O que é risco operacional?

Empresas responsáveis trabalham para gerenciar riscos operacionais identificando o que pode dar errado, avaliando o grau de perigo de um risco e desenvolvendo estratégias para se preparar e minimizar a exposição a ele. Cada empresa tem seu próprio nível de apetite e tolerância ao risco.

Quais são as causas do risco operacional?

O risco operacional se enquadra em quatro categorias principais. A empresa fica exposta a eles em algum grau, dependendo do tipo de negócio.

Risco humano

Esta categoria de risco operacional inclui basicamente todo tipo de problema relacionado com pessoas. Exemplos disso são má gestão, capacitação inadequada, conflitos no local de trabalho, falta de pessoal, acidentes por negligência ou fraude por parte dos funcionários. Portanto, as empresas precisam contratar profissionais qualificados e confiáveis para auxiliar na gestão de seus negócios. Para mitigar esse tipo de risco, algumas empresas substituem funcionários por automação ou máquinas sempre que possível.

Risco de sistema

À medida que a tecnologia avança, as empresas adotam mais software novo, que aumenta a facilidade e acessibilidade da execução de suas operações diárias, pois automatiza tarefas e substitui funcionários que teriam que ser remunerados. Os sistemas e o software também não são perfeitos e, embora auxiliem as empresas a aumentar a eficiência e a produção, apresentam seus próprios problemas. O risco de sistema é, portanto, qualquer tipo de risco relacionado às tecnologias que as empresas adotarão. Sistemas computadorizados podem apresentar erros ou falhas, paralisando toda a atividade da empresa. Ataques cibernéticos também podem prejudicar a empresa, obrigando o pagamento de um resgate ou resultando no roubo de propriedade intelectual, ou dos dados de clientes. As empresas devem garantir que os sistemas estejam sempre seguros, atualizados e funcionando perfeitamente, pois, às vezes, basta um pequeno erro para causar um problema significativo.

Risco do processo

Cada empresa tem sua própria forma de operar. O risco do processo está relacionado a problemas que surgem nos processos internos da empresa. Isso pode ir de erros e atrasos no processamento de documentos ou transações até falhas na prevenção de fraudes. As empresas precisam implementar controles internos e contar com retorno para melhorar a eficiência de seus processos.

Risco externo

Os riscos externos estão fora do controle da empresa. Um fornecedor pode encerrar suas atividades. Um furacão pode interromper as cadeias de abastecimento. Mudanças nas normas e na política podem prejudicar as operações.

Quais são os tipos de risco operacional?

Agora que abordamos as quatro causas, vamos examinar os sete tipos diferentes de risco operacional em que elas podem ser divididas.

Fraude interna. Os funcionários desviam, intencional e secretamente, recursos da empresa. Cabe à administração ter os controles adequados.

Fraude externa. Uma parte externa tenta roubar recursos ou propriedade da empresa. Isso pode ser hackers roubando dinheiro ou concorrentes roubando propriedade intelectual.

Falhas tecnológicas. O software e os sistemas de computador da empresa apresentam falhas.

Gestão de processos. Os responsáveis não desenvolvem a resposta adequada a um problema ou não implementam sua estratégia.

Segurança no local de trabalho. A empresa viola as normas de segurança ou não protege seus funcionários contra danos físicos ou mentais.

Prejuízos. Fatores externos, como condições climáticas ou desastres naturais, afetam o abastecimento ou a produção da empresa, ou a capacidade dos funcionários de fazer seu trabalho. Um incêndio ou uma enchente repentina podem interromper uma cadeia de abastecimento. Uma nevasca pode impedir as pessoas de chegar ao local de trabalho. A rede de restaurantes americana Waffle House é um exemplo de empresa com excelente preparação para desastres, pois é conhecida por ficar aberta o dia inteiro, o ano inteiro, exceto em condições extremamente adversas. Existe até um medidor chamado Índice Waffle House, utilizado para medir a gravidade de uma tempestade.

Clientes. A empresa prejudica seus clientes ao oferecer informações falsas, produtos defeituosos, não cumprir a lei ou não atender as exigências.

Outros tipos de risco

Vamos examinar como o risco operacional se compara ao risco financeiro, de mercado e estratégico.

O risco de mercado refere-se ao risco de perdas associadas a variações nos preços de mercado, como ações, taxas de juros e taxas de câmbio. Os preços das ações podem estar diretamente relacionados ao humor do mercado. Os investidores têm determinada opinião sobre a empresa e os preços das suas ações e opções: estão supervalorizados ou com desconto? O humor é altista ou baixista? O risco de mercado também está relacionado às variações nas taxas de juros, visto que elas afetam o custo do crédito para as empresas. Alterações nas taxas de câmbio, no preço das matérias-primas e outros fatores econômicos entram em jogo nesta situação.

O risco de crédito refere-se ao risco de perda financeira que a empresa enfrenta quando não tem mais dinheiro suficiente para pagar seus empréstimos e dívidas. Embora isso possa estar relacionado a uma gestão deficiente e vendas insatisfatórias, o risco financeiro é diferente do risco operacional porque está relacionado à saúde financeira da empresa, não à forma como ela faz suas operações no dia a dia.

O risco estratégico está relacionado com a estratégia e os objetivos da empresa no longo prazo. Isso pode ser resultado da incapacidade da empresa de se adaptar a novas normas, por exemplo, ou de investir demais em um setor que não apresenta crescimento. Está relacionado ao risco operacional, no sentido em que o risco operacional é o risco de falha encontrado ao tentar implementar essa estratégia. Os erros operacionais humanos ou de sistema têm um impacto mais imediato.

Gestão do risco operacional

Quem faz a gestão do risco operacional?

A responsabilidade pela gestão do risco operacional geralmente recai sobre a administração superior. Ela deve estar ciente do que pode dar errado e fazer as perguntas certas para identificar os diferentes riscos que surgem nas operações diárias de seus negócios. Após identificar os riscos que deseja priorizar e focar, ela estabelece estratégias para mitigá-los e controlá-los, além de supervisionar os escalões inferiores da administração, de modo a garantir que eles estejam implementando as estratégias.

Como se lida com isso?

A equipe de gestão da empresa pode então tomar diferentes medidas. Se ela decidir que aceita o risco e não enxerga tanta ameaça nele, é possível simplesmente aceitá-lo e não fazer nada, continuando a monitorá-lo. Ela também pode optar por continuar fazendo a atividade de risco, mas dispondo do seguro de outra empresa, essencialmente transferindo o risco para essa terceirizada. Se o risco for significativo demais para ser ignorado, ela pode desenvolver estratégias para minimizá-lo ou simplesmente cessar todas as atividades relacionadas a ele.

Nível de risco

Os riscos podem ser mais ou menos prováveis e graves. A empresa vai avaliá-los para determinar a probabilidade de ocorrência e o impacto negativo que podem ter nas operações. Também será determinado se realmente vale a pena abordar o risco para evitá-lo, ou se isso custaria mais do que o resultado em potencial. Normalmente, a administração da empresa mede o risco em cinco níveis diferentes, dependendo da probabilidade de ocorrência. O risco pode ser altamente improvável (o que significa que tal ocorrência é um caso raro e excepcional), altamente provável (o que significa que esse tipo de ocorrência é muito frequente ou acontece na maioria dos casos) e qualquer coisa entre esses dois extremos. Tenha em mente que cada empresa tem sua própria propensão ao risco e sua maneira de medir o nível de risco.

Exemplos de risco operacional

O risco operacional pode ser qualquer coisa relacionada ao funcionamento interno de uma empresa. Ele varia de lavagem de dinheiro até vulnerabilidade a ataques cibernéticos. A seguir, temos dois exemplos específicos de empresas que foram afetadas pelo risco operacional.

• O primeiro ocorreu em 1997. Um incêndio ocorreu na fábrica da Aisin, no Japão, que era a única fornecedora da Toyota de válvulas de distribuição de fluido de freio, um componente essencial dos carros. A Toyota teve que interromper a produção por vários dias porque a fábrica da Aisin não conseguia mais entregar as peças. A dependência de um único fornecedor deixou a Toyota vulnerável, e sua administração aprendeu que era necessário diversificar a cadeia de abastecimento e reforçar o preparo para crises futuras, a fim de evitar que isso se repetisse.

• Um segundo exemplo ocorreu em 2024, quando a empresa de segurança cibernética CrowdStrike fez uma atualização de software defeituosa, causando a falha de 8,5 milhões de computadores com Microsoft Windows no mundo inteiro. Esse fato de proporções globais impactou praticamente todas as áreas da sociedade, de aeroportos a hospitais, bancos, mídia e muito mais, causando prejuízos de US$10 bilhões. As ações da CrowdStrike despencaram e levaram meses para se recuperar, e sua imagem ficou prejudicada. Como todas essas empresas dependiam de uma única tecnologia para operar seus negócios, elas estavam vulneráveis e expostas a riscos caso algo acontecesse. Isso também mostrou que a CrowdStrike precisava fazer mais testes e ter melhor preparo para lidar com esse tipo de cenário.

Resumo

O risco operacional está sempre presente e em constante evolução, à medida que a empresa trabalha para executar sua estratégia. O risco nunca pode ser totalmente eliminado. As empresas precisam, portanto, desenvolver estratégias para mitigá-lo e decidir o grau tolerável de risco. Como investidor, é importante estar ciente do que pode dar errado nas operações diárias da empresa na qual se investe, bem como o grau de preparo dela para isso. Uma empresa com uma boa gestão do risco operacional estará mais bem posicionada para evitar perdas decorrentes de imprevistos e desenvolver bons processos internos e resiliência, o que é uma boa notícia para o seu investimento.