Uma empresa identifica dúvidas na contratação de fornecedores, aprovações que nem sempre são registradas e controles que dependem de uma única pessoa. Todos os pontos merecem análise, mas a equipe não consegue tratar tudo ao mesmo tempo. Como escolher por onde começar?
A gestão de riscos ajuda a organizar essa decisão. Para o gestor, a prioridade precisa considerar o que pode acontecer, as consequências para a empresa e para as pessoas, os controles existentes e a necessidade de uma resposta em tempo adequado.
O objetivo é transformar a análise em escolhas que possam ser executadas e acompanhadas. Uma lista extensa de preocupações, sem critérios ou responsáveis, oferece pouca orientação sobre a próxima providência.
Descreva a situação antes de atribuir uma classificação
O primeiro passo é definir o evento que merece atenção. Expressões genéricas, como risco de compliance ou problema com fornecedores, podem reunir situações muito diferentes.
Uma descrição mais útil explica o que pode ocorrer, em qual processo e por quais condições. Por exemplo: uma contratação pode ser influenciada por um interesse pessoal não declarado de quem participa da decisão. Essa formulação permite discutir causas, possíveis efeitos e pontos de controle.
Também é importante separar o evento das suas consequências. O favorecimento em uma contratação é uma situação possível; prejuízo financeiro, conflitos e perda de confiança podem ser consequências. Identificar essa relação evita tratar todos os elementos como riscos independentes e perder de vista o processo que precisa melhorar.
Considere a possibilidade de ocorrência e as consequências
Priorizar exige critérios. Uma avaliação pode considerar a possibilidade de o evento ocorrer e a gravidade das consequências, sempre de acordo com o contexto do negócio.
A exposição depende de fatores como volume de operações, frequência de decisões, características dos terceiros e histórico de dificuldades. As consequências podem alcançar recursos financeiros, continuidade das atividades, direitos das pessoas e relações comerciais.
Essas dimensões precisam ser discutidas com quem conhece o processo. Uma classificação sem informação suficiente deve indicar a incerteza e a necessidade de aprofundamento, em vez de transmitir uma precisão que a empresa ainda não possui.
Quando houver indícios de uma situação que exige atenção imediata, a resposta não deve aguardar o fechamento de uma matriz de riscos.
Examine os controles que realmente funcionam
Um procedimento escrito não demonstra, sozinho, que a medida está sendo aplicada. A análise precisa considerar como o controle funciona e quais evidências estão disponíveis.
Quem realiza a verificação? Existe registro? O procedimento alcança as situações relevantes? Há exceções frequentes? O responsável tem condições de executar a atividade?
Essas perguntas ajudam a distinguir a existência de uma regra da sua aplicação. Uma etapa de aprovação, por exemplo, pode estar prevista e ser dispensada rotineiramente quando surge urgência. Nesse caso, a gestão precisa examinar tanto a eficácia da aprovação quanto os motivos que levam à sua supressão.
Os controles existentes também influenciam a avaliação do risco que permanece. Sua presença não deve ser usada para reduzir uma classificação sem verificar se são adequados à situação e se funcionam na prática.
Use um exemplo para discutir prioridades
Considere este cenário hipotético: uma empresa contrata fornecedores com frequência e identifica duas dificuldades. Em algumas compras, documentos ficam arquivados em locais diferentes. Em outras, a mesma pessoa escolhe o fornecedor, autoriza a contratação e confirma a entrega sem revisão independente.
As duas situações merecem análise, mas não devem receber automaticamente a mesma prioridade. A empresa precisa compreender seus efeitos, a exposição e os controles existentes. A concentração das decisões pode exigir uma medida de revisão ou uma redistribuição de responsabilidades; o problema documental pode demandar padronização e organização dos registros.
O exemplo não estabelece uma classificação pronta. Ele mostra que a prioridade deve resultar da avaliação do processo, e não apenas do nome dado ao problema ou da facilidade de executar uma solução.
Defina uma resposta proporcional e executável
Depois de avaliar a situação, a gestão precisa escolher uma resposta. Pode ser necessário reforçar um controle, revisar responsabilidades, obter informações adicionais ou interromper uma prática que exige análise. A escolha deve considerar a natureza do risco e as regras aplicáveis ao negócio.
Cada providência precisa de responsável, prazo e forma de verificar sua execução. Orientações como melhorar o controle ou aumentar a atenção são insuficientes quando ninguém consegue identificar o que será feito.
Uma ação mais concreta pode estabelecer que determinadas contratações passarão por revisão de um segundo responsável e que essa análise será registrada antes da aprovação. Os critérios dessa medida devem ser definidos pela empresa, sem criar etapas indiscriminadas para todas as operações.
Acompanhe as mudanças e revise a avaliação
A prioridade pode mudar. Uma nova unidade, um fornecedor relevante, uma alteração no processo ou informações trazidas pelos canais internos podem exigir revisão.
O acompanhamento deve verificar se as providências foram executadas e se produziram a mudança esperada no processo. Concluir uma tarefa não significa, necessariamente, que a exposição foi reduzida. O controle pode continuar inadequado ou deixar de alcançar parte das operações.
Também é útil acompanhar dificuldades recorrentes e exceções. Esses registros ajudam a decidir se a empresa precisa ajustar o procedimento, reforçar a comunicação ou mudar a distribuição de responsabilidades.
Escolha um ponto para começar
No âmbito da integridade empresarial, o guia de 2024 da CGU para empresas privadas oferece uma referência orientativa que inclui gestão de riscos e monitoramento. As medidas concretas precisam ser adaptadas à realidade de cada organização.
Para iniciar a revisão, selecione um processo e responda: qual evento pode ocorrer, quais são suas consequências, que controle funciona hoje e quem acompanhará a próxima providência? Se faltarem informações, estabeleça como obtê-las.
Leia e identifique um risco prioritário na sua empresa. Uma escolha fundamentada, acompanhada de uma ação clara, permite começar com direção e revisar o caminho à medida que novas informações surgem.
Referência técnica
Controladoria-Geral da União (CGU). Programa de Integridade: Diretrizes para Empresas Privadas, volume II, 2024.