A IMPORTÂNCIA DOS
FATORES DE RISCOS
e sua utilização pela
Auditoria Baseada em Riscos
Mário A. W. de Souza, MBS
Administrador, especialista em Gestão de Riscos pela Faculdade de Engenharia de São Paulo, Mestrando em Habitação
(Linha de pesquisa em Riscos) pelo Instituto de Pesquisas Tecnológicas – IPT. Atualmente é Consultor da Brasiliano INTERISK
A Gestão de Riscos no Brasil é embrionária e rodeada por uma avalanche de “especulações” e métodos com pouco lastro. Fruto deste cenário atual, as altas gestões de diversas organizações desacreditam em métodos, não veem valor, pois não há a entrega desejada e, quando ocorre, não fornecem a inteligência necessária.
Partindo da premissa de que Gestão de Risco precisa evoluir, neste artigo, irei abordar a importância de se identificar os Fatores de Risco, isto é, a causa (fonte) dos riscos.
No mercado não é raro encontrar profissionais que iniciem o processo de análise e avaliação de riscos simplesmente identificando os riscos. Esta prática pode ser amparada na praticidade, porém, na maioria das vezes acontece pelo simples fato de que os profissionais não conhecem profundamente as normas, as estruturas e as melhores práticas que regem a Gestão de Riscos no Brasil e no Mundo.
São diversas as normas e estruturas que abordam os fatores de riscos, mesmo a nomenclatura podendo não ser igual, a essência é a mesma. A ISO 31000:2009 intitula o Fator de Risco como “Fonte de Risco”. Como definição pontua que é o “elemento que, individualmente ou combinado, tem o potencial intrínseco de dar origem ao risco”.
Desta forma, entende-se que as Fontes de Riscos são as causas que, se não forem barradas, através de controles, podem levar a concretização de um determinado risco.
A importância da identificação dos fatores de risco é corroborado na ISO 31000:2009, em seu item 5.4.2 Identificação de Riscos onde inicia o texto orientando que a organização identifique as fontes de riscos para que, assim, seja possível, a partir das fontes identificadas, formar uma lista abrangente de riscos.
fatores
de riscos
controle
Outro ponto essencial e determinante para que sejam identificados os fatores de riscos é que, segundo a mesma norma, para a análise de risco, conforme está exposto no item 5.4.3, há a necessidade de se avaliar os fatores de riscos e sua relação com os controles para, desta forma, chegar a uma mensuração sensata da probabilidade e do impacto do risco.
Dentre as vantagens da identificação dos fatores de riscos, podemos listar:
-
Mensurar e justificar com exatidão a probabilidade dos riscos;
-
Conhecer profundamente as causas dos riscos, orientando o tratamento (estabelecimento de controles, por exemplo); e,
-
Auxiliar a auditoria interna, orientando quais as causas de maior representatividade e que, por consequência, demandam maior atuação e aferição dos controles.
Insumos dos Fatores de Riscos para a Auditoria Interna
Dentre as duas vantagens citadas, é estratégico que a Auditoria Interna tenha pleno conhecimento dos Fatores de Risco e sua importância.
Entender os insumos que ela fornece para a realização da auditoria é estratégico.
No processo (framework) de Gestão de Riscos em Processos propostos pela Brasiliano INTERISK, há a obtenção da priorização dos fatores de risco através de sua Magnitude e sua Importância, refletindo a Matriz de Priorização dos Fatores de Risco ou, simplesmente, matriz de motricidade, conforme demonstrado no exemplo abaixo:
A Matriz cruza o fator de risco pela sua:
-
Importância: Refere-se o quão importante é o fator de risco considerando o contexto em estudo. Quanto maior sua importância maior é o seu potencial de influenciar na concretização dos riscos;
-
Magnitude: Refere-se à quantidade de vezes que o fator de risco se repetiu no estudo, assim, trata-se de um indicativo de efetividade no tratamento, pois, à medida que o fator de risco possui maior motricidade, tratando-o, maiores os riscos beneficiados.
Fruto da aplicação da matriz, como exemplo, possuímos:
"O foco do auditor deve ser nos pontos de maior criticidade, desta forma, auditando com maior foco o que, de fato, é representativo."
Mas em o que, de fato, essa matriz pode auxiliar a auditoria?
Os Fatores de Risco de maior motricidade, isto é, os que se encontram no quadrante vermelho, possuem maior representatividade, desta forma, há a necessidade de se saber quais possuem controles e, para os que não possuem, se há plano de ação para mitigação (diminuição de probabilidade e/ou impacto).
A utilização está diretamente ligada a assertividade da auditoria, deve-se investir tempo nos Fatores de Risco de maior motricidade, pois, conforme demonstrado, possuem maior importância e podem acarretar na ocorrência de uma maior gama de riscos. O foco do auditor deve ser nos pontos de maior criticidade, desta forma, auditando com maior foco o que, de fato, é representativo.
O que ocorre na prática é que a auditoria atua de forma aleatória, com base em paradigmas e fatores de riscos historicamente importantes, porém, com a velocidade que o mundo se reconfigura ao longo do tempo, os paradigmas podem acarretar em auditorias míopes e pouco efetivas, levando a concretização de riscos pela ineficiência não observada de controles.
FOCO DA AUDITORIA
FOCO DA AUDITORIA
Planejando a auditoria com maior assertividade, focando no que realmente é crítico, o nível de risco da organização é diminuído e há a possibilidade de se realizar uma maior gama de auditorias. Assim é primordial que a Auditoria e a Gestão de Riscos estejam trabalhando em sintonia, que haja sinergia e um fluxo contínuo de comunicação e informação entre as áreas.