Sistema de gestão de riscos empresariais

Cada risco potencial para a empresa — financeiro, operacional, reputacional ou regulamentar — entra como cartão na coluna «Identificação», onde quem o detetou descreve o cenário previsto, as causas e os departamentos afetados. O risco passa para «Avaliação», onde se estimam a probabilidade de ocorrência e o impacto numa matriz uniforme e se calcula a sua classificação — os riscos ordenam-se por gravidade, não pela voz de quem os levantou. Os riscos elevados passam para «Tratamento», onde se nomeia um dono do risco que define o plano de tratamento: mitigar, transferir, aceitar com justificação ou evitar, em tarefas com prazos no cartão. Depois da execução, o cartão fica em «Revisão» periódica, que reavalia o risco à medida que as circunstâncias mudam; a síntese do registo sobe em «Relatório» à administração a cada trimestre; e os tratamentos de longo prazo ficam em «Acompanhamento» até a redução da classificação estar comprovada.

O Fórum é o conselho de riscos documentado: as estimativas de probabilidade e impacto discutem-se ali em caso de divergência, em vez de serem impostas por uma só pessoa; os grandes planos de tratamento — que tocam mais de um departamento — coordenam-se no tópico do risco; e as decisões de aceitação de risco documentam-se com as justificações, porque são decisões de liderança que devem permanecer sujeitas a responsabilização. O Chat não é lugar de riscos: um alerta rápido de um risco emergente converte-se de imediato num cartão em «Identificação».

O gestor de riscos é dono do registo e convoca a revisão periódica dos cartões de «Revisão»; os gestores de departamento são donos dos riscos dos seus departamentos e dos planos de tratamento. O quadro responde à administração a qualquer momento: quais são os dez maiores riscos atuais, quem os trata e até quando — e o relatório trimestral de «Relatório» constrói-se diretamente a partir do quadro, não de uma preparação separada.