A matriz de risco aparece em praticamente todas as apresentações destinadas ao conselho de administração. É algo familiar. É organizada. Aquela grelha com as cores vermelho, amarelo e verde dá a impressão de que o risco é compreendido e cuidadosamente categorizado. Para muitos conselhos de administração, isso transmite uma sensação de segurança.
O problema é que essa sensação de segurança desaparece assim que se começa a falar de dinheiro a sério.
Imagine que está a decidir como gastar um orçamento de risco de 500 000 dólares. Deve modernizar os sistemas de extinção de incêndios ou investir em novo software de cibersegurança? No mapa de risco, ambos os riscos situam-se bem na zona vermelha. Parecem igualmente urgentes. Mas essa representação visual não indica qual deles exerce maior pressão sobre os lucros, nem onde é que esse meio milhão de dólares reduz efetivamente a exposição de forma significativa.
Nessa altura, a cor deixa de ser útil.
Se o risco deve orientar as decisões financeiras, tem de ser expresso em termos financeiros. Os conselhos de administração não debatem nuances de vermelho. Debatem dólares. E para isso não é necessário recorrer a matemática avançada nem a tecnologia sofisticada. É necessário ir além da cor e centrar-se nos números.
Quando o mapa de calor deixa de funcionar
As avaliações qualitativas de risco baseiam-se em classificações como «Elevado», «Médio» e «Baixo». Estas classificações são, por definição, subjetivas. Refletem o grau de preocupação de uma organização em relação a um risco, e não o impacto financeiro desse risco.
Há outra questão que é mais difícil de ignorar: não se pode fazer cálculos com cores.
Não é possível combinar de forma significativa um risco reputacional «Médio» com um risco operacional «Elevado» e chegar a alguma conclusão útil. O resultado é uma lista de preocupações que não podem ser agregadas, comparadas ou hierarquizadas de forma a apoiar as decisões da direção.
A liderança não precisa de avaliações isoladas. Precisa de uma visão global de toda a empresa. Isso requer uma linguagem que permita a análise matemática, a comparação e a avaliação de compromissos. As cores não conseguem fazer isso. Os números, sim.
Três números que mudam o rumo da conversa
Quantificar o risco não significa complicar excessivamente o processo. No fundo, resume-se a responder a três perguntas práticas para cada cenário de risco:
- Frequência: Com que frequência este evento ocorre anualmente?
- Perda média: Se o risco se concretizar, qual é a perda média num determinado período? Isto reflete o atrito habitual que o risco introduz nas operações.
- Pior cenário plausível: Se o risco se concretizar, qual é a perda máxima esperada num determinado nível de confiança? Trata-se do cenário que ameaça os resultados, a liquidez ou a viabilidade a longo prazo.
Assim que esses três dados estiverem disponíveis, o risco deixa de ser algo abstrato. Torna-se algo que se pode modelar, comparar e simular.
Não deixe que a busca pela perfeição nos dados impeça o progresso
Um dos maiores obstáculos à quantificação do risco é a convicção de que os dados têm de ser perfeitos antes de se poder iniciar a modelização. Essa convicção impede mais iniciativas do que qualquer limitação técnica.
Estimativas bem calibradas, feitas por especialistas na matéria, são suficientes para dar início ao processo. Uma estimativa como «uma vez a cada três anos» é matematicamente útil. Pode ser testada, ajustada e simulada. Uma caixa de seleção com a indicação «Improbável» não o permite.
As estimativas dão lugar à discussão e ao aperfeiçoamento. Os rótulos impedem isso.
Esperar por dados perfeitos apenas garante que as decisões continuem a ser tomadas sem qualquer perceção da incerteza. Hoje em dia, modelar informação imperfeita é muito mais valioso do que esperar indefinidamente por uma certeza que nunca chega.
Encarar o risco com clareza através de uma perspetiva quantitativa
Depois de quantificados os riscos, a visualização torna-se mais significativa. Em vez de encaixar tudo numa grelha, os riscos podem ser representados num gráfico que compare a frequência e a gravidade.
Isto revela imediatamente diferenças que o mapa de calor tradicional oculta.
Os riscos de elevada frequência e baixa gravidade representam um desgaste constante do orçamento. A melhor forma de lidar com estes riscos de erosão é através de melhorias nos processos, automatização e controlos mais rigorosos. O objetivo é reduzir os custos contínuos da atividade empresarial.
Os riscos de baixa frequência e elevada gravidade revelam uma realidade muito diferente. Trata-se de riscos de solvência. Não ocorrem com frequência, mas, quando ocorrem, podem sobrecarregar a organização. Estas exposições exigem seguros, reservas de capital e planeamento financeiro, em vez de ajustes operacionais.
Um mapa de calor padrão apresenta ambos os cenários a vermelho e trata-os como se fossem intercambiáveis. Mas não são. A perda crónica e a ameaça existencial exigem respostas diferentes. As análises quantitativas tornam essa distinção inevitável.
Criação de uma verdadeira carteira de riscos empresariais
A verdadeira força da quantificação revela-se quando os riscos são agregados a nível de toda a empresa.
Consideremos uma empresa hipotética com duas divisões:
· O grupo de produção lida com perturbações na cadeia de abastecimento e incidentes de segurança no local de trabalho. Estes eventos ocorrem regularmente e tendem a acarretar perdas moderadas.
· A divisão tecnológica enfrenta incidentes cibernéticos e roubo de propriedade intelectual, que ocorrem com menos frequência, mas podem ter consequências catastróficas.
Num mapa de calor qualitativo, ambas as divisões podem parecer igualmente arriscadas. Isso cria uma falsa equivalência.
Quando os riscos são quantificados, a liderança pode comparar a exposição mais pessimista plausível de cada divisão e compreender como esses riscos se refletem no balanço. Pode avaliar as vantagens e desvantagens, analisar a concentração de riscos e decidir em que áreas o investimento tem, de facto, impacto nos resultados.
Isto dá resposta às questões que preocupam os executivos:
- Otimização do ROI:Onde é que cada dólar adicional investido em controlos preventivos proporciona a maior redução do risco?
- Rendibilidade ajustada ao risco:Quais são as unidades de negócio que geram uma exposição excessiva em relação ao lucro?
- Adequação financeira:Quanto capital deve ser mantido em reserva para fazer face a um choque combinado?
Essas perguntas não podem ser respondidas com cores.
Por que é que isto é ainda mais importante num mundo impulsionado pela IA
À medida que as organizações procuram aplicar a IA em todas as áreas de GRC, a qualidade dos dados de risco subjacentes torna-se fundamental.
Os modelos de IA funcionam com dados estruturados e probabilidades. Não interpretam bem o sentimento. Um registo de riscos baseado em rótulos qualitativos é difícil de ser aprendido pelas máquinas. Um registo baseado em frequências e estimativas de perdas é imediatamente utilizável.
Com dados quantificados, as ferramentas de IA podem analisar perdas históricas, detetar padrões emergentes e realizar simulações a uma escala que os seres humanos não conseguem atingir. Sem esses dados, anos de caixas vermelhas e amarelas oferecem poucas informações úteis.
A quantificação fornece o combustível. A IA fornece o motor. Os mapas de calor não fornecem nenhum dos dois.
Introdução
O maior obstáculo a esta mudança não é de natureza técnica. É de natureza cultural.
As organizações já dispõem do conhecimento de que necessitam. Têm dados. Contam com profissionais experientes. Mesmo estimativas aproximadas melhoram a visibilidade e a qualidade das decisões, em comparação com representações visuais estáticas.
Não se trata de alcançar a perfeição da noite para o dia. Trata-se de proporcionar à liderança uma visão mais clara do que a que tinham anteriormente.
Quando as equipas de gestão de risco fazem esta transição, o seu papel altera-se. Deixam de apresentar relatórios sobre o estado da situação e passam a contribuir para as decisões relativas ao capital. Os conselhos de administração não precisam de mais cores. Precisam de ferramentas que apoiem o discernimento, as escolhas e a responsabilização.
A quantificação do risco é uma das formas mais claras de alcançar esse objetivo.
Para mais informações, visite o site da Archer em www.archerirm.come descubra como as organizações estão a transformar os dados sobre riscos numa vantagem competitiva.
Perguntas frequentes
O que é a quantificação do risco e por que razão é importante para a gestão de risco empresarial?
A quantificação do risco é o processo de atribuir valores numéricos — normalmente o impacto financeiro e a probabilidade — a cenários de risco, para que as organizações possam medir e comparar a sua exposição. Ao contrário de métodos qualitativos, como os mapas de calor, a quantificação do risco permite que os responsáveis avaliem as compensações, priorizem investimentos e compreendam o risco total da empresa em termos monetários. Isto é fundamental para a tomada de decisões, uma vez que os conselhos de administração e os executivos alocam capital com base em resultados financeiros, e não em classificações subjetivas como «alto» ou «médio».
Por que razão os mapas de risco não são suficientes para a tomada de decisões financeiras?
Os mapas de risco baseiam-se em categorias subjetivas, como vermelho, amarelo e verde, que não se traduzem num impacto financeiro mensurável.
Embora proporcionem uma visão geral simples, não permitem efetuar cálculos, agregações ou comparações diretas entre riscos. Isto dificulta às organizações determinar onde investir recursos ou de que forma os riscos afetam os resultados. Para a tomada de decisões financeiras, os riscos devem ser expressos em termos quantitativos, tais como frequência e perda potencial.
Como é que as organizações podem começar a quantificar o risco sem dispor de dados perfeitos?
As organizações podem iniciar a quantificação de riscos recorrendo a estimativas fundamentadas de especialistas na matéria, em vez de esperar por dados perfeitos.
Ao definirem três parâmetros-chave — frequência (com que frequência um risco ocorre), perda média e perda credível no pior cenário possível —, as equipas podem começar imediatamente a construir modelos de risco úteis. Estas estimativas podem ser aperfeiçoadas ao longo do tempo, permitindo melhores análises, simulações e tomada de decisões. Começar com dados imperfeitos é muito mais eficaz do que basear-se em classificações qualitativas que não podem ser medidas nem melhoradas.
