Governança costuma ser associada às estruturas formais de uma organização: conselho de administração, diretoria, comitês, políticas, regimentos, controles e mecanismos de supervisão. Tal associação não está necessariamente errada, contudo, há um problema quando a existência dessas estruturas é confundida com a efetividade da governança.
Uma organização pode ter estruturas formalmente estabelecidas e, ainda assim, apresentar dificuldades para tomar decisões, compreender seus riscos, responsabilizar seus agentes, utilizar informações relevantes ou acompanhar a execução da estratégia.
É justamente nesse espaço entre estrutura existente e a capacidade efetiva de governar que surge a discussão sobre maturidade de governança.
Governança não é exclusividade das grandes organizações
A ISO 37000:2021 estabelece orientação para a governança das organizações independentemente de seu tipo, tamanho, localização, estrutura ou propósito. Seu objetivo é orientar os órgãos e grupos responsáveis pela governança no cumprimento de suas responsabilidades para que a organização possa realizar seu propósito.
Uma pequena empresa também precisa decidir sobre investimentos, pessoas, fornecedores, contratos, tecnologia, expansão, segurança da informação, conformidade e riscos. E uma organização pública também precisa estabelecer responsabilidades, supervisionar resultados e lidar com diferentes interesses e riscos. Assim como uma multinacional precisa coordenar estruturas muito mais complexas, frequentemente distribuídas entre diferentes jurisdições e unidades de negócio.
O tamanho da empresa pode mudar, mas a necessidade de governar, não.
A primeira questão: para que a organização existe?
Uma governança consistente começa pelo propósito. A partir dele, a organização precisa compreender como pretende gerar valor, quais estratégias utilizará, quais decisões serão necessárias e quais riscos podem comprometer sua capacidade de alcançar seus objetivos.
A ISO 37000 traz orientações sobre essa conexão entre propósito, valores, estratégia, supervisão, accountability, liderança, dados e decisões, governança de riscos e viabilidade e desempenho ao longo do tempo. Essa perspectiva ajuda a afastar uma visão fragmentada de governança. Pois, estratégia não deveria ser discutida sem risco e este não deveria ser tratado sem considerar objetivos.
Controles não deveriam existir desconectados dos riscos que pretendem tratar, e os indicadores deveriam ser produzidos sem considerar as decisões que precisam apoiar. E por fim, o compliance não deveria ser reduzido à verificação isolada de requisitos. A governança precisa conectar esses elementos.
Governança e risco: uma relação estrutural
Riscos são frequentemente tratados como uma disciplina técnica e produzem-se metodologias, matrizes, mapas, relatórios e avaliações. Mas, do ponto de vista da governança, a pergunta mais importante é outra: O que a organização faz com a informação sobre seus riscos?
Se uma organização identifica um risco estratégico relevante, mas nenhuma decisão é alterada em razão dessa informação, existe um problema. Do mesmo modo, se um risco crítico é conhecido, mas não possui responsável claramente definido, também existe um problema. Se um indicador demonstra deterioração de um resultado relevante e a administração não consegue responder adequadamente, existe outro problema.
A gestão de riscos produz informação e a governança precisa transformá-la em decisão, supervisão e accountability.
A diferença entre estrutura e maturidade
A ISO 37004:2023 trata especificamente da maturidade de governança. A norma apresenta uma estrutura de medição, uma escala e um modelo de maturidade para avaliar a implantação de condições de governança e a aplicação dos princípios da ISO 37000. Isso permite deslocar a análise de uma pergunta binária: “Temos ou não temos governança?”, para uma pergunta evolutiva: “Em que nível nossa governança está e o que precisamos desenvolver?”
Essa mudança é relevante para organizações que desejam melhorar a sua capacidade institucional. Maturidade não significa simplesmente possuir mais estruturas. Em determinados casos, criar novos comitês, políticas e controles pode aumentar a complexidade sem aumentar a efetividade.
Uma organização madura precisa saber quais mecanismos são necessários, por que são necessários e como contribuem para os resultados pretendidos.
Informação também é infraestrutura de governança
Outro elemento crítico é a qualidade das informações utilizadas para governar. A ISO 37005:2024 fornece orientação sobre o desenvolvimento e uso de indicadores nas atividades dos órgãos de governança e busca contribuir para a qualidade das informações utilizadas na avaliação e tomada de decisões relacionadas à governança.
Nem toda informação é útil para governança. Um dashboard pode estar cheio de indicadores e, ainda assim, não responder às perguntas que o conselho ou a alta administração precisa fazer. Indicadores de governança devem apoiar a capacidade de compreender situações, acompanhar tendências, questionar premissas e exercer supervisão.
A tecnologia pode acelerar o acesso à informação, mas não substitui a qualidade da decisão.
Quais são os sinais de uma governança pouco madura?
Não existe uma única manifestação de baixa maturidade. Entretanto, alguns sinais merecem atenção: decisões excessivamente dependentes de pessoas-chave. Quando a organização depende da experiência ou da memória de poucos indivíduos para funcionar, existe uma concentração relevante de conhecimento e poder decisório.
Quando todos participam de uma decisão, mas ninguém é efetivamente responsável por seu resultado, a accountability se enfraquece. E se o gerenciamento de riscos funciona como um processo paralelo ao planejamento estratégico, perde-se uma parte relevante de seu valor.
Faz-se necessário internalizar que medir não é necessariamente governar. Pois, a existência de um controle não demonstra que o risco esteja adequadamente tratado. Governança não deveria tornar a organização incapaz de responder às mudanças.
Como começar uma jornada de maturidade?
O primeiro passo é compreender a situação atual. Isso envolve avaliar, entre outros aspectos:
- como as decisões são tomadas;
- quem possui autoridade e responsabilidade;
- quais riscos podem afetar o propósito e a estratégia;
- quais informações chegam aos responsáveis pela governança;
- quais mecanismos de supervisão existem;
- quais controles são relevantes;
- como a organização monitora resultados;
- como desvios e incidentes geram aprendizado;
- quais lacunas existem entre a estrutura formal e a prática.
A partir desse diagnóstico, a organização pode estabelecer prioridades de evolução. Maturidade é desenvolver, de maneira progressiva, aquilo que a organização precisa para governar melhor.
Governança não é burocracia
Existe uma crítica legítima à burocratização da governança. Quando cada novo risco gera uma política, cada política gera um procedimento, cada procedimento gera um formulário e cada formulário gera uma aprovação, a organização pode criar uma estrutura pesada que não necessariamente melhora sua capacidade decisória.
Por isso, a pergunta: “Quais mecanismos realmente reduzem incerteza, protegem objetivos, aumentam accountability e melhoram decisões?”, é uma perspectiva mais próxima de uma governança orientada à efetividade.
A governança como estrutura
Governança pode ser compreendida como uma arquitetura que conecta diferentes elementos organizacionais. Propósito orienta a direção, estratégia traduz essa direção em escolhas, riscos revelam as incertezas que podem afetar essas escolhas, controles respondem a determinados riscos e informações apoiam decisões. Responsabilidades estabelecem quem deve agir e responder, monitoramento permite verificar resultados e o aprendizado permite adaptar a organização.
Quando esses elementos funcionam de maneira integrada, a governança deixa de ser apenas uma estrutura formal e passa a funcionar como uma capacidade organizacional. É nesse ponto que a discussão sobre maturidade se torna estratégica: uma organização amadurece quando consegue governar melhor à medida que seus objetivos, riscos, informações, relações e contexto se tornam mais complexos.
A pergunta que permanece
“Nossa governança é capaz de sustentar as decisões que precisamos tomar hoje e aquelas que teremos de tomar amanhã?”
Essa pergunta desloca a governança da formalidade para a capacidade, e é nessa capacidade que estratégia, riscos, compliance, controles, informação e responsabilidade deixam de operar separadamente e passam a compor uma estrutura integrada de decisão.
