“O texto em português da norma internacional ISO 31000:2009 e do ISO Guia 73:2009 traz a seguinte definição oficial de Risco – Risco é o efeito da incerteza nos objectivos.
Por efeito entende-se um desvio em relação ao esperado - positivo e/ou negativo.
Os objectivos podem ter diferentes aspectos - metas financeiras, de segurança e ambientais e podem aplicar-se em diferentes níveis - estratégico, em toda a organização, de projecto, de produto e de processo.
O risco é muitas vezes caracterizado pela referência aos eventos potenciais e às consequências, ou uma combinação destes e expresso em termos de uma combinação de consequências de um evento e a probabilidade de ocorrência associada.
A incerteza é o estado, mesmo que parcial, da deficiência das informações relacionadas a um evento, sua compreensão, conhecimento, a sua consequência ou a sua probabilidade91”.
“O processo de gestão de riscos auxilia a tomada de decisão, levando em consideração as incertezas e a possibilidade de circunstâncias ou eventos futuros.
88 Beja, Rui (2004) Risk Management – Gestão, Relato e Auditoria dos Riscos de Negócio, Áreas Editora, página 90 e 91.
89 Moreau, Franck (2003) Compreender e Gerir os Riscos, Bertrand Editora, página 227.
90 Moreau, Franck (2003) Compreender e Gerir os Riscos, Bertrand Editora, página 227 e 228.
91 http://www.blogger.com/feeds/5432916894862042050/posts/default, consultado em 22.Ago.2010.
31 O processo de avaliação de riscos é a parte da GRN que fornece um processo estruturado para identificar como os objectivos podem ser afectados, e analisa o risco em termos das consequências e suas probabilidades, antes de decidir se um tratamento adicional é requerido.
A ISO/IEC 31010:2009 auxilia as organizações na implementação dos princípios e directrizes de GRN fornecidas pela ISO 31000:2009 - GRN - princípios e directrizes, complementada pelo ISO Guia 73:2009 - GRN -vocabulário.
A aplicação de uma série de técnicas é introduzida na ISO/IEC 31010, com referências específicas a outras normas internacionais em que o conceito e a aplicação das técnicas são descritos mais detalhadamente. O processo de avaliação de riscos é uma actividade autónoma e deve ser plenamente integrado noutros componentes do processo de GRN.
Esta nova norma foi desenvolvida para aplicação tanto por principiantes na GRN como por profissionais experientes, ela é parte de uma estrutura integrada de normas de GRN, desenvolvidas com vista a proporcionar uma abordagem de melhores práticas para todas as organizações”92.
Como objectivos desta norma podem-se destacar no ”QSP 31000:2010 - Sistemas de Gestão de Riscos – Requisitos os seguintes:
Demonstrar aos stakeholders a capacidade de gerir riscos - de todos os tipos - de maneira eficaz e eficiente;
Demonstrar que estão à frente dos concorrentes na implementação das melhores práticas actuais - e internacionais - de GRN;
Utilizar o Sistema de GRN para dar suporte a todos os seus programas de compliance;
Ganhar vantagem competitiva no mercado;
Reduzir custos e agregar valor aos demais sistemas de gestão existentes na empresa93”.
92 http://www.blogger.com/feeds/5432916894862042050/posts/default, consultado em 22.Ago.2010.
93 http://www.blogger.com/feeds/5432916894862042050/posts/default, consultado em 22.Ago.2010.
Capítulo III
32 Na edição de Inside Deloitte ISO 31000: 200994 pode ler-se que esta norma fornece orientações sobre o estabelecimento e manutenção de um quadro de gestão formalizado de risco que podem ser adoptadas por qualquer organização - incluindo públicas, privadas, sem fins lucrativos e organizações governamentais.
No actual cenário de volatilidade financeira e dos negócios nenhuma organização está imune ao risco e como tal o mais acertado é geri-los de forma controlada, tentando estabelecer um quadro consistente de GRN que pode ser integrado em várias indústrias e regiões e adoptado por qualquer tipo de organização.
Novas definições O que isso significa
Definição de risco Risk é definido como o "efeito da incerteza sobre os objectivos". Esta definição é coerente com ASNZ 4360 ("a possibilidade de acontecer algo que terá impacto sobre os objectivos"), mas difere da percepção de que muitas pessoas têm de que os riscos são "riscos" ou "coisas que correm mal". Risco é um evento neutro, que pode ser positivo ou negativo.
A Framework Ao invés de simplesmente articular um processo de gestão de risco que as organizações podem adoptar, a ISO 31000 trata especificamente as práticas necessárias relativas à gestão da estrutura (concepção, implementação, monitorização e melhoria contínua). Como resultado, a norma prevê um sistema completo de gestão de risco em toda a empresa.
Gestão da Qualidade A ISO 31000 está alinhada com o Processo de Gestão da Qualidade (cláusula 4.6), de "Plan, Do, Check, Act ", reformulada como "Framework Design, implementação, monitorização e revisão e melhoria contínua da Framework”.
Responsabilidade A ISO 31000 coloca a tónica na importância de fazer a organização, bem como gestores individualmente - responsáveis por riscos e controlos do risco. Empenho e responsabilização, gestão de risco, são considerados critérios fundamentais de avaliação de desempenho em toda a organização.
Definição de prioridades Para ajudar as organizações a definir prioridades, a norma deixa claro que a gestão de risco em si deve criar valor. Como resultado, isso significa que os gestores devem garantir que os recursos consumidos pela gestão do risco não excedam o impacto potencial do risco.
33 A ISO 31000 está dividida em três secções:
Princípios e Directrizes;
Framework
Processo
Tratam especificamente as práticas necessárias relativas à gestão da estrutura - concepção, implementação, monitorização e melhoria contínua, alinhada com o processo de Gestão da Qualidade.
Gestão de riscos:
Figura 3 - Relationship between the 3 key clauses of the ISO 31000:2009 standard
Fonte: Traduzido de http://torquemanagement.newsweaver.co.uk/TorqueManagement/1dvfvtvm56c.
Capítulo III
34 O empenho e responsabilização da GRN são considerados os critérios fundamentais de avaliação de desempenho em toda a organização.
Para ajudar as organizações a definir prioridades, a norma deixa claro que a GRN em si deve criar valor, o que significa que deve ser garantido que os recursos consumidos pela gestão do risco não excedem o impacto potencial do risco.
A S&P publicou um artigo95 com as principais questões relacionadas com organizações não financeiras de todo o mundo e sobre a forma como estão a gerir os seus riscos. É dado destaque no artigo a esta nova norma, pela importância crescente que está a ser dado à GRN nos critérios de rating de crédito. A obtenção de crédito pelas empresas é mais um forte argumento que se irá somar aos benefícios e às justificativas para a adopção de um modelo de GR aprovado internacionalmente, como é o caso da ISO 31000.
Na classificação de risco S&P Ratings Services as empresas de crédito incluem avaliações das estratégias dos gestores, de eficácia e credibilidade, que vão ajudar a desenvolver no futuro pareceres sobre capacidade de crédito, completando a análise fundamental do negócio da empresa e o perfil de risco financeiro.
Iniciado em Setembro de 2008, alargou o âmbito a algumas empresas não financeiras para melhorar a revisão da capacidade dos gestores para identificar, monitorar e gerir os riscos - avaliação do risco empresarial ERM. Afinal a gestão e a avaliação de credibilidade sempre foram importantes na análise de crédito, tratando-se apenas de alargar o âmbito para verificar a credibilidade da gestão, isto é, se as suas acções são coerentes com os seus planos e objectivos, e de como ela afecta o crédito, o stress financeiro ou os desafios estratégicos, pois uma vez perdida a credibilidade torna-se difícil de a voltar a recuperar!
Existindo actualmente uma série de normas para GRN, qual será a necessidade de adoptar a norma ISO 31000?
Como já vimos a criação de padrões é um elemento fundamental para desenvolver uma linguagem comum, sistemas de gestão, normas e procedimentos para orientar as organizações como um todo e disseminar a cultura de GRN.
A ideia subjacente a esta norma é usá-la como referência de todos os padrões que envolvam a GRN, ou seja, ser a norma das normas para uma GRN integrada, tanto no que se refere a
95 Traduzido de http://www.marsh.nl/documents/nieuwsenmedia/Rapport_SP_ERM.pdf, J Dreyer, Steven “Standard & Poor's Looks Further Into How Nonfinancial Companies Manage Risk”, consultado em 24 Jun.2010.
35 riscos ambientais, operacionais ou financeiros, de segurança da informação, que qualquer tipo de organização em qualquer parte do mundo possa sentir e querer gerir.
A norma recomenda que as organizações desenvolvam, implementem e melhorem continuamente uma estrutura cuja finalidade é integrar o processo para gerir os riscos na governação, gestão, políticas, valores e cultura e em toda a organização.
Como não é certificável a forma como cada organização a vai moldar ao seu próprio caso pode ser demorada, mas espera-se que com resultados muito satisfatórios.
Já estão pensadas novas normas desta série para a complementarem, também sem o objectivo da certificação, como é o caso da norma ISO 31010: Risk Management – Risk Assessment Techniques, que se destina a fornecer orientações sobre a definição e aplicação de técnicas e métodos para avaliação de riscos, com periodicidade de revisão anual96.
“A norma 31010 sugere que se utilize para questões de impacto não somente a componente financeira, mas também as de imagem, de recursos humanos, e as relativas à área operacional97”.
Figura 4 - ISO 31000
Fonte: http://www.elogroup.com.br/download/Apresenta%C3%A7ao%20IBRACON%20-%20Gestao
%20de%20Risco%20e%20a%20ISO%2031000.pdf
96 Edição 56 da revista Gestão de riscos da Brasiliano & Associados, Junho 2010, página 26.
97 Edição 56 da revista Gestão de riscos da Brasiliano & Associados, Junho 2010, página 28.
Capítulo III
36 Não é uma norma de substituição de nenhuma das existentes.
A ISO/IEC 27005 faz parte do conjunto de normas da série de 27M, sobre o sistema de gestão de SI, e apresenta as melhores práticas para SI.
A ISO 31000 é mais genérica contemplando todos os sectores, e a tendência é depois rever todas em conjunto para as alinhar.
Relativamente às orientações do COSO ERM no que se refere aos princípios de GRN e processos, a principal diferença com a norma ISO 31000 é que o seu conteúdo se apresenta de uma forma mais sucinta, oferecendo orientações genéricas para GRN, determinando princípios, uma framework de trabalho e um processo para gestão dos diversos tipos de risco.
A norma apresenta a seguinte estrutura:
Introdução 1. Âmbito
2. Termos e Definições 3. Princípios
4. Estrutura 5. Processo
6. Anexos: A Atributos de uma gestão de riscos avançada
“O processo de gestão de riscos contido na ISO 31000 segue o padrão australiano e neozelandês AS/NZS 4360, que consiste em:
Comunicação e consulta;
Estabelecimento do contexto;
Avaliação do risco contendo as etapas de identificação, análise e avaliação;
Tratamento do risco;
Supervisão e revisão;
Benefícios.”
“Quando implementada e mantida em conformidade com a norma internacional ISO 31000, a GRN possibilita à organização:
Encorajar a gestão pró-activa ao invés da reactiva;
Estar ciente da necessidade de identificar e tratar riscos em toda a organização;
37
Aperfeiçoar a identificação de oportunidade e ameaças;
Estar em conformidade com requerimentos legais e de regulação e normas internacionais;
Aperfeiçoar os relatórios financeiros;
Aperfeiçoar a governação;
Melhorar a confiança dos stakeholders;
Estabelecer uma base confiável para o planeamento e a tomada de decisão;
Aperfeiçoar os controlos;
Alocar e utilizar os recursos para o tratamento dos riscos de maneira eficaz;
Melhorar a efectividade e a eficiência operacional;
Melhorar a gestão de incidentes e a sua prevenção;
Minimizar as perdas.”
Os problemas e desafios relativos à norma ISO 31000 estão relacionados directamente aos seus princípios:
Criação de valor;
Ser parte integrante dos processos organizacionais;
Ser levada em conta na tomada de decisão;
Ser sistemática, estruturada e oportuna;
Ser baseada na melhor informação disponível;
Ser adaptável;
Levar em consideração factores humanos e culturais;
Ser transparente e inclusiva;
Ser dinâmica, interactiva e dar resposta às mudanças;
Facilitar a melhoria contínua da organização.
O que se pretende no fundo com este tipo de norma é melhorar a identificação de oportunidades e ameaças, a conformidade com requisitos legais/reguladores e normas internacionais, as demonstrações financeiras e a governação.
Capítulo III
38
“O maior desafio enfrentado pela ISO 31000 está em estabelecer uma terminologia comum, assim como padronizar as melhores práticas e frameworks para que organizações possam implementar práticas de gestão de riscos em seus processos98”.
“A certificadora internacional GL acaba de conceder ao Instituto Biocor99 o primeiro certificado do mundo derivado da nova norma ISO 31000 de Gestão de Riscos.
A conquista da certificação em tempo recorde pelo Biocor é atribuída à elevada maturidade dos sistemas de gestão já existentes na instituição, que já é certificada nos padrões ISO 9001 (Qualidade, desde 1997), ISO 14001 (Gestão Ambiental, desde 2008) e OHSAS 18001 (Segurança e Saúde no Trabalho, também desde 2008), além de possuir a acreditação no
“nível 3 com Excelência” da ONA, desde 2005, e a acreditação internacional NIAHO, obtida em 2009100”. Como se pode ler no site desta empresa “para o fundador e director geral do Instituto Biocor, Dr. Vrandecic, Mario a GRN em nossa instituição é desenvolvida, implementada e mantida de forma a permitir a sustentabilidade do Biocor, protegendo nossos clientes/pacientes, a organização, os colaboradores, o corpo clínico, os bens, os recursos e a sua imagem”. O Sistema de GRN do Biocor abrange todos os tipos de riscos enfrentados pela instituição, os quais foram agrupados em cinco grandes categorias: riscos ao paciente, ambientais, ocupacionais, de responsabilidade civil e financeiros.
“Os riscos somos nós. Eles foram fundamentais para a conquista dessa importante e inédita certificação, ampliando e consolidando a incorporação da GRN na cultura da nossa instituição, tanto no discurso como, principalmente, no nosso dia-a-dia e em todos os processos e actividades que realizamos”, orgulha-se o Dr. Vrandecic, que afirma ainda “o trabalho em equipa na nossa instituição não é uma opção, mas sim uma obrigação”101.
O certificado pode ser consultado em anexo a este trabalho102.
“A norma como já se disse não é destinada a certificação, mas o Instituto Biocor por razões operacionais e estratégicas, manifestou interesse em se certificar apoiando-se totalmente na nova referência mundial em GRN, que é a ISO 31000.
98 http://www.softexpert.com.br/norma-iso31000.php, consultado em 20 Jul.2010.
99 O Biocor Instituto é hoje um complexo hospitalar de referência a nível nacional e internacional, que prima pela qualidade total de seus serviços, em http://www.biocor.com.br/, consultado em 27.Ago.2010.
100 http://www.qsp.org.br/biocor.shtml, consultado a 27.Ago.2010.
101 http://www.biocor.com.br/novo/detalhes.php?id=17, consultado em 27.Ago.2010.
102 http://www.biocor.com.br/novo/detalhes.php?id=17, consultado em 27.Ago.2010.
39 O desafio era como utilizar uma norma de directrizes ou recomendações para isso e a solução foi criar uma norma de referência que fosse auditável e, consequentemente, certificável, integralmente baseada na ISO 31000, tendo surgido a QSP 31000:2010, que não pode ser comercializada nem distribuída.
Fundamentalmente as recomendações foram transformadas em pontos a auditar e o framework convertido num sistema de gestão de riscos, tendo sido acrescentados os requisitos da documentação e da AI103“.
3.4 ISO Guide 73 – Termos e Definições da