Uma das principais dificuldades na gestão de riscos não está na ausência de metodologias, mas na escolha inadequada da técnica para o risco que precisa ser compreendido.
A ISO 31010 apresenta diferentes técnicas para identificação, análise e avaliação de riscos, como Brainstorming, Ishikawa, FMEA/FMECA, Bow Tie, SWIFT, análise de cenários, HAZOP, Fault Tree, Event Tree e técnicas quantitativas, entre outras. Nenhuma delas, porém, deve ser tratada como solução universal. A escolha da técnica precisa considerar:
- a natureza do risco;
- sua materialidade e criticidade;
- a complexidade do processo ou sistema;
- o horizonte temporal;
- o nível da decisão — estratégico, tático ou operacional;
- a disponibilidade e a qualidade dos dados;
- o grau de especialização necessário; e
- o esforço e os recursos necessários para sua aplicação.
Uma pequena empresa pode ter um risco altamente crítico que justifique uma abordagem mais estruturada. Da mesma forma, uma grande organização pode lidar com riscos simples que não exigem metodologias sofisticadas. Proporcionalidade, portanto, não significa simplificação indiscriminada. Significa aplicar a profundidade adequada ao que está efetivamente em jogo.
É nesse ponto que a gestão de riscos deixa de ser apenas uma atividade de controle e passa a cumprir uma função estratégica: criar melhores condições para a tomada de decisão. Por isso, antes de perguntar “qual técnica devemos utilizar?”, talvez seja mais adequado perguntar: “Quais processos precisam ser compreendidos e monitorados para que as decisões sejam tomadas com maior assertividade?”
A partir dessa perspectiva, a técnica deixa de ser o fim e passa a ser o meio para transformar incerteza em informação útil para decisão.
Gestão de riscos não é preencher uma matriz.
É construir melhores condições para decidir.
