ANÁLISE E GERENCIAMENTO DE RISCO

Apresentação em tema: "ANÁLISE E GERENCIAMENTO DE RISCO"— Transcrição da apresentação:

1 ANÁLISE E GERENCIAMENTO DE RISCO
1

2 ACORDO DE BASILÉIA Comitê de Basiléia está situado em uma cidade da Suíça, que é a a sede do Banco de Compensações Internacionais (uma espécie de bancos central dos bancos centrais); Ela batiza o acordo que trata da normatização dos procedimentos bancários. Basiléia I foi assinado em 88 e teve como objetivo criar exigências mínimas de capital, que devem ser respeitadas por bancos comerciais, como precaução contra o risco de crédito (ratificado por mais de 100 países); Em 2001, com os atos terroristas nas Torres Gêmeas e os escândalos financeiros mundiais, tais como Enron, WorldCom, Parmalat, acentuou- se a necessidade de se aumentar a efetividade da regulação do sistema financeiro mundial. Basiléia II foi assinado em 2004 e fixou-se em 3 pilares. Basiléia traz orientações aos bancos centrais para garantirem, na medida do possível, a rigidez dos sistemas financeiros, com responsabilidades e objetivos bem definidos. Basiléia II tem que estar implementada até 2011 (Comunicado do BACEN). 2

3 PILARES DE BASILÉIA II PILAR I – EXIGÊNCIAS MÍNIMAS DE CAPITAL
EVITAR RISCOS DE CRÉDITO, DE MERCADO E OPERACIONAL BUSCA A SOLIDEZ DO BANCO. PILAR II – SUPERVISÃO BANCÁRIA E GOVERNANÇA – Fiscalização do SFN e das IF PILAR III - DISCIPLINA DE MERCADO – divulgação de informações relevantes ao mercado 3

4 RISCO Possibilidade de um acontecimento INCERTO, FORTUITO (ou ACIDENTAL, independe da vontade da empresa) E DANOSO (tem que haver perda). Ex.: cortar o dedo com uma faca de plástico: é impossível. O risco está associado às leis de probabilidade, podendo ocorrerem sempre fatos novos, inesperados. O risco tem que ser algo possível. Ex.: um avião cair. Quem se joga do alo de um prédio de 30 andares não corre risco. É certo q vai morrer. A AMEAÇA = RISCO na Segurança Empresarial é um evento capaz de produzir perdas reais e mensuráveis por um padrão comum (é definido pela empresa – moeda corrente até desgaste de sua imagem interna ou externa). RISCO pode ser uma ou mais condições de variáveis com potencial necessário de causar dano ao patrimônio da empresa, tangível ou intangível. Muitos riscos são inerentes ao negócio e a competência do profissional de segurança reside na seleção de quais riscos a empresa deve tratar. O risco é, portanto, inerente a qualquer atividade, pode ser de qualquer natureza e ter dimensões e efeitos que podem ser negativos ou positivos. O risco sempre estará presente, podendo haver baixo ou alto nível de perigo, dependendo das medidas de segurança existentes. 4

5 RESOLUÇÃO BACEN Determina às instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil a implementação de estrutura de gerenciamento do risco operacional; Define-se como risco operacional a possibilidade de ocorrência de perdas resultantes de: falha, deficiência ou inadequação de processos internos, pessoas e sistemas. eventos externos. 5

6 RISCO OPERACIONAL FRAUDES INTERNAS; FRAUDES EXTERNAS;
DEMANDAS TRABALHISTAS; SEGURANÇA DEFICIENTE DO LOCAL DE TRABALHO; PRÁTICAS INADEQUADAS RELATIVAS A CLIENTES, PRODUTOS E SERVIÇOS; DANOS A ATIVOS FÍSICOS PRÓPRIOS OU EM USO PELA INSTITUIÇÃO; AQUELES QUE ACARRETEM A INTERRUPÇÃO DAS ATIVIDADES DA INSTITUIÇÃO; FALHAS EM SISTEMAS DE TI; FALHAS NA EXECUÇÃO, CUMPRIMENTO DE PRAZOS E GERENCIAMENTO DAS ATIVIDADES NA INSTITUIÇÃO; 6

7 A definição de que trata o caput inclui o risco legal associado à inadequação ou deficiência em contratos firmados pela instituição, bem como a sanções em razão de descumprimento de dispositivos legais e a indenizações por danos a terceiros decorrentes das atividades desenvolvidas pela instituição. A política de gerenciamento do risco operacional deve ser aprovada e revisada, no mínimo anualmente, pela diretoria das instituições de que trata o art. 1º e pelo conselho de administração, se houver. As atividades de risco operacional têm que ser executadas por unidade específica na Instituição; Identificar e monitorar o risco operacional decorrente de serviços terceirizados relevantes para o funcionamento regular da instituição, prevendo os respectivos planos de contingência. PRAZO: DEZ/2007. 7

8 O Gerenciamento de Risco é estruturado basicamente nas atividades:
de identificação dos perigos existentes e de suas causas, cálculo dos riscos que estes perigos representam, elaboração e aplicação de medidas de redução destes riscos, quando necessárias, com a posterior verificação da eficiência das medidas adotadas. Durante o planejamento do futuro da empresa, a Alta Administração deve garantir que todos os cuidados foram tomados para que seus planos se concretizem. Quanto mais conseguimos entender a dinâmica dos riscos, suas conseqüências, impactos e também as causas de sua concretização, menos estaremos expostos a eles. A formalização de uma Análise de Risco provê um documento indicador de que este cuidado foi observado. O resultado da Análise de Risco dá à organização o controle sobre seu próprio destino – através do relatório final, pode-se identificar quais controles devem ser implementados em curto, médio e longo prazo. Há então uma relação de valor; ativos serão protegidos com investimentos adequados ao seu valor e ao seu risco. Os ativos são os produtos, bens e informações de uma empresa e que precisam ser preservados de situações de risco. Uma análise de riscos deve ser realizada — sempre — antecedendo um investimento. Antes da organização iniciar um projeto, um novo processo de negócio, o desenvolvimento de uma ferramenta ou até mesmo uma relação de parceria, deve-se mapear, identificar e assegurar os requisitos do negócio. 8

9 A GERÊNCIA DE RISCOS é a função, dentro do contexto empresarial, que visa a proteção dos recursos humanos, materiais e financeiros da empresa, quer pela eliminação, redução ou financiamento dos riscos conforme seja economicamente mais viável. A palavra de ordem hoje é otimização de recursos, com o objetivo de reduzir a chance do risco vir a se concretizar evitando, desta forma, a perda financeira de forma direta ou indireta. Teve seu início nos EUA, após a 2ª Guerra Mundial: as empresas queriam gastar menos com prêmios de seguro e aumentar a proteção das empresas. 9

10 ESTRUTURA DO GERENCIAMENTO DE RISCO OPERACIONAL – RESOLUÇÃO 3380
Identificar, avaliar, monitorar, controlar e mitigar o risco operacional; Documentar e armazenar as informações referentes às perdas associadas ao risco operacional; Elaborar, com periodicidade mínima anual, relatórios que permitam a identificação e correção tempestiva das deficiências de controle e de gerenciamento do risco operacional; Realizar, com periodicidade mínima anual, testes de avaliação dos sistemas de controle dos riscos operacionais implementados; Elaborar e disseminar a política de gerenciamento de risco operacional ao pessoal da instituição, em seus diversos níveis, estabelecendo papéis e responsabilidades, bem como as dos prestadores de serviços terceirizados; Elaborar plano de contingência contendo as estratégias a serem adotadas para assegurar condições de continuidade das atividades e para limitar graves perdas decorrentes de risco operacional; Implementar, manter e divulgar o processo estruturado de comunicação e informação. 10

11 GERENCIAMENTO DE RISCO – ISO 31000
Durante os anos de 2007 e 2008, uma série de questões de riscos - desde a crise de liquidez nos mercados financeiros até as preocupações emergentes sobre terrorismo, clima, disponibilidade de alimentos, infraestrutura e energia - focou a atenção global na fragilidade sistêmica dos processos estratégicos das nações e, consequentemente, do mundo. Uma conscientização do risco e gerenciamento de risco é cada vez mais vista como um pré-requisito para o controle efetivo, tanto no setor privado como público. Há 4 anos houve a primeira reunião da International Organization for Standartization, a ISO, para a criação da 31000, baseada na norma Australiana / Neozelandesa De lá pra cá, muitas práticas e terminologias das corporações do mundo todo foram questionadas e adotadas ou não na nova norma, formando sua estrutura; A ISO oferecerá um novo padrão internacional de Gestão de Riscos, independentemente da área ou segmento de atuação. Fornecerá um processo de Gestão de Riscos; A ISO possui como grande desafio estabelecer uma linguagem comum, bem como padronizar as melhores práticas e abordagens para que as organizações possam implementar a gestão de riscos em seus processos; A nova norma não concorre com outras orientações já existentes, apenas fornece orientações e alinhamento com outros conjuntos de regras específicos; A ISO surge também para integrar as diversas metodologias e terminologias, pois hoje ainda falta um consenso em relação à terminologia e aos conceitos utilizados para a gestão de riscos. 11

12 PROCESSO DE GESTÃO DE RISCOS
12

13 FASE DE COMUNICAÇÃO E CONSULTA
A fase de comunicação e consulta abrange tanto a comunicação interna quanto a externa, assegurando que os responsáveis e partes interessadas compreendam os fundamentos sobre os quais as decisões são tomadas e as respectivas razões. é a forma como serão estabelecidos o processo e a estratégia de comunicação com as partes interessadas. É uma fase extremamente estratégica que permeia todo o processo de gestão e análise de riscos, já que, sem a comunicação, não haverá a sensibilização dos usuários do processo. 13

14 ESTABELECIMENTO DO CONTEXTO
Procura-se entender: objetivos estratégicos, cultura, processos, estrutura e estratégia. Define-se metas e objetivos além de responsabilidades e o apetite ao risco que a organização quer possuir. É dividido em três níveis. O primeiro diz respeito ao entendimento da empresa, através da compreensão dos objetivos estratégicos, organizacionais, da cultura e como ela – empresa – pensa sobre a questão de gestão de riscos. O segundo nível tange as variáveis externas incontroláveis que poderão interferir ou expor os objetivos estratégicos da empresa. Na verdade, há a necessidade de se construir cenários de riscos estratégicos. O terceiro nível trata da Política de Gestão de Riscos da empresa, onde será detalhada a estrutura a ser trabalhada bem como os critérios e metodologia a serem utilizados pela empresa. 14

15 FASE DE IDENTIFICAÇÃO DE RISCOS
A identificação deve ser crítica, pois um risco que não é identificado nesta fase não será incluído em análises posteriores. A compreensão dos riscos é imperiosa para a eficácia no tipo de tratamento que a empresa vai optar em realizar. Somente após o entendimento do porquê da existência de cada risco, é que se poderá sugerir medidas eficazes para mitigar o risco. Fica claro que essa é a fase estratégica pois é nela que se entende os fatores de riscos, os fatores facilitadores da existência do risco na empresa. 15

16 IDENTIFICAÇÃO DE RISCOS
Classificação dos riscos (ameaças) PELO NÍVEL DE CONCRETIZAÇÃO DA PERDA : ESPECULATIVOS OU DINÂMICOS Envolvem uma possibilidade de ganho ou uma chance de perda; Ex.: inundação, incêndio, espionagem. Podem ser divididos em 3 tipos: ADMINISTRATIVOS – ligados ao processo de tomada de decisões gerenciais. Ex.: uma decisão errada pode trazer lucros ou perdas POLÍTICOS – derivam de leis, resoluções do governo DE INOVAÇÃO – introdução de novos produtos ou serviços no mercado e sua aceitação pelos consumidores PUROS OU ESTÁTICOS Envolvem somente a chance de perda; Perdas decorrentes de mortes ou invalidez de funcionários; Perdas por danos à propriedade e a bens em geral; RISCO OPERACIONAL 16

17 CLASSIFICAÇÃO DE RISCOS (ameaças) - FONTE
HUMANOS Ação direta ou indireta das pessoas – estudo das vulnerabilidades; Pessoas internas ao ambiente da empresa; Agressores externos Ex.: fraude, roubo, espionagem, hackers TÉCNICOS Oriundos de falhas em equipamentos: Má manutenção, utilização ou falha técnica. Maior exemplo: área de TI Ex.: incêndio, explosão, interrupções INCONTROLÁVEIS Provenientes da ação da natureza OU proveniente do impacto indireto dos riscos humanos e técnicos causados a outra empresa e que acabam atingindo a minha. Ex.: um incêndio que se iniciou em uma fábrica vizinha. 17

18 COMO CONSEGUIR IDENTIFICAR TODOS OS RISCOS EM UM PROCESSO?
Existem vários modelos para dissecar o fluxo de cada processo e separar seus fatores de risco, utilizaremos os dois mais comuns: ANÁLISE DE ESPINHA DE PEIXE A espinha de peixe representa cada problema potencial como uma seta, que é conduzida para outro problema mais espinhoso. Ex.: identificar riscos potenciais que afetam uma operação de transporte de carga. ANÁLISE DE ÁRVORE DE FALHA É focada em eventos específicos e analisa as causas prováveis em termos de estrutura e fluxo de evento, de cima para baixo. Se construída corretamente ajuda o gerenciamento de risco a determinar e classificar com precisão todos os caminhos pelos quais um evento pode percorrer. 18

19 ANÁLISE DE RISCOS É a fase para saber qual a chance, a probabilidade dos riscos virem a acontecer e calcular seus respectivos impactos financeiros. desenvolve a compreensão dos riscos e assim a empresa poderá tomar decisões a respeito de seu tratamento; Nessa fase, estima-se a probabilidade e consequência do risco na empresa. A análise envolve a apreciação das causas e as fontes de risco, suas conseqüências positivas e negativas, e a probabilidade de que essas conseqüências possam ocorrer. Nesta fase estabelecemos critérios para os dois parâmetros universais: a probabilidade e o impacto. Os critérios para os dois parâmetros são de suma importância para a elaboração do estudo de análise de riscos. 19

20 ANÁLISE DE RISCO Nesta fase calcula-se:
PERDA ESPERADA (PE) ou Valor Monetário Esperado (VME): PE = PB (probabilidade do risco vir a acontecer) x IF (impacto financeiro – R$) A Perda Esperada representa o patamar máximo de investimento a ser realizado pela empresa na mitigação do risco. MÉTODOS DE ANÁLISE DE RISCO MÉTODOS OBJETIVOS – usados quando a empresa possui histórico consistente de eventos ocorridos (estatística); MÉTODOS SUBJETIVOS – usados quando não há dados consistentes. 20

21 ANÁLISE DE RISCO – MÉTODOS SUBJETIVOS
MÉTODO MOSLER Analisa a evolução dos riscos sob os pontos de vista quantitativo e qualitativo, enfocando as variadas atividades da empresa. Está calcado em quatro fases distintas, sendo uma metodologia seqüencial, onde uma fase depende da outra para que se possa ter uma visão global do risco: DEFINIÇÃO DO RISCO ANÁLISE DO RISCO EVOLUÇÃO DO RISCO CLASSE DO RISCO 21

22 MÉTODO MOSLER ANÁLISE DO RISCO – analisa o risco com base em seis critérios: Critério da FUNÇÃO – F – projeta as conseqüências negativas ou danos que podem alterar a atividade principal da empresa: muito gravemente – 5, gravemente, 4. Critério da SUBSTITUIÇÃO – S – avalia qual o impacto da ameaça sobre os bens ou o quanto os bens atingidos podem ser substituídos: muito dificilmente (5), dificilmente (4) Critério da PROFUNDIDADE – P – uma vez materializado o risco, qual a perturbação e os efeitos psicológicos que o risco poderá causar para a imagem da empresa: (perturbações muito graves – 5, graves – 4) Critério da EXTENSÃO – E – mede o alcance e a extensão do dano; Critério da PROBABILIDADE – Pb – possibilidade do dano ou risco vir a acontecer – muito alta – 4, alta – 4 Critério do IMPACTO FINANCEIRO – mede quais serão as perdas causdas pela concretização do risco. 22

23 ANÁLISE DE RISCO – MÉTODOS SUBJETIVOS
MÉTODO DE WILLIAN T. FINE Tem como objetivo estabelecer prioridade, integrando o grau de risco com a limitação ECONÔMICA; Calcula o perigo de cada situação q é chamado de GRAU DE CRITICIDADE OU PERICULOSIDADE Esse grau vai determinar a urgência da tomada de decisão É um método subjetivo. São só três critérios: Conseqüência – C – impactos mais prováveis de ocorrerem (grave, moderado etc) ; Exposição ao Risco –E – frequência pela qual o evento ou perigo costuma acontecer na empresa; Probabilidade – Pb – real chance do evento vir acontecer dentro de uma escala GC = C X E X Pb 23

24 TÉCNICA DA MATRIZ DE IMPACTOS CRUZADOS
Visa saber as dependências, as forças motrizes e os interrelacionamentos dos riscos corporativos; Podemos identificar quais dos riscos devem ser tratados por alavancarem outros riscos, o que pode fazer progredir de forma geométrica a perda esperada; Leva em conta a interdependência dos riscos, possibilitando uma visão macro de toda a problemática da empresa; Busca verificar como a ocorrência ou não de um risco pode aumentar ou diminuir a probabilidade de outro risco. Ex.: qual a influência do risco de um incêndio no risco de roubo dos produtos da empresa? 24

25 Visa auxiliar na tomada de decisões;
AVALIAÇÃO DE RISCO Quais riscos necessitam de tratamento e qual a prioridade para a implementação deste; Visa auxiliar na tomada de decisões; Comparar os níveis de riscos em relação ao critério pré-estabelecido na empresa; A relevância dos riscos possui como parâmetro a Matriz de Riscos. A matriz é dividida em quadrantes e para cada quadrante há uma estratégia de tratamento e priorização.; 25

26 MATRIZ DE RISCOS 26

27 FALSIFICAÇÃO, ROUBO DE CARGA ACESSO NAS ÁREAS CRÍTICAS
SABOTAGEM FRAUDE FALSIFICAÇÃO, ROUBO DE CARGA FURTO ACESSO NAS ÁREAS CRÍTICAS FUGA DE INFORMAÇÃO EXPLOSÃO INCÊNDIO ATAQUE DoS 3 Crítico 2 Aceitável 1 Controlável 2 Média 3 Alta 1 Baixa PROBABILIDADE 27

28 AVALIAÇÃO DE RISCO Quando eu avalio eu risco, eu identifico as VULNERABILIDADES da empresa; A VULNERABILIDADE de uma empresas significa o reconhecimento dos seus riscos, tanto reais como potenciais, considerando-se o impacto no patrimônio em caso de sua concretização. 28

29 TRATAMENTO DE RISCO ELIMINAR O RISCO REDUZIR O RISCO ASSUMIR O RISCO
Ex.: não andar mais de avião REDUZIR O RISCO Ex.: fábrica que constrói um depósito subterrâneo para guardar combustível líquido e assim evitar incêndio - PROGRAMA DE PREVENÇÃO ASSUMIR O RISCO Não adotar nenhuma medida para evitá-lo OU Fazer um seguro para repor suas perdas caso o risco aconteça TRANFERIR O RISCO - Fazer um seguro (alguém assume as perdas causadas) NO PLANO DE CONTINGÊNCIA constará o tratamento dos riscos, ou seja, a resposta que a empresa terá que operacionalizar. é o conjunto de medidas organizacionais, sistemas técnicos de prevenção e monitoração e recursos humanos que gerenciarão os riscos. É elaborado com base nos Fatores de Riscos visando mitigar e diminuir as probabilidades dos riscos. 29

30 MONITORAMENTO E ANÁLISE CRÍTICA
fase da checagem ou das vigilâncias regulares. Podem ser regulares – periódicas ou acontecerem em resposta a um fato específico. Deve haver uma definição clara e direta das responsabilidades de quem vai realizar o monitoramento e a análise crítica. Esta fase diz respeito ao monitoramento e revisão do desempenho das ações e sistema de gerenciamento de risco e também ao procedimento referente às mudanças que possam afetá-lo. 30

31 2.4 Registros do Processo de Gestão de Riscos
As atividades de gestão de riscos devem ser rastreáveis. Ou seja, deve haver registros, pois esses fornecem os fundamentos para a melhoria dos métodos e ferramentas, bem como de todo o processo. CONCLUSÃO O grande desafio no desenvolvimento da ISO estava em estabelecer uma linguagem comum, bem como em padronizar as melhores práticas e abordagens para que as organizações pudessem implementar a gestão de riscos em seus processos 31

32 RISCOS POSITIVOS Observa-se que recorrentemente a gestão de riscos vem sendo aplicada com foco na prevenção e tratamento de eventos de perdas. A prática revela de forma inquestionável que, no que tange a gestão de riscos, as ameaças de perdas sempre receberam maior atenção do que as oportunidades de ganhos. Contudo é fundamental ressaltar que não há nenhum impedimento teórico para um enfoque positivo da gestão de riscos. 32

33 Riscos Positivos: O que são?
RISCO NEGATIVO RISCO POSITIVO uma organização analisa suas fontes de risco de forma a identificar eventos (ameaças) com consequências negativas (perdas) sobre os resultados da organização. na gestão de riscos positivos, as mesmas fontes de risco deverão ser analisadas. Mas dessa vez, o foco deverá ser a busca de eventos (oportunidades) com consequências positivas (ganhos) que levem a organização a alcançar resultados superiores aos obtidos atualmente. Na gestão de riscos negativos, os controles internos são desenvolvidos com o objetivo de diminuir a probabilidade de concretização das ameaças e/ou diminuir as suas consequências. A gestão de riscos positivos, em contrapartida, deverá implementar controles para tirar máximo proveito das oportunidades identificadas, elevando tanto sua probabilidade de ocorrência quanto sua consequência gestão de riscos negativos vê a incerteza como fonte de perda na gestão de riscos positivos ela é uma fonte de ganhos Oportunidades (eventos relacionados aos riscos positivos) ameaças (eventos relacionados aos riscos negativos) 33

34 Uma vez identificadas ameaças e oportunidades, a organização deverá, então, implementar controles;
a diferença entre gestão de riscos positivos e gestão de riscos negativos está no foco de aplicação dado pela organização; Nesse sentido, a diferença entre uma oportunidade e uma ameaça é baseada em qual foi a intenção ou propósito da organização ao analisar as fontes de risco. Caso a intenção seja “o que pode dar mais certo do que o que dá hoje”, então o evento deve ser formulado como uma oportunidade. Caso a organização analise as fontes de risco com o propósito de encontrar “o que pode dar errado”, então os eventos levantados devem ser considerados ameaças. Essa intenção, que diferencia oportunidades e ameaças, tem um caráter subjetivo. No entanto, é bastante razoável acreditar que a maneira como um evento é entendido irá afetar o desenvolvimento dos controles propostos para seu tratamento e natureza dos ganhos resultantes. Em primeiro lugar, eventos completamente inesperados que geram ganhos para a organização não podem ser confundidos com gestão de riscos positivos. Gerir riscos positivos significa tomar medidas conscientes e estruturadas para tirar proveito de incertezas. Apenas ter sorte não significa gerir riscos positivos. 34