Governanças: Gerenciamento de Riscos

Hoje será finalizado o assunto Gerenciamento de Riscos, vamos ao post...

O Gerenciamento dos Riscos

Realizar a análise e avaliação dos riscos (qualitativa e quantitativa)

Nesta etapa ocorre a priorização e definição de impacto (numérico/financeiro) dos riscos já identificados.

A avaliação qualitativa ocorre pela combinação da possibilidade do risco ocorrer (probabilidade) versus o impacto causado, facilitando, assim, a categorização de riscos de maior prioridade de ação. Aqui os riscos que ultrapassarem o limite imposto pela Política de Gerenciamento de Riscos deverão seguir o processo definido pela instituição (uma atividade de alto risco, por uma estratégia de negócio, pode ter sua execução aprovada pela Alta Direção), os riscos que ficarem abaixo do limite, por uma questão de redução de custo/esforço ficarão apenas em uma watch list, sendo frequentemente revisitados para acompanhar a sua estabilidade.

Para se classificar um risco deve ser utilizada uma matriz de probabilidade versus impacto, situando-o em quadrantes de priorização, como na matriz exemplificada abaixo:

Matriz de probabilidade X impacto

O agrupamento dos riscos ajuda na elaboração de estratégias de respostas, quanto mais altos, mais prioritária a ação de contenção e mais agressiva deverá ser a resposta. Riscos de classificação média podem ser tratados de forma não emergencial e os riscos de classificação baixa, podem ser colocados na watch list para monitoramento. No caso da ocorrência de riscos positivos (oportunidades) na zona de classificação alta, estes devem ser priorizados e potencializados para tenham mais chances de ocorrer e façam a instituição aproveitar-se mais deles.

Nem todos os riscos devem seguir a mesma regra de classificação, atente-se à Política de Gerenciamento de Riscos da instituição e ao equilíbrio entre a instituição aceitar ou recusar um determinado tipo de risco, como por exemplo, a instituição aceita bem o risco de ter atrasada sua entrega pois o custo da multa de não atender ao SLA é baixo ou inexistente, mas nega veementemente o risco de baixa qualidade, pois ela desenvolve um software de carga útil para satélites de alta criticidade. O ideal é que sua instituição possua uma matriz de classificação de risco para cada área definida pelo PMBOK.

Uma vez que os riscos já possuam sua classificação, passamos a avaliá-lo numericamente (quantitativa), apoiando na tomada de decisões estratégicas. Como esta análise quantitativa demanda um esforço, somente os riscos priorizados serão analisados, criando, assim, uma nova classificação/priorização para estes riscos. Em alguns momentos esta análise poderá ser prejudicada pela falta de informações financeiras do risco, devendo, então, ser analisada sua necessidade/viabilidade.

Caso seja feita a análise quantitativa dos riscos, poderá se utilizar um gráfico de tendência para conhecer o grau de redução do custo dos riscos após a aplicação das respostas aos mesmos.

A cada novo risco identificado deverá ser executado esta etapa de análise e avaliação dos riscos.

Realizar o planejamento das respostas aos riscos

Nesta etapa são elaboradas as ações para redução/eliminação do risco ou para aumentar as oportunidades.

Sabemos que não conhecemos (ou não temos condição de mapear) TODOS os possíveis riscos de uma atividade, portanto existem riscos desconhecidos (sem ação) e existem os riscos identificados - para estes pode ser criada uma reserva financeira de contingência para uso pela instituição, caso o risco ocorra, reduzindo o seu impacto.

Cada risco a ser tratado deve possuir um responsável pelo acompanhamento do mesmo.

Uma das estratégias de planejamento de resposta aos riscos pode ser planejar as respostas para somente serem executadas se determinados eventos ocorrerem, criando, assim, o plano de contingência de riscos - com estas respostas de contingência, que somente serão executadas quando determinados triggers (gatilhos) acontecerem.

As estratégias de respostas aos riscos negativos, também conhecidos como ameaças, são:

Aceitar: é saber que o risco existe, mas somente atuar após sua ocorrência (aceitação passiva) ou ainda definir uma reserva de contingência (financeira, recursos ou tempo) para uso na ocorrência do risco (aceitação ativa).
Evitar/prevenir: é atuar nos planos para que a ameaça seja eliminada por completo, desde uma mudança drástica nos planos até mesmo a interrupção das ações que disparam o risco.
Mitigar: é atuar no risco identificado para reduzir sua probabilidade e/ou impacto antes que o trigger do mesmo seja disparado.
Transferir: é não atuar no diretamente no risco, mas sim, passar sua responsabilidade para terceiros, pagando-se por isto.

As estratégias de respostas aos riscos positivos, também conhecidos como oportunidades, são:

Aceitar: é não atuar na potencialização da oportunidade, apenas aceitá-la, caso aconteça.
Explorar: é atuar para reduzir a incerteza de ocorrência da oportunidade, aumentando a chance dela ocorrer.
Melhorar: é atuar para garantir que o risco positivo aconteça, aumentando ao máximo possível a sua probabilidade e o seu impacto.
Compartilhar: é dividir a oportunidade com um terceiro para que aumente a capacidade de sucesso na ação como um todo - “dividir para conquistar”.

Realizar o monitoramento dos riscos

Nesta etapa são realizados, de forma cíclica, o acompanhamento dos riscos identificados, o levantamento de novos riscos, o monitoramento de riscos residuais (derivados das repostas aos mesmos) e a avaliação do Processo de Gestão dos Riscos com o objetivo de melhoria contínua (eficácia/eficiência).

Assim, com esta iteração, os riscos serão atualizados (incluídos, alterados ou removidos) sendo refletido em alterações nas estratégias selecionadas como resposta aos mesmos (incluídas, alteradas ou removidas), mantendo os responsáveis pelos mesmos sempre ativos em seu monitoramento.

Acredito que neste ponto seja válido um “pequeno parêntesis” sobre os termos eficácia/eficiência, por vezes empregados de forma equivocada: