Síntese: O Que Conselho, Diretoria e Auditoria Precisam Saber Sobre Gestão de Riscos em EFPC

Esta série começou com uma pergunta que, à primeira vista, pareceu básica: o que é risco, de fato? Treze artigos depois, vale fechar com a leitura inversa. O que distingue, na prática, uma EFPC com gestão de riscos efetiva de uma EFPC que apenas a documenta?

A diferença não está em recurso, em sistema ou em sofisticação metodológica. Está em três condições que se sustentam mutuamente: definição clara de papéis, disciplina de ciclo, e qualidade de comunicação entre as três instâncias responsáveis. O resto é decorrência.

Para o Conselho Deliberativo

O Conselho exerce supervisão estratégica, define apetite ao risco e aprova as políticas que delimitam o sistema. Esse papel não pode ser delegado, suavizado ou compartilhado com a diretoria executiva. Quando o Conselho deixa de definir apetite, a gestão opera sem parâmetro. Quando deixa de supervisionar a eficácia, a gestão opera sem cobrança.

Há três ações que o Conselho precisa exercer com regularidade.

Primeiro, revisar o apetite ao risco com periodicidade definida (anual, no mínimo). O apetite envelhece com o cenário. Quando a entidade muda de perfil de passivo, quando o ambiente regulatório muda, quando o cenário macroeconômico muda, o apetite precisa ser reexaminado. Manter por inércia equivale a navegar com mapa antigo.

Segundo, demandar evidência de eficácia. Não basta receber relatórios sobre o que foi feito. O Conselho precisa demandar evidência de que o que foi feito reduziu exposição. Isso significa pedir, periodicamente, métricas de risco residual, KRIs em movimento, e relatos de tratamento concluído.

Terceiro, registrar discussão em ata. Atas que registram apenas aprovação são frágeis em fiscalização e fracas como instrumento de governança. Atas que registram discussão, divergência e fundamentação são o que efetivamente comprova supervisão ativa.

Para a Diretoria Executiva

A Diretoria responde pela execução do sistema de gestão de riscos. Isso significa garantir que a primeira linha (áreas operacionais) tenha consciência do seu papel, que a segunda linha (riscos, compliance, controles) tenha autonomia para questionar a primeira, e que ambas tenham os recursos necessários para o trabalho.

Há três pontos sensíveis que dependem da Diretoria.

Primeiro, manter a primeira linha consciente. Quando gestores operacionais relatam que “gestão de riscos não é minha área”, há falha de comunicação ou de cobrança. A Diretoria responde por essa cultura.

Segundo, preservar a autonomia da segunda linha. Áreas de gestão de riscos e compliance precisam ter espaço institucional para apontar divergência sem custo político. Esse espaço se constrói com posicionamento explícito da Diretoria.

Terceiro, garantir que o orçamento de controle seja calibrado pela priorização racional, não pela inércia. Manter um controle só porque sempre existiu, ou implementar um controle só porque é tradição setorial, é desperdício de recurso. A Diretoria precisa exercer julgamento sobre custo-benefício do tratamento.

Para a Auditoria Interna

A auditoria interna dá garantia independente sobre a eficácia da governança, da gestão de riscos e dos controles internos. Para que essa garantia tenha valor, três fundamentos precisam estar firmes.

Primeiro, independência organizacional. Reporte direto ao Conselho (ou ao Comitê de Auditoria), acesso irrestrito a sistemas, processos e pessoas, e plano de auditoria aprovado pelo colegiado, não pela Diretoria.

Segundo, foco em eficácia, não em conformidade documental. Auditoria que verifica apenas se o controle existe não cumpre sua função na supervisão baseada em risco. Auditoria que avalia se o controle reduz exposição entrega o tipo de garantia que efetivamente protege a entidade.

Terceiro, acompanhamento de plano de ação. Achado sem acompanhamento é achado pela metade. O ciclo da auditoria só se fecha quando há verificação efetiva de que a recomendação foi implementada e produziu o efeito esperado.

O ponto comum

O fio que conecta as três instâncias é a comunicação. O Conselho precisa entender o que a primeira linha está vivendo. A Diretoria precisa receber da segunda linha o desafio que a primeira não consegue fazer sozinha. A auditoria precisa ter canal direto com o Conselho. Quando esses fluxos funcionam, o sistema todo respira.

Treze artigos cobriram conceitos, frameworks, ferramentas e práticas. Tudo isso é importante. Mas é a combinação de papéis claros, ciclo disciplinado e comunicação ativa que separa, na prática, uma EFPC que gerencia risco de uma EFPC que apenas o registra. Esse é o ponto de chegada da série, e é também o ponto de partida do trabalho cotidiano de governança.

Esta é a décima quarta e última publicação da série sobre Gestão de Riscos em EFPCs. Em breve, iniciamos uma nova série, dessa vez sobre prevenção à lavagem de dinheiro em fundos de pensão e cooperativas de crédito.