Embora a gestão de riscos seja um tema bastante presente nas organizações de todo o tipo, nem todo profissional de gestão de riscos conhece a estrutura normativa que orienta a sua implementação e manutenção.
Existem outros elementos bibliográficos (por exemplo “Risco” de John Adams ou “Gestão de Riscos nos Modelos de Negócio” de Karan Girotra e Serguei Netessine), estes são reflexões e estudos de aplicação que se sustentam sobre bases normativas fundamentais, os tijolos que alicerçam o conhecimento sobre o risco, e é a partir dos quais todos os sistemas complexos de gestão de risco são construídos.
É claro que a lista a seguir é absolutamente pessoal, e possivelmente seria diferente da lista que qualquer outro autor poderia propor. Apesar disso, o profissional de gestão de riscos encontra nessa proposição uma referência básica para o desenvolvimento da sua competência no assunto, podendo utilizar estes elementos como os “tijolos” necessários para construir o edifício do seu conhecimento, e alavancar a aplicação dos conceitos na organização em que ele atua.
ABNT ISO GUIA 73:2009 – Gestão de Riscos – Vocabulário
A ABNT ISO GUIA 73:2009 estabelece a definição dos termos necessários à compreensão e aplicação da gestão de riscos. Esta norma é o fundamento da gestão do risco, e deve ser conhecida pelo profissional de gestão de riscos antes de passar adiante nos demais conhecimentos sobre o tema. As outras normas ISO discutidas neste texto (ISO 31000 e ISO 31010) também contém a definição de alguns conceitos, o que pode parecer redundante (e de fato é), mas não é contraditório.
ABNT NBR ISO 31000:2018 – Gestão de Riscos – Diretrizes
A ISO 31000 contém a estrutura de alto nível para gestão de risco. Ela é a referência principal, segundo a qual a maioria dos sistemas de gestão de risco, incluindo aqueles preconizados como elemento fundamental das normas de gestão da família ISO (9001, 14001, 37001, 45001, etc.) baseadas no Anexo SL. A ISO 31000 possui a sua estrutura baseada em 2 grandes blocos:
- 5 Estrutura
- 1 Generalidades
- 2 Liderança e Comprometimento
- 3 Integração
- 4 Concepção
- 4.1 Entendendo a Organização e Seu Contexto
- 4.2 Articulando o Comprometimento com a Gestão de Riscos
- 4.3 Atribuindo Papéis Organizacionais, Autoridades, Responsabilidades e Responsabilizações
- 4.4 Alocando Recursos
- 4.5 Estabelecendo Comunicação e Consulta
- 5 Implementação
- 6 Avaliação
- 7 Melhoria
- 7.1 Adaptação
- 7.2 Melhoria Contínua
- 6 Processo
- 1 Generalidades
- 2 Comunicação e Consulta
- 3 Escopo, Contexto e Critérios
- 3.1 Generalidades
- 3.2 Definindo o Escopo
- 3.3 Contextos Externo e Interno
- 3.4 Definindo Critérios de Risco
- 4 Processo de Avaliação de Riscos
- 4.1 Generalidades
- 4.2 Identificação de Riscos
- 4.3 Análise de Riscos
- 4.4 Avaliação de Riscos
- 5 Tratamento de Riscos
- 5.1 Generalidades
- 5.2 Seleção de Opções de Tratamento de Riscos
- 5.3 Preparando e Implementando Planos de Tratamento de Riscos
- 6 Monitoramento e Análise Crítica
- 7 Registro e Relato
Como vemos, a estrutura acima separa a Gestão de Riscos em “ESTRUTURA” (condições necessárias para permitir a gestão de riscos) e “PROCESSO” (passo a passo que determina as etapas da gestão de riscos).
ABNT NBR ISO/IEC 31010:2012 – Gestão de Riscos – Técnicas para o processo de avaliação de riscos
Para a condução das atividades da gestão de riscos, principalmente os itens 6.4 e 6.5 da ISO 31000, exista à disposição do profissional de gestão de risco um arsenal de ferramentas bem estabelecidas e aplicadas há anos no mercado. A ISO 31010 tem a intenção de elencar, determinar os prós e contras, e fornecer os fundamentos de aplicação de 31 ferramentas para auxiliar os gestores de risco na sua cruzada. Nesta norma são citadas ferramentas como Brainstorming, HAZOP, LOPA, FTA, BOW-TIE, Índice de Risco, SWIFT, Delphi, FMEA, entre outros. Trata-se de um excelente guia para seleção e conhecimento sobre a aplicação de cada uma dessas ferramentas, que podem ser aplicadas em conjunto, conforme a necessidade e experiência do profissional de gestão de riscos.
COSO – Committee of Sponsoring Organizations of the Treadway Commission
O Comitê de Organizações Patrocinadoras da Comissão Treadway (COSO) é uma iniciativa conjunta de cinco organizações profissionais e se dedica a ajudar as organizações a melhorar o desempenho através do desenvolvimento de liderança inovadora que aprimora o controle interno, o gerenciamento de riscos, a governança e a prevenção de fraudes. Está essencialmente associado ao modelo de gestão do risco do empreendimento que passa pelas seguintes dimensões ao longo de toda a organização:
- Governança e Cultura
- Estratégia e Determinação de Objetivos
- Desempenho
- Revisão e Análise Crítica
- Informação, Comunicação e Relato
Como se pode ver, a estrutura guarda muita semelhança relativamente à estrutura da ISO 31000, porém de uma maneira simplificada.
8th EU Company Law Directive Article 41
Estabelece a interação entre os vários atores na gestão de risco e controle interno, incluindo o conhecido modelo das 3 linhas de defesa, tão conhecida pelos profissionais do mercado financeiro e de compliance.
Certamente a concatenação de todos os elementos aplicados acima depende da experiência, criatividade e perspicácia do profissional de gestão de risco. Mas não se trata de desafio excessivamente desafiador, uma vez que boa parte do processo de gestão de risco depende efetivamente do princípio da Melhoria Contínua. É natural estabelecer um framework simplificado que se aprimora com o passar do tempo e com o acúmulo de experiência, tanto da organização quanto do profissional de gestão de risco.
A PM Analysis desenvolveu em parceria com a Q Academy o curso de formação de Certificação de Profissionais de Risco (Certified Risk Professional) CRP-31000, com duração de 24 horas dezenas de exercícios práticos e testes, que aborda com detalhes a ISO 31000, a ISO 31010 e a relação destas normas com as demais referências. Saiba mais em Curso de Certificação Profissional ISO 31000 – Gestão de Riscos – Q Academy.
