Gestão de Risco Empresarial

O que é ERM — e os dois frameworks por trás do acrônimo

Cada departamento gerencia seus próprios riscos — finanças se protegem, TI aplica correções, revisões legais. Gestão de riscos empresariais existe porque os riscos que matam organizações não respeitam esses silos: eles interagem, se concentram e chegam ao topo da organização. A GRC é a disciplina de ver o portfólio de riscos como um todo, ancorado a objetivos: o que poderia nos impedir de alcançar o que decidimos alcançar — e o que estamos fazendo a respeito, intencionalmente?

Dois referenciais ancoram o campo. O framework de ERM do COSO (2004; substancialmente revisado em 2017 como Gestão de Risco Empresarial — Integrando com Estratégia e Desempenho) — a revisão é importante, pois reformulou a ERM de um exercício de controle interno para uma disciplina estratégica: risco considerado na definição de objetivos, não apenas na proteção deles. ISO 31000 (2009, revisada em 2018) contribui com o esqueleto de processo limpo: estabelecer contexto, identificar, analisar, avaliar, tratar, monitorar, comunicar — de forma iterativa, não anualmente.

O vocabulário de trabalho: uma declaração de apetite ao risco (quais riscos, quanto, em busca de quê); um registro de riscos (cada risco com um responsável, um julgamento honesto de probabilidade e impacto, tratamentos e indicadores precoces); e os quatro tratamentos clássicos — evitar, reduzir, transferir (seguros, contratos), aceitar. Esse último merece reabilitação: aceitar um risco, explicitamente, com razões registradas, é uma decisão — muitas vezes a correta. O que nunca é certo é aceitar por padrão porque ninguém olhou. Uma nota de escopo: a governança e conformidade específicas de IA é uma disciplina própria com sua própria pilha regulatória — esse é o território do nosso produto irmão AIAgentree; esta página mantém o ERM como uma estrutura de decisão geral. Contexto: modelos de tomada de decisão e o registro de auditoria de decisões.

Quando usá-lo — e quando não usar

ERM ganha seu sustento quando:

• ✓Os objetivos são definidos e as exposições seguem. Compromissos estratégicos criam risco; a GRC torna a tomada deliberada — a estrutura COSO de 2017.
• ✓Os riscos se concentram em silos. Uma falha de fornecedor que é simultaneamente um evento de operações, finanças e reputação é invisível para as listas de riscos departamentais e óbvia para uma visão de portfólio.
• ✓As partes interessadas exigem decisões conscientes dos riscos — conselhos, reguladores, seguradoras, clientes corporativos. Uma prática de GER eficaz responde com evidências em vez de garantias.

E seus modos de falha:

• ✗O binder de conformidade. Um registro mantido para a auditoria e consultado por ninguém no momento da decisão. Se o registro não aparece quando as decisões são tomadas, a prática é teatro com uma taxonomia.
• ✗Notas vestidas como dados. Probabilidade 3 × impacto 4 = 12 — aritmética com aparência precisa sobre julgamentos que ninguém contestou. Os julgamentos estão bem; esconder sua base não está.
• ✗Declarações de apetite que não bloqueiam nada. "Aceitamos risco moderado na busca por crescimento" não bloqueia nenhuma decisão e permite que todos. O apetite ganha seu nome quando uma proposta real pode falhar.
• ✗Revisões de risco desvinculadas das decisões. Uma reunião trimestral de risco sem conexão com as escolhas reais do trimestre gerencia o registro, não o risco.

Passo a passo, com um exemplo trabalhado

Cenário ilustrativo: uma empresa de SaaS inventada com 300 pessoas estabelecendo uma prática de ERM funcional (não cerimonial). O procedimento:

1. 1Estabelecer contexto e apetite. Objetivos: crescimento no segmento empresarial, confiabilidade da plataforma, situação regulatória. Apetite, escrito para o portão: dependências de fornecedor único acima de uma participação de receita definida requerem aprovação do conselho; nenhuma aceitação de riscos que ameaçam a integridade dos dados dos clientes; risco de experimento de produto é bem-vindo dentro de um orçamento definido.
2. 2Identificar entre silos. Workshops por função mais uma passagem transversal. A visão do portfólio imediatamente revela uma concentração: um provedor de nuvem subjaz ao objetivo de confiabilidade, o maior contrato de cliente e a história de recuperação de desastres — três riscos departamentais que são um risco empresarial.
3. 3Analise honestamente. Cada entrada de registro carrega probabilidade e impacto como julgamentos argumentados com uma base declarada — histórico de interrupções, termos contratuais, incidentes comparáveis — não pontuações nuas. Desacordos sobre uma classificação são registrados, não eliminados pela média.
4. 4Avaliar em relação ao apetite. A concentração na nuvem excede a linha de fornecedor único → tratamento obrigatório. Uma dependência menor de ferramentas está dentro do apetite → aceita, com razões e um responsável, registrado.
5. 5Tratar, com proprietários e datas. Reduzir: arquitetura multi-região para o caminho crítico (programa de 12 meses). Transferir: termos de interrupção de negócios renegociados. O risco residual após o tratamento é reavaliado — o tratamento muda o número, e o registro diz isso.
6. 6Monitor com indicadores que alimentam decisões. Taxas de incidentes do provedor, participação na concentração de contratos, resultados de testes de DR — cada um com um responsável e um limite que aciona uma revisão de decisão, não um memorando. O registro é consultado a cada compromisso importante: esta decisão altera alguma entrada?

ERM como uma árvore de argumentos

Em termos de qualidade de decisão, a GRC alimenta informação (um inventário mantido do que pode dar errado, com evidências) e o quadro (objetivos e apetite que definem quais riscos estão em escopo). Sua falha crônica — o fichário que ninguém abre — é um problema estrutural: o registro vive separado das decisões que criam as exposições. Em uma árvore de argumentos, essa separação se fecha:

ERM vs as alternativas