Toda empresa gerencia risco. A diferença está em fazer isso por decisão consciente ou por reação ao que já aconteceu. A GT Brasil estrutura a gestão de riscos corporativos sob as referências do COSO ERM e da ISO 31000, sempre ancorada em um apetite a risco declarado pelo conselho — sem ele, a priorização é opinião.
Como atuamos
Identificação e avaliação
Levantamos os riscos estratégicos, operacionais, financeiros, regulatórios, tecnológicos e reputacionais com os donos dos processos, e não apenas com a área de controles. Cada risco recebe probabilidade, impacto, controles existentes e risco residual, com critérios calibrados na moeda e na escala do negócio.
Desenho e teste de controles
Traduzimos o risco residual em controles com dono, periodicidade e evidência definida. Testamos desenho e efetividade operacional por amostragem, distinguindo o controle que não existe daquele que existe e não é executado — problemas diferentes, soluções diferentes.
Continuidade e crise
Definimos cenários de interrupção, tempo máximo tolerável de indisponibilidade e plano de recuperação, com teste periódico. O plano que nunca foi testado é uma hipótese, não um controle.
Monitoramento
Implantamos indicadores-chave de risco com gatilhos e responsáveis, para que a piora apareça antes do evento, e não no relatório do trimestre seguinte.
O que entregamos
- Política de gestão de riscos e declaração de apetite aprovada pelo conselho.
- Matriz de riscos corporativos com risco inerente, controles e risco residual.
- Matriz de riscos e controles por processo, com evidência requerida de cada controle.
- Relatório de teste de desenho e efetividade, com deficiências classificadas por severidade.
- Plano de continuidade de negócios e roteiro de gestão de crise, testados.
- Painel de riscos e indicadores para o comitê e o conselho.
Para quem
- Empresas em preparação para captação, abertura de capital ou entrada de investidor.
- Organizações reguladas que precisam demonstrar estrutura de gestão de riscos ao supervisor.
- Grupos com operações dispersas geograficamente e controles heterogêneos.
- Conselhos que recebem informação sobre risco sem base metodológica.
