Como identificar, avaliar e priorizar os riscos reais da sua organização
Em artigo anterior, publiquei um bê-a-bá sobre o que é compliance, com uma linguagem simples e didática, para que qualquer pessoa pudesse compreender o tema. A repercussão foi boa e isso me motivou a dar continuidade com uma série de artigos sobre cada uma das etapas de implantação de um Programa de Compliance. Começo pelo risk assessment, que é, sem exagero, a alma de tudo.
Antes de falar em risco, entenda o contexto
O erro mais comum na construção de um programa de compliance é pular etapas. E a etapa mais frequentemente pulada é justamente a primeira: entender profundamente quem é a empresa, o que ela faz, onde atua e com quem se relaciona. Sem esse entendimento, qualquer diagnóstico de risco será superficial. E um diagnóstico superficial gera um programa frágil.
Pense nisso como a anamnese que um médico faz antes de qualquer exame. Se o médico não entende o histórico do paciente, o tratamento será genérico e provavelmente ineficaz. Com o compliance acontece exatamente a mesma coisa.
Alguns elementos são fundamentais nessa leitura inicial. O primeiro é a geografia de atuação. Uma empresa com operações em vários estados ou fora do país está sujeita a legislações diferentes, órgãos reguladores distintos e culturas locais que influenciam diretamente a conduta das pessoas. O que é aceitável em uma filial pode ser um risco sério em outra. O segundo é a natureza das relações externas. Negócios que se relacionam com o setor público precisam de cuidados redobrados com integridade, dada a maior exposição a riscos de corrupção, fraude em licitações e tráfico de influência. Empresas com grande volume de terceirização, por sua vez, precisam estar atentas aos riscos trabalhistas e contratuais com prestadores de serviço.
O terceiro elemento é a estrutura interna. Uma empresa familiar, com decisões muito concentradas numa única pessoa, apresenta perfil de risco completamente diferente de uma organização horizontal com múltiplos centros de decisão. Ambas têm riscos. Mas são riscos diferentes. O quarto é o ambiente regulatório. Hospitais, instituições financeiras, empresas do setor elétrico, organizações que operam dados pessoais: quanto mais regulado o setor, mais sensível é o risco de não conformidade. E o quinto, talvez o mais subestimado, é a cultura organizacional. O tom da liderança favorece abertura e transparência, ou é uma cultura de silêncio e medo? Há espaço para dizer não? A forma como as pessoas se sentem dentro da empresa influencia diretamente sua disposição para agir com integridade, ou para encobrir desvios.
Identificando os riscos de compliance
Com o contexto bem compreendido, o próximo passo é mapear tudo aquilo que pode comprometer a integridade da organização. Alguns riscos são clássicos e aparecem com frequência em praticamente todos os setores: pagamentos indevidos, conflitos de interesse, assédio moral ou sexual, lavagem de dinheiro, fraudes em licitações ou contratos, uso indevido de dados pessoais, irregularidades trabalhistas e retaliação a denúncias.
Esse levantamento pode ser feito por meio de entrevistas com lideranças, questionários internos, análise de histórico de auditorias e investigações anteriores, relatos de canais de denúncia e benchmarking com outras empresas do setor. O que não se pode fazer é construir esse mapa olhando apenas para documentos. Os riscos reais moram na rotina das pessoas, não nos fluxogramas de processo.
Avaliando probabilidade e impacto
Depois de identificar os riscos, é preciso classificá-los. Cada risco precisa ser analisado sob duas dimensões: a probabilidade de ocorrência e o impacto caso se concretize. Esse impacto pode ser financeiro, reputacional, jurídico ou humano. A combinação dessas duas dimensões permite construir uma matriz de priorização.
O objetivo não é tratar todos os riscos com a mesma intensidade. Um risco com alta probabilidade e alto impacto exige atenção imediata e recursos significativos. Um risco improvável e de baixo impacto pode ser apenas monitorado. Essa distinção parece óbvia quando explicada assim. Mas na prática, muitas organizações tratam tudo como igualmente urgente, o que esgota recursos sem gerar proteção real.
Definindo prioridades e planos de ação
Com os riscos classificados, o programa de compliance precisa definir como atuará sobre cada um deles. Isso pode envolver a criação ou revisão de políticas específicas, o treinamento de áreas mais expostas, a implementação de controles adicionais, a melhoria dos canais de denúncia e o acompanhamento contínuo de indicadores. Tudo devidamente documentado, com responsáveis definidos e prazos estabelecidos. Um plano de ação sem dono não é um plano. É uma intenção.
Atualizando o risk assessment com frequência
Risk assessment não é algo que se faz uma vez e arquiva. O ambiente muda, a empresa cresce, os riscos evoluem. Por isso, recomenda-se reavaliar pelo menos anualmente, ou sempre que ocorram mudanças relevantes, como fusões, aquisições, entrada em novos mercados ou alterações regulatórias significativas. As áreas de negócio precisam ser envolvidas nessas revisões. E o risk assessment precisa ser a base do plano anual de compliance, não um documento paralelo que ninguém consulta.
Uma observação importante: os riscos não são iguais mesmo entre empresas que atuam no mesmo setor, com o mesmo porte e na mesma região. Não existe receita de bolo. Cada organização tem sua história, sua cultura, seus relacionamentos e suas vulnerabilidades específicas. Copiar o modelo de outra empresa pode dar uma falsa sensação de segurança enquanto os riscos reais permanecem sem tratamento.
E nas empresas pequenas?
Essa é uma das perguntas mais importantes da prática. E a resposta é direta: empresas pequenas também têm riscos. Em alguns casos, mais do que imaginam.
O risco trabalhista é um dos mais frequentes. Funcionário sem registro, pagamento por fora do holerite, ausência de controle de jornada, falta de equipamentos de proteção: tudo isso pode parecer simples de resolver depois, até que uma denúncia no sindicato ou uma fiscalização do Ministério do Trabalho transforme um problema evitável numa crise real, com multas, processos e paralisação de atividades.
O risco fiscal também é recorrente. Vendas sem nota fiscal, simulação de operações, incompatibilidade entre faturamento real e declarado: o custo do improviso pode ser altíssimo, inclusive com o CNPJ suspenso. O risco reputacional, por sua vez, é especialmente crítico para pequenas empresas, que vivem de indicação, confiança e relacionamento direto. Um escândalo local de assédio, desrespeito ou fraude pode destruir em dias uma reputação construída ao longo de anos. E o risco de informalidade nos processos é quase universal: quando não há critérios claros sobre quem aprova pagamentos, como são contratados fornecedores ou como são concedidos descontos, tudo depende da confiança. E confiança sem controle é terreno fértil para falhas e desvios.
Mesmo sem uma área formal de compliance, o dono ou a gestora da empresa pode e deve parar para pensar sobre seus riscos. Isso é compliance na essência. Basta uma folha de papel, uma conversa honesta com quem conhece o dia a dia e a pergunta certa: onde estamos mais vulneráveis?
Para encerrar
O risk assessment é o ponto de partida de qualquer programa de compliance sério. Sem ele, o programa vira um castelo bonito construído sobre terreno instável. Com ele, o compliance se torna uma ferramenta real de gestão, de proteção e de geração de valor.
Não é necessário começar com ferramentas caras nem com metodologias sofisticadas. Um bom risk assessment pode começar com uma planilha simples, perguntas bem-feitas e escuta ativa de quem vive a rotina da empresa. O importante é entender os riscos reais da organização. Não copiar modelos prontos que foram criados para outras realidades.
Se você está começando sua jornada com compliance, comece por aqui. Porque compreender os riscos é o primeiro passo para construir confiança. E confiança, como já vimos, é o ativo mais valioso que uma organização pode ter.
Eder Carvalho Magalhães
Consultor em Governança, Riscos, Controles Internos, Compliance e Auditoria
