Como Priorizar o Tratamento de Riscos Quando o Orçamento de Controle é Limitado

Toda EFPC opera com orçamento de controle finito. Não importa o tamanho da entidade. O que muda é a escala, não o princípio. E é justamente essa restrição que torna a priorização do tratamento de riscos uma das decisões mais importantes da gestão.

A intuição comum é tratar primeiro o risco com maior probabilidade de ocorrência. A intuição alternativa é tratar primeiro o de maior impacto. Ambas são incompletas. A decisão racional depende de uma combinação que considera quatro variáveis ao mesmo tempo.

A primeira variável é a severidade combinada (probabilidade vezes impacto). Esse é o ponto de partida da matriz de risco e o critério inicial de ordenação. Riscos com severidade alta entram na frente, e dentro deles, os de maior impacto têm prioridade sobre os de maior probabilidade quando há empate.

A segunda variável é o custo do controle. Há controles caros que reduzem pouco. Há controles baratos que reduzem muito. A relação custo-benefício do controle precisa entrar na conta antes da decisão. Para isso, a área de gestão de riscos precisa estimar, ainda que de forma aproximada, dois números: quanto custa implementar e operar o controle no horizonte definido, e quanto se reduz a exposição com ele em vigor.

Em EFPC, essa estimativa nem sempre é precisa. Mas a precisão importa menos do que a comparabilidade. Estimativas razoavelmente consistentes entre controles permitem decisão racional. Estimativas ausentes levam à decisão por inércia, que costuma favorecer controles “tradicionais” mesmo quando há alternativas mais eficientes.

A terceira variável é o apetite ao risco. O Conselho Deliberativo definiu até onde a entidade está disposta a operar. Riscos que excedem o apetite definido têm prioridade absoluta de tratamento, independentemente do custo do controle. Riscos que estão dentro do apetite podem ser tratados, monitorados ou aceitos, conforme a relação custo-benefício.

A quarta variável é a interdependência. Alguns riscos, quando tratados, reduzem indiretamente a exposição a outros. Um controle de qualidade na entrada de cadastro reduz risco operacional, reduz risco de fraude, reduz risco de não conformidade e reduz risco reputacional, simultaneamente. Esse efeito multiplicador precisa ser considerado na priorização. Sem essa visão, a entidade pode tratar três riscos de forma isolada com três controles diferentes, quando um único controle bem desenhado resolveria os três.

Combinando as quatro variáveis, a priorização ganha consistência. O resultado é um plano de tratamento ordenado, com:

1) Riscos fora do apetite, tratados em primeiro lugar.
2) Riscos com severidade alta e custo de controle proporcional ao benefício.
3) Riscos com efeito de interdependência, tratados antes para gerar redução em cascata.
4) Riscos com severidade média que podem ser monitorados em vez de tratados.
5) Riscos com severidade baixa, formalmente aceitos.

Para os riscos formalmente aceitos, há dois cuidados que precisam estar documentados: o aceite é decisão consciente do Conselho (não esquecimento da gestão) e o monitoramento se mantém ativo, ainda que com periodicidade menor.

Há um efeito secundário importante dessa abordagem: ela protege a entidade do que se chama, em auditoria interna, de “tratamento de fachada”. Quando o orçamento de controle é distribuído sem critério, o que tende a acontecer é que cada área implementa o controle mais visível, não o mais relevante. O resultado é uma entidade com muitos relatórios sobre controle e pouca redução real de exposição.

A priorização racional, baseada em apetite, severidade, custo-benefício e interdependência, transforma a alocação do orçamento de controle em decisão estratégica. E é essa decisão que separa uma EFPC que gerencia risco de uma EFPC que apenas o documenta.

Esta é a nona publicação da série sobre Gestão de Riscos em EFPCs. Na próxima semana: por que falhas operacionais acumulam silenciosamente em processos que aparentam funcionar bem.