atividades de segurança e informação eu primeiro avalio. Os controles que preciso ter para depois fazer uma avaliação dos riscos são formas diferentes e como eu comentei. A abordagem em bor up é muito mais focada aqui para as atividades de segurança da informação e.