Introdução

A existência de políticas, procedimentos, comitês e controles não é suficiente para demonstrar que uma organização possui uma governança madura. A questão mais relevante é: esses mecanismos efetivamente influenciam a forma como a organização decide e age?

Essa pergunta aproxima a discussão sobre maturidade de governança de uma importante contribuição da teoria da administração: a aprendizagem organizacional. Diretrizes internacionais estabelecem orientações para a avaliação da maturidade da governança, incluindo estruturas de medição, escalas e modelos aplicáveis a organizações de diferentes tipos e tamanhos.

A partir dessa perspectiva, maturidade não deve ser compreendida como um estoque de mecanismos de governança, mas como a capacidade de aplicá-los de maneira consistente, avaliar sua efetividade e promover melhorias a partir dos resultados obtidos.

Governança de organograma

Uma organização pode ter um programa sofisticado de governança e, ainda assim, apresentar fragilidades relevantes. Isso ocorre quando existe uma distância entre o que foi estabelecido, o que é executado, o que é monitorado e o que efetivamente orienta as decisões. Essa distância pode aparecer em situações aparentemente simples:

• uma denúncia é recebida, mas o processo de investigação é inconsistente;
• um risco crítico é identificado, mas não recebe tratamento compatível com sua relevância;
• um conflito de interesses está previsto em uma política, mas não é adequadamente identificado na prática;
• um controle foi formalmente instituído, mas sua efetividade não é verificada;
• um incidente ocorre e a organização corrige o caso concreto, sem avaliar o que permitiu que ele acontecesse.

Nesse cenário, a governança existe formalmente, mas sua capacidade de influenciar o comportamento organizacional é limitada.

É o que podemos chamar de governança de organograma: aquela que está representada em estruturas, responsabilidades, políticas e comitês, mas ainda não está suficientemente incorporada aos processos, aos comportamentos e às decisões.

O risco é relevante, quando a estrutura de governança atua predominantemente após a ocorrência dos eventos, a organização passa a operar de forma reativa, em vez de utilizar riscos, informações e controles como elementos para antecipação e tomada de decisão.

A maturação da governança

Ter uma governança de organograma não significa necessariamente que a organização seja capaz de aprender com os eventos que enfrenta. Quando relacionamos a maturidade da governança às teorias de aprendizagem organizacional e aprendizagem de duplo ciclo, essa diferença se torna mais evidente.

Na aprendizagem de ciclo simples, a organização identifica um desvio e corrige a ação para retornar ao resultado esperado. Na aprendizagem de duplo ciclo, a organização vai além: questiona as premissas, os valores, os critérios e os pressupostos que orientaram aquela decisão, em governança, essa diferença é fundamental.

Diante de uma falha de controle, por exemplo, a primeira reação pode ser criar um novo procedimento, estabelecer uma nova aprovação ou reforçar um treinamento. Essas medidas podem ser necessárias, mas a pergunta estratégica é outra: por que o sistema de governança permitiu que a falha acontecesse? Essa pergunta desloca a organização da simples correção do evento para a identificação das falhas estruturais, processuais ou comportamentais que permitiram sua ocorrência.

É nesse ponto que está uma das principais dimensões da maturidade: o aprendizado contínuo. Uma organização madura não pressupõe que seus controles sejam eficazes apenas porque foram formalmente instituídos. Ela cria mecanismos para verificar:

• se os riscos estão corretamente identificados;
• se as responsabilidades estão claras;
• se os controles funcionam;
• se os controles são efetivos diante dos riscos que pretendem tratar;
• se as informações chegam a quem possui competência para decidir;
• se os incentivos são coerentes com os valores declarados;
• se os incidentes geram aprendizado;
• se as lições aprendidas são incorporadas aos processos;
• e se a liderança utiliza as informações de risco na tomada de decisão.

A maturidade, portanto, não está apenas na existência da estrutura, está na capacidade de transformar informação em decisão, decisão em ação e resultados em aprendizado organizacional.

Como avaliar a maturidade da governança?

Uma avaliação de maturidade pode ser estruturada a partir de cinco perguntas:

• A estrutura de governança está formalmente estabelecida?
• Os processos são efetivamente executados?
• Os controles produzem o resultado esperado diante dos riscos que pretendem tratar?
• As pessoas utilizam a governança como parte da tomada de decisão cotidiana?
• A organização utiliza incidentes, riscos, desvios e resultados para aprimorar suas próprias premissas e práticas?

Essa última pergunta é especialmente relevante. Uma organização que aprende não se limita a responder ao evento. Ela utiliza o evento como informação para modificar processos, comportamentos e decisões futuras.

Conclusão

Maturidade não significa ausência de problemas.

Organizações estão sujeitas a riscos, mudanças regulatórias, transformações tecnológicas, alterações de mercado e decisões tomadas sob condições de incerteza.

A maturidade está na capacidade de reconhecer, responder, aprender e adaptar-se.

Por isso, a avaliação de maturidade não deve ser utilizada apenas para classificar a organização, mas para identificar lacunas e estabelecer quais capacidades precisam ser desenvolvidas.

Mais do que perguntar se determinada política existe ou se determinado controle foi implementado, é necessário avaliar se a estrutura de governança é capaz de produzir respostas adequadas diante dos riscos.

E talvez uma das perguntas mais relevantes para a liderança seja: Quando esse risco se concretizar, nossa organização terá capacidade para responder de forma tempestiva, coordenada e coerente? Essa pergunta desloca a governança do campo documental para o campo da capacidade organizacional.

É nesse campo que a maturidade começa a ser percebida.

Barbara Ferreira

Advogada, Especialista em GRC e PLD, Auditora Interna, Gestora de Privacidade.