quarta-feira, 13 junho, 2012 - 13:09 Comentários (0)

Escrito por: Robert S. KaplanAnette Mikes

A GRANDE IDEIA

Gestão de Riscos: um novo modelo

A empresa astuta casa abordagem à natureza do perigo que enfrenta.

Quando virou presidente da BP, em 2007, Tony Hayward prometeu fazer da segurança a prioridade.Entre as novas regras que instituiu estava a exigência de que todo trabalhador usasse copo com tampapara tomar café em movimento e não mandasse mensagens de texto enquanto dirigia. Três anosdepois, ainda no mandato de Hayward, a plataforma de petróleo Deepwater Horizon explodiu no Golfodo México � um dos piores acidentes com o dedo do homem na história. A comissão encarregada doinquérito nos Estados Unidos atribuiu a tragédia a falhas de gestão que minaram �a capacidade deindivíduos envolvidos de identificar os riscos que enfrentavam e de corretamente avaliá-los, comunicá-los e corrigi-los�.

O caso de Hayward reflete um problema comum. Apesar de todo o discurso e do dinheiro investido, agestão de riscos ainda costuma ser tratada como uma questão de �compliance� que pode ser resolvidacom a adoção de um sem-fim de regras � e a fiscalização para que todo funcionário as siga.Naturalmente, muitas dessas regras são sensatas e reduzem, sim, riscos capazes de abalar seriamentea empresa. Mas uma gestão de riscos fundada em regras não vai reduzir nem a probabilidade nem oimpacto de uma tragédia como a da Deepwater Horizon � assim como não impediu o tombo de muitasinstituições financeiras durante a crise de crédito de 2007�2008.

Neste artigo, apresentamos uma nova categorização de riscos. Com ela, o executivo vai poder dizer queriscos podem ser geridos com um modelo à base de regras e quais exigem outras abordagens.Examinamos desafios individuais e organizacionais inerentes à geração de uma discussão aberta econstrutiva sobre a gestão de riscos ligados a escolhas estratégicas e sustentamos que a empresaprecisa ancorar essa discussão nos processos de formulação e implementação da estratégia. Paraconcluir, mostramos como a organização pode identificar riscos impossíveis de prever, alheios a suaestratégia e a suas operações � e se preparar para eles.

Gestão de riscos: regras ou diálogo?

O primeiro passo para a criação de um bom sistema de gestão de riscos é entender a distinçãoqualitativa entre as modalidades de risco que a organização enfrenta. Nossa pesquisa em campomostra que todo risco cai em uma de três categorias. Em qualquer uma delas, a materialização do riscopode ser fatal para a estratégia e até para a sobrevivência da empresa.

Categoria I: riscos evitáveis. São riscos internos, surgidos dentro da organização. São controláveis ��edevem ser eliminados ou evitados. Exemplos incluem riscos trazidos por atos não autorizados, ilegais,antiéticos, incorretos ou inadequados de trabalhadores e gestores e riscos de falhas em processosoperacionais de rotina. Obviamente, toda empresa deve ter uma margem de tolerância para falhas ouerros que não viriam a causar sérios danos à empresa � e que, para serem totalmente evitados,custaria caro demais. Em geral, no entanto, é preciso tentar eliminar esses riscos, pois assumi-los nãotraz nenhum benefício estratégico. Um operador de mercado trapaceiro ou um funcionário que subornauma autoridade podem trazer um ganho a curto prazo. Com o tempo, no entanto, esses atos vãoderrubar o valor da empresa.

clique na imagem para ampliar

A melhor maneira de administrar essa categoria de risco é com a prevenção ativa: monitorar processosoperacionais e conduzir o comportamento e as decisões de indivíduos rumo às normas desejadas. Jáque há considerável literatura sobre a abordagem de compliance baseada em regras, pedimos ao leitorinteressado que confira o quadro �Como identificar e administrar riscos evitáveis� para não entrar, aqui,numa discussão exaustiva de melhores práticas.

Categoria II: riscos da estratégia. Para conseguir um retorno maior com sua estratégia, uma empresaaceita voluntariamente um certo risco. Ao emprestar dinheiro, um banco assume risco de crédito, porexemplo; muitas empresas assumem risco em atividades de pesquisa e desenvolvimento.

Riscos da estratégia são bem distintos de riscos evitáveis por não serem inerentemente indesejáveis.Se o retorno esperado de uma estratégia for alto, em geral a empresa terá de assumir riscosconsideráveis � e administrar esses riscos é crucial para obter os potenciais ganhos. A BP aceitou oalto risco da exploração de petróleo quilômetros abaixo da superfície do Golfo do México devido ao altovalor do óleo e do gás que esperava extrair dali.

Não há como administrar riscos da estratégia com um modelo de controle baseado em regras. Em vezdisso, é preciso um sistema de gestão de riscos que reduza a probabilidade de que os riscosassumidos venham a se concretizar e aumente a capacidade da empresa de administrar ou conterproblemas correla-tos que eventualmente ocorram. Um sistema desses não faria a empresa desistir deempreendimentos de risco; ao contrário, permitiria que entrasse em projetos de maior risco e maiorretorno do que concorrentes com uma gestão de riscos menos eficaz.

Categoria III: riscos externos. Certos riscos decorrem de fatos alheios à empresa e estão além da suainfluência ou controle. São riscos causados por desastres naturais e políticos e grandestransformações macroeconômicas. Riscos externos exigem uma terceira abordagem. Já que não hácomo impedir a ocorrência desses eventos, a gestão da empresa deve se concentrar na identificação

(em retrospecto, tendem a ser evidentes) e na mitigação de seu impacto.

Toda empresa deve ajustar seus processos de gestão de riscos a cada categoria dessas. Umaabordagem baseada em compliance, embora boa para a gestão de riscos evitáveis, é totalmenteinadequada para riscos da estratégia e riscos externos, que exigem uma abordagem radicalmentedistinta, baseada na discussão aberta e explícita do risco. Aqui, no entanto, é mais fácil falar do quefazer; muita pesquisa comportamental e organizacional já demonstrou que o indivíduo tem fortes viesescognitivos que o impedem de pensar sobre o risco e de discuti-lo � até que seja tarde demais.

clique na imagem para ampliar

Por que é difícil falar de riscos

Vários estudos revelam que o ser humano superestima seu poder de influenciar acontecimentos que,na realidade, são fortemente determinados pelo acaso. Tendemos a confiar demais na exatidão denossas projeções e avaliações de risco e a reduzir demais o leque de desfechos que poderiam ocorrer.

Além disso, ancoramos nossas estimativas nos dados que temos à mão, apesar do notório perigo defazer extrapolações lineares, a partir da história recente, para um futuro muito incerto e variável. Muitasvezes, agravamos o problema com o viés da confirmação, que nos leva a privilegiar informações quecorroboram nossa posição (em geral, acertos) e a suprimir informações que a contradigam (em geral,erros). E se um acontecimento foge a nossas expectativas, tendemos a intensificar o compromisso,irracionalmente jogando ainda mais recursos em um curso de ação infrutífero � ou seja, investindonuma canoa furada.

Vieses organizacionais também prejudicam nossa capacidade de falar sobre o risco e o erro. Diante decondições incertas, é comum uma equipe resvalar para o pensamento de grupo, o �groupthink�: umavez que um determinado curso de ação conquista o apoio de um grupo, novos integrantes tendem acalar suas objeções � ainda que válidas � e a acatar o rumo definido. O risco de groupthink é maiorse a equipe é chefiada por um líder dominador ou confiante demais � líder que queira minimizarconflitos, atrasos e questionamentos a sua autoridade.

Juntos, esses vieses individuais e organizacionais explicam por que tanta empresa ignora ou interpretaerroneamente ameaças ambíguas. Em vez de mitigá-lo, muitas empresas acabam incubando o riscoatravés da normalização do desvio � pois aprendem a tolerar falhas e erros aparentemente menores ea tratar sinais iniciais de perigo como alarme falso, em vez de alerta para um perigo iminente.

Um bom processo de gestão de risco precisa combater esses vieses. �Mitigar riscos é algo difícil, não éum ato natural para um ser humano�, diz Gentry Lee, engenheiro-chefe de sistemas do Jet PropulsionLaboratory (JPL), divisão da agência espacial dos EUA, a Nasa. Especialistas em foguetes nas equipesdo JPL vieram das melhores universidades do país. Muitos deles nunca viveram um revés � seja nafaculdade, seja no trabalho. O maior desafio de Lee na instituição de uma nova cultura de risco no JPLera fazer essas equipes se sentirem à vontade para pensar e falar sobre o que poderia dar errado comseus espetaculares projetos.

Aqui, regras sobre o que fazer e o que não fazer não irão ajudar. Aliás, normalmente têm o efeitooposto, incentivando uma mentalidade de �checklist� que inibe o questionamento e a discussão. Agestão de riscos da estratégia e de riscos externos requer abordagens muito distintas. Para começar,vejamos como identificar e mitigar riscos da estratégia.

Como administrar riscos da estratégia

Nos últimos dez anos de estudo, deparamos com três abordagens distintas à gestão de riscos da

estratégia. O melhor modelo para uma determinada empresa vai depender muito do contexto no qual aorganização opera. Cada abordagem implica estruturas e papéis bem distintos para um departamentode gestão de risco, mas as três incentivam o pessoal a questionar premissas atuais e a discutirinformações ligadas ao risco. Nossa conclusão de que não há uma abordagem boa para toda equalquer situação vai contra esforços de autoridades reguladoras e associações profissionais nosentido de padronizar a atividade.

Especialistas independentes. Certas organizações � sobretudo aquelas como o JPL, na vanguarda dainovação tecnológica � enfrentam alto risco intrínseco, pois trabalham com projetos dedesenvolvimento de produtos longos, complexos e caros. Mas, já que muito desse risco vem de lidarcom leis conhecidas da natureza, o risco muda pouco ao longo do tempo. Para essas organizações, agestão de riscos pode ser abordada no nível de projetos.

O JPL, por exemplo, instituiu um conselho de análise de riscos formado de peritos técnicosindependentes cujo papel é questionar decisões de design, avaliação de risco e mitigação de risco deengenheiros de projetos. Esses especialistas garantem que, ao longo de todo o ciclo dedesenvolvimento de produtos, haja periodicamente uma avaliação de riscos. Já que os riscos sãorelativamente constantes, o conselho só precisa se reunir uma ou duas vezes por ano; já o líder doprojeto e o cabeça do conselho de avaliação se reúnem todo trimestre.

Reuniões do conselho de avaliação de riscos são intensas. Criam o que Gentry Lee chama de �culturade confronto intelectual�. É como diz um integrante do conselho, Chris Lewicki: �Somos bem duros umcom o outro; �apedrejamos, fazemos comentários bem críticos sobre tudo o que está acontecendo�. Noprocesso, um engenheiro consegue ver seu trabalho de outra perspectiva. �A pessoa consegue sedistanciar um pouco daquilo que faz�, acrescenta Lewicki.

A meta das reuniões, a um só tempo construtivas e confrontadoras, não é desencorajar uma equipe deapostar em missões e ideias altamente ambiciosas. O que faz é obrigar todo engenheiro a pensar deantemão em como irá descrever e defender decisões de design e a ver se considerou suficientementeprováveis falhas ��e defeitos. No papel de advogados do diabo, membros do conselho se contrapõem àconfiança naturalmente desmedida do pessoal da engenharia, ajudando a evitar um comprometimentomaior com projetos cujo grau de risco é inaceitável.

No JPL, o conselho de avaliação de riscos não só promove um debate vigoroso sobre riscos deprojetos, mas também tem voz sobre orçamentos. O conselho estipula reservas de custo e tempo paracada componente do projeto de acordo com seu grau de inovação. Uma simples extensão de umamissão anterior exigiria uma reserva financeira de 10% a 20%, por exemplo, ao passo que umcomponente totalmente novo, que ainda nem se provou na Terra � que dirá em um planetainexplorado �, poderia exigir uma reserva contingencial de 50% a 75%. Essas reservas garantem quequando (inevitavelmente) surgirem problemas, a equipe do projeto terá verba e tempo para resolvê-lossem comprometer a data de lançamento. O JPL leva a sério as estimativas � e já adiou ou cancelouprojetos quando não havia fundos suficientes para compor as reservas recomendadas.

Facilitadores. Muitas organizações, como concessionárias tradicionais de água e luz, operam emambientes ��tecnológicos e de mercado estáveis, nos quais a demanda é relativamente previsível. Numasituação dessas, o risco nasce em grande medida de decisões operacionais aparentemente semqualquer relação ao longo de uma organização complexa. É um risco que se acumula de forma graduale pode permanecer oculto por um longo tempo.

Já que nenhum grupo isoladamente tem o conhecimento para assumir a gestão de riscos em níveloperacional por toda a organização, a empresa pode destacar uma equipe relativamente pequena ecentralizada de gestão de risco para coletar informações de gerentes operacionais. Isso deixa osgerentes mais conscientes dos riscos que foram assumidos organização afora e dá a tomadores dedecisão um retrato completo do perfil de risco da empresa.

Vimos esse modelo em ação na Hydro One, a companhia canadense de eletricidade. Com o expressoapoio do presidente da empresa, o diretor de risco, John Fraser, faz dezenas de workshops todo anopara que trabalhadores de todos os níveis e setores identifiquem e classifiquem por ordem deimportância os principais riscos para os objetivos estratégicos da empresa. O pessoal usa umatecnologia de voto anônimo para classificar cada risco, numa escala de 1 a 5, em termos de impacto,probabilidade de ocorrência e força de mecanismos existentes de controle. Os rankings são discutidosnos workshops e o pessoal tem liberdade para expressar e discutir sua percepção dos riscos. No final,o grupo chega a uma visão consensual que é retratada graficamente em um mapa de riscos, sugereplanos de ação e destaca um �responsável� para cada grande risco.

Para reforçar a prestação de contas, a Hydro One vincula a alocação de capital e decisõesorçamentárias aos riscos identificados. O processo de planejamento de capital no âmbito corporativoaloca milhões e milhões de dólares, principalmente a projetos que reduzam riscos de forma eficaz eeficiente. O grupo de risco recorre a especialistas técnicos para questionar planos de investimento eavaliações de risco de engenheiros operacionais e para garantir uma avaliação especializada eindependente do processo de alocação de recursos. Na reunião anual de alocação de capital, gerentesoperacionais precisam defender suas propostas diante de colegas e altos executivos. Por querer queseus projetos consigam verba no processo de planejamento de capital baseado em riscos, os gerentesaprendem a superar a tendência a ocultar ou minimizar riscos nas áreas pelas quais respondem.

Especialistas integrados. A indústria de serviços financeiros representa um desafio especial devido àvolátil dinâmica de mercados de ativos e ao potencial impacto de decisões tomadas por operadores egestores de investimentos descentralizados. O perfil de risco de um banco de investimento pode mudarradicalmente com uma única operação ou uma grande mexida no mercado. No caso dessas firmas, agestão de riscos requer especialistas integrados à organização para continuamente monitorar einfluenciar o perfil de risco da empresa, trabalhando lado a lado com gerentes de linha cujas atividadesestejam gerando novas ideias, inovação e riscos � e, se tudo correr bem, lucro.

Foi esse o modelo adotado pelo JP Morgan Private Bank em 2007, no início da crise financeira mundial.Gerentes de risco, incorporados à organização operacional, se reportam tanto a executivos de linhacomo a um departamento centralizado e independente de gestão de risco. Graças ao contato empessoa com gerentes operacionais, gerentes de risco com conhecimento do mercado podem estarsempre perguntando �e se�?�, questionando premissas de gestores de carteiras e obrigando todos aconsiderar distintos cenários. Gerentes de risco avaliam o efeito de uma potencial operação no risco dacarteira inteira de investimentos � não só em circunstâncias normais, mas também em momentos decrise, quando cresce a correlação de retornos entre distintas categorias de ativos. �Um gestor decarteira pode me mostrar três operações, e o modelo [de risco] talvez diga que as três vão contribuirpara o mesmo tipo de risco�, explica Gregoriy Zhikarev, gerente de risco do JP Morgan. �Em 90% doscasos, o gerente diz: �Não, não é isso que quero�. Isso feito, podemos sentar e reformular asoperações.�

No caso da inserção de gerentes de risco na organização operacional, o grande perigo é que sejam�assimilados�. Ou seja, que se alinhem ao círculo íntimo da equipe de liderança da unidade de negócios� e que passem a fazer negócios, em vez de questioná-los. Cabe ao diretor de risco da empresa � e,em última instância, ao presidente, que dá o tom da cultura de risco da empresa � impedir que issoocorra.

Fuja da cilada da segmentação

Mesmo na presença de um sistema que promova férteis discussões sobre riscos, uma segunda ciladacognitivo-comportamental aguarda a gerência. Já que muitos riscos da estratégia (e certos riscosexternos) são bastante previsíveis � até familiares �, a empresa tende a rotulá-los e compartimentá-los, sobretudo com base em atividades operacionais. Bancos normalmente administram o que chamamde �risco de crédito�, �risco de mercado� e �risco operacional� em grupos separados. Outras empresascompartimentam a gestão do �risco da marca�, do �risco reputacional�, do �risco da cadeia desuprimento�, do �risco de recursos humanos�, do �risco de TI� e do �risco financeiro�.

Esses silos organizacionais dispersam tanto a informação como a responsabilidade pela eficaz gestãodo risco. Impedem a discussão sobre a interação de distintos riscos. Numa boa discussão sobre riscosdeve haver não só embate, mas também integração. Uma empresa pode sair dos trilhos devido a umacombinação de pequenos fatos que reforçam uns os outros de forma inesperada.

Os gerentes podem cultivar uma perspectiva do risco da empresa como um todo ancorando asdiscussões no planejamento estratégico, um processo integrado que a maioria das empresas bemadministradas já possui. A empresa indiana de serviços de TI Infosys, por exemplo, baseia discussõessobre risco no Balanced Scorecard, sua ferramenta de gestão para mensuração da estratégia ecomunicação. �Quando nos perguntamos que riscos deveríamos estar monitorando�, conta M.D.Ranganath, o diretor de risco, �gradualmente fechamos o foco em riscos para objetivos de negóciosespecificados no scorecard da empresa�.

Ao montar seu Balanced Scorecard, um objetivo importante da Infosys tinha sido �cultivarrelacionamento com clientes�. Para medir o progresso, a empresa estipulara indicadores como onúmero de clientes internacionais que geravam mais de US$ 50 milhões em receita ao ano e o

porcentual de elevação anual da receita oriunda de grandes clientes. Ao analisar a meta e osindicadores de desempenho em conjunto, a empresa percebeu que a estratégia tinha criado um novofator de risco: o calote de clientes. Quando o modelo da Infosys era fundado numa série de pequenosclientes, o calote de um só não comprometeria a estratégia da empresa. Já o calote de um cliente deUS$ 50 milhões seria um grande golpe. A Infosys passou a monitorar a taxa do swap de crédito de todocliente de vulto como o principal indicador da probabilidade de calote. Quando a taxa de um clientesubia, a Infosys acelerava a cobrança de recebíveis ou solicitava a amortização da dívida para reduzir aprobabilidade ou o impacto de um calote.

Um outro exemplo vem da Volkswagen do Brasil, a subsidiária brasileira da montadora alemã. O braçode gestão de risco da subsidiária usa o mapa da estratégia da empresa como ponto de partida paratoda conversa sobre riscos. Para cada objetivo no mapa, o grupo identifica eventos de risco quepoderiam impedir a subsidiária de atingir tal meta. Em seguida, a equipe produz um Boletim de Eventode Risco (�Risc Event Card�) para cada risco no mapa, indicando os efeitos práticos do evento sobre asoperações, a probabilidade de ocorrência, os principais indicadores e potenciais ações de mitigação.Indica, ainda, quem é o principal responsável pela gestão do risco (veja o quadro �Boletim de Evento deRisco�). Isso feito, a equipe de risco faz uma síntese de alto nível dos resultados à alta gerência (veja�Boletim do Relatório de Riscos�).

Além de adotar um processo sistemático para identificar e mitigar riscos da estratégia, a empresaprecisa de uma estrutura de monitoramento de riscos. Na Infosys, essa estrutura é dupla: há umaequipe de risco central que identifica riscos gerais à estratégia e estabelece a política central e equipesfuncionais especializadas que concebem e monitoram políticas e controles, em consulta com equipes denegócios locais. As equipes descentralizadas têm autoridade e know-how para ajudar linhas denegócios a responder a ameaças e mudanças em seu perfil de risco, levando apenas as exceções paraavaliação pela equipe de risco central. Se um gerente de relacionamento com clientes quiser concederum prazo maior de crédito para uma empresa cujos parâmetros de risco de crédito são elevados, porexemplo, o gerente de risco funcional pode mandar o caso para a central para exame.

Esses exemplos mostram que a dimensão e o escopo do departamento de risco não são ditados peloporte da organização. A Hydro One, que é grande, tem uma equipe de risco relativamente pequenapara a conscientização e a comunicação sobre riscos empresa afora e para assessorar a equipeexecutiva na alocação de recursos com base no risco. Já empresas ou divisões relativamentepequenas, como o JPL ou o JP Morgan Private Bank, precisam de vários comitês de avaliação no nívelde projetos ou de equipes de gerentes de risco incorporados à organização para avaliar, comconhecimento especializado, decisões de negócios. E a Infosys, uma empresa de grande porte comvasto escopo operacional e estratégico, requer um departamento forte e centralizado de gestão derisco, bem como gerentes de risco dispersos pela empresa � para respaldar decisões de negócioslocais e facilitar o intercâmbio de informações com o grupo de risco centralizado.

clique na imagem para ampliar

clique na imagem para ampliar

Como controlar o incontrolável

Riscos externos, a terceira categoria, em geral não podem ser reduzidos ou evitados com asabordagens empregadas para a gestão de riscos evitáveis ��e de estratégia. Riscos externos estão,basicamente, fora do controle da empresa, cujo foco deve ser identificá-los, avaliar seu potencialimpacto e descobrir a melhor maneira de mitigar seus efeitos caso se materializem.

Certos eventos de risco externos são tão iminentes que é possível geri-los como no caso de riscos deestratégia. Durante a desaceleração econômica após a crise financeira mundial, por exemplo, a Infosysidentificou um novo risco ligado à meta de cultivar uma força de trabalho global: o aumento doprotecionismo, que poderia criar sérias restrições à emissão de vistos e licenças de trabalho paraestrangeiros em vários países da OCDE nos quais a Infosys tinha compromissos de vulto com clientes.Embora leis protecionistas sejam tecnicamente um risco externo (pois fogem ao controle da empresa), aInfosys tratou a questão como um risco para a estratégia e criou um Boletim de Evento de Riscoespecífico � boletim que trouxe um novo indicador de risco: o número e a porcentagem de funcionárioscom dupla cidadania ou visto para trabalhar fora da Índia. Se esse número caísse devido à rotatividadede pessoal, a estratégia global da Infosys podia ser comprometida. Daí a Infosys ter instituído políticasde contratação e retenção para mitigar as consequências desse evento de risco externo.

A maioria dos eventos de risco externos, no entanto, exige uma abordagem analítica distinta � ouporque a probabilidade de ocorrência é muito baixa, ou porque é difícil para um gestor visualizar umevento desses durante o processo normal de estratégia. Identificamos várias fontes distintas de riscosexternos:

� Desastres naturais e econômicos com impacto imediato. De modo geral, são riscos previsíveis,embora o momento em que se materializam normalmente não seja (o estado americano da Califórniavai viver um grande terremoto um dia, mas não há como precisar onde ou quando). Um risco desses só

pode ser previsto por sinais relativamente fracos. Exemplos incluem desastres naturais como a erupçãodo vulcão islandês em 2010, que fechou o espaço aéreo europeu por uma semana, e catástrofeseconômicas como o pipocar de uma grande bolha no preço de ativos. Quando um risco desses sematerializa, seus efeitos normalmente são drásticos e imediatos, como no caso dos problemascausados pelo terremoto e tsunami no Japão em 2011.

� Mudanças geopolíticas e ambientais com impacto a longo prazo. Aqui entram rupturas políticas comograndes mudanças em políticas públicas, golpes, revoluções e guerras; alterações ambientais de longoprazo como o aquecimento global; e o esgotamento de recursos naturais vitais, como a água doce.

� Riscos competitivos com impacto a médio prazo. Isso inclui o aparecimento de tecnologias disruptivas(como internet, smartphones e códigos de barras) e lances estratégicos radicais de empresas do setor(como a estreia da Amazon no varejo de livros e a da Apple no mercado de telefonia celular eaparelhos eletrônicos).

Para cada fonte externa de riscos, empresas adotam uma abordagem analítica distinta.

Teste de estresse com cenários extremos. Um teste de estresse ajuda a empresa a avaliar alteraçõesde peso em uma ou duas variáveis ��cujo efeito seria importante e imediato, ainda que não dê paraprever o momento exato no qual ocorreriam. Empresas no setor de serviços financeiros usam testes deestresse para avaliar, por exemplo, como um evento como a triplicação dos preços do petróleo, umagrande virada no câmbio ou em taxas de juros, ou o calote de uma grande instituição ou de um paísafetariam suas posições e investimentos no mercado.

Só que os benefícios de um teste de estresse dependem absurdamente das premissas � que por sipodem ser tendenciosas � sobre o quanto a variável em questão vai mudar. Em 2007 e 2008, porexemplo, testes de estresse com riscos extremos de muitos bancos partiram de um cenário no qualpreços de imóveis nos EUA paravam de subir e permaneciam nesse nível por vários períodos.Pouquíssimos pensaram em testar o que aconteceria se os preços começassem a cair � um excelenteexemplo da tendência a ancorar estimativas em dados recentes, que estão à mão. A maioria dasempresas fez extrapolações com base em preços recentes de imóveis nos EUA, que havia décadas nãosofriam uma queda generalizada. Com isso, avaliaram o mercado com demasiado otimismo.

Planejamento de cenários. Essa ferramenta é boa para a análise a longo prazo, em geral cinco a dezanos à frente. Surgida na Shell Oil na década de 1960, a análise de cenários é um processosistemático para a definição de contornos plausíveis para o mundo no futuro. Participantes examinamforças políticas, econômicas, tecnológicas, sociais, regulamentares e ambientais e definem uma sériede fatores � em geral, quatro � que teriam o maior impacto sobre a empresa. Há empresas que sevalem expressamente do know-how de conselhos consultivos para se inteirar de tendências importantes� fora do radar rotineiro da empresa e do setor � que deveriam ser consideradas em seus cenários.

Para cada fator eleito, os participantes estimam valores máximos e mínimos projetados para um períodode cinco a dez anos. A combinação dos valores extremos de cada um dos quatro fatores leva a 16cenários. Em geral, metade é implausível e descartada. Isso feito, os participantes avaliam como aestratégia da empresa se sairia nos cenários restantes. Se verem que a estratégia está condicionada auma visão basicamente otimista, gerentes podem modificá-la para incluir cenários pessimistas ou traçarplanos para mudar a estratégia caso indícios apontem para uma maior probabilidade de a situação sereverter contra ela.

Jogos de guerra. Jogos de guerra avaliam a vulnerabilidade de uma empresa a tecnologias de rupturaou a mudanças em estratégias de concorrentes. Num jogo de guerra, a empresa atribui a três ou quatroequipes a missão de conceber estratégias ou medidas plausíveis de curto prazo que concorrentesatuais ou potenciais poderiam adotar em um ou dois anos � horizonte de tempo mais curto do que o daanálise de cenários. Essas equipes então se reúnem para analisar de que modo concorrentes astutaspoderiam atacar a estratégia da empresa. O processo ajuda a combater a tendência de líderes aignorar evidências que contrariem sua atual opinião, incluindo a possibilidade de medidas queconcorrentes poderiam tomar para obstruir sua estratégia.

Uma empresa não tem como alterar a probabilidade de eventos de risco identificados por métodoscomo teste de riscos extremos, planejamento de cenários e jogos de guerra. Mas gestores podemtomar medidas específicas para mitigar seu impacto. Já que a impossibilidade de prevenção nãoacarreta risco moral, a empresa pode usar um seguro ou hedge para mitigar certos riscos, como fazuma companhia aérea ao recorrer a derivativos financeiros para se proteger de disparadas no preço docombustível. Outra saída para a empresa é investir hoje para evitar custos muito maiores mais tarde.Uma fabricante com instalações em áreas sujeitas a terremotos, por exemplo, pode aumentar os gastos

com edificações para proteger instalações críticas de fortes tremores. Além disso, empresas expostas ariscos distintos, mas comparáveis, ��podem cooperar para mitigá-los. Centrais de dados de TI de umauniversidade na Carolina do Norte, por exemplo, estariam sujeitas ao risco de furacões, enquanto as deuma universidade equivalente ��sobre a falha de San Andreas, na Califórnia, ��a terremotos. Aprobabilidade de que ambos os desastres ocorressem no mesmo dia é pequena o bastante para queas duas instituições optassem por fazer o backup dos sistemas uma da outra toda noite de forma amitigar seus riscos.

O desafio para a liderança

Gerenciar o risco é muito distinto de gerenciar a estratégia. A gestão do risco se concentra no negativo� em perigos e falhas �, não em oportunidades e êxitos. Vai exatamente contra a cultura do �tudo épossível� que a maioria das equipes de liderança tenta fomentar na hora de implementar a estratégia. Emuitos líderes têm a tendência a desconsiderar o futuro; relutam em gastar tempo e dinheiro agorapara evitar um problema futuro incerto que pode se materializar lá na frente, no mandato de outrapessoa. Além disso, para mitigar riscos em geral é preciso dispersar recursos e diversificarinvestimentos, exatamente o oposto do foco intenso de uma estratégia de sucesso. Pode ir contra acultura do gestor promover processos que identifiquem riscos para estratégias que ele, o líder, ajudoua formular.

Por isso tudo, a maioria das empresas precisa de um departamento exclusivo para lidar com a gestãode riscos da estratégia e de riscos externos. O tamanho dessa equipe vai variar de empresa paraempresa, mas o grupo deve se reportar diretamente à cúpula. Aliás, cultivar uma relação estreita com aalta administração será, para muitos, sua tarefa mais crítica; a capacidade de uma empresa de resistir atormentas depende muito do quão a sério seus executivos levam a equipe de gestão de risco quando osol brilha forte e não há nuvens no horizonte.

Foi isso o que distinguiu os bancos que naufragaram na crise financeira daqueles que sobreviveram.Em instituições que quebraram, a gestão de risco fora relegada a uma atividade de compliance; ali,gerentes de risco tinham pouco acesso à alta cúpula e ao conselho de administração. Além disso, seusexecutivos volta e meia ignoravam alertas de gerentes de risco sobre posições altamente alavancadase concentradas. Em comparação, Goldman Sachs e JPMorgan Chase, dois bancos que resistiram bemà crise financeira, tinham fortes departamentos internos de gestão de risco e equipes de liderança queentendiam e gerenciavam a multifacetada exposição de ambas as instituições a riscos. Barry Zubrow,diretor de risco do JP Morgan Chase, disse: �Posso ter o cargo, mas [o presidente] Jamie Dimon é odiretor de risco da empresa�.

A gestão de riscos é contrária à intuição. Vai contra muitos vieses individuais e organizacionais. Regrase compliance podem mitigar certos riscos críticos, mas não todos. Uma gestão de risco ativa e com boarelação custo-benefício exige que gestores pensem de forma sistemática sobre as várias categorias derisco que enfrentam para que possam instituir processos condizentes para cada um. Esses processosvão neutralizar a tendência da gestão a ver o mundo como gostaria que fosse, e não como realmente éou poderia vir a ser.

Robert S. Kaplan é professor da Harvard Business School (Baker Foundation Professor) e um doscriadores do sistema de gestão Balanced Scorecard.

Anette Mikes é professora assistente da Harvard Business School.