Processo de avaliação de riscos legais conforme definido pela ISO 31022
Flavio Fleury de Souza Lima, CIEAC, CISI, CIGR
Especialista nas áreas de imposto sobre a renda, contribuição social sobre o lucro líquido, PIS e Cofins. Formado pelo CPOR/SP, é graduado em administração de empresas pelo Mackenzie e cursou direito na UNIP. Atualmente trabalha como Diretor Associado da Divisão de Risco Tributário na Brasiliano INTERISK
Setembro | 2022
O processo de avaliação de riscos legais consiste, conforme disposto na norma ABNT NBR ISO 31022:2020, na identificação, análise e avaliação desses riscos.
Para que isto ocorra é necessário que seja envolvida no processo uma amostra representativa de indivíduos representativos da organização, dentre eles o Conselho Legal, seja ele interno ou externo, buscando um equilíbrio de experiências e especialistas.
O objetivo do processo é encontrar, reconhecer e descrever os riscos legais que possam auxiliar ou dificultar os trabalhos de uma organização na busca do atingimento de seus objetivos. Para que sua abrangência seja compreendida, suas fontes, áreas de consequências, eventos, causas e potenciais resultados devem ser identificados.
As características dos riscos legais devem ser descritas de forma compreensível, sistemática e precisa para que os objetivos e o escopo de sua análise sejam esclarecidos. As informações pertinentes e recentes, tais quais as mudanças na aplicação de leis ou práticas de mercado, devem ser compreendidas na identificação desses riscos. Da mesma forma, a identificação de possíveis eventos causados por esses riscos, causas, consequências e impactos devem ser cuidadosamente considerados.
Os riscos legais pertinentes devem ser identificados independentemente do fato de as fontes dos eventos estarem sob controle da organização, sejam suas causas conhecidas ou não. A organização deve utilizar ferramentas apropriadas para sua identificação, bem como técnicas aplicadas aos seus objetivos, recursos, capacidades e ambiente.
Fontes de informação úteis para a identificação de riscos legais
A organização deve identificar sistematicamente seus riscos legais e implicações para suas atividades, produtos, serviços e reputação. Esses riscos e suas implicações devem ser considerados ao estabelecer, desenvolver, implementar, avaliar, manter, revisar e melhorar a gestão de riscos legais.
A organização deve documentar seus riscos legais de modo apropriado ao seu tamanho, complexidade, estrutura e operações.
O riscos legais podem ser relacionados, dentre outras matérias, a:
-
objetivos organizacionais e prioridades;
-
governança e estruturas éticas, atividades e operações tais como venda, serviços de entrega, produção, marketing, compras, investimento estrangeiro, gestão de recursos humanos, gestão financeira, estrutura organizacional, gestão de reputação, gestão de dados e da informação e tecnologia da informação e comunicação;
-
ataque cibernético, engenharia social e outros perigos cibernéticos;
-
partes interessadas;
-
aplicação ou interpretação incorreta do contexto legal, violação de contrato, infração de direitos de propriedade intelectual; e
-
aplicação de leis específicas e conflitos de legislação internacional privada.
É preciso criar um processo para a identificação de riscos legais. Esse processo deve se utilizar de fontes de informações que podem ser úteis nessa identificação, tais como: entendimento referente às leis; contexto externo e interno de riscos legais; critérios de riscos legais existentes; requisitos para a manutenção de registros em relação à prerrogativa profissional; prerrogativa advogado-cliente; e produto do trabalho, por exemplo.
Outras fontes de informação são os compromissos de compliance concernentes a acordos com grupos públicos ou organizações não governamentais; acordos com autoridades públicas e consumidores; códigos de ética; obrigações decorrentes de contratos, dentre outros.
As informações relativas a compliance podem se relacionar a: subscrição de listas de destinatários pertinentes; filiação a grupos profissionais; participação em fóruns industriais e seminários; reuniões com reguladores; monitoramento de fontes de obrigações, dentre outras.
Para se certificar de que os riscos legais serão identificados de forma abrangente, sistemática e precisa, é necessário estabelecer uma metodologia que corresponda às necessidades de gestão desses riscos, providenciando diversas abordagens na sua identificação e permitindo que todos os níveis organizacionais os identifiquem e relatem, independentemente da perspectiva.
Necessário se faz, também, que sejam identificadas novas leis e alterações, suas consequências e obrigações decorrentes da implementação das mudanças por elas exigidas.