GRC – Governança Riscos e Compliance

Transformar as incertezas em oportunidades, esse talvez seja o grande vetor e motivador de um GRC bem implementado.

O gerenciamento de riscos, a conformidade e a governança corporativa, podem fazer mais do que mitigar ameaças, proteger as operações e a reputação de uma empresa, de fato, eles podem apoiar no desenvolvimento e geração de valor para sua empresa.

Temos enfrentado épocas de grandes desafios, tais como as interrupções por conta da pandemia, as questões relacionadas às cadeias de fornecimento, as volatilidades macroeconômicas, problemas geopolíticos, mudanças climáticas, ameaças à segurança cibernética, problemas regulatórios, que de variadas formas, trazem a necessidade da gestão de riscos ao cotidiano das empresas.

Toda incerteza apresenta riscos, como analisar e gerir esses riscos permite descobrir oportunidades, seja para explorar novos mercados, entender movimentos dos concorrentes menos ágeis, ou ainda, antecipar eventuais ações dos daqueles melhores preparados.

Como determinar e aproveitar as oportunidades para prosperar?

Prosperar em tempos incertos não ocorre por acaso, necessita que haja método e resiliência. As empresas que são mais resilientes, se preparam para os tempos mais difíceis: planejam, se estruturam e se adaptam para ressurgir mais fortes após cada tormenta.

1. GRC o que é?

O significado de GRC (Governance, Risk Management & Compliance), é um acrônimo que significa “governança, risco e compliance (ou conformidades).

Em termos mais práticos, o GRC é uma estratégia organizacional para estabelecer uma governança corporativa, o gerenciamento de riscos e a conformidade da empresa, em relação à: regulamentações setoriais e governamentais, seu risco empresarial, riscos organizacionais, requisitos de conformidade ou compliance, segurança de sistemas e processos, redução de custos e também, apoiar a tomada de decisões e avaliar o desempenho por meio de uma visão integrada e alinhada com os objetivos do seu negócio.

O GRC quando bem implementado, vai além dos papéis críticos de governança, risco e conformidade, que são os mais tradicionais – podendo abranger também várias áreas-chave, tais como: auditoria interna, conformidade, risco, jurídico, financeiro, TI, RH, atividades e negócios específicos, a gestão executiva, conselho consultivo e conselho de administração.

As três áreas principais do GRC – Governança, Risco e Conformidade:

• Políticas de governança corporativa
• Gerenciamento de riscos corporativos
• Conformidade regulatória e da empresa

2. Os 3 Princípios Básicos do GRC

2.1. Governança

Como definição principal, a governança corporativa determina todo o conjunto de políticas, regras e processos, utilizados para garantir que todas as atividades empresariais, estejam em conformidade e alinhadas para suportar e direcionar as metas estratégicas, operacionais e de negócios.

A governança irá envolver os aspectos ligados à ética, gestão de recursos, responsabilidades, sistemáticas e controles gerenciais, objetivando garantir que a alta gestão e lideranças, direcionem todas as ações da empresa, determinando que os clientes e stakeholders tenham suas necessidades atendidas e que as metas empresariais sejam cumpridas.

Um dos principais propósitos de uma governança eficiente, é desenvolver internamente um ambiente de trabalho e cooperação, de forma que os colaboradores possam se sentir capacitados, assim como, tanto os recursos, quanto seus comportamentos sejam corretamente controlados e bem coordenados.

É atribuição da governança, atuar para que os diferentes interesses dos atores corporativos como sócios, gestores, colaboradores, stakeholders, investidores e fornecedores estejam equilibrados em suas das atividades e objetivos empresariais. Alguns exemplos para que isso possa ocorrer adequadamente são:

• Garantir que contratos entre colaboradores e partes interessadas externas, tenham claramente definidas suas responsabilidades, deveres, direitos e remunerações que forem pertinentes;
• Implementação de processos e procedimentos que prevejam eventuais interesses conflitantes, e quais alternativas e padrões devem ser adotados;
• Estabelecer políticas, normas e regras que garantam que os gestores, os controles e as informações funcionem como um sistema de freios e contrapesos, com níveis de alçada, e responsabilidades pré-determinadas;
• Determinar as responsabilidades pelas ações, condutas, decisões e resultados atingidos;
• Implementação e correta divulgação de práticas éticas, de atuação nos negócios, assim como, regras internas de cidadania corporativa.

2.2. Gestão de Riscos

Gerenciamento de riscos corporativos, é o processo contínuo de identificação, análise, avaliação, prevenção e resposta aos riscos que uma empresa enfrenta.

Ele envolve a identificação dos eventos ou condições incertas que podem afetar negativamente os objetivos de uma empresa, e a implementação de estratégias para mitigar ou aproveitar esses riscos.

O gerenciamento de riscos busca entender e quantificar os riscos potenciais, avaliar sua probabilidade de ocorrência e impacto, e determinar medidas adequadas para minimizar ou gerenciar esses riscos de forma eficaz. Isso envolve uma análise detalhada dos riscos para determinar sua gravidade, estabelecer prioridades, bem como, sistemáticas para implementação de ações de prevenção, mitigação ou transferência dos riscos identificados.

De uma forma ampliada, o gerenciamento de riscos busca estabelecer objetivos empresariais que estejam de acordo com os valores e riscos envolvidos, pensados e envolvendo:

• Pessoas
• Processos
• Políticas
• Tecnologias
• Ferramentas de gestão e monitoramento

Um programa de gerenciamento de riscos corporativos visa o atingimento das metas e objetivos empresariais, buscando minimizar ao máximo o perfil de riscos organizacionais e desenvolvendo oportunidades para geração de valor.

Um programa de avaliação e gestão de risco empresarial, além da identificação das ameaças e riscos inerentes ao negócio, busca também estar adequado às metas e objetivos legais, contratuais, internas, sociais, éticas, monitoramento de novas regulamentações políticas, tecnológicas e regulatória.

 Ao estabelecer sua atenção e foco numa correta gestão do risco empresarial, destinando e comprometendo os recursos necessários para as ações de controle e mitigação de riscos, sua empresa se protegerá das incertezas do negócio, irá reduzir custos com processos, falhas e problemas não previstos, e ampliará significativamente seus níveis de continuidade e sucesso dos negócios nas mais diferentes circunstâncias e períodos de tempo.

2.3. Conformidade / Compliance

Um sistema de gestão de compliance, abarca o atendimento às políticas, regras, leis, padrões e ética, estabelecidas para os diferentes mercados, empresas, negócios, entidades e órgãos governamentais.

 Uma empresa que não atua preventivamente na gestão de conformidade, pode acarretar multas, custos altos com erros, ações judiciais, períodos sem poder operar e também, prejuízos e problemas de desempenho.

O risco de compliance implica que a empresa esteja em conformidade com:

• A conformidade externa ao negócio: leis, regulamentos, normativas, princípios e padrões que se aplicam à empresa e seus mercados de atuação;
• A conformidade corporativa ou conformidade interna: irá atuar com as regras e políticas da empresa, regulamentos, controles, processos e padrões definidos por ela.

O programa de compliance deve estar plenamente integrado aos requisitos externos de conformidade exigidos no segmento de atuação da empresa. Um programa de conformidade integrado, envolve processos e atividades desenvolvimento, atualização, rastreamento e divulgação de políticas de compliance, adequação e treinamento dos colaboradores no entendimento e uso das políticas, além de processos de monitoramento e acompanhamento.

Dentro dessa dinâmica para as políticas de compliance e conformidade, a empresa necessita efetuar uma análise para detectar onde ela tem seus riscos maiores, de forma a focar seus recursos para correção e/ou prevenção.

3. Por que o GRC é importante hoje?

É um fato que cada vez mais, as empresas e negócios se tornam mais complexos, e em resposta à esses desafios e necessidades, as organizações precisam de meios e mecanismos para identificar e gerir suas principais atividades.

Outro aspecto, refere-se à necessidade tornar a empresa mais coesa, envolvendo aspectos ligados aos processos de negócios, gerenciamento das metas e objetivos, aumento da eficácia de processos e colaboradores, tecnologias, infraestrutura e equipamentos, marcos regulatórios e mudanças constantes no ambiente competitivo.

O GRC obtém essa coesão, pois utiliza abordagens que quebram as barreiras tradicionais entre as áreas e unidades de negócios, exigindo que elas atuem de maneira colaborativa para atingir seus objetivos estratégicos empresariais.

Outras razões pelas quais o GRC é tão relevante:

• Complexidade regulatória
• Riscos crescentes tanto nos mercados internos, quanto externos
• Pressão dos stakeholders
• Evolução da tecnologia
• Sustentabilidade e responsabilidade social
• Proteção da reputação
• Exigências de investidores e acionistas
• Ambiente de negócios em constante mudança
• Redução de custos e maximização de oportunidades
• Resiliência organizacional

Por todos esses aspectos, inegavelmente, o GRC é um dos componentes principais de uma empresa bem gerida nos tempos atuais.

4. GRC para Atingir Metas e Objetivos Confiáveis

Governança corporativa e compliance, sob qualquer ângulo que se analise é definir as premissas de êxito e evolução do negócio.

Para isso, os gestores e colaboradores são equipando orientações, diretrizes, modelos, expectativas e recursos claros, que podemos chamar de “caixa de ferramentas”. Existe uma quantidade enorme de ferramentas possíveis para que se possa implementar um sistema de governança.

A caixa de ferramentas do GRC, é constantemente atualizada, conforme as demandas e exigências empresariais vem evoluindo, exigindo que os objetivos sejam alcançados com maior segurança. Se o seu programa GRC eventualmente não funcionar como o esperado, um dos possíveis motivos pode ser que as ferramentas escolhidas, não sejam as ferramentas certas para sua empresa.

Dentro dessa perspectiva, as ferramentas escolhidas devem ter alguns dos seguintes recursos e princípios:

• Visão e Valores Corporativos: Determinar um caminho claro a ser atingido, somado ao que formato e o que faz sentido para uma organização, empodera e dá unicidade. É fundamental que se desenvolva uma diretriz para que todos trabalhem juntos em direção a um bem maior, ampliando somas e diminuindo divisões, essa é uma atitude fundamental em um processo de GRC, pois amplia a capacidade de se tomar decisões melhores nas situações cotidianas;

• A Alta Direção e a “Batuta do Maestro”: A cultura interna do negócio depende muito da “batuta da alta direção”, que tal como em uma orquestra, determina o andamento, ritmo e sequência dos instrumentos. O comportamento, atitudes, direcionamento, valores e energia colocados, rapidamente contaminam positivamente à empresa;

• Estratégia e Objetivos Claros: Os objetivos e metas de desempenho, um apetite maior ou menor ao risco, a determinação de objetivos de conformidade e uma estratégia de negócios formalmente definida, entre outros. Esses elementos, irão equipar a empresa de forma a que ela se alinhe de forma mais assertiva. Vários programas de CRC falham exatamente nesse ponto, pois todo o processo implementado não está consoante e de acordo com os objetivos do negócio;

• Funções e Responsabilidades: Definições claras de papéis e responsabilidades, são ferramentas fundamentais para equipar seus colaboradores. Quando todos tem compreensão de onde e como deve ser encaixar no quebra-cabeças corporativo, tudo fica mais fácil, quando se estabelecem os limites de como e onde devem trabalhar, quais são suas responsabilidades, alçadas e mandatos. E isso deve ser aplicado não somente para que entendam o próprio trabalho, mas para compreendam o contexto geral e as diferentes necessidades e complementariedades de todos os outros;

• Políticas: Devem ser estabelecidas e documentadas adequadamente as políticas oficiais da empresa. O que deverá ser seguido, bem como deverá ser executada é fundamental, principalmente as Políticas de Gerenciamento de Riscos, Política de Segurança da Informação, Políticas Antissuborno, Políticas para Fornecedores, Políticas Anticorrupção, Políticas para ESG, e todas que fizerem sentido para a organização, determinando ainda, quais sansões serão exigidas no caso de serem transgredidas;

•  Processos: Um processo bem definido, atua para garantir que se determinem padrões específicos para se obter sempre os resultados esperados. Os processos devem ser documentados sempre, aprimorado, gerido e auditado – que é uma ação fundamental em um sistema de governança corporativa;

• Gestão de Documentos e Conteúdos: Gerir documentos de forma a permitir que a empresa desenvolva, rastreie e armazene documentos e conteúdos de forma sistêmica;

• Gestão e Análise de Dados e Informações de Risco: Medir, qualificar, quantificar, classificar e prever possíveis riscos, determinando ações e etapas para eliminar ou reduzi-los;

• Gerenciamento dos Fluxos de Trabalhos: Devem ser estabelecidos de forma a que a execução e monitoramento dos fluxos de trabalhos afetos ao sistema de governança corporativa relacionados ao GRC, sejam efetuados;

• Gestão de Auditorias: Estruturar e processos de gestão das informações, calendários e métodos para auditar processos, documentos e atividades de auditorias internas de GRC;

• Indicadores e KPIs: Estruturar um sistema que contemple os principais indicadores de desempenho relevantes para os processos e objetivos de negócios podem ser monitorados em tempo real

A seleção e utilização das ferramentas de GRC adequadas ao seu negócio, são fundamentais para seu sucesso. Quando bem estruturadas, apoiam em todo o processo de desenvolvimento, distribuição e controle das políticas de compliance, riscos e governança corporativa – apoiando as análises se os controles corretos foram implementados, se estão operando adequadamente, assim como, podem sofrer ações de melhoria e mitigação de riscos.

5. Entidades, Órgãos, Métodos e Frameworks que Apoiam o Balizamento e a Implementação do GRC – Governança, Risco e Compliance

Gestão de Riscos e Compliance, “abordam as incertezas de um negócio ou organização”, visto que existem diferentes aspectos de processos, políticas, sistemáticas e sistemas que impactam no risco estratégico, empresarial e organizacional.

Em geral, podemos dizer que a análise de risco, trata-se de identificar e gerenciar incertezas e ameaças, ou ainda, eventuais oportunidades e vantagens que não são facilmente identificáveis por outros meios. Na tabela abaixo, listamos algumas das principais normativas, órgãos e organizações, que tratam a governança, risco e conformidade, sobre diferentes prismas:

7. O que Fazer e os Cuidados a Serem Tomados no Processo de GRC

Ao estruturar e implementar práticas de GRC (Governance, Risk, and Compliance), é importante considerar o que deve ser feito e o que não deve ser feito. Aqui estão algumas diretrizes para orientá-lo:

7.1. O que deve ser feito na Estruturação e Implementação do GRC

• Estabeleça uma estratégia clara de implementação de GRC: Uma estratégia clara do GRC, deve ter seus objetivos, escopo e prioridades, claramente definidos;

• Envolva as partes interessadas e estabeleça as responsabilidades: (1) Identifique as partes interessadas, (2) Defina as funções e responsabilidades, (3) Estabeleça uma estrutura de governança, (4) Monitore o programa GRC, (5) Identifique as falhas e atualize o processo GRC;

• Realize avaliações regulares de risco: Identifique as ameaças, avalie as vulnerabilidades, determine as probabilidades de ameaças e o seu impacto, calcular os riscos, identifique e implemente controles;

• Revise e atualize regularmente políticas e procedimentos: Estabeleça um ciclo de revisões, identifique as partes interessadas, avalie a eficácia, identifique eventuais lacunas, efetue as atualizações necessárias e monitore a eficácia;

• Garanta o comprometimento da alta administração: Assegure que haja o comprometimento e o envolvimento ativo da alta administração no processo de implementação do GRC. Eles devem demonstrar liderança, fornecer os recursos adequados e comunicar a importância do GRC em toda a organização;

• Efetue uma avaliação de riscos abrangente: Realize uma avaliação completa dos riscos enfrentados pela empresa, considerando riscos operacionais, financeiros, legais, regulatórios e quaisquer outros que sejam relevantes para o negócio. Isso ajudará a identificar áreas críticas que requerem atenção e priorização;

• Promova a integração e a colaboração: Promova a integração entre as áreas de governança, riscos e compliance, incentivando a colaboração e a troca de informações entre os diferentes departamentos e partes interessadas. Isso permitirá uma visão holística dos riscos e ações coordenadas para abordá-los;

• Construa e implemente controles e KPIs eficazes: Estabeleça controles internos adequados para mitigar os riscos identificados. Isso inclui a definição de políticas e procedimentos claros, a implementação de medidas preventivas e corretivas, a atribuição de responsabilidades e a realização de monitoramento regulares;

• Implemente treinamentos e conscientização: Forneça treinamentos e programas de conscientização sobre o GRC para todos os níveis da empresa. Isso ajudará os funcionários a entenderem a importância do GRC, suas responsabilidades e os processos envolvidos. Promova uma cultura de conformidade e ética em toda a organização.

• Garanta suporte e financiamento adequados: Por mais que pareça óbvio, muitas empresas erram ao não determinar que os recursos necessários para uma implementação de sucesso ocorram;

• Acompanhe e rastreie: Estabeleça um programa para rastrear o desempenho do programa e compartilhar resultados com funcionários, gestores e lideranças.

7.2. Os cuidados e o que não deve ser feito na Estruturação e Implementação do GRC

• Não trate o GRC como um projeto isolado: O GRC deve ser um processo contínuo, e não uma ação estanque, irá requerer total atenção dos colaboradores e um acompanhamento contínuo da alta gerência;

• Não presuma os gestores e lideranças adotarão rapidamente um programa GRC: Mudanças geralmente vem acompanhadas de algumas resistências, quanto mais cedo forem identificadas e corrigidas, melhor e mais rápido será o processo de adequação;

• Não negligencie a importância do treinamento e da conscientização: Embora conste como uma das coisas a ser feitas no sistema de governança GRC, algumas empresas nem sempre dão a devida importância a isso. Todas as partes interessadas, incluindo funcionários e contratados, devem ser treinadas, educadas e conscientizadas sobre todos os aspectos do GRC;

• Não confie apenas na tecnologia: Embora a tecnologia simplifique e acelere um programa GRC na sua empresa, ela deve ser considerada uma ferramenta, não toda a verdade. A intervenção humana ainda é bastante necessária nos processos do GRC;

• Não realize um exame e análise minimalistas dos processos de negócios: Ao determinar se uma abordagem integrada do GRC funcionará, é fundamental que se entenda e aprofunde o máximo possível, no entendimento do negócio como um todo, e suas interrelações com os agentes externos;

• Não hesite em entrar em contato com outras empresas para ver se a abordagem do GRC funcionou: Estudar e analisar é muito importante, especialmente se algum software ou sistema de GRC estiver sendo considerado para implementação;

8. Roteiro de Implementação do GRC

8.1 Estabelecer os requisitos necessários para o GRC

• A chave para uma implementação bem-sucedida do sistema de governança, riscos e compliance, é entender e priorizar a exposição da empresa, criando um roteiro para a melhoria contínua. Os gestores devem comparar políticas e práticas existentes com os objetivos desejados com o GRC, considerando as áreas de negócios mais sensíveis, problemas de conformidade e riscos de segurança. Isso permite que a organização estabeleça metas de longo prazo e incorpore quaisquer requisitos regulamentares ou do setor que se apliquem;

8.2 Avaliação inicial e diagnóstico:

• Realize uma avaliação inicial do atual estado de governança, riscos e conformidade da organização.
• Identifique os principais desafios, riscos e áreas de melhoria.
• Estabeleça os objetivos e metas para a implementação do GRC.

8.3. Comprometimento da alta administração:

• Obtenha o apoio e comprometimento da alta administração.
• Comunique a importância do GRC e os benefícios que ele trará para a organização.

8.4 Estruturação do GRC:

• Defina a estrutura organizacional do GRC, incluindo papéis, responsabilidades e linhas de comunicação.
• Identifique e nomeie uma equipe dedicada ou um responsável pelo GRC.
• Estabeleça políticas, procedimentos e diretrizes claras para governança, gestão de riscos e conformidade.

8.5 Identificação e avaliação de riscos:

• Realize uma avaliação abrangente dos riscos enfrentados pela organização.
• Identifique os riscos operacionais, financeiros, legais, regulatórios e outros relevantes para o negócio.
• Avalie a probabilidade de ocorrência e o impacto de cada risco identificado.

8.6 Desenvolvimento de controles e medidas de mitigação:

• Desenvolva controles internos eficazes para mitigar os riscos identificados.
• Estabeleça medidas preventivas e corretivas apropriadas.
• Implemente políticas, procedimentos e práticas alinhadas aos requisitos regulatórios e padrões internos e externos.

8.7 Implementação de sistemas e tecnologias de suporte:

• Avalie e implemente as ferramentas e tecnologias de suporte ao GRC, como plataformas de governança, risco e conformidade.
• Configure os sistemas para atender às necessidades específicas da organização.
• Realize treinamentos e capacitação adequados para os usuários dos sistemas.

8.8 Monitoramento e revisão contínua:

• Estabeleça processos de monitoramento contínuo dos controles, riscos e conformidade.
• Realize auditorias internas e revisões periódicas do sistema de GRC.
• Identifique áreas de melhoria e implemente ações corretivas.

8.9 Comunicação e conscientização:

• Comunique regularmente sobre o GRC em toda a organização.
• Realize treinamentos e programas de conscientização para funcionários sobre as práticas e políticas de GRC.
• Crie canais de comunicação efetivos para relatar riscos, preocupações ou violações.

8.10 Revisão e adaptação:

• Realize revisões regulares do sistema de GRC para garantir que esteja alinhado às mudanças no ambiente regulatório e de negócios.
• Faça ajustes e melhorias com base no aprendizado e nas necessidades em constante evolução da organização.

9. Conclusão

Independentemente do tipo e tamanho de uma empresa, ou do seu segmento de atuação, é necessário que ela implemente e mantenha padrões claro de gestão e direcionamento dos negócios.

A forma como os colaboradores da sua empresa atuam regularmente, assim como as informações são tratadas, podem ter um enorme impacto na imagem, conformidade ou desempenho.

A adoção de um sistema de governança GRC, pode não apenas ajudar sua empresa estar totalmente adequada aos riscos e compliance, mas também pode trazer vantagens e oportunidades de gestão e mercado. Além disso um outro aspecto positivo, é que também se atraia talentos que tenham afinidades com seu negócio, e que isso, gere um ciclo positivo de desempenho e uma boa imagem corporativa.

Por fim, é fundamental que se mantenha sempre em mente, que o um sistema de governança corporativa GRC, deve atuar para melhorar o desempenho do negócio como um todo.

Nossos Serviços de Consultoria em Governança

Fortaleça seu programa de governança, com nossa equipe sênior de profissionais com alto expertise em GRC. Nossa equipe irá ajudar sua empresa a navegar em segurança pelos cenários regulatórios, desenvolvimento de governança, gestão de riscos e programa de conformidade, atuando para tornar sua empresa totalmente aderente à Governança Corporativa.

Outros artigos que podem lhe interessar:

• A Ameaça da Deterioração no Crescimento dos Negócios
• Adaptabilidade Comercial: Como Adequar os Negócios da sua Empresa em Tempos Desafiadores
• Como Tornar sua Empresa Resistente à Épocas de Crise e Recessão: Estratégias para Gestores e Proprietários
• Outsourcing Compliance: como funciona a terceirização das ações de conformidade, auditoria e riscos

Thinkerest Consultoria Empresarial

Precisando de ajuda para estabelecer e implementar estratégias empresariais? Nós ajudamos nossos clientes a tomar decisões mais inteligentes para alcançar um crescimento rápido dos negócios.

Nossa força reside na competência de nossa equipe, utilizando metodologias de gestão empresarial, estratégia e negócios eficazes, aliadas a pontos de vista exclusivos que se fundem perfeitamente para oferecer soluções personalizadas para todas as necessidades da sua empresa.

Caso precise de apoio para implementar um projetos e serviços de Consultoria em GRC e Governança, Consultoria de Compliance e também em Estratégia, Gestão Empresarial ou Comercial e Vendas, para alavancar o desempenho do seu negócio como um todo, fale conosco.

Nossa empresa e consultores, tem experiência acumulada em mais de 450 projetos, atuando nas áreas: Consultoria em Gestão Empresarial, Consultoria Comercial, Consultoria de Vendas, Consultoria de Marketing e Consultoria de Estratégia.