Apetite ao risco.

Para que serve o apetite ao risco

O apetite ao risco existe para resolver uma discussão antes que ela aconteça. Cada decisão de tratamento, cada « corrigimos isto ou convivemos com isso », é na verdade uma pergunta sobre quanto risco a organização está disposta a carregar face ao benefício de perseguir os seus objetivos. Se essa fronteira reside apenas na cabeça de quem dirige o programa, então cada decisão torna-se um juízo privado que mais ninguém assinou, e é exatamente isso que um auditor ou um questionamento do conselho irá desmontar.

Um apetite escrito, assumido ao nível da direção ou do conselho, transforma esses juízos dispersos numa posição organizacional declarada. É um instrumento de governação, não papelada: indica à equipa de risco onde pode avançar por sua própria autoridade e onde um risco tem de ser escalado.

Ponto crucial: o apetite define-se na linguagem dos objetivos, não como um número único. Uma organização que persegue um crescimento agressivo num novo mercado aceitará racionalmente mais risco estratégico e operacional do que outra cujo mandato é proteger um serviço regulado e crítico para a vida. O conselho decide quanta exposição está disposto a consentir para alcançar o que pretende. É por isso que o apetite não pode ser delegado à função de segurança ou de risco para que o invente por conta própria: é uma declaração de intenção que apenas as pessoas responsáveis pelos objetivos podem legitimamente fazer.

Apetite versus tolerância versus capacidade

Estes três conceitos são constantemente confundidos, e a confusão sai cara. O apetite é quanto risco se quer assumir na prossecução dos objetivos. A tolerância é o desvio que se está disposto a aceitar em torno desse apetite antes de agir, a banda prática de ambos os lados do alvo. A capacidade é o máximo absoluto que a organização poderia absorver antes de a sua viabilidade ser ameaçada, independentemente do que quer. Fixa-se o apetite abaixo da capacidade de propósito, deixando margem, e exprime-se a tolerância para que a variação do dia a dia não desencadeie uma reunião de crise de cada vez.

Como surge nas normas

Na ISO 31000, o apetite ao risco faz parte do enquadramento que a liderança estabelece quando se compromete a gerir o risco: espera-se que a gestão de topo e os órgãos de supervisão definam e comuniquem quanto risco a organização está disposta a assumir. A ISO 27005 e o sistema de gestão de segurança da informação ISO 27001 assentam na mesma ideia através dos critérios de risco: antes de poder avaliar um risco, precisa de critérios acordados sobre o que é aceitável, e esses critérios são o apetite tornado operacional. O apetite está a montante da avaliação, e os critérios são a forma como ele se aplica de modo coerente a cada risco.

O apetite não é um cartaz na parede. Só ganha o seu lugar quando está ligado ao resto do ciclo. O passo de avaliação do risco compara cada risco analisado com os critérios derivados do apetite para decidir se é necessária uma ação. A decisão de tratamento do risco, evitar, reduzir, transferir ou aceitar, justifica-se por referência a ele: um risco aceite dentro do apetite só precisa de uma aceitação documentada e autorizada, ao passo que um risco acima do apetite exige tratamento ou uma aprovação formal e escalada. O registo de riscos regista onde cada entrada se situa em relação ao apetite e quem aceitou o quê. Quando os auditores encontram decisões de tratamento que ninguém consegue ligar a um apetite declarado, é essa a lacuna que faz ruir toda a avaliação.

Na prática, o apetite revê-se, não está gravado em pedra. É reexaminado à medida que os objetivos mudam, após incidentes graves e através da revisão pela gestão, porque um apetite fixado para a estratégia do ano passado orienta discretamente de forma errada as decisões deste ano. A disciplina consiste em mantê-lo explícito, mantê-lo assumido ao mais alto nível e mantê-lo ligado aos critérios que a equipa realmente utiliza.