As empresas estão constantemente se esforçando para serem melhores, mais seguras e mais produtivas, mas até hoje nenhuma está imune a riscos que podem afetar direta ou indiretamente sua organização. Numa altura em que a incerteza assola qualquer organização, a segurança nunca foi tão importante em todas as suas vertentes e parece ser um pilar dos modelos de negócio de sucesso.
Como as organizações podem implementar efetivamente um processo de gerenciamento de riscos?
De acordo com a norma ISO 31000, “riscos são os efeitos da incerteza sobre os objetivos”. Simplificando, uma vez que você tenha definido os objetivos para sua empresa – que pode ser em torno de qualquer função do negócio, incluindo: produção, vendas, finanças, logística entre outros – qualquer evento adverso, ocorrência, desenvolvimento ou situação que impeça o alcance desses objetivos é um risco.
Esses riscos podem ser internos ao negócio, tais como, quebras de maquinário, greves, fraudes, ou externos ao negócio, como mudanças regulatórias, choques macroeconômicos, quebra de mercado, inadimplência de um grande cliente ou uma mudança significativa na contação do dólar entre outros.
A definição de Gestão de Riscos é: o processo de identificação, avaliação e priorização de riscos com o objetivo de minimizar, controlar e monitorar a probabilidade e/ou impacto desses eventos negativos.
Nesse artigo, veremos as principais etapas para realizar um gerenciamento de riscos consistente e efetivo.
Processo de Gestão de Riscos
Conforme vimos acima, um risco é qualquer tipo de incerteza, que pode impedir ou reduzir a capacidade de uma empresa de atingir seus objetivos. Este é uma temática bastante ampla, porque os riscos podem assumir muitas formas.
Dentro da dinâmica de gestão empresarial, o processo de gerenciamento de riscos é um método definido para entender: quais riscos e oportunidades estão presentes, como eles podem impactar o negócio e como responder a eles. A capacidade de uma empresa de gerenciar riscos melhor do que seus concorrentes certamente contribuirá para seu sucesso. E a incapacidade de fazê-lo é sinônimo de desastre, algumas vezes irrecuperável.
As 5 etapas do processo de gerenciamento de riscos
Várias instituições determinam em como se efetuar o gerenciamento de riscos, mas possivelmente a mais reconhecida é a da ISO (Organização Internacional para Padronização), que no Brasil é representada pela ABNT (Associação Brasileira de Normas. Especificamente, o padrão da norma ISO 31000, que é a diretriz de gerenciamento de risco que fornece princípios, estrutura e um modelo de processo de gerenciamento de risco.
O processo é essencialmente o mesmo para qualquer tipo de empresa e inclui cinco etapas, que devem fazer parte do planejamento e gestão da empresa:
1 – Identificação de riscos
O primeiro passo no processo de gerenciamento de riscos é identificar os riscos aos quais a empresa está exposta em seu ambiente operacional.
A primeira tarefa nesta etapa é revisar as metas e objetivos da organização, bem como todos os recursos ou ativos que os habilitam. Existem duas abordagens para isso:
- Abordagem de cima para baixo: consiste em focar nos processos críticos da empresa que não podem ser comprometidos, como as transações de vendas ou a cadeia de suprimentos. Depois disso, é necessário listar as condições que podem prejudicar o bom funcionamento desses processos;
- Abordagem de baixo para cima: esta abordagem consiste em identificar as várias fontes de ameaças conhecidas (ou possíveis, mesmo que improváveis), e possibilidades como desastres naturais, (falta de) estabilidade política e econômica, para depois pensar no impacto que elas podem ter no negócio.
Também é importante para esta etapa criar cenários prováveis e mensuráveis para cada risco. O uso de cenários para descrever o risco, ajuda a entender as condições de risco e a analisar sua probabilidade e impacto que pode causar.
De forma resumida, os elementos básicos que ajudam a desenvolver cenários de risco são: primeiro, identifique quais ativos ou recursos valiosos seriam afetados; em seguida, defina a origem das ações ameaçadoras que atuariam contra esse ativo; em seguida, reconhecer a vulnerabilidade ou condições pré-existentes que permitem que essa fonte de ameaça funcione; e por fim, determinar os impactos prejudiciais que podem ocorrer.
2 – Classificação de risco
Esta etapa consiste em categorizar o risco de acordo com vários fatores. A etapa anterior certamente gerará um número razoável de riscos. No entanto, por definição, um risco é qualquer incerteza que afeta os objetivos.
A categorização também permite atribuir a análise de cada categoria de risco aos processos que forem conhecidos. Por exemplo, os riscos relacionados ao impacto dos resíduos no meio ambiente devem ser atribuídos aos processos/departamento de meio ambiente.
Existem quatro áreas de categorias de risco:
- Riscos estratégicos: trata-se de imagem e reputação da marca, relacionamento com o cliente e relacionamento com o público, entre outros;
- Riscos financeiros: estão relacionados a mercado, aspectos fiscais, recuperação, passivo, dependência de poucos cliente e inadimplência principalmente;
- Riscos de compliance e governança: são riscos relacionados à ética, regulamentos, regulamentação e boas práticas;
- Riscos operacionais: estão relacionados à segurança e privacidade de dados e tecnologia da empresa, instalações fabris, armazenagem e cadeia de suprimentos, saúde e segurança do trabalhador, desastres naturais, entre outros.
A parte final desta etapa é registrar todos os resultados em um processo interno, ou uma plataforma de gestão de riscos. Existem ferramentas digitais dedicadas, como o GRC – Governança, Risco e Compliance, ou IRM – Integrated Risk Management, que facilitam essa etapa por meio de um modelo intuitivo de detalhamento de riscos e priorização. Quanto maior o impacto de um risco para seu negócio, maior a prioridade.
3 – Análise de probabilidade e impacto de risco
Como dito acima, um “risco só é um problema potencial” se tiver um impacto provável no seu negócio. Esta etapa, envolve a análise das probabilidades de um risco ocorrer na empresa ou operação, e a quantificação e/ou qualificação mensurável desse impacto.
Esta etapa é essencialmente, um cálculo da probabilidade de ocorrência de um evento de risco e uma estimativa do impacto das consequências caso ele ocorra. É importante considerar o momento do impacto nesta etapa, pois há riscos que têm impacto imediato e outros que têm consequências posteriores.
Existem dois tipos de métodos de análise de riscos, análises qualitativa e quantitativa. Vejamos as principais diferenças entre eles:
- A análise qualitativa de riscos é o processo de avaliação ou classificação de riscos com base na percepção de um indivíduo (ou grupo de pessoas), sobre a gravidade e a probabilidade de suas consequências. O objetivo desta abordagem é elaborar uma lista restrita de riscos que devem ter prioridade sobre os outros.
- A análise quantitativa de riscos é o processo de cálculo de risco com base nos dados coletados. O objetivo da análise quantitativa de risco, é esclarecer de forma aprofundada quanto o impacto desse risco custará ao seu negócio. Isso é obtido, usando o que já é conhecido para prever ou estimar um resultado.
A análise quantitativa de riscos, fornece informações mais objetivas e dados mais precisos do que a análise qualitativa, porque é baseada em dados realísticos e mensuráveis usados para calcular os valores de impacto que o risco criará com a probabilidade de ocorrência.
Os fatores temporais são uma variável importante na análise e cálculo de risco, assim como a frequência dos eventos de riscos, que é outro fator temporal a ser considerado.
Outra abordagem para análise de risco é o “Valor do Risco”, uma estimativa do custo do risco que é obtida pela multiplicação da probabilidade do risco e do impacto do risco, conforme fórmula a seguir:
Valor do Risco = Probabilidade do Evento x Custo do Evento
Os resultados da análise de risco permitem classificar os riscos de acordo com seu grau. Termos como “alto risco” ou “alta probabilidade” são a referência usada pela maioria das organizações para comunicar graus de risco.
4 – Tratamento de riscos
O tratamento de riscos é o processo de seleção e implementação de medidas para atingir um nível aceitável de risco na organização. A seguir, estão as diferentes abordagens para esta etapa:
- Evitar: esta opção consiste em optar por não exercer a atividade suscetível de gerar o risco, sempre que possível. Alternativamente, você pode pensar em outra maneira de atingir o objetivo ou tarefa;
- Redução: trata- se de reduzir a probabilidade de ocorrência do risco, por meio de diversas medidas como implementação de processos de controle de qualidade, auditorias, cumprimento da legislação e treinamento de pessoal principalmente;
- Transferência: se possível, transferir todo ou parte do risco para um terceiro por meio de seguros, terceirização parcial ou total, joint ventures ou parcerias;
- Aceitação/Retenção: esta opção refere-se a enfrentar um risco que não pode ser evitado, reduzido ou transferido. No entanto, as organizações devem ter planos de contingência claramente definidos, para gerenciar e financiar as consequências do risco caso ele ocorra.
É sempre fundamental garantir que quaisquer que sejam os métodos aplicados, eles sejam claros, objetivos, exequíveis, eficientes e econômicos.
5 – Monitorar e revisar de forma sistêmica
O monitoramento e a revisão, devem ser parte integrante do processo de gerenciamento de riscos, envolvendo verificação e monitoramentos constantes, de forma a garantir que os riscos permaneçam dentro dos limites estabelecidos pela alta direção.
Desta forma, portanto, os resultados do gerenciamento de riscos devem ser registrados e relatados externa e internamente, de forma a garantir que os gerentes e gestores executivos, sejam informados sobre o progresso em direção aos objetivos de risco e mudanças que possam impactar a organização.
Todo o processo de gerenciamento de riscos deve incorporar a metodologia do ciclo PDCA (Plan, Do, Check and Act). É fundamental que os resultados apurados regularmente, também forneçam subsídios para a revisão e melhoria contínua da estrutura de gerenciamento de riscos da empresa.
A sustentabilidade e o sucesso a longo prazo de uma empresa , dependem de muitos elementos, desde a avaliação e atualização contínua de suas ofertas de valor, produtos e serviços, até a otimização de seus processos – devendo estar contemplados nos Processos de GRC – Governança Empresarial, Riscos e Compliance. Por meio da aplicação dessas cinco etapas, as organizações podem identificar consistentemente os riscos que podem ter um impacto negativo e, em seguida, priorizar medidas econômicas para ficar um passo à frente dos possíveis impactos.
Outros artigos que podem lhe interessar:
- Competências Organizacionais: como desenvolver vantagens competitivas para seu negócio
- GRC – Governança Riscos e Compliance
- Outsourcing Compliance: como funciona a terceirização das ações de conformidade, auditoria e riscos
Thinkerest Consultoria Empresarial
Precisando de ajuda para estabelecer e implementar estratégias empresariais? Nós ajudamos nossos clientes a tomar decisões mais inteligentes para alcançar um crescimento rápido dos negócios.
Nossa força reside na competência de nossa equipe, utilizando metodologias de gestão empresarial, estratégia e negócios eficazes, aliadas a pontos de vista exclusivos que se fundem perfeitamente para oferecer soluções personalizadas para todas as necessidades da sua empresa.
Caso precise de apoio para implementar um projetos e serviços de consultoria em GRC – Governança Corporativa, Consultoria em Compliance e também em Estratégia, Gestão Empresarial ou Comercial e Vendas, para alavancar o desempenho do seu negócio como um todo, fale conosco.
Nossa empresa e consultores, tem experiência acumulada em mais de 450 projetos, atuando nas áreas: Consultoria em Gestão Empresarial, Consultoria Comercial, Consultoria de Vendas, Consultoria de Marketing e Consultoria de Estratégia.
Saiba mais sobre nosso expertise desenvolvimento empresarial, em consultoria para empresas familiares e consultoria para médias empresas.