Todos os negócios e operações empresárias estão sujeitas a lidar com um ambiente rodeado de incertezas e riscos das mais diversas naturezas, sendo papel fundamental da direção e administração da empresa lidar com os riscos e administrá-los da maneira mais adequada possível, criando-se assim um sistema de gerenciamento de riscos efetivo.
Neste contexto, entende-se que o risco é a possibilidade de algo não dar certo, sendo encarado no ambiente corporativo por meio da quantificação e qualificação das incertezas, devendo ser gerenciados e analisados para subsidiar a tomada de decisão dos administradores e da direção da empresa.
Dada sua importância no cenário atual, o Instituto Brasileiro de Governança Corporativa (IBGC) publicou um manual para o gerenciamento de riscos e o categorizou como um sistema intrínseco ao planejamento estratégico de negócios, composto por processos contínuos e estruturados que sejam desenhados para identificar e responder a eventos que possam afetar os objetivos da organização e por uma estrutura de governança corporativa responsável por manter o sistema vivo e em funcionamento[1].
Não obstante, podemos constatar que a gestão adequada de riscos também faz parte das disposições aplicáveis aos programas de integridade corporativos segundo as diretrizes da Lei Anticorrupção[2], além de ser mencionada como critério objetivo no Formulário de Referência (FRE) de empresas de capital aberto (ICVM 480/09) e possuir uma obrigatoriedade de aplicação às Instituições Financeiras por meio da Resolução BACEN nº 4.745/2019.
Responsabilidades e Governança da gestão de risco
De forma genérica, podemos afirmar que o Conselho de Administração da Companhia é o principal responsável por traçar os objetivos estratégicos, o perfil e apetite ao risco da empresa e direcionar as ações corporativas segundo seu objetivo econômico, identidade corporativa e cultura da empresa.
Por definição e caracterização, a Lei das Sociedades por Ações (Lei nº 6.404/76) estabelece como competência do Conselho de Administração fixar a orientação geral dos negócios da Companhia, fiscalizar a gestão dos diretores e escolher e destituir os auditores independentes, tornando-se assim já evidente que, sob o aspecto legal, o Conselho de Administração é o principal responsável pelo gerenciamento de riscos e definição de estratégias da empresa.
Entretanto, esta responsabilidade não fica restrita ao Conselho de Administração, existindo algumas modalidades de gestão de risco que podem ser adotadas pelas empresas. Dentre as existentes, cabe destacar as metodologias ISSO 31000 e COSO (Committee of Sponsoring Organizations).
Podemos ressaltar ainda o modelo das três linhas de defesa que foi adaptado pelo IBGC da IIA (The Institute of internal Auditors) que prevê como uma primeira linha de defesa os controles da Administração, como segunda linha de defesa a criação de setores e áreas específicas para identificação de riscos (p. ex.: Controle Financeiro, Segurança, Qualidade, Inspeção, etc) e como terceira linha de defesa a criação de uma Auditoria interna para validação de procedimentos e medidas.
Classificação de riscos
Naturalmente, quando se tem por objetivo controlar ou gerenciar qualquer cenário, é necessário que seja realizada uma classificação quanto à origem ou medidas necessárias para contenção do problema.
Por ser algo intrínseco à atividade desempenhada pela empresa e sujeito às volatilidades e oscilações do mercado em que está inserida, os riscos são classificados e agrupados da forma mais adequada à realidade de cada empresa, mas podemos classificá-los incialmente em dois grandes grupos: Os riscos da estratégia e os riscos emergentes.
Os riscos da estratégia são aqueles originados pelas decisões administrativas da empresa, devendo ser identificados e previstos na elaboração do planejamento estratégico, tendo em vista as possíveis movimentações e reações do mercado e stakeholders. Por sua natureza preventiva e previsível, é possível se estabelecer um plano de ação para reduzir a probabilidade de ocorrência do evento de risco.
Como um exemplo desta espécie de risco podemos citar a gestão de talentos, a falta de liquidez, as reações de mercado, desenvolvimento da concorrência, desenvolvimento tecnológico/de mercado e as reações internas da empresa.
Os riscos emergentes, por sua vez, são externos às ações da empresa e dividem-se em duas espécies: Os riscos emergentes previsíveis e os não previsíveis.
Os previsíveis são aqueles originados no ambiente externo da empresa que, em certa maneira, não surgem de forma inesperada, ou seja, se bem estudados, podem ser antecipados e até utilizados em favor da empresa, como por exemplo ações de governo, inovações tecnológicas, comportamento de mercado e de consumidores e tendências sociais.
Os não previsíveis são aqueles que não podem ser previstos ou evitados em virtude de seus efeitos e magnitudes, atingindo não somente a atividade econômica da empresa em si, mas afetando todo o conjunto social na qual ela está inserida. Recentemente vivemos um exemplo de risco emergente não previsível com a pandemia do Covid-19, mas podemos citar como exemplo também a ocorrência de desastres naturais.
Não obstante, cabe realizar aqui uma distinção também sobre risco inerente e risco residual, sendo o primeiro caracterizado pelos riscos em que a empresa ainda pode tomar alguma ação para preveni-lo e o segundo como a exposição aos riscos após a tomada de todas as ações gerenciais possíveis.
Medidas práticas
Sob um olhar mais prático, recomenda-se a adoção de algumas medidas e procedimentos que os gestores e conselheiros das empresas podem tomar para tornar mais eficiente a identificação e a gestão dos riscos:
- Elaboração e implementação de um planejamento estratégico que discorra sobre os riscos inerentes à atividade da empresa;
- Criar comitês e procedimentos internos que, além de verificar constantemente a existência e a ameaça dos riscos já existentes, identifiquem não só o risco, mas também sua forma de tratamento ou amenização;
- Estar atento aos movimentos de mercado e governamentais para estar sempre atento aos riscos externos da empresa;
- Desenvolver um programa de governança corporativa descentralizada e independente que possua autonomia para apontar os riscos estruturais, administrativos e operacionais da empresa sem sofrer qualquer tipo de retaliação; e
- Avaliar periodicamente os planejamentos elaborados, os comitês criados e a implementação e ação das medidas a serem adotadas.
Por fim, podemos constatar que a gestão de riscos corporativos vem deixando de ser um diferencial competitivo e vem tornando-se um requisito essencial para o desenvolvimento da atividade econômica pretendida, razão pela qual se faz extremamente necessário a análise de exposição de riscos e a adoção de medidas preventivas e corretivas que diminuam a exposição da empresa a estes riscos.
Nossa equipe de Direito Societário está à disposição para quaisquer esclarecimentos adicionais que sejam necessários.
Escrito por: Ricardo Ferle
[1] Gerenciamento de riscos corporativos: evolução em governança e estratégia / Instituto Brasileiro de Governança Corporativa. São Paulo, SP: IBGC, 2017, p.14
[2] Artigo 57, inciso V da Lei nº 12.846/13 (Decreto nº 11.129/22).