de Riscos Corporativos

Transcrição

1 Instituto Brasileiro de Governança Corporativa Guia de Orientação para Gerenciamento 3 O IBGC, dando seqüência a seus, lança o Guia de Orientação para Gerenciamento de Riscos Corporativos. O objetivo desta iniciativa é trazer ao mercado informações práticas que contribuam para o processo da governança corporativa e auxiliem conselheiros e demais administradores a desempenhar melhor as suas funções. Contribui, assim, para aprimorar o funcionamento do mercado, gerar maior confiança dos investidores e, conseqüentemente, propiciar maior fluidez de recursos para as empresas. de Riscos Corporativos

2 Guia de Orientação para Gerenciamento de Riscos Corporativos Guia de Orientação para Gerenciamento de Riscos Corporativos 2007

3 2 IBGC Instituto Brasileiro de Governança Corporativa O IBGC é uma organização exclusivamente dedicada à promoção da governança corporativa no Brasil e o principal fomentador das práticas e discussões sobre o tema no País, tendo alcançado reconhecimento nacional e internacional. Fundado em 27 de novembro de 1995, o IBGC sociedade civil de âmbito nacional, sem fins lucrativos tem o propósito de ser referência em governança corporativa, contribuindo para o desempenho sustentável das organizações e, influenciando os agentes de nossa sociedade no sentido de maior transparência, justiça e responsabilidade. Presidente do Conselho de Administração: José Guimarães Monforte Vice-Presidentes: Gilberto Mifano e Mauro Rodrigues da Cunha Conselheiros: Celso Giacometti, Eliane Lustosa, Fernando Mitri, Francisco Gros, João Pinheiro Nogueira Batista e Ronaldo Veirano. Comitê Executivo: Edimar Facco, Eliane Lustosa e Ricardo Veirano Secretária Geral: Heloisa B. Bedicks Para mais informações sobre o Instituto Brasileiro de Governança Corporativa, visite o site: Para associar-se ao IBGC ligue para (11) I59g Instituto Brasileiro de Governança Corporativa Guia de orientação para o gerenciamento de riscos corporativos / Instituto Brasileiro de Governança Corporativa; coordenação: Eduarda La Rocque. São Paulo, SP: IBGC, 2007 (série de cadernos de governança corporativa, 3). 48p. ISBN: governança corporativa. 2. governança corporativa - risco - gestão I. Título. II. La Rocque, Eduarda, coord. CDD Bibliotecária responsável: Mariusa F. M. Loução CRB-12/330

4 Guia de Orientação para Gerenciamento de Riscos Corporativos Créditos Este trabalho foi desenvolvido pelo Subcomitê de Gerenciamento de Riscos Corporativos do Comitê de Finanças e Contabilidade do IBGC. Durante sua elaboração, este documento passou por processo intenso de discussão e audiência pública, tendo recebido diversas contribuições e sugestões. Agradecemos à Bovespa, pela cessão de suas instalações no Rio de Janeiro para algumas das reuniões de trabalho e ao staff do IBGC, especialmente Simone Novotny Couto Pereira e Angela Rita Franco Donaggio, que secretariaram os trabalhos. Agradecemos todos os membros do Subcomitê de Gerenciamento de Riscos Corporativos, principalmente à Eduarda La Rocque, que coordenou a organização deste documento. Contribuições: Antonio Laporta Antonio Moura Camila Nogueira Carlos Antonio Rocca Clarissa Lins Eduardo de Vasconcellos Heloisa B. Bedicks Ives Pereira Muller João Carlos Orzzi Lucas Jose Luiz de Souza Motta Lúcio Carlos de Pinho Filho Moacyr Carmo Paulo Baraldi Paulo Conte Vasconcellos Roberto Lamb Coordenação: Eduarda La Rocque Contribuições especiais: Este guia contou com a participação extremamente relevante de Antonio Cocurullo, Eduardo Lins de Carvalho, Jorge Luiz de Carvalho Brandão e Lucia Hauptman, e com a inestimável colaboração de Carlos Eduardo Lessa Brandão para tornar o texto o mais didático possível, aproximando-o do que deveria ser um guia do IBGC.

5 IBGC Índice 1 2 Introdução Conceituação de Risco Benefícios do Modelo de GRCorp 12 Metodologia de Implantação Identificação e Classificação dos Riscos Associação com os Objetivos Estratégicos e Perfil de Riscos Categorização dos Riscos Origem dos Eventos Riscos Externos Riscos Internos Natureza dos Riscos Riscos Estratégicos Riscos Operacionais Riscos Financeiros Exemplos de Tipos de Riscos Tecnologia Ambiental Conformidade Avaliação dos Riscos Mensuração dos Riscos Tratamento dos Riscos Evitar o Risco Aceitar o Risco Reter Reduzir Transferir e/ou Compartilhar Explorar Prevenção e Redução dos Danos Capacitação Monitoramento dos Riscos Informação e Comunicação 26

6 Guia de Orientação para Gerenciamento de Riscos Corporativos Implementação e Estruturas Adequadas para o Gerenciamento de Riscos Arquitetura para o GRCorp 28 Anexos Processos Críticos (para o GRCorp) Governança de Gerenciamento de Riscos Organização e Pessoas Sistemas de Controle Comunicação Estrutura Funcional O Gerenciamento de Riscos e o Conselho de Administração 30 Referências Literatura Relacionada Livros Artigos e Documentos Técnicos Algumas Normas Relacionadas ao Tema Alguns Websites Relacionados ao Tema 36 A Evolução Histórica 38 A.1 Introdução 38 A.2 Vertente Financeira 39 A.3 Ramo de Auditoria 40 A.4 Lei Sarbanes-Oxley 41 A.5 Tecnologia da Informação 42 A.6 Norma ISO B Gestão da Continuidade de Negócios 43 C Comitê(s) de Risco 44 D Marco Legal e Regulatório no Brasil 45

7 6 IBGC Apresentação

8 Guia de Orientação para Gerenciamento de Riscos Corporativos 7 O Instituto Brasileiro de Governança Corporativa - IBGC, em comemoração aos 10 anos de sua fundação, completados em 2005, lançou a série de publicações denominada Cadernos de Governança. O objetivo desta iniciativa é trazer ao mercado informações práticas que contribuam para o processo da governança corporativa e auxiliem conselheiros e demais administradores a desempenhar melhor as suas funções, contribuindo para aprimorar o funcionamento do mercado, gerar maior confiança dos investidores e, conseqüentemente, propiciar maior fluidez de recursos para as empresas. Os Cadernos de Governança do IBGC são editados, de acordo com seu conteúdo, em três séries:

9 IBGC sobre parte dos conceitos envolvidos 1, e as práticas entre as empresas são as mais variadas. Desta forma, julga-se necessário divulgar os conceitos para, em seguida, introduzir e disseminar a cultura de gerenciamento de riscos corporativos. A partir do entendimento e alinhamento dos conceitos e da formação de um linguajar comum, deve-se implantar o que melhor se aplica à realidade de cada organização no contexto em que se encontra e atua. Dispor de um modelo mental e de termos e jargão adequados para viabilizar a discussão das aplicações práticas do gerenciamento integrado de riscos (especialmente entre os conselheiros de administração e especialistas no tema), representa uma das principais contribuições deste Guia para as organizações. O IBGC acredita que as reflexões e sugestões trazidas com este Guia contribuirão para o aperfeiçoamento do ambiente empresarial, por se tratar de uma valiosa ferramenta de gestão para o desenvolvimento sustentável das organizações, beneficiando todas as partes interessadas.

10 Guia de Orientação para Gerenciamento de Riscos Corporativos 9 1 Introdução 1.1 Conceituação de Risco Benefícios do Modelo de GRCorp 12

11 10 IBGC 1 Introdução As atividades envolvidas no Gerenciamento de Riscos Corporativos ( GRCorp ) devem contribuir para a perenidade da organização, atendendo aos seus objetivos estatutários e estratégicos. As recomendações e sugestões contidas neste Guia de Orientação para Gerenciamento de Riscos Corporativos (Guia) devem ser avaliadas diante da realidade de cada organização. Apesar de destinar-se primariamente a empresas com fins lucrativos, os conceitos e sugestões poderão ser utilizados também por entidades do primeiro e do terceiro setores. Aspectos específicos relacionados a organizações financeiras são tratados brevemente no Anexo A.2. Este Guia também sugere que as organizações disponham de uma estrutura mínima de governança corporativa, ou seja, um conselho de administração, conselho deliberativo ou conselho consultivo. As sugestões deste documento contam com a atuação do conselho de administração no processo de gerenciamento dos riscos. O Guia visa orientá-lo tanto para a implantação de um modelo de GRCorp como para a avaliação e introdução de melhorias em modelos existentes. De forma geral, as práticas sugeridas pelo Instituto Brasileiro de Governança Corporativa IBGC vão além do cumprimento legal e regulatório e pressupõem que a organização atenda a todas as exigências desta natureza. A estrutura do Guia se inspirou no item 2.38, 3 a edição, do Código das Melhores Práticas de Governança Corporativa do IBGC ( Código do IBGC ): Gerenciamento de riscos: o Conselho de Administração deve assegurar-se de que a Diretoria identifique preventivamente por meio de sistema de informações adequado e liste os principais riscos aos quais a sociedade está exposta, sua probabilidade de ocorrência, bem como as medidas e os planos adotados para sua prevenção ou minimização. Para que o conselho de administração possa efetivamente identificar, priorizar e garantir a gestão eficaz da exposição da organização aos diversos riscos que podem afetar o seu negócio, deve apresentar uma atitude pró-ativa, requerendo informações baseadas no modelo de GRCorp. Isto se tornará possível na medida em que os conselheiros tenham conhecimento suficiente sobre o tema e consigam avaliar os modelos, ferramentas e medidas utilizadas. O Código do IBGC propõe que pelo menos um dos conselheiros

12 Guia de Orientação para Gerenciamento de Riscos Corporativos 11 apresente bons conhecimentos sobre o assunto 2, sendo recomendável que os demais também disponham de conhecimento mínimo sobre o tema. Após introdução conceitual sobre riscos, detalha-se, no capítulo 2, o processo de identificação, avaliação e resposta aos riscos. O capítulo 3 visa a auxiliar na implementação de um modelo de GRCorp que respeite o estágio de desenvolvimento e a estratégia de longo prazo de cada organização. 1.1 Conceituação de Risco O termo risco é proveniente da palavra risicu ou riscu, em latim, que significa ousar (to dare, em inglês). Costuma-se entender risco como possibilidade de algo não dar certo, mas seu conceito atual envolve a quantificação e qualificação da incerteza 3, tanto no que diz respeito às perdas como aos ganhos, com relação ao rumo dos acontecimentos planejados, seja por indivíduos, seja por organizações: Quando investidores compram ações, cirurgiões realizam operações, engenheiros projetam pontes, empresários abrem seus negócios e políticos concorrem a cargos eletivos, o risco é um parceiro inevitável. Contudo, suas ações revelam que o risco não precisa ser hoje tão temido: administrá-lo tornou-se sinônimo de desafio e oportunidade. (Bernstein, p., p. VII, 3 a edição,1996) O risco é inerente a qualquer atividade na vida pessoal, profissional ou nas organizações, e pode envolver perdas, bem como oportunidades. Em Finanças, a relação risco-retorno indica que quanto maior o nível de risco aceito, maior o retorno esperado dos investimentos. Esta relação vale tanto para investimentos financeiros como para os negócios, cujo retorno é determinado pelos dividendos e pelo aumento do valor econômico da organização. Empreender significa buscar um retorno econômico-financeiro adequado ao nível de risco associado à atividade. Ou seja, o risco é inerente à atividade de negócios, na qual a consciência do risco e a capacidade de administrá-lo, aliadas à disposição de correr riscos e de tomar decisões, são elementos-chave. Assumir riscos diferencia empresas líderes, mas também pode levá-las a estrondosos fracassos. O resultado das iniciativas de negócios revela que o risco pode ser gerenciado a fim de subsidiar os administradores 4 na tomada de decisão, visando a alcançar objetivos e metas dentro do prazo, do custo e das condições préestabelecidas. 2 A composição do conselho de administração (segundo item 2.17 do Código do IBGC) deve buscar diversidade de experiências, conhecimentos e perfis, de maneira que se possa reunir, dentre outros fatores, experiência em administrar crises e experiência em identificação e controle de riscos. 3 Risco: evento futuro identificado, ao qual é possível associar uma probabilidade de ocorrência. Incerteza: evento futuro identificado, ao qual não é possível associar uma probabilidade de ocorrência. Ignorância: eventos futuros que, no momento da análise, não poderão sequer ser identificados, muito menos quantificados (exemplo: eventos decorrentes de sistemas complexos como o climático as conseqüências do aquecimento global são imprevisíveis). Faber, Manstetten e Proops, 1996, p Administradores: conselheiros de administração e diretoria. Também chamada de alta administração.

13 12 IBGC A aplicação do conceito de risco no contexto empresarial requer a definição de indicadores de desempenho (geração de fluxo de caixa, valor de mercado, lucro, reclamações de clientes, quebras operacionais, fraudes, entre outros) associados a níveis de volatilidade, ou seja, à variação dos resultados em torno de uma média. Essas possibilidades, tanto de ganho como de perda, que podem ter causas de natureza externa (ambiente competitivo, regulatório, financeiro) ou de natureza interna (diferencial tecnológico, controles, capacitações, conduta) são oriundas do contexto em que cada organização atua. O modelo de GRCorp é um instrumento de tomada de decisão da alta administração que visa a melhorar o desempenho da organização pela identificação de oportunidades de ganhos e de redução de probabilidade e/ou impacto de perdas, indo além do cumprimento de demandas regulatórias. 1.2 Benefícios do Modelo de GRCorp A adoção de um modelo de GRCorp visa a permitir que a alta administração e demais gestores da organização lidem eficientemente com a incerteza, buscando um balanceamento ótimo entre desempenho, retorno e riscos associados. A implantação do GRCorp traz vários benefícios para a organização: a) Preserva e aumenta o valor da organização, mediante a redução da probabilidade e/ou impacto de eventos de perda, combinada com a diminuição de custos de capital que resulta da menor percepção de risco por parte de financiadores e seguradoras e do mercado em geral; b) Promove maior transparência, ao informar aos investidores e ao público em geral os riscos aos quais a organização está sujeita, as políticas adotadas para sua mitigação, bem como a eficácia das mesmas; c) Melhora os padrões de governança, mediante a explicitação do perfil de riscos adotado, em consonância com o posicionamento dos acionistas e a cultura da organização, além de introduzir uma uniformidade conceitual em todos os níveis da organização, seu conselho de administração e acionistas. Além dos benefícios listados acima, a implementação de um modelo de GRCorp eficaz apresenta ainda vários outros resultados positivos para a organização: d) Desenho de processos claros para identificar, monitorar e mitigar os riscos relevantes; e) Aprimoramento das ferramentas de controles internos (sistemas de controles) para medir, monitorar e gerir os riscos; f) Melhoria da comunicação entre as áreas da organização; g) Identificação e priorização dos riscos relevantes (exposição líquida, já considerando os impactos interrelacionados e integrados a diversos tipos de riscos); h) Definição de uma metodologia robusta para mensurar e priorizar riscos; i) Definição e implementação do modelo de governança para gerir a exposição (fóruns de decisão, políticas e processos e definição de alçadas);

14 Guia de Orientação para Gerenciamento de Riscos Corporativos 13 j) Identificação de competências para antecipar riscos relevantes e, se for o caso, mitigá-los após uma análise custo-benefício; k) Melhor entendimento do posicionamento competitivo da organização; l) Promoção de transparência para os stakeholders 5, em relação aos fatores que possam valorizar ou prejudicar a organização. Em resumo, o GRCorp preserva e agrega valor econômico à organização, contribuindo fundamentalmente para a realização de seus objetivos e metas de desempenho, representando mais do que um mero conjunto de procedimentos e políticas de controle. Além disso, facilita a adequação da organização aos requerimentos legais e regulatórios, fatores críticos para sua perenidade. 5 Stakeholders - partes interessadas: públicos relevantes com interesses pertinentes à organização, ou ainda, indivíduos ou entidades que assumam algum tipo de risco, direto ou indireto, em face da organização. São elas, além dos acionistas, os funcionários, clientes, fornecedores, credores, governos, entre outros.

15 14 IBGC 2 Metodologia da Implantação 2.1 Identificação e Classificação dos Riscos Associação com os Objetivos Estratégicos e Perfil de Riscos Categorização dos Riscos Origem dos Eventos Riscos Externos Riscos Internos Natureza dos Riscos Riscos Estratégicos Riscos Operacionais Riscos Financeiros Exemplos de Tipos de Riscos Tecnologia Ambiental Conformidade Avaliação dos Riscos Mensuração dos Riscos Tratamento dos Riscos Evitar o Risco Aceitar o Risco Reter Reduzir Transferir e/ou Compartilhar Explorar Prevenção e Redução dos Danos Capacitação Monitoramento dos Riscos Informação e Comunicação 26

16 Guia de Orientação para Gerenciamento de Riscos Corporativos 15 Utilizando-se da definição proposta pelo COSO II 6, o GRCorp é um processo desenhado para identificar e responder a eventos que possam afetar os objetivos estratégicos da organização. Suas diretrizes devem ser estabelecidas pelo conselho de administração e as ações decorrentes devem ser implementadas pelos gestores, com o objetivo de prover, com razoável segurança, a realização das metas da organização a partir de um adequado alinhamento da estratégia com o seu apetite a riscos. Em função desta ampla definição há distintas metodologias e estruturas para o desenvolvimento e implantação do GRCorp. A bibliografia anexa inclui exemplos de metodologias e estruturas que atendem às boas práticas de GRCorp. O Guia se propõe a apresentar aspectos relevantes destas metodologias e estruturas. Os aspectos referentes a estruturas adequadas e de como implementar um modelo de GRCorp são tratados no capítulo 3. Neste capítulo descrevem-se seis etapas fundamentais em uma metodologia de implantação de um modelo de GRCorp: identificação e classificação, avaliação, mensuração, tratamento, monitoramento, informação e comunicação dos riscos. Para mapear, analisar e principalmente tomar decisões em termos de priorização e alocação de recursos em consonância com o gerenciamento de riscos, recomenda-se a categorização destes eventos por natureza e origem (na etapa de identificação dos riscos) e por relevância (nas etapas de avaliação e mensuração dos riscos), sempre associados aos objetivos estratégicos da organização. Cabe realçar que o processo de identificação de riscos (item 2.1) pode resultar na identificação de oportunidades, o que requer a participação de pessoas qualificadas, com visão holística dos negócios da organização nos seus diferentes níveis. Os riscos corporativos identificados devem ser conhecidos por toda a organização e, portanto, devidamente comunicados pela alta administração. Após a identificação dos riscos, torna-se necessário adotar uma métrica que permita a avaliação da relevância dos mesmos através de informações relacionadas à sua exposição e correspondentes fontes de incertezas. Para determinar a relevância dos riscos deve-se avaliar seu impacto (não apenas no desempenho econômico-financeiro do período, mas também o impacto intangível) e a probabilidade de ocorrência (item 2.2). Uma vez definidos os objetivos estratégicos da organização, estes são traduzidos num conjunto de planos e metas organizados e ordenados de ações sob os pontos de vista físico e econômico-financeiro. O modelo de GRCorp deve buscar quantificar a incerteza envolvida neste planejamento econômico-financeiro e projetar os resultados da empresa em cenários alternativos de preços, condições macroeconômicas e operacionais (etapa de mensuração dos riscos item 2.3). Depois de avaliados e mensurados, deve-se definir qual o tratamento que será dado aos riscos (item 2.4) e como os mesmos deverão ser monitorados (item 2.5) e informados às diversas partes interessadas (item 2.6). 6 COSO - The Committee of Sponsoring Organizations of the Treadway Commission - entidade sem fins lucrativos dedicada, num primeiro momento, à melhoria dos relatórios financeiros através da ética, efetividade dos controles internos e governança corporativa. No COSO II amplia-se a abordagem para tratar do GRCorp - ver Anexo A.4.

17 16 IBGC 2.1 Identificação e Classificação dos Riscos Trata-se da definição do conjunto de eventos, externos ou internos, que podem impactar os objetivos estratégicos da organização, inclusive os relacionados aos ativos intangíveis 7. É importante ressaltar que sempre existirão riscos desconhecidos pela organização. O processo de identificação e análise geral de riscos deve ser monitorado e continuamente aprimorado Associação com os Objetivos Estratégicos e Perfil de Riscos Os objetivos estratégicos orientam como a organização deverá trabalhar para criar valor a todos que investiram na organização, o que depende crucialmente do perfil de riscos corporativos. A definição do perfil de riscos é prerrogativa do conselho de administração que, por sua vez, reflete a posição dos acionistas. O perfil de riscos significa em quanta exposição ao risco se aceita incorrer, o que envolve tanto o nível de apetite quanto o de tolerância a riscos 8. O perfil de riscos deverá estar refletido na cultura da organização e, para isto, cabe ao conselho de administração outorgar um mandato claro para a diretoria administrá-lo. A implantação de um modelo de GRCorp requer o envolvimento ativo de ambos (conselho de administração e diretoria), aprimorando o processo de tomada de decisão da organização, tanto no contexto da elaboração do seu planejamento estratégico, como na sua execução e monitoramento. Para determinar o perfil de riscos de uma organização são necessárias definições claras de indicadores de desempenho e índices de volatilidade, divididos em dois grupos: um de natureza financeira (valor de mercado, geração de caixa operacional, distribuição de dividendos, etc.) e outro de natureza qualitativa (transparência, idoneidade, reconhecimento de marca, ambiente de trabalho, responsabilidade socioambiental, etc.) Categorização dos Riscos Dentre os vários critérios alternativos para a classificação dos riscos, há dois componentes que se interrelacionam: Pessoas principalmente como causas e a Reputação principalmente como conseqüência do bom ou mau gerenciamento dos riscos. O risco associado às Pessoas é um componente causal presente na grande maioria dos riscos da 7 Ativos intangíveis podem ser entendidos como os ativos e métodos responsáveis pela diferença entre o market value (valor de mercado) e o book value (valor contábil) da organização. São direitos, sem representação física, que dão à organização uma posição exclusiva ou preferencial no mercado, ou seja, contribuem para o seu valor econômico. Exemplos: carteira de clientes, reputação, relacionamentos, imagem, processos, capacidade de inovação, softwares, marcas e patentes, direitos autorais, licenças, concessões, pesquisa e desenvolvimento, etc. 8 Enquanto apetite ao risco está associado ao nível de risco que a organização pode aceitar na busca e realização de sua missão/ visão (análise ex-ante), tolerância ao risco diz respeito ao nível aceitável de variabilidade na realização das metas e objetivos definidos (atividade mais associada ao monitoramento, ex-post).

18 Guia de Orientação para Gerenciamento de Riscos Corporativos 17 organização. Por exemplo, a falha na formulação de objetivos claramente entendidos, aceitos e positivamente concatenados dentro da organização como um todo, é um risco que acarreta perda de sinergia e valor empresarial. Por outro lado, a eficácia e eficiência na formulação e/ou execução desses objetivos acarretarão ganho de sinergia e de valor empresarial. Os eventos que podem atingir criticamente a Reputação da organização em geral denominados risco reputacional ou de imagem na verdade não se constituem num tipo específico de risco, mas sim numa conseqüência do mau gerenciamento dos riscos que se torna público. Exemplo: o impacto negativo sofrido por uma empresa de marca valiosa acusada de práticas tais como o uso de material tóxico para produção de bens, contratação de fornecedores com práticas trabalhistas condenáveis, etc. O impacto negativo sofrido por essa empresa, de marca forte, pode causar impacto positivo nas empresas concorrentes. Não há um tipo de classificação de riscos que seja consensual, exaustivo e aplicável a todas as organizações; a classificação deve ser desenvolvida de acordo com as características de cada organização, contemplando as particularidades da sua indústria, mercado e setor de atuação. Por exemplo: os estoques de materiais de consumo são menos relevantes para um banco do que para uma indústria, onde pode representar um dos principais fatores de risco. Analogamente, as variáveis relacionadas ao risco de mercado 9 são cruciais para um banco e podem não ser tão relevantes para determinada organização manufatureira. Uma das formas de categorização dos riscos consiste em desenhar uma matriz que considere a origem dos eventos, a natureza dos riscos e uma tipificação dos mesmos, conforme ilustrado hipoteticamente na Figura 1 abaixo: Tipos Natureza dos Riscos Estratégico Operacional Financeiro origem dos eventos I n t e r n o E x t e r n o Macroeconômico Ambiental Social Tecnológico Legal Financeiro Ambiental Social Tecnológico Conformidade Figura 1: Exemplo de Categorização de Riscos 9 Risco de mercado é a denominação utilizada no sistema financeiro para o tipo de risco associado a perdas no valor da carteira de ativos e passivos (incluindo derivativos) advindas de oscilações de preços de ações, commodities, moedas e taxas de juros.

19 18 IBGC A classificação deve ser feita observando-se algumas diretrizes, normalmente encontradas na literatura sobre gerenciamento de riscos Origem dos Eventos É importante determinar a origem dos eventos (externos ou internos), pois auxilia na definição da abordagem a ser empregada por parte da organização Riscos Externos: são ocorrências associadas ao ambiente macroeconômico, político, social, natural ou setorial em que a organização opera. Exemplos: nível de expansão do crédito, grau de liquidez do mercado, nível das taxas de juros, tecnologias emergentes, ações da concorrência, mudança no cenário político, conflitos sociais, aquecimento global, catástrofes ambientais, atos terroristas, problemas de saúde pública, etc. A organização, em geral, não consegue intervir diretamente sobre estes eventos e terá, portanto, uma ação predominantemente reativa. Isto não significa que os riscos externos não possam ser gerenciados ; pelo contrário, é fundamental que a organização esteja bem preparada para essa ação reativa Riscos Internos: são eventos originados na própria estrutura da organização, pelos seus processos, seu quadro de pessoal ou de seu ambiente de tecnologia. A organização pode e deve, em geral, interagir diretamente com uma ação pró-ativa Natureza dos Riscos Igualmente importante é classificar a natureza dos riscos, o que permite sua agregação de uma forma organizada e de acordo com a sua natureza - estratégica, operacional ou financeira - em função da(s) área(s) da organização que é(são) afetada(s) pelos eventos. Cabe mencionar que os riscos podem pertencer a categorias distintas e em alguns casos poderão se encaixar em duas ou até mesmo em todas as categorias concomitantemente. Em alguns segmentos de negócio mais regulados, notadamente os bancos, o órgão regulador estabelece como boa parte dos riscos devem ser agrupados Riscos Estratégicos Os riscos estratégicos estão associados à tomada de decisão da alta administração e podem gerar perda substancial no valor econômico da organização 10. Os riscos decorrentes da má gestão empresarial muitas vezes resultam em fraudes relevantes nas demonstrações financeiras. Exemplos: falhas na antecipação ou reação ao movimento dos concorrentes causadas por fusões e aquisições; diminuição de demanda do mercado por produtos e serviços da empresa causada por obsolescência em função de desenvolvimento de novas tecnologias/produtos pelos concorrentes. 10 Segundo o estudo Disarming the Value Killers (Deloitte, 2006), o risco estratégico é o principal motivador para a perda de valor das ações do grupo de 100 empresas, entre as mil maiores organizações globais, que registraram as maiores quedas no preço das ações em períodos de um mês, ao longo do decênio

20 Guia de Orientação para Gerenciamento de Riscos Corporativos Riscos Operacionais Os riscos operacionais estão associados à possibilidade de ocorrência de perdas (de produção, ativos, clientes, receitas) resultantes de falhas, deficiências ou inadequação de processos internos, pessoas e sistemas, assim como de eventos externos como catástrofes naturais, fraudes, greves e atos terroristas. Os riscos operacionais geralmente acarretam redução, degradação ou interrupção, total ou parcial, das atividades, com impacto negativo na reputação da sociedade, além da potencial geração de passivos contratuais, regulatórios e ambientais Riscos Financeiros (mercado, crédito e liquidez) Os riscos financeiros são aqueles associados à exposição das operações financeiras da organização. É o risco de que os fluxos de caixa não sejam administrados efetivamente para maximizar a geração de caixa operacional, gerenciar os riscos e retornos específicos das transações financeiras e captar e aplicar recursos financeiros de acordo com as políticas estabelecidas. São ocorrências tais como a administração financeira inadequada, que conduz a endividamento elevado, podendo causar prejuízo frente à exposição cambial ou aumentos nas taxas de juros, etc. Incluem-se neste grupo operações no mercado de derivativos de commodities. Existem também outras categorias de risco descritas na literatura relacionadas à combinação ou decorrência de eventos e riscos já descritos, e que não foram gerenciados de forma adequada. É comum que se destaque como uma das categorias principalmente na literatura dedicada ao cumprimento da Lei Sarbanes-Oxley (Anexo A4) o risco associado à confiabilidade das informações transmitidas nos relatórios financeiros divulgados pelas organizações. É igualmente relevante enfocar na qualidade das informações que circulam internamente, destacando-se como categoria de risco as informações para tomada de decisão (estratégicas, financeiras e operacionais). Incertezas sobre a relevância e a confiabilidade nas informações que dão suporte ao processo decisório, que devem estar disponíveis no momento oportuno, podem ser fontes de risco. Deve existir, também, um adequado fluxo de informações que assegure à alta administração que nenhuma informação relevante deixou de ser considerada Exemplos de Tipos de Riscos Essa tipificação visa assegurar a definição de uma linguagem comum de riscos dentro da organização, considerando uma descrição ampla dos tipos de risco. Como ilustração, citam-se alguns exemplos abaixo: Tecnologia: representado por falhas, indisponibilidade ou obsolescência de equipamentos e instalações produtivas ou fabris, assim como de sistemas informatizados de controle, comunicação, logística e gerenciamento operacional, que prejudiquem ou impossibilitem a continuidade das atividades regulares da organização, ao longo da sua cadeia de valor (clientes, fornecedores, parceiros e unidades regionais). Pode estar também associado a erros ou fraudes, internas ou externas, nos sistemas informatizados ao capturar, registrar, monitorar e reportar corretamente transações ou posições.