COSO ERM na Vida Real - Por que a maioria das empresas acredita fazer uma gestão de riscos corporativos, mas apenas documenta problemas

Durante anos, a gestão de riscos corporativos foi transformada em um ritual administrativo. Matrizes foram coloridas, dashboards ganharam design sofisticado, relatórios passaram a circular em comitês e apresentações executivas começaram a utilizar termos como “apetite ao risco”, “governança integrada” e “visão holística”.

Mas existe uma pergunta desconfortável que raramente é feita: Se a gestão de riscos é tão difundida, por que organizações continuam sendo destruídas por riscos previsíveis?

A resposta é incômoda porque atinge diretamente o coração do problema: grande parte das empresas não implementou um sistema de gestão de riscos. Implementou apenas uma estrutura documental sobre riscos.

Existe uma diferença brutal entre:

• conhecer riscos;

• registrar riscos;

• e gerenciar riscos.

O “Enterprise Risk Management”, especialmente sob a ótica do “Committee of Sponsoring Organizations of the Treadway Commission”, nunca foi concebido como uma burocracia corporativa. Seu propósito sempre foi integrar risco à estratégia, à cultura e à tomada de decisão.

O problema é que muitas organizações converteram o ERM em:

• um projeto da auditoria;

• um exercício anual de compliance;

• ou um mecanismo político de proteção institucional.

Na prática, isso cria um fenômeno perigoso: empresas passam a acreditar que estão protegidas porque possuem controles formalizados. E é justamente nesse ponto que o risco se torna mais letal.

O maior erro do mercado: transformar risco em papel

O mercado corporativo criou uma perigosa ilusão de maturidade. Quanto mais documentos uma organização possui, mais ela acredita estar controlando seus riscos.

Mas a história empresarial mostra exatamente o contrário:

• empresas quebram com políticas formalizadas;

• fraudes acontecem em ambientes auditados;

• crises reputacionais surgem em estruturas certificadas;

• e colapsos financeiros ocorrem em organizações com departamentos inteiros dedicados a controles internos.

O problema raramente está na ausência de frameworks. Está na desconexão entre:

• risco e decisão;

• risco e cultura;

• risco e liderança.

Em muitas empresas, a gestão de riscos se resume a:

• reuniões trimestrais;

• atualização de planilhas;

• revisão de matrizes;

• e produção de apresentações para conselhos.

Enquanto isso:

• operações mudam diariamente;

• ameaças evoluem continuamente;

• pessoas ocultam informações;

• áreas competem politicamente;

• e decisões estratégicas são tomadas sem avaliação real de exposição.

O risco não nasce na planilha. Ele nasce:

• na pressão por metas;

• na comunicação falha;

• na ausência de responsabilização;

• na arrogância gerencial;

• e principalmente na cultura organizacional.

O que o COSO ERM realmente tentou construir

O “Committee of Sponsoring Organizations of the Treadway Commission” jamais propôs um sistema estático.

O modelo nasceu para criar integração entre:

• estratégia;

• desempenho;

• governança;

• comunicação;

• e tomada de decisão.

Mas ao longo do tempo, o mercado simplificou o COSO em algo operacionalmente pobre:

• identificar;

• classificar;

• pontuar;

• monitorar.

Isso reduziu um modelo estratégico a uma atividade administrativa. Na essência, o COSO ERM tenta responder apenas uma pergunta: A organização entende os riscos que está assumindo para alcançar seus objetivos?

Essa pergunta parece simples. Mas ela desmonta empresas inteiras. Porque muitas organizações:

• não compreendem seus próprios objetivos reais;

• não possuem comunicação integrada;

• não sabem quem decide;

• não sabem quem responde;

• e frequentemente premiam comportamentos que ampliam riscos.

Governança e Cultura: onde o risco realmente nasce

Toda empresa afirma possuir cultura ética. Poucas suportam a verdade operacional dessa afirmação. A cultura organizacional é o ambiente invisível que determina:

• o que será reportado;

• o que será ocultado;

• quem terá coragem de escalar problemas;

• e quais riscos serão silenciosamente tolerados.

O maior erro das empresas é acreditar que risco nasce em processos. Risco nasce em comportamento humano.

Exemplo clássico

Quando uma organização:

• premia apenas crescimento;

• pune transparência;

• ignora alertas operacionais;

• ou estimula metas irreais,

Ela está criando risco estrutural. Não importa quantos controles existam. O ambiente cultural destruirá todos eles.

Mini estudo de caso: Enron

A Enron foi uma das maiores empresas de energia dos Estados Unidos durante os anos 1990, atuando principalmente nos setores de gás natural, eletricidade e mercados financeiros ligados à energia. A companhia era vista como símbolo de inovação corporativa, crescimento acelerado e sofisticação financeira, chegando a ser considerada uma das empresas mais admiradas do mundo pela revista Fortune.

Por trás da imagem de sucesso, porém, existia um complexo sistema de manipulação contábil. A empresa utilizava estruturas financeiras paralelas e práticas contábeis agressivas para esconder dívidas bilionárias, inflar lucros e sustentar artificialmente o valor de suas ações.

O colapso ocorreu em 2001, quando investigações revelaram fraudes contábeis massivas envolvendo executivos da companhia e falhas graves de auditoria externa. Em dezembro daquele ano, a Enron entrou com pedido de falência, naquele momento considerada uma das maiores da história dos Estados Unidos.

O caso se tornou um marco mundial em:

·         governança corporativa;

·         gestão de riscos;

·         auditoria;

·         controles internos;

·         ética empresarial;

·         e compliance.

A crise também levou à dissolução da Arthur Andersen, que era responsável pela auditoria da Enron e foi acusada de destruir documentos relacionados às investigações.

O escândalo influenciou diretamente a criação da “Sarbanes-Oxley Act”, legislação que endureceu significativamente as exigências de controles internos, transparência financeira e responsabilidade executiva nas empresas listadas nos Estados Unidos.

Entretanto, o colapso da Enron não ocorreu por ausência de controles.

A empresa possuía:

• auditorias;

• governança formal;

• relatórios;

• compliance;

• conselhos;

• e monitoramento financeiro.

O problema estava na cultura. Executivos eram pressionados a apresentar crescimento contínuo, independentemente da sustentabilidade operacional.

O resultado:

• manipulação contábil;

• ocultação de perdas;

• distorção de informações;

• e destruição completa da companhia.

A lição aqui é brutal: Nenhum framework sobrevive a uma cultura que recompensa o comportamento errado.

Estratégia e definição de objetivos: toda meta cria risco

Existe uma relação inseparável entre ambição e exposição. Toda decisão estratégica cria novos riscos.

Quando uma empresa:

• acelera expansão;

• reduz custos agressivamente;

• aumenta alavancagem;

• terceiriza operações;

• automatiza processos;

• ou entra em novos mercados,

Ela amplia simultaneamente sua vulnerabilidade. Por isso, gestão de riscos não pode existir separada do planejamento estratégico.

O problema é que muitas empresas discutem:

• metas no planejamento estratégico;

• e riscos em outro fórum completamente isolado.

Isso produz um desastre clássico:

• áreas comerciais pressionam crescimento;

• operações não possuem estrutura;

• tecnologia não acompanha;

• compliance reage tardiamente;

• auditoria identifica falhas quando o dano já aconteceu.

O erro fatal da matriz de risco anual

Um dos maiores símbolos do “ERM de fachada” é a Matriz de Riscos e Controles anuais. Documento amplamente aceito em “frameworks” como o “Committee of Sponsoring Organizations of the Treadway Commission” e a “International Organization for Standardization”, especialmente na ISO 31000.

O problema não é o documento e sim no processo.

A empresa passa semanas:

• entrevistando áreas;

• classificando riscos;

• atribuindo probabilidades;

• construindo “heat maps”;

• e consolidando relatórios.

Depois disso, o documento praticamente morre até o próximo ciclo. Enquanto isso:

• fornecedores mudam;

• cenários econômicos se alteram;

• regulamentações evoluem;

• ameaças cibernéticas crescem;

• lideranças são substituídas;

• e o ambiente operacional se transforma.

Risco é dinâmico. Mas muitas empresas gerenciam risco como se fosse inventário.

Como implementar um ERM de verdade

Etapa 1 — Mapear objetivos estratégicos

Sem objetivo, não existe risco. Essa é a primeira grande falha das implementações superficiais: mapear riscos sem compreender claramente:

• o que a organização pretende alcançar;

• o que é crítico;

• e o que não pode falhar.

O risco sempre deve ser conectado a:

• receita;

• continuidade operacional;

• reputação;

• compliance;

• liquidez;

• tecnologia;

• pessoas;

• e sustentabilidade estratégica.

Etapa 2 — Identificar riscos reais

A maioria dos relatórios possui riscos genéricos:

• crise econômica;

• falha operacional;

• fraude;

• risco regulatório.

Mas riscos reais são específicos. Exemplo ruim:

• “risco tecnológico”.

Exemplo correto:  “dependência operacional de único fornecedor de cloud sem redundância contratual”.

Quanto mais genérico o risco, mais inútil ele se torna.

Erros comuns de implementação

1. Transformar ERM em responsabilidade exclusiva da auditoria

Auditoria avalia. Gestão executa. Quando a auditoria “vira dona” do risco, cria-se uma distorção perigosa: as áreas operacionais deixam de assumir responsabilidade.

2. Criar controles impossíveis de executar

Empresas frequentemente criam:

• controles excessivos;

• aprovações redundantes;

• burocracias inviáveis.

Resultado: as pessoas começam a contornar processos. E todo controle que depende de heroísmo operacional já nasceu fracassado.

3. Ignorar riscos culturais

Os maiores riscos normalmente não aparecem em indicadores:

• medo de reporte;

• liderança tóxica;

• silenciamento;

• pressão por resultados;

• manipulação de informação;

• pressão política.

4. Confundir monitoramento com gestão

Dashboard não é gestão. Indicador não resolve problema. Relatório não reduz exposição.

Gestão exige:

• ação;

• decisão;

• responsabilização;

• e revisão contínua.

KPI e KRI: A Diferença Entre Crescimento e Exposição ao Risco

Uma das maiores fragilidades da gestão corporativa moderna está na obsessão por performance desacompanhada de percepção de risco.

As empresas aprenderam a medir praticamente tudo:

·         produtividade;

·         vendas;

·         crescimento;

·         margem;

·         eficiência;

·         expansão;

·         velocidade operacional.

Painéis executivos exibem números em tempo real. Dashboards mostram metas sendo atingidas. Reuniões celebram resultados trimestrais positivos. Mas existe uma pergunta perigosa que raramente recebe atenção proporcional:  O que está piorando enquanto os indicadores de desempenho melhoram?

É exatamente nesse ponto que surge a diferença entre KPI e KRI.

A maioria das organizações conhece profundamente seus KPIs. Pouquíssimas realmente compreendem seus KRIs.

E essa diferença, em muitos casos, separa empresas sustentáveis de empresas que crescem rumo ao próprio colapso.

O que é KPI?

KPI significa: “Key Performance Indicator”, ou Indicador-Chave de Performance.

O KPI mede desempenho. Ele mostra:

·         produtividade;

·         eficiência;

·         resultado;

·         crescimento;

·         capacidade de entrega;

·         atingimento de metas.

Seu objetivo é responder uma pergunta simples: Estamos performando bem?

Os KPIs normalmente são associados a metas corporativas e indicadores estratégicos.

E isso é importante. Nenhuma empresa sobrevive sem medir resultados. O problema começa quando a organização mede apenas resultados.

O que é KRI?

KRI significa: “Key Risk Indicator”,  ou, Indicador Chave de Risco.

Enquanto o KPI mede desempenho, o KRI mede exposição. Ele funciona como um sensor de deterioração operacional. Seu objetivo é responder: Estamos ficando mais vulneráveis?

Os KRIs ajudam a identificar:

·         fragilidades;

·         tendências negativas;

·         aumento de exposição;

·         sinais antecipados de perda;

·         deterioração operacional;

·         crescimento descontrolado;

·         desgaste estrutural.

Em outras palavras: O KPI mostra velocidade. Já o KRI mostra risco de perda de controle.

Uma empresa pode apresentar:

·         crescimento recorde;

·         lucro elevado;

·         expansão acelerada;

·         produtividade crescente.

E ainda assim estar caminhando para uma crise. Isso acontece porque crescimento também gera risco. Toda aceleração empresarial:

·         aumenta pressão operacional;

·         amplia exposição financeira;

·         exige mais controle;

·         tensiona pessoas e processos;

·         cria vulnerabilidades invisíveis.

Exemplo clássico: corte de custos.  Considere uma empresa focada em eficiência.

KPI

·         redução de custos operacionais em 20%.

No relatório executivo, isso parece um sucesso absoluto.

Mas os KRIs começam a indicar:

·         aumento de falhas;

·         redução de manutenção;

·         perda de profissionais críticos;

·         crescimento do retrabalho;

·         aumento de incidentes operacionais.

A organização ganhou eficiência no curto prazo. Mas criou fragilidade estrutural no médio prazo. Esse é um erro clássico da gestão moderna: confundir redução de custo com fortalecimento operacional.

Monitorar risco exige maturidade organizacional. Exige disposição para enxergar:

·         problemas antes da crise;

·         fragilidades antes da perda;

·         e sinais negativos antes do colapso.

KPI e KRI não competem — eles se complementam

Empresas maduras não escolhem entre KPI ou KRI. Elas integram os dois.

Porque:

·         KPI sem KRI gera crescimento irresponsável;

·         KRI sem KPI gera paralisia operacional.

Exemplos integrados de KPI e KRI

Área Comercial

KPI

·         crescimento de vendas.

KRIs

·         inadimplência;

·         cancelamentos;

·         devoluções;

·         concentração de clientes.

Área Financeira

KPI

·         margem de lucro;

·         geração de caixa.

KRIs

·         alavancagem;

·         exposição cambial;

·         dependência de curto prazo;

·         concentração bancária.

Empresas imaturas acreditam que desempenho resolve tudo. Empresas maduras sabem que:

·         crescimento descontrolado gera risco;

·         eficiência excessiva pode fragilizar operações;

·         metas agressivas distorcem comportamento;

·         e indicadores positivos podem esconder deterioração estrutural.

Essa talvez seja uma das maiores lições da gestão de riscos moderna: Resultados positivos não significam necessariamente organizações saudáveis. Às vezes, os melhores KPIs estão mascarando os piores KRIs.

Modelo de fluxo de reporte de riscos

Um ERM maduro precisa possuir fluxo claro de informação. Porque o maior risco corporativo frequentemente não é o problema. É o atraso na comunicação do problema.

Estrutura mínima recomendada

Nível operacional

Identifica:

• incidentes;

• desvios;

• falhas;

• perdas;

• vulnerabilidades.

Gestão intermediária

Avalia:

• impacto;

• recorrência;

• tendência;

• necessidade de escalonamento.

Comitê de riscos

Analisa:

• exposição consolidada;

• riscos emergentes;

• criticidade estratégica;

• planos de resposta.

Diretoria e Conselho

Decidem:

• aceitação;

• mitigação;

• transferência;

• ou interrupção do risco.

Sinais clássicos de um ERM de fachada

• A matriz de riscos é impecável, mas ninguém a utiliza

• Os riscos nunca mudam ao longo dos anos

• O board só discute risco após incidentes

• Existe excesso de indicadores e ausência de decisão

• Áreas como Gestão de Riscos, Controles Internos, Compliance são vistas como “dona” do risco

• Os controles dependem de pessoas específicas

• Os colaboradores possuem medo de reportar problemas

• O reporte sobe lentamente pela hierarquia

Checklist de maturidade em ERM

Nível 1 — Reativo

• gestão informal;

• ausência de integração;

• foco apenas em incidentes.

Nível 2 — Estruturado

• matriz formal;

• políticas;

• controles básicos.

Nível 3 — Integrado

• riscos conectados à estratégia;

• KRIs definidos;

• reporte contínuo.

Nível 4 — Preditivo

• análise antecipatória;

• inteligência de dados;

• cenários dinâmicos.

Nível 5 — Cultura consolidada

• risco integrado à decisão diária;

• transparência organizacional;

• responsabilização madura.

Mini estudo de caso: Boeing e o 737 MAX

O caso da Boeing e da aeronave Boeing 737 MAX se tornou um dos exemplos mais emblemáticos de falha em governança corporativa, gestão de riscos e pressão estratégica sobre decisões técnicas.

Entre 2018 e 2019, dois acidentes envolvendo aeronaves 737 MAX — um da companhia aérea” Lion Air”, na Indonésia, e outro da “Ethiopian Airlines”, na Etiópia — resultaram na morte de 346 pessoas e desencadearam uma crise global na indústria da aviação.

As investigações apontaram problemas relacionados ao sistema automatizado de controle de voo conhecido como MCAS (“Maneuvering Characteristics Augmentation System”), criado para ajustar o comportamento da aeronave durante determinadas condições de voo.

O problema técnico, porém, era apenas parte da crise. O caso revelou algo muito mais profundo: uma cultura corporativa excessivamente pressionada por:

·         velocidade;

·         competitividade;

·         redução de custos;

·         cumprimento de prazos;

·         e disputa de mercado.

Relatórios posteriores indicaram que existiam alertas internos, preocupações técnicas e sinais de risco que não receberam o devido tratamento organizacional. Na prática, o episódio demonstrou como decisões estratégicas podem começar a sufocar questionamentos técnicos dentro de estruturas corporativas altamente pressionadas por performance.

O problema deixou de ser apenas engenharia. Passou a ser governança.

O caso Boeing expõe uma fragilidade muito comum em grandes organizações:  quando metas corporativas começam a dominar completamente o ambiente decisório, o risco técnico perde espaço para a pressão por resultado.

E isso acontece com mais frequência do que muitas empresas admitem. Em ambientes extremamente competitivos:

·         alertas começam a ser relativizados;

·         riscos passam a ser reinterpretados;

·         problemas são tratados como obstáculos comerciais;

·         e profissionais técnicos passam a sofrer pressão indireta para “não travar o negócio”.

Esse talvez seja um dos pontos mais perigosos da gestão corporativa moderna: o momento em que a organização deixa de discutir riscos para começar a administrar narrativas.

O caso do 737 MAX mostrou que:

·         controles formais não bastam;

·         processos documentados não garantem segurança;

·         e frameworks de governança podem se tornar frágeis quando a cultura organizacional passa a premiar velocidade acima de prudência.

No fim, o acidente não revelou apenas uma falha técnica. Revelou uma falha estrutural de comunicação, governança e gestão de riscos. 

O maior risco invisível: silêncio organizacional

Existe um padrão recorrente em grandes crises corporativas: Alguém sabia.

Antes:

• do colapso financeiro;

• da fraude;

• do vazamento;

• do acidente;

• ou da crise reputacional,

Alguém percebeu sinais. Mas não reportou. Ou reportou e foi ignorado.

Empresas não colapsam por falta absoluta de informação.

Elas colapsam porque:

• a informação não circula;

• ninguém quer escalar problemas;

• ou a liderança não deseja ouvir más notícias.

Conclusão

O verdadeiro objetivo do COSO ERM nunca foi eliminar riscos. Isso seria impossível. Empresas existem justamente porque assumem riscos.

O problema começa quando organizações:

• assumem riscos que não compreendem;

• criam estruturas que ninguém utiliza;

• confundem burocracia com controle;

• e transformam governança em teatro corporativo.

No fim, crises raramente surgem por ausência de frameworks.

Elas surgem por:

• arrogância institucional;

• excesso de confiança;

• silêncio organizacional;

• comunicação falha;

• e incapacidade de transformar informação em decisão.

A pergunta mais importante sobre gestão de riscos talvez não seja:

“Quais riscos a empresa possui?”

Mas sim:

“Quais riscos a organização escolheu fingir que não existem?”

Porque, na prática, os riscos mais perigosos raramente estão escondidos. Normalmente, eles já foram vistos. Já foram discutidos. Já apareceram em relatórios.

A diferença é que ninguém quis enfrentar as consequências de agir antes da crise.