Identificação de riscos – Conhecendo as incertezas
Você é um gerente e quer identificar os riscos aos quais a área sob sua responsabilidade está exposta. Neste post, o 3º da série sobre gerenciamento de risco, vamos falar sobre identificação de riscos.
Para relembrar, no 1º post “Gerenciamento de riscos – Um início de conversa” falamos sobre os principais aspectos da gestão de riscos. No 2º post “Ameaças e oportunidades – Duas irmãs em eterno conflito” falamos sobre ameaças e oportunidades.
Nossas referências para identificação de riscos serão a Norma ABNT NBR 31000: 2009 (Gestão de riscos – Princípios e diretrizes) e, principalmente, o PMBOK ® Guide (Project Management Body of Knowledge) do PMI (Project Management Institute).
O que fazer antes de identificar os riscos
Ambas as abordagens (PMBOK ® e NBR 31000), antes da identificação de riscos propriamente dita, propõem algumas ações que têm o objetivo de preparar a organização para o gerenciamento de risco.
O PMBOK ® propõe que seja executado o planejamento do gerenciamento de risco. Este processo define como as atividades de gestão de risco serão conduzidas. O produto principal deste processo é o documento “Plano de Gerenciamento de Risco” cujo conteúdo abrange:
- Metodologia;
- Papéis e responsabilidades;
- Orçamento;
- Cronograma;
- Categorias de risco;
- Definições (e matriz) de probabilidade e impacto dos riscos;
- Tolerâncias (ao risco) das partes interessadas;
- Formato dos relatórios;
- Como as atividades (de gerenciamento de risco) serão registradas; e
- Como os processos serão auditados.
Já a NBR 31000 propõe que deve-se ter ou estabelecer:
- Uma estrutura para gestão de risco. Ela deve ser concebida, implantada, monitorada e melhorada (de maneira contínua). Atente que a gestão desta estrutura é feita através de ciclo PDCA (plan, do, check, act ou planejar, fazer, verificar e atuar). Em breve publicaremos um post sobre isto.
- O contexto no qual os riscos serão geridos, seja externo, interno e do próprio processo de gestão de risco.
- A definição dos critérios a serem usados para identificar os riscos.
Se estas duas abordagens forem analisadas em detalhe, concluiremos que elas são semelhantes na maneira como propõem que as organizações se preparem para a gestão de riscos. Como são semelhantes, continuaremos a nossa conversa com base no PMBOK ® somente. Vamos também focar nas ações que são essenciais para a identificação de risco, que são:
- Definir categorias de risco;
- Definir a matriz de probabilidade e impacto dos riscos;
Estas ações dão condições a você, gerente, de identificar os riscos e de usar o gerenciamento de risco no seu dia-a-dia de uma maneira prática e direta, independente de programas estruturados de gestão de risco que poderão ser implantados na organização como um todo.
Definir as categorias de riscos
Categorias de riscos são, na realidade, as categorias das causas (potenciais) dos riscos. Classificar os riscos por categorias dá melhores condições para analisar alguns dos seus aspectos, tais como:
- Consequências dos riscos, pois riscos de uma mesma categoria podem ter consequências semelhantes.
- Relação entre riscos, especialmente dentro de uma mesma categoria.
- Resposta a um determinado risco, a qual também pode ser aplicável a outro da mesma categoria.
No quadro abaixo temos um exemplo de categorias de riscos aplicável a muitas unidades industriais. A opção de apresentar as categorias na forma de um quadro tem o objetivo de facilitar o entendimento. Além disso, a divisão em dois níveis não é algo fixo, atividades (operações ou projetos) mais complexas podem ter mais níveis.
O usual é organizarmos as categorias de riscos numa estrutura que lembra um organograma, a qual é chamada de EAR (estrutura analítica de riscos) ou RBS (risk breakdown structure). Quanto mais níveis, mas complexos serão os EAR’s.
Como definir as categorias de riscos? Você não precisa inventar a roda, procure por exemplos de EAR’s entre as pessoas da sua networking ou na internet. A partir deste material defina as categorias aplicáveis a sua operação. Não faça isto sozinho, reúna algumas pessoas da sua equipe para fazer isto.
Defina a matriz de probabilidades e impactos dos riscos
Quanto mais complexa for uma área, empresa ou organização, mais riscos existirão. Assim é necessário priorizá-los, ou seja, quais riscos serão tratados primeiro bem como em quais riscos serão mobilizados mais recursos. A função da matriz é auxiliar nesta priorização!
Conforme já comentado no 1º post desta série, “probabilidade” é a probabilidade de um risco ocorrer. “Impacto” são os efeitos sobre as atividades da área, empresa ou organização caso os riscos efetivamente ocorram.
Qualitativamente falando, tanto a probabilidade como o impacto se distribuem numa escala de baixo a alto (ou de muito baixo até muito alto). Assim elas podem ser combinadas numa matriz conforme modelo mostrado abaixo.
Matriz de probabilidade e impacto
Os riscos que estão na zona vermelha são os que devem ser priorizados.Eles têm uma combinação de probabilidade e impacto que é significativa.
Esta matriz também será utilizada na análise qualitativa de riscos, porém é conveniente defini-la agora, mesmo que superficialmente, para servir de referência durante a identificação de riscos.
Como definir a matriz? Mais uma vez, você não precisa inventar a roda, procure referências. A partir deste material defina a matriz. Você não é um “lobo solitário”, por isso, de novo, não faça isto sozinho.
Identificar os riscos
Uma vez definidas as categorias de risco e a matriz de impacto e responsabilidade, chegou a hora da identificação de riscos propriamente dita. Esta atividade deve gerar uma relação de riscos a mais abrangente possível.
De novo, nada de “lobo solitário”! Esta é uma atividade para ser desenvolvida em equipe. Várias técnicas pode ser utilizadas: brainstorming e entrevistas, entre outras.
Se a opção for brainstorming programe uma reunião com hora de início e término claramente definidas. Sugiro a seguinte pauta:
- Objetivos da reunião, isto é identificar os riscos.
- Duração da reunião, no máximo uma manhã ou uma tarde.
- Conceitos de riscos. Incertezas, ameaças, oportunidades, probabilidade e impacto, entre outros.
- Categorias de risco. Elas já foram definidas numa conversa anterior com um grupo menor.
- Matriz de probabilidades e impactos. Também já foi definida.
- Brainstorming propriamente dito para relacionar os riscos.
Como conduzir a reunião para identificação de riscos
Você definiu o dia e horário da reunião, bem como a pauta dela. Agora vem o maior desafio: Como conduzir esta reunião. Seguem algumas dicas que sempre me foram úteis.
- Reúna pessoas que cubram todas as atividades da área, empresa ou organização em que os riscos estarão sendo identificados.
- Se a empresa ou organização possui várias unidades ou sites, pessoas de todos estas unidades devem participar.
- Consultores externos, experts nas atividades também podem participar.
- Pares e superiores, se houver disponibilidade, podem participar também.
- Atenção com as pessoas que só dizem sim (yes man). A prioridade delas é agradar você no curto prazo. A tua prioridade é gerenciar riscos.
- Quando as sugestões de riscos começarem, não faça nenhuma censura prévia. A análise de probabilidade e impacto de cada risco irá separar o que é relevante do que não é.
- Por mais que uma sugestão possa parecer irrelevante ou fora de contexto, analisá-la os aspectos de probabilidade e impacto pode ter um caráter didático precioso para sua equipe. Pense nisso…
- Não havendo “censura prévia” você certamente será surpreendido por alguns riscos que não imaginava que existiam.
- Relacione os riscos baseado nas melhores informações disponíveis. As melhores informações disponíveis têm incertezas? Certamente, por isso é que estamos falando em gestão de riscos!
- Lembre continuamente sua equipe das categorias, para que riscos de todas as categorias sejam levantados.
- Lembre sua equipe que riscos não são só ameaças. Incentive eles a pensarem nas oportunidades também.
- Registre tudo. Existem alguns softwares que podem ser usados para isto. Se a empresa não possui licença destes softwares, não se acanhe, use uma planilha (Excel ou Google Docs, por exemplo). O importante aqui é qualidade do conteúdo.
Relação de riscos, o documento!
Lembre-se que o principal produto da identificação de riscos é uma relação de riscos a mais abrangente possível.
Na figura abaixo está uma sugestão de template para a relação de riscos, onde as seguintes informações devem ser registradas: Categoria, nome, descrição, relação com outros riscos, 1ª e 2ª consequência, tipo, probabilidade, impacto, grau do risco, tipo de resposta, responsável e prazo.
FAÇA AQUI O DOWNLOAD GRATUITO DO TEMPLATE DE RELAÇÃO DE RISCOS.
Template de relação de riscos
Na fase de identificação de riscos você preencherá prioritariamente até a coluna “Tipo do Risco”, as outras colunas poderão serão preenchidas em fases posteriores do trabalho.
Como registrar esta informações? Veja a tabela abaixo.
Este template também será usado na análise qualitativa de riscos e na definição do tipo de resposta.
Consistência antes da perfeição
Quero ressaltar que na primeira vez que você conduzir o processo de identificação de risco, você não deve se preocupar com a perfeição, mas sim com a consistência. A perfeição , ou o mais próximo que conseguirmos chegar dela, vem com a prática. Após a conclusão da identificação, pense no que pode ser melhorado. Estas melhorias devem ser incorporadas na próxima vez em que você conduzir uma identificação de riscos. Isto é rodar o ciclo PDCA. E isto vale para qualquer prática de gestão.
Neste post conversamos sobre categorias de risco, matriz de probabilidade e impacto de riscos e identificação de riscos propriamente dita. Se você já tem sua relação de riscos. Parabéns!
O próximo passo é analisarmos qualitativamente os riscos. Conversaremos sobre isto no próximo post desta série. Um abraços a você e até lá!
Gostei bastante! É importante em todas as áreas a identificação dos riscos, previne transtornos, pois os riscos são obstáculos a execução de projetos importantes e ao bem estar das pessoas envolvidas direta ou indiretamente nas tarefas a serem realizadas.