Gestão de Riscos (ERM)

Risco não gerenciado não desaparece. Aguarda o momento errado para aparecer.

Enterprise Risk Management — Gestão de Riscos Corporativos — é o processo pelo qual uma organização identifica, avalia, prioriza e responde aos riscos que podem impedir o alcance dos seus objetivos. Não é eliminação de risco. É decisão consciente sobre quais riscos aceitar, quais reduzir, quais transferir e quais evitar — com estrutura que torna essas decisões rastreáveis e revisáveis.

O "Enterprise" no nome não é decoração. Significa que a gestão de riscos é integrada — cobre toda a organização, conecta-se à estratégia e é responsabilidade da liderança, não só de uma área técnica.

Risco é a possibilidade de que um evento ocorra e afete o alcance de objetivos. Tem duas dimensões: probabilidade de ocorrência e magnitude do impacto. O produto das duas define a exposição.

Risco não é sinônimo de problema. Problema já aconteceu. Risco é o que pode acontecer — e a gestão de riscos existe exatamente no espaço antes do acontecimento, onde ainda há tempo de agir.

Risco também não é sinônimo de incerteza. Incerteza é o que não pode ser medido. Risco tem distribuição de probabilidade — pode ser estimado, modelado, comparado. A distinção importa porque a resposta a cada um é diferente: risco se gerencia com controle e mitigação, incerteza se navega com agilidade e opções abertas.

Risco estratégico ameaça a viabilidade do modelo de negócio — disrupção tecnológica, mudança de comportamento do cliente, movimento competitivo que invalida premissas da estratégia. É o risco mais difícil de gerenciar porque exige que a liderança questione as próprias apostas.

Risco operacional emerge de falhas nos processos, sistemas, pessoas ou eventos externos que afetam a capacidade de operar. Fraude interna, falha de sistema crítico, acidente, perda de fornecedor estratégico, dependência excessiva de pessoas-chave.

Risco financeiro abrange variações de câmbio, taxa de juros, liquidez, crédito e estrutura de capital que comprometem a saúde financeira. Empresa com dívida em moeda estrangeira e receita em real carrega risco cambial estrutural — independentemente de quão bem opera.

Risco de compliance é a possibilidade de violação de leis, regulamentos ou padrões éticos com consequências legais, financeiras ou reputacionais. Cresce com a complexidade regulatória e com a internacionalização.

Risco reputacional emerge de qualquer evento — interno ou externo — que afeta a percepção de confiabilidade e integridade da empresa. É frequentemente consequência de outros riscos materializados, mas tem dinâmica própria: reputação demora anos para construir e pode ser destruída em horas.

Risco ambiental e social inclui exposição a eventos climáticos, a passivos ambientais, a conflitos com comunidades e a questões trabalhistas na cadeia de valor. Cresce em relevância à medida que regulação e mercado incorporam critérios ESG.

ERM não é evento anual. É processo contínuo com fases interdependentes.

Identificação é onde o universo de riscos relevantes é mapeado. Envolve múltiplas perspectivas — liderança, operação, financeiro, jurídico, externo — porque cada posição na organização tem visibilidade diferente sobre onde os riscos residem. Risco identificado só por quem está no topo frequentemente subestima o que acontece na linha de frente.

Avaliação atribui probabilidade e impacto a cada risco identificado. O produto dos dois gera a exposição — que permite priorizar onde concentrar esforço de gestão. Mapa de calor de riscos, com eixos de probabilidade e impacto, é o instrumento mais comum para visualizar essa priorização.

Resposta define o que fazer com cada risco. Aceitar — quando o custo de mitigação supera o risco esperado e a organização tem capacidade de absorver o impacto. Mitigar — reduzir a probabilidade ou o impacto por meio de controles, processos ou redundâncias. Transferir — seguros, contratos, hedges que alocam o risco para terceiros dispostos a assumi-lo mediante pagamento. Evitar — não entrar na atividade que gera o risco quando a exposição é inaceitável.

Monitoramento acompanha a evolução dos riscos ao longo do tempo e a eficácia dos controles implementados. Risco que estava sob controle pode escalar. Novo risco pode emergir. O ambiente muda — a gestão de riscos precisa acompanhar.

Comunicação garante que as informações sobre risco chegam a quem precisa delas para decidir — incluindo o conselho e os sócios, que têm responsabilidade fiduciária sobre a exposição da organização.

Antes de gerenciar risco, a organização precisa decidir quanto risco está disposta a aceitar em busca dos seus objetivos. Esse é o apetite de risco — e ele precisa ser explícito.

Apetite de risco implícito é perigoso porque diferentes pessoas na organização têm tolerâncias diferentes. O fundador pode aceitar risco que o gestor financeiro não aceitaria. A área comercial pode assumir exposição que a área jurídica desconhece.

Quando o apetite é explícito — definido pela liderança, comunicado à organização, integrado aos critérios de decisão — as decisões cotidianas que criam exposição são tomadas dentro de um framework comum. Isso não elimina o risco. Reduz a variância de exposição não intencional.

ERM em grandes corporações tem estrutura formal: comitê de riscos, Chief Risk Officer, frameworks como COSO ERM ou ISO 31000, relatório integrado ao conselho.

PME não precisa dessa estrutura para gerenciar risco com seriedade. Precisa de três coisas essenciais.

Primeiro: um inventário honesto dos principais riscos — os cinco ou dez eventos que, se ocorrerem, teriam impacto significativo na capacidade de operar ou de alcançar os objetivos estratégicos.

Segundo: uma resposta definida para cada um — não plano de contingência detalhado para tudo, mas clareza sobre o que a empresa faria se cada risco prioritário se materializasse.

Terceiro: um responsável e uma cadência de revisão — alguém que monitora sinais de materialização e traz o tema para a liderança com regularidade suficiente para que a resposta seja possível antes que o problema seja inevitável.

Essa estrutura mínima já é gestão de riscos real. Tudo o mais é escala e sofisticação — que chegam quando o porte e a complexidade justificam.

O risco mais comum que encontramos em PMEs não é falta de análise de risco. É concentração de risco não nomeada.

Concentração em um cliente que representa 60% da receita. Dependência operacional do fundador para decisões que deveriam poder ser tomadas sem ele. Processo crítico que existe na cabeça de uma pessoa que pode sair. Dívida com estrutura que não sobrevive a uma queda de receita de 20%.

Cada um desses é risco real. Nenhum precisa de modelo sofisticado para ser identificado. Todos precisam de honestidade para ser nomeados — e de intenção para ser endereçados.

O trabalho começa pelo nome. Risco que tem nome pode ser gerenciado. Risco que não tem nome é vulnerabilidade aguardando o momento certo para aparecer.