Análise e Gerenciamento

Apresentação em tema: "Análise e Gerenciamento"— Transcrição da apresentação:

1 Análise e Gerenciamento
Risco Análise e Gerenciamento

2 Análise de risco como fator de valor do trabalho
Existem diversas formas de se dar um preço: preço fixo pela duração estimada do trabalho, preço total variável, mas fixo por hora trabalhada (incluindo ou não outras despesas incorridas), preço fixo para um produto entregue funcionando (turn-key). O preço deve ser função de três componentes básicos: estimativa do trabalho, valoração do preço e risco envolvido.

3 O empreendedor e os riscos
Em um de seus livros, Peter Drucker afirma não conhecer empreendedor bem-sucedido que tenha propensão a correr riscos. O que esses empresários fazem, segundo o guru, é tentar definir quais precisam ser enfrentados e minimizá-los ao máximo. A tarefa é feita de modo quase intuitivo - e é inegável que alguns homens de negócios pareçam ter um talento divino para antever os perigos que podem abalar a companhia.

4 O “chief risk officer” O que muitos simples mortais não sabem é que existe uma forma científica de tratar essa questão. Em algumas empresas ela é atribuição de um profissional batizado de chief risk officer, ou principal executivo de risco. Companhias como as americanas Duke Energy e Dow Chemical já têm um CRO. Sua tarefa é identificar todos os riscos do negócio, avaliar o prejuízo potencial que podem trazer e encontrar formas de resolver os problemas. Para um CRO a palavra risco tem uma abrangência gigantesca.

5 Gerenciamento de risco
Pode estar ligada ao fato de a empresa ter instalado seu banco de dados numa das torres do World Trade Center ou à fabricação do produto por mão-de-obra infantil - risco que marcou para sempre a imagem da Nike. As empresas atualmente não têm recursos para controlar cada um dos milhares de riscos existentes no negócio, por isso é tão importante o seu gerenciamento.

6 O “chief risk officer” Embora o conceito de gestão de riscos usual no meio financeiro, ainda são poucas as empresas que o utilizam de maneira sistemática em outras áreas. O gerenciamento do risco operacional é a principal preocupação dos executivos que participaram do Seminário ‘Gestão de Riscos Corporativos’ da Amcham-SP. No evento que se realizou em 12/07/2013, 25,7% dos profissionais presentes apontaram o risco operacional como o mais relevante para a empresa. A amostra de pesquisados girou, em média, em torno de 140 executivos. O risco operacional é entendido como a probabilidade de uma empresa sofrer perdas decorrentes de falhas de processos internos, pessoas ou eventos externos. Seminário Gestão de Riscos Corporativos da Amcham-SP

7 Gerenciamento de risco
A aplicação do gerenciamento de riscos, na prática, pode variar muito de uma empresa para outra. O trabalho começa com a identificação dos riscos e sua classificação de acordo com dois parâmetros: probabilidade e impacto. O passo seguinte é a definição de prioridades.

8 Gerenciamento de risco
As prioridades de cada companhia na gestão de riscos podem ser as mais diversas. Numa empresa de refeições coletivas, o principal risco é que a quantidade de comida oferecida nos 300 restaurantes administrados pela companhia não seja superior nem inferior ao que foi determinado em contrato com os clientes.

9 Gerenciamento de risco
Com as baixas margens de lucro da atividade, em tomo de 2% a 4% do faturamento, erros na pesagem podem ter um impacto insuspeito. “Entregar 10 gramas a mais de carne em todas as refeições, significa um gasto extra equivalente a 1,5% das vendas", afirma o presidente daquela empresa. "Isso compromete bastante o resultado."

10 Gerenciamento de risco X Auditoria
Um auditor verifica se as pessoas de um departamento estão desempenhando seu trabalho de acordo com as regras estabelecidas para aquele processo. O gestor de risco questiona as regras existentes.

11 Gerenciamento de risco
Para qualquer empresa, o principal benefício da estratégia é permitir vislumbrar com antecedência os perigos que podem ameaçar o negócio. Eles podem estar escondidos na perda constante de pessoas-chave, na exposição demasiada a um só mercado, no descuido com a imagem ou até mesmo fora dos muros da corporação.

12 Celulares são ameaça às corporações
Funcionalidades como câmera digital, gravador de voz, vídeo, acesso à internet e mensagem de texto fazem dos telefones celulares verdadeiras ferramentas de espionagem. Tudo o que alguém mal-intencionado precisa para roubar dados críticos para uma empresa é um smartphone. As corporações normalmente não monitoram o uso desses aparelhos em suas dependências, mas é possível fotografar documentos ou gravar conversas confidenciais.

13 Celulares são ameaça às corporações
A adoção de políticas de uso dos aparelhos portáteis, incluindo a auditoria de equipamentos, é o primeiro passo em direção à segurança dos dados corporativos. Os equipamentos devem ser impedidos de entrar nas áreas de risco, que precisam ser identificadas e eventualmente isoladas e/ ou protegidas.

14 Os pecados capitais em relação à segurança
- desconhecimento de um equipamento no ambiente corporativo; - falta de controle sobre os equipamentos portáteis pessoais; - desconhecimento daquilo que constitui risco para os dados da empresa; - ausência de políticas de uso dos dispositivos móveis; - ausência de sistemas de detecção e prevenção de acesso a redes por equipamentos móveis; - inabilidade para auditar os dados e aplicativos armazenados em equipamentos corporativos, e - ignorar a existência de celulares e tablets.

15 Integração entre as áreas facilita a gestão de risco
Conceituar gestão de riscos é considerada tarefa fácil para muitas empresas. Elaborar um relatório daqui, mapear vulnerabilidades acolá representam, para boa parte delas, a espinha dorsal do processo, que desemboca na entrega de um documento com o diagnóstico ao departamento que vai tomar as devidas providências... Integração entre as áreas facilita a gestão de risco Quinta-feira, 23 março de :20 Camila Fusco, do COMPUTERWORLD Conceituar gestão de riscos é considerada tarefa fácil para muitas empresas. Elaborar um relatório daqui, mapear vulnerabilidades acolá representam, para boa parte delas, a espinha dorsal do processo, que desemboca na entrega de um documento com o diagnóstico ao departamento de tecnologia. Pronto! Está repassada a tarefa: ao departamento de TI (tecnologia da informação) resta encontrar soluções que resolvam os problemas de processos de cada área. Terceirizar riscos, mas não responsabilidades Na prática, no entanto, a seqüência não deve ser encarada de maneira tão simplista, alertam os especialistas. O maior desafio atual das companhias em elaborar um plano de gestão de riscos bem sucedido está em conseguir integração equilibrada de todas as áreas, de maneira que as questões "mapear os riscos é tarefa de quem" e "o que a companhia deve esperar da TI" possam ser sintetizadas na palavra colaboração. "O time de tecnologia deve estar preocupado com questões peculiares à sua responsabilidade, como segurança, confiabilidade da infra-estrutura, e também servir de apoio para as demais áreas. No entanto, essa segunda fase deve acontecer somente após os profissionais de TI terem recebido informações sobre onde e como agir para melhorar os processos", recomenda Antonio Castrucci, consultor em gestão de riscos. O especialista aponta que todo o processo deve partir de um mapeamento minucioso das vulnerabilidades às quais a empresa está exposta. No entanto, é necessário que as ações internas do departamento de TI sejam realizadas paralelamente àquelas conduzidas em outras áreas. "O homem de TI não pode mitigar os riscos sozinho. Cada área deve realizar um levantamento detalhado sobre seus fluxos e constatar quais processos precisam de melhorias. Só a partir daí, é adequado acionar a tecnologia", sinaliza Castrucci. O mapeamento do fluxo de trabalho e a posterior articulação com a TI foi realidade na Nextel. Em uma análise das operações gerais da companhia - realizada dois anos atrás -, foi constatada a necessidade de alterações nos processos e na tecnologia de análise de crédito. "Tínhamos um procedimento de consulta manual da base de dados de instituições de crédito e da Receita Federal. Os analistas entravam nos sites de cada órgão para apurar as informações. No entanto, não se tinha certeza de que o processo estava acontecendo como deveria", aponta Alcimere Noventa, gerente de controle de crédito da companhia. Na Nextel, o risco não estava relacionado à segurança do sistema em uso, mas no eventual não cumprimento do processo de apurar o perfil do cliente junto a todas as bases especificadas. A partir do estudo, a área de TI ficou encarregada de contratar uma solução capaz de analisar automaticamente a situação dos potenciais clientes em vários bancos de dados, o que resultou na adoção da solução da Crivo. "Conseguimos garantir que a política de crédito fosse seguida à risca e ampliamos o escopo da análise do cliente", garante a executiva. No lugar certo O caso da Nextel foi um exemplo típico de como o mapeamento dos riscos pode favorecer o investimento da companhia no lugar certo. Segundo Ricardo Balkins, sócio da Deloitte Brasil para a área de gestão de riscos empresariais, análises profundas como essa evitam o gasto de recursos a esmo. "Muitas vezes as empresas acreditam que conhecem suas áreas mais vulneráveis, mas nem sempre acertam. A partir daí investem para proteger o lugar errado", alerta. Alguns dos exemplos típicos de investimentos desperdiçados ocorrem principalmente na área de segurança, uma vez que muitos gestores acreditam que apenas listar as ocorrências possíveis seja o primeiro passo para mitigá-las. "Assim como nos demais departamentos, as ações de segurança são decorrentes de uma análise. Listar tudo o que pode dar errado e realizar eventuais correções não é suficiente. É necessário levar em consideração variáveis como probabilidade de ocorrência e impacto", complementa Balkins. Mesmo que a lista de correções para riscos apurada na elaboração do plano seja extensa a orientação é que as ações devam ser iniciadas pelos riscos que apresentarem a combinação mais explosiva: grande probabilidade e grande impacto nas operações da companhia (veja fluxograma). "As primeiras iniciativas devem tratar os riscos que a empresa não está disposta a assumir", acrescenta o consultor. Além disso, tais ações devem considerar também os limites orçamentários, e precisam ser priorizadas na mesma proporção da liberação dos recursos. Com cerca de dois mil funcionários dependentes diretamente da infra-estrutura de TI, o sistema Cataguazes Leopoldina - que concentra cinco distribuidoras de energia elétrica no País - há três anos estabeleceu uma política geral para a área de TI, com grande foco em gestão de riscos de segurança. Na primeira fase, a companhia estabeleceu a assinatura de um termo de compromisso por parte dos funcionários sobre a utilização de ferramentas de tecnologia, treinou gerentes para a área de gestão de risco e criou um comitê para tratar da segurança dos dados nos principais departamentos. "Embora nunca tenhamos tido nenhuma ocorrência, coube à TI alertar para que a segurança dos dados fosse preservada. Tratamos o plano como uma antecipação à qualquer ocorrência", declara Guilherme Marconi, gerente corporativo de TI do grupo. Com consultoria da Módulo Security, a companhia tratou primeiramente a área de dados, de interconexões de sistemas, e de s e correios eletrônicos. Posteriormente, investiu na infra-estrutura propriamente - contingência de data centers, replicação de banco de dados, duplicação dos sistemas de telecomunicações - e agora parte para um plano agressivo de proteção de dados na fábrica de software. "Hoje o furto está ligado à informação. Quando ligam os computadores, os profissionais estão expostos a esse risco e é necessário apostar alto no combate", justifica Marconi. Benefícios intangíveis Apesar de ser considerada um benefício para os processos das empresas de maneira geral, a gestão de riscos tem sido praticada com mais afinco - sobretudo na área de TI - entre as companhias que necessitam se adequar a normas como Sarbanes-Oxley e Basiléia 2. Ganham destaque nesse grupo, empresas dos segmentos de telecomunicações, finanças e energia. As organizações que necessitem cumprir com múltiplas diretrizes são orientadas a traçar um plano de gestão que enderece ao maior número possível de exigências. "As regulamentações têm estabelecido certo grau de integração. As empresas que necessitarem se adequar a mais de uma norma podem trabalhar seu plano de gestão de riscos em fragmentos, abordando partes da Sarbanes e partes de Basiléia", aponta Fernando Nery, sócio fundador da Módulo Security. Balkins, da Deloitte, lembra que grande parte das companhias que necessitam atender aos requisitos regulatórios tem encontrado parâmetros consistentes no Cobit - Control Objectives for Information and related Technology -, framework destinado à gestão de TI. "Praticamente todas as empresas em que faço consultoria - entre aquelas que precisam se adequar à Sarbanes - têm utilizado Cobit para fazer o mapeamento inicial da situação e também para saber como endereçar as ações para se adequar à regulamentação", conta. Independente do modo como são conduzidos, se levam em consideração os parâmetros do Cobit ou não, a verdade é que os planos de gestão de risco apresentam um grande ponto comum às empresas que os incorporam: a dificuldade de mensurar os benefícios. A menos que as ações determinem a implantação de novas tecnologias para fatos pontuais, o resultado aparecerá nas operações como um todo. Segundo analistas é difícil medir quanto se vai gastar ou ganhar em cima de um plano de gestão de riscos, já que os benefícios são intangíveis e se traduzem no próprio dia-a-dia. O desafio, então, está em saber como equilibrar a participação de cada departamento desde o início do processo. A percepção tende a ser de que a governança de TI deixou os processos mais alinhados em todas as áreas. E isso já é um ótimo negócio.

16 O desafio - integração equilibrada das áreas
Na prática, a sequência não deve ser encarada de maneira tão simplista; A segurança deve ser prevista desde a fase de especificação até a implementação do projeto. As questões "mapear os riscos é tarefa de quem" e "o que a companhia deve esperar da tecnologia da informação" possam ser sintetizadas na palavra colaboração.

17 Metodologias Cada área deve realizar um levantamento detalhado sobre seus fluxos e constatar quais processos precisam de melhorias. O mapeamento dos riscos pode favorecer o investimento da companhia no lugar certo. Alguns dos exemplos típicos de investimentos desperdiçados ocorrem principalmente na área de segurança, uma vez que muitos gestores acreditam que apenas listar as ocorrências possíveis seja o primeiro passo para sua mitigação.

18 Como medir os benefícios?
Os planos de gestão de risco apresentam um grande ponto comum às empresas que os incorporam: a dificuldade de mensurar os benefícios. Usar então aquelas probabilidades e consequências que foram levantadas na análise e que serviram para priorizar os investimentos.

19 Um risco comum – o preço do projeto
Preço é diferente de custo! Preço é o que o cliente está disposto ou pode pagar pelo projeto Separar mão-de-obra de material Identificar impostos e taxas sobre cada um – ISS, ICMS, IR Separar custo do cliente e do projeto

20 Um risco comum – o preço do projeto
Não é muito racional – uma bolsa pode custar mais de R$1.000 dependendo da marca, material, tecnologia, uso... Ou menos de R$100 – e convenhamos, servem para a mesma coisa! E o prestador de serviços? A diferença entre o preço da hora de trabalho na medicina nem precisa ser comentada...

21 Um risco comum – o preço do projeto
A forma mais comum de se estabelecer o preço de serviços é atribuir uma valor à hora do profissional, separando verbas de viagens, hospedagem e refeições. A hora do profissional tem faixas – estagiário, junior, nível I, II, II , sênior, especialista, consultor...

22 A defesa do cliente Para software – pontos de função
Para construção civil – m ou km2 Para restaurante – a quilo? Exemplos na sua área???

23 Conclusão Além da probabilidade e efeito do item de risco, a principal incógnita para o formulador do preço está no desconhecimento do trabalho a ser realizado, seja pela tecnologia a ser empregada, pela incerteza na especificação, ambiente a enfrentar, levando em conta ainda o seu momento – tem fila na porta ou está precisando de clientes?