Fontes de Riscos ESG
Décio Luís Schons, CIEAI, CEGRC, CIGR, CISI
General-de-Exército da Reserva, é Vice-Presidente de Operações de Consultoria da empresa Brasiliano INTERISK
Novembro | 2022
A finalidade de qualquer sistema de gerenciamento de riscos será sempre a prevenção ou, caso esta não seja possível, a mitigação dos riscos para o negócio, seja ele qual for.
Uma maneira adequada para iniciar um trabalho de gerenciamento de riscos ESG será pela determinação dos temas relevantes para a organização, mediante a construção da matriz de dupla materialidade ou relevância, assunto que já debatemos neste mesmo espaço em outra ocasião.
Após terem sido compreendidos perfeitamente os aspectos macro da organização, quais sejam a sua política, as diferentes estratégias e seus correspondentes objetivos estratégicos, parte-se para a identificação dos riscos estratégicos, aqueles que, uma vez materializados, ameaçam o atingimento dos objetivos estratégicos da empresa.
A origem dos Riscos
Uma análise aprofundada revelará que os riscos estratégicos decorrem, normalmente, de outros riscos menos relevantes, muitas vezes combinados. Na dissecação da cadeia de riscos, chegaremos às chamadas fontes de risco ou fatores de risco, isto é, às próprias origens dos riscos. É fundamental para o correto gerenciamento de riscos que as fontes dos riscos sejam determinadas com precisão, bem como os eventos ou exposições que possam vir a transformá-las em riscos.
Um exemplo muito conhecido é o que trata do buraco sem sinalização deixado na rua por uma empresa que faz a manutenção da rede de esgotos. O buraco em si não constitui um risco – é apenas a fonte do risco, pois para gerar dano é necessário que haja um evento ou exposição. Esse evento pode ser uma criança se deslocando sem prestar atenção, que pode cair no buraco e vir a se machucar. Pode ser também um carro passando à noite por aquele trecho e sofrendo um acidente.
Outro exemplo é o phishing, a conhecida técnica utilizada pelos criminosos cibernéticos. O fato de a pessoa receber a mensagem maliciosa ainda não é um risco, mas apenas a fonte de risco, pois a mensagem em si é inofensiva. Ela poderá permanecer na caixa de entrada por muito tempo sem causar transtornos. O problema começa quando ocorre o evento ou exposição: o operador pouco cuidadoso, curioso ou dotado de boa-fé que decide clicar no link e que propicia, a partir dali, a infecção do computador e da rede a que está conectado, com todas as consequências que conhecemos muito bem.
Que fazer depois de determinar as fontes de risco?
A determinação precisa das fontes de risco torna-se relevante para que se examinem com cuidado todas as hipóteses de os riscos se materializarem. Algumas fontes de risco são comuns a diversos riscos e é intuitivo que, quanto maior o número de riscos originados da mesma fonte de risco, mais relevante ela será. O perigo de tomarem-se riscos por fontes de risco é que algumas destas últimas possam nos passar despercebidas. Daí a necessidade de uma análise cuidadosa desses aspectos.
Após detida análise e identificação das fontes de risco, o próximo passo será o estabelecimento de controles, de modo a evitar que, surgindo o evento ou a exposição, o risco venha a se caracterizar.
No caso do buraco na rua, poderíamos pensar em um alambrado para impedir o acesso de pessoas ou viaturas às proximidades da fossa. Placas alertando para a existência do perigo constituem outro controle sobre essa mesma fonte de risco.
Já no caso do phishing, o controle mais eficaz será certamente a prevenção, mediante a orientação e capacitação da força de trabalho da empresa sobre o significado dos riscos cibernéticos e da necessidade de todos prestarem atenção a qualquer mensagem recebida via internet, mesmo àquelas provindas das fontes mais confiáveis.
Fontes de riscos ESG
As fontes de riscos ESG serão determinadas com o emprego da mesma metodologia. Tomemos como exemplo um risco ambiental bastante comum: o derrame de efluentes líquidos gerados durante o processo produtivo. Esse é um risco de primeira ordem e que pode dar origem a diversos outros: poluição ambiental, passando pelas multas aplicadas pelo órgão ambiental, pelos danos à imagem da empresa, pela cassação da licença ambiental e chegando até à falência da empresa. As possíveis fontes desse risco de primeira ordem seriam, por exemplo: a produção de efluentes químicos poluentes pela empresa; a falta de monitoramento ambiental; a inexistência de tanques de retenção de efluentes; a falta de capacitação das equipes de monitoramento; o uso de equipamentos obsoletos; a previsão orçamentária insuficiente; e assim por diante.
É interessante observar que cada uma das fontes de riscos ESG se alinha em uma das tradicionais macrocausas, quais sejam: Processos, Pessoal, Infraestrutura, Tecnologia ou Ambiente Externo.
Controles ESG
Prosseguindo com o nosso exemplo, verificamos as seguintes possibilidades de controles: providências para eliminar ou reduzir a geração de efluentes químicos poluentes; criação de uma equipe de monitoramento ambiental e capacitação de seus integrantes; construção de tanques ou lagoas de retenção de efluentes; capacitação das equipes de monitoramento; previsão de recursos no orçamento anual da empresa para fazer face às despesas com a capacitação de pessoal e com aquisições e manutenção de equipamentos.
O Plano de Ação
O documento que especifica os controles é o chamado Plano de Ação. Da análise da existência e da conformidade dos controles retiram-se conclusões sobre o Risco Inerente, o Risco Residual e sobre o Apetite ao Risco da empresa, dados esses essenciais para a prática do gerenciamento de riscos em qualquer organização.
Conclusão
Tivemos assim uma ideia, ainda que ligeira, da relevância que assume a determinação das fontes de risco no trabalho de gerenciamento de riscos em geral e dos riscos ESG em particular.
Caso haja interesse de sua empresa em aprofundar-se nesse ou em outros temas afetos ao gerenciamento de riscos, contate a Brasiliano INTERISK, uma empresa que oferece soluções de Inteligência e Gestão de Riscos com base na Interconectividade, conferindo total transparência aos processos de Governança, Riscos e Compliance.
O Software INTERISK é uma plataforma tecnológica e automatizada que integra diversos módulos – entre eles, o Módulo ESG – compostos de diferentes disciplinas. o que garante a abrangência e a integração de todos os processos em um único framework.