Papéis e Responsabilidades Claras e Compartilhadas
3. Papéis e Responsabilidades Claras e Compartilhadas
A Gestão Integral de Riscos requer uma estrutura organizacional moderna e bem definida, com papéis e responsabilidades claramente delimitados. Para isso, o modelo adota uma variação da estrutura tradicional do Modelo das Três Linhas (The IIA), preservando sua essência e princípios fundamentais.
Assim, a estrutura de papéis e responsabilidades deve ser organizada da seguinte maneira para possibilitar uma gestão integral de riscos:
Corpo Administrativo – corresponde ao órgão de direção da organização que tem a responsabilidade final pela gestão de riscos, cabendo-lhe determinar as estratégias, o apetite a risco, promover a cultura, exercer a supervisão e estabelecer estruturas e processos de governança, delegando essa gestão por meio dos diferentes Comités constituídos.
Gestão – a responsabilidade da gestão de atingir os objetivos organizacionais é das 1ª e 2ª Linhas.
Primeira Linha: compreende as funções que gerenciam e tem propriedade sobre os riscos[1]. São chamados de gestores de riscos, constituídos pelos:
- Gestor Tomador de Riscos: é a pessoa ou função responsável pelo gerenciamento de riscos associados a um determinado objeto de risco. Esse objeto pode ser um processo de trabalho, iniciativa, projeto, ação, unidade administrativa ou qualquer outro elemento específico dentro da organização.
É ele quem toma o risco (tomada de decisão), por isso chamado tomador de risco, e é responsável pela identificação, avaliação, priorização, tratamento, monitoramento e comunicação dos riscos dos objetos de gestão de riscos sob sua responsabilidade.
- Gestor Especialista de Riscos: é a pessoa ou função responsável por gerenciar um risco institucional específico ou conjunto de riscos dentro da sua área de responsabilidade.
É ele quem coordena a gestão de um risco específico, sendo responsável pelo gerenciamento de riscos dentro de uma área ou categoria específica, fornecendo definições, orientação e conhecimentos especializados, auxiliando o tomador de risco na identificação e avaliação dos riscos e na implementação de medidas de tratamento.
Como exemplo, é comum que uma área de controle interno se concentre nos riscos de conformidade, enquanto o departamento de TI gerencia riscos de segurança cibernética e a área financeira gerencia riscos orçamentários.
Segunda Linha: corresponde às funções institucionais típicas de gestão de riscos, controles internos e conformidade, sendo responsáveis pela orientação, supervisão e assessoramento. Coordena e supervisiona a gestão de riscos em nível institucional, garantindo a conformidade e a integração dos riscos em toda a organização.
Auditoria Interna: abrange a função de auditoria interna, responsável por fornecer garantia e aconselhamento independente e objetivo sobre a adequação e eficácia da governança, gerenciamento de riscos e de controles internos da gestão da organização, incluindo a forma de atuação da primeira e segunda linhas de defesa.
[1] Em que pese alguns considerarem funções especializadas de apoio (como RH, serviços de administração e construção) como papéis de segunda linha, o Modelo das Três Linhas considera que os papéis da primeira linha incluem tanto atividades de “front office” quanto de “back office”, e que os papéis da segunda linha incluem atividades complementares focadas em assuntos tipicamente relacionados a riscos, controle e conformidade (Fonte: The IIA).