Gestão de Riscos e Controles

Fonte: Modelo das Três Linhas - IIA (The Institute of Internal Auditors), 2020. Adaptação Serpro.

1ª Linha (Gestão e Operação): São as pessoas que fazem o trabalho no dia a dia. Elas identificam os riscos e aplicam os controles ali mesmo, na fonte. 

2ª Linha (Monitoramento): Uma área especializada e responsável pela gestão de Controles e Riscos, que cria as regras, treina os times e confere se todos estão seguindo as orientações previstas na metodologia. 

3ª Linha (Auditoria): Funciona como um juiz independente, testando se as outras duas linhas estão realmente funcionando. 

____________________________________________________________

 2. O que estamos vigiando? (Universo de Riscos)

     A área de Gestão de Riscos e Controles do Serpro atua junto a 1ª linha no monitoramento de tudo o que pode gerar incerteza para o futuro da empresa, dividido em três dimensões: 

 

. Riscos Operacionais: Falhas em sistemas, processos internos ou erros humanos que podem parar um serviço. 

. Riscos de Projetos Estratégicos: Problemas que podem atrasar a entrega de novas soluções tecnológicas. 

. Riscos Estratégicos: Ameaças ao futuro e aos grandes objetivos do Serpro. 

     Trimestralmente, todos os riscos estratégicos, os riscos de projetos estratégicos e os riscos operacionais considerados críticos (classificados com nível de risco atual muito alto ou alto) são informados à alta liderança para apoiar a tomada de decisão.  

____________________________________________________________

.   Integração com a estratégia e continuidade de negócios 

     A Gestão de Riscos está integrada ao Planejamento Estratégico, já que os riscos estratégicos são diretamente vinculados aos Objetivos Estratégicos e monitorados pela Diretoria Executiva e Conselho de Administração. E os operacionais críticos, que podem paralisar operações essenciais, tem resiliência garantida pelos Planos de Continuidade de Negócios (PCN).  

     A Gestão de Riscos não é uma atividade isolada. Ela está profundamente integrada a diversos instrumentos corporativos. 

• Planejamento Estratégico: Os riscos estratégicos são diretamente vinculados aos Objetivos Estratégicos e monitorados pela Diretoria Executiva e Conselho de Administração. 

• Continuidade de Negócios: Riscos críticos que podem paralisar operações essenciais estão vinculados aos Planos de Continuidade de Negócios (PCN), garantindo resiliência. 

• ODS (Objetivos de Desenvolvimento Sustentável): A gestão de riscos considera os 17 ODS da ONU, vinculando riscos à agenda ESG (Ambiental, Social e Governança) e à sustentabilidade do negócio. 

____________________________________________________________

3. Diretrizes de Riscos no Serpro 

     As diretrizes para gestão de riscos corporativos estão em dois documentos fundamentais: a Política, que estabelece a intenção, os princípios, as diretrizes e as responsabilidades da alta administração em relação aos riscos e a Metodologia, que traduz a política em etapas práticas, ferramentas e técnicas padronizadas para gerenciar os riscos.  

     Os dois documentos servem para orientar o atingimento dos objetivos e proteger o Serpro de ameaças inesperadas, garantindo que todos saibam como agir diante de incertezas. 

     Para conhecer o conteúdo completo da Política de Gestão de Riscos do Serpro e Metodologia de Gestão de Riscos do Serpro é só clicar no link do PDF que está no final desta página.

____________________________________________________________

4. Ciclo de Gestão dos Riscos 

     Seguimos um ciclo de 10 etapas para garantir que nada passe despercebido, incluindo a definição, análise, avaliação e priorização para o monitoramento dos riscos, a implementação prática de controles e a verificação da efetividade deles, para neutralizar a ameaça: 

 A figura apresenta as etapas do ciclo de gestão dos riscos, sendo: 

 1 - Definição do Escopo e Contexto;  2 - Identificação e Análise do Risco;  3 - Avaliação dos Riscos e Verificação dos Controles;   4 - Priorização para Tratamento dos Riscos;  5 - Definição dos Controles de Respostas aos Riscos ;   6 - Validação dos Resultados ; 7 - Registro, Relato e Contingência ; 8 - Comunicação e Consulta ; 9 - Análise Crítica e Monitoramento , e 10 - Implementação de Controles. 

____________________________________________________________

5.Papeis e Responsabilidades 

     Para o sucesso do processo de gestão de riscos e controles, papéis claros foram definidos pela metodologia: 

 

     O gestor do risco é o responsável da Unidade, quem deve identificar, registrar e garantir o monitoramento e tratamento do risco. Os agentes de risco atuam em apoio direto ao gestor e colaboram para o registro nas ferramentas corporativas do andamento dos riscos e controles da unidade. Os especialistas da tipologia auxiliam a avaliação técnica do risco, emitindo um posicionamento acerca do apetite, impacto e controles. O responsável pelos controles é quem implementa as ações necessárias para evitar que o risco se materialize. A área de gestão dos riscos atua supervisionando a evolução das informações, monitorando o andamento dos riscos e controles e aumentando a maturidade desse assunto no Serpro.  

____________________________________________________________

6. Apetite a Riscos

     O Apetite a Riscos, definido pelo Conselho de Administração, é a tradução operacional da postura do Serpro diante das incertezas. Ele define o nível de exposição que a empresa está disposta a aceitar. 

     O Apetite é diferenciado para Riscos Negativos (ameaças) e Riscos Positivos (oportunidades). 

____________________________________________________________

. Matriz para Riscos Negativos (Ameaças) 

      Para ameaças, quanto maior o potencial de perda, menor é o apetite da organização. 

      A Matriz de Calor é uma representação gráfica, com 25 posições, que objetiva enquadrar cada um dos riscos conforme o ponto de intersecção da probabilidade e do impacto. As cores da matriz vão identificar a prioridade que será dada ao tratamento do risco. Na matriz de calor de riscos negativos, os números maiores estão na parte superior direita com a coloração vermelho, pois representam maior probabilidade e impacto da ocorrência do evento, enquanto os riscos com menor potencial estão com a pontuação mais baixa, do lado inferior esquerdo e na coloração verde.  

      A escala de avaliação da probabilidade e do impacto varia de “muito baixo” até “muito alto” e, ao observar o enquadramento dos riscos nessa matriz, o Serpro evita perder tempo com problemas pequenos e foca energia no que pode comprometer o atingimento dos seus objetivos. Ou seja, riscos nas zonas verde e azul (pontuação 1 a 9) são apenas monitorados, enquanto os riscos posicionados nas zonas laranja e vermelha (pontuação 14 a 25) são riscos considerados críticos e que exigem atuação. 

____________________________________________________________

. Matriz para Riscos Positivos (Oportunidades) 

     Para oportunidades, a lógica é inversa: quanto maior o potencial de ganho, maior é o apetite para aproveitá-la. 

____________________________________________________________

. Conceito de Exposição a Riscos

     A Gestão visa manter a exposição dentro dos limites do Apetite definido. O Apetite é definido pelo Conselho de Administração, o Apetite a Risco é a tradução operacional da postura do Serpro diante das incertezas. Ele define o nível de exposição que a empresa está disposta a aceitar. A gestão dos riscos tem por objetivo mantê-los dentro dos limites do Apetite definido. A figura abaixo ilustra o comportamento da exposição ao risco ao longo do tempo em relação aos limites: em que há necessidade de atuação da gestão, sempre que o risco estiver acima ou abaixo da faixa de apetite a risco definido como aceitável. 

____________________________________________________________

7.Compromisso com o Futuro (ESG e ODS)

     No Serpro, a gestão de riscos não olha apenas para o lucro ou para a tecnologia. As análises também observam a vinculação com os Objetivos de Desenvolvimento Sustentável da Organização das Nações Unidas e os pilares de ESG (impacto ambiental, social e em governança). Isso significa que gerir riscos no Serpro também é cuidar do Meio Ambiente, da Ética e da Responsabilidade Social.