Idealmente, a gestão de riscos e a conformidade deveriam ser tratadas como prioridades estratégicas pela liderança corporativa e pela gestão cotidiana. Mas, frequentemente, a realidade é que essas áreas são delegadas a algumas pessoas no centro corporativo que trabalham isoladamente do resto do negócio. Em contrapartida, o crescimento da receita ou a redução de custos estão profundamente incorporados na cultura corporativa, vinculados explicitamente ao desempenho de lucro e perda no nível da empresa.
Em algum lugar no meio estão recursos específicos de controle em relação, por exemplo, à segurança do produto, desenvolvimento e implantação de TI seguros ou auditoria financeira.
Para mudar esse quadro, a liderança deve se comprometer a construir uma gestão de risco robusta e eficaz. O projeto para isto é tridimensional, a saber:
1) Um modelo operacional de risco, composto pelos principais processos de gestão de riscos;
2) Uma estrutura de governança e prestação de contas em torno desses processos, tratando do negócio até o nível do conselho;
3) Preparação de boas práticas para crises, incluindo uma cartilha de resposta bem articulada, se o pior caso se materializar.
1. Desenvolvimento de um modelo operacional de risco eficaz
O modelo operacional deve consistir de duas camadas:
1. Uma estrutura de gerenciamento de risco empresarial e
2. Estruturas individuais, para cada tipo de risco.
A estrutura de gerenciamento de risco empresarial é usada para identificar riscos em toda a organização, definir o apetite geral de risco e implementar os controles adequados para garantir que o apetite ao risco seja respeitado. Um quadro abrangente coloca em prática um sistema de relatórios oportunos e ações correspondentes sobre risco ao conselho e à alta administração.
As estruturas específicas de risco abordam todos os riscos que estão sendo gerenciados. Estes podem ser agrupados em categorias como financeira, não financeira e estratégica.
- Os riscos financeiros, como liquidez, mercado e riscos de crédito, são gerenciados aderindo às estruturas de limite adequadas;
- Riscos não financeiros, via de regra, se gerencia implementando controles de processos adequados;
- Riscos estratégicos, gerencia-se desafiando decisões-chave com abordagens formalizadas, como análises de cenários e testes de estresse.
Além de avaliar o risco com base na probabilidade e no impacto, as empresas também devem avaliar sua capacidade de responder a riscos emergentes.
As capacidades e competências necessárias para gerenciar esses riscos devem ser avaliadas e as lacunas preenchidas conforme necessidades. De particular importância na gestão de crises é a pontualidade de uma resposta eficaz quando as coisas dão errado.
Para ser eficaz, o quadro de gerenciamento de riscos corporativos deve garantir que as duas camadas estejam perfeitamente integradas. Ele faz isso fornecendo clareza sobre definições de risco e apetite, bem como controles e relatórios.
Taxonomia. Uma taxonomia de risco em toda a empresa deve definir de forma clara e abrangente os riscos; a taxonomia deve ser estritamente respeitada na definição de apetite ao risco, no desenvolvimento da política e estratégia de risco e na notificação de riscos. As taxonomias são geralmente específicas do setor, cobrindo riscos estratégicos, regulatórios e de produtos relevantes para o setor. Ferramentas comprovadas de avaliação de riscos precisam ser adotadas e aprimoradas continuamente com novas técnicas, para que riscos mais novos (como o risco cibernético) sejam abordados, bem como riscos mais familiares.
Apetite por risco. Uma definição clara de apetite ao risco traduzirá as trocas de retorno de risco em limiares explícitos e limites para riscos financeiros e estratégicos, como capital econômico, fluxo de caixa em risco ou métricas estressadas. No caso de riscos não financeiros, como riscos operacionais e de conformidade, o apetite ao risco será baseado nos limites globais de perda, categorizados em riscos inerentes e residuais.
Processos de controle de risco. Processos eficazes de controle de risco garantem que os limites de risco para o apetite de risco especificado sejam mantidos em todos os níveis da organização. As empresas líderes estão cada vez mais construindo seus processos de controle em torno de big data e análises avançadas.
Relatórios de risco. A tomada de decisão deve ser informada com relatórios de risco. As empresas podem fornecer regularmente conselhos e executivos seniores com insights sobre riscos, identificando os riscos estratégicos mais relevantes. O objetivo é garantir que uma visão de risco independente, abrangendo todos os níveis da organização, seja incorporada ao processo de planejamento. Dessa forma, o perfil de risco pode ser mantido na gestão de iniciativas e decisões empresariais que afetam a qualidade dos processos e produtos.
2. Em direção a uma governança, organização e cultura de risco robustas
O modelo operacional de risco deve ser gerenciado através de uma estrutura de governança eficaz e organização com responsabilidades claras.
O modelo de governança mantém uma cultura de risco que reforça fortemente uma melhor gestão de riscos e conformidade nas três linhas de defesa:
1. negócios e operações,
2. funções de conformidade e
3. risco e auditoria.
A abordagem reconhece a contradição inerente na primeira linha entre desempenho (receita e custos) e risco (perdas). O papel da segunda linha é rever e desafiar a primeira linha sobre a eficácia de seus processos e controles de risco, enquanto a terceira linha, auditoria, garante que as linhas um e dois estejam funcionando como pretendido.
Três linhas de defesa. A implementação efetiva das três linhas envolve a definição acentuada das linhas um e dois em todos os níveis, desde o nível do grupo até as linhas de negócios, até os níveis de entidade regional e jurídica. As capacidades contábeis relativas à gestão de riscos e controle devem ser claras. A governança de risco pode diferir por tipo de risco: os riscos financeiros geralmente são gerenciados centralmente, enquanto os riscos operacionais estão profundamente incorporados nos processos da empresa.
Revendo o apetite ao risco e o perfil de risco. De importância central dentro da estrutura de governança estão os comitês que definem o apetite ao risco, incluindo os parâmetros para fazer negócios. Esses comitês também tomam decisões específicas sobre os principais riscos e revisam o ambiente de controle para melhorias à medida que o perfil de risco da empresa muda.
Configuração integrada de governança de riscos e conformidade. Uma organização robusta e adequadamente equipada de risco e conformidade suporta todos os processos de risco. A organização integrada de risco e conformidade prevê a propriedade única da estrutura e dos padrões erm em todo o grupo, agrupamento adequado de funções de segunda linha, uma matriz clara entre divisões e funções de controle e controle centralizado ou local, conforme necessário.
Os recursos. Os recursos apropriados são um fator crítico para uma governança de risco bem-sucedida. O tamanho das funções de compliance, risco, auditoria e jurídica de empresas não financeiras, geralmente são muito menores do que os dos bancos. A disparidade é, em parte, um resultado natural da regulação financeira, mas parte dela reflete uma lacuna de capacidade em empresas não financeiras. Deve-se ficar atento para não negligenciar no fornecimento de recursos suficientes para monitorar riscos altamente significativos, como risco cibernético ou grandes investimentos.
Cultura de risco. Uma cultura de risco aprimorada abrange mentalidades e comportamentos em toda a organização. Um entendimento compartilhado é fomentado por riscos-chave e gestão de riscos, com líderes atuando como exemplos. Especialmente importantes são programas de capacitação sobre risco, bem como mecanismos formais para avaliar e reforçar práticas sólidas de gerenciamento de riscos.
Uma cultura de risco aprimorada abrange mentalidades e comportamentos em toda a organização. Um entendimento compartilhado é fomentado por riscos-chave e gestão de riscos, com líderes atuando como exemplos.
3. Preparação e resposta de crise
Um modelo operacional de risco de alto desempenho e estrutura de governança, com uma cultura de risco bem desenvolvida, minimiza a probabilidade de crises corporativas, sem, é claro, eliminá-las completamente.
Quando crises inesperadas atingem alta velocidade, as empresas multinacionais podem perder bilhões de valor nos primeiros dias e logo se encontram lutando para manter sua posição no mercado. Um ambiente de gerenciamento de riscos mais importante da classe fornece as condições ideais para preparação e resposta.
Garanta a liderança do conselho. A ação mais importante que as empresas podem tomar para se preparar para crises é garantir que o esforço seja liderado pela diretoria e pela alta administração.
Fortaleça a resiliência. Ao mapear padrões que surgiram em crises anteriores, as empresas podem testar sua própria resiliência, desafiando áreas-chave em toda a organização para potenciais fraquezas. As contramedidas direcionadas podem então ser desenvolvidas com antecedência para fortalecer a resiliência.
Desenvolva planos de ação e comunicações. Uma vez que essas avaliações estejam completas e as contramedidas de construção de resiliência estejam em vigor, a empresa pode então desenvolver planos de ação para cada ameaça. Os planos devem ser bem articulados, fundados em crises passadas, e abordar planejamento operacional e técnico, planejamento financeiro, gestão de terceiros e planejamento jurídico.
Treine os gerentes em todos os níveis. A empresa deve treinar os principais gestores em vários níveis sobre o que esperar e permitir que eles sintam as pressões e emoções em um ambiente simulado.
Coloque em prática um manual detalhado de resposta a crises. Embora cada crise possa se desenrolar de formas únicas e imprevisíveis, as empresas podem seguir alguns princípios fundamentais de resposta à crise em todas as situações.
----------------------------------------------------------------------------------------------
Em um mundo digitalizado e em rede, com cadeias de suprimentos globalizadas e interdependências financeiras complexas, o ambiente de risco tornou-se mais perigoso e caro. Uma abordagem holística para a gestão de riscos, baseada nas lições, boas e ruins, das empresas líderes e instituições financeiras, pode derivar valor desse ambiente.
O caminho para a resiliência de risco que está surgindo é um esforço, liderado pelo conselho e pela alta administração, para estabelecer o perfil de risco e apetite certos. O sucesso depende do apoio de uma cultura de risco próspera e da preparação e resposta de crise de última geração.
Longe da mínima adesão regulatória e da prevenção de perdas, a abordagem ideal para a gestão de riscos consiste em capacidades fundamentalmente estratégicas, profundamente incorporadas em toda a organização.
 |
| AQC - Otimizando Processos |
Uma abordagem holística para a gestão de riscos | McKinsey
