Gestão de riscos

Idealmente, o sistema de gestão de riscos é composto por todos os produtos e serviços que a empresa compra e vende. Além disso, todos os fornecedores, clientes e parceiros relevantes devem também ser envolvidos. Desta forma, obtemos uma visão geral completa das potenciais interrupções e impactos. Dependendo do estado do sistema atual, esta abordagem pode não ser possível numa única etapa. Nesse caso, devem ser estabelecidas prioridades e utilizados critérios para a seleção.

A representação de toda a rede, o “mapeamento da cadeia”, é o ponto de partida para o reconhecimento daquilo a que nos referimos como objetos de risco. Podem ser sucursais, escritórios, fábricas e/ou centros de distribuição, mas também estradas, portos, canais e/ou aeroportos.

Ao traçar a rede, deve ser dada especial atenção à rede de fornecedores. Não deve ser limitada apenas aos fornecedores de Nível 1, porque metade das interrupções ocorrem abaixo do Nível 1. A aquisição e avaliação da informação necessária pode envolver um esforço considerável. Contudo, as abordagens informatizadas podem ajudar a encontrar, analisar e preparar a informação.

Ao criar categorias de risco e, quando necessário, subcategorias, torna-se evidente até que ponto estas categorias se aplicam a cada objeto de risco. As categorias que são frequentemente utilizadas, por exemplo, incluem riscos financeiros, riscos operacionais, riscos relacionados com o mercado, reputação, catástrofes naturais, erro humano, logística ou segurança cibernética. O que é importante neste contexto é dar conta das ameaças que têm relevância direta para a rede da cadeia de abastecimento.

Os riscos são avaliados com base em dois fatores: a sua probabilidade e os seus efeitos. Embora a probabilidade de certos riscos possa muitas vezes ser determinada com base em dados históricos, é pesado avaliar os efeitos. Não existe uma solução única para todos. No entanto, na maioria dos casos, alguns parâmetros podem fornecer uma boa visão geral, como:

• o tempo total até à recuperação
• o tempo necessário para a mudança
• a disponibilidade de alternativas qualificadas
• o número de clientes/mercados afetados
• os efeitos nas receitas/ margens de lucro/resultados
• custos únicos e contínuos para medidas corretivas
• efeitos sobre a imagem da empresa 

A fim de determinar se a rede está em risco, é necessário que as informações estejam atualizadas e precisas, idealmente de ponta a ponta sobre toda a rede. A transparência flui da informação (em tempo real) sobre o estado da rede, incluindo pessoas, dispositivos, equipamentos, sistemas de informação, encomendas, inventários, etc. Sem uma abordagem estruturada de coleta, análise e comunicação das informações sobre o que se passa na rede, a implementação de uma gestão de riscos significativa é um grande desafio. Assim, na interação com a etapa de identificação dos riscos, temos sempre que considerar os meios e ferramentas que podem ser utilizados para o acompanhamento.

O acompanhamento e a avaliação dos riscos cria a transparência necessária para desenvolver planos de ação. Tipicamente, os planos de ação se baseiam em medidas preventivas ou reativas. Um plano de prevenção está centrado na prevenção de incidentes. A atenuação dos riscos é fundamental para gerir proativamente os riscos. Em contrapartida, os planos reativos asseguram uma intervenção rápida no caso de ocorrer um incidente de risco. Cada plano de ação deve descrever os processos a seguir no caso de ocorrer um determinado incidente.

Compliance é um dos componentes essenciais da gestão do riscos, e os seus requisitos de documentação não devem ser subestimados. Por exemplo, uma empresa deve ter uma compreensão completa da sua rede, incluindo todos os materiais que serão adquiridos. Precisa saber de onde vem este material e como será utilizado. Além disso, é necessário garantir que os regulamentos atuais e futuros em cada mercado são conhecidos e como se aplicam a todos os produtos da cadeia de abastecimento. Estes processos devem ser continuamente documentados e os resultados devem ser registados. Com o tempo, isto cria exigências cada vez maiores dentro da empresa, especialmente tendo em conta que as normas para a elaboração de relatórios também podem variar consideravelmente. Neste caso, a automatização na elaboração de relatórios de compliance pode reduzir o tempo e os esforços necessários e criar sinergias.

Em muitas empresas, a palavra risco evoca associações negativas. Atingir a resiliência na rede requer, portanto, uma cultura de consciência do risco. Ela ajuda a estabelecer e manter processos de tomada de decisão eficientes face a riscos desconhecidos, e também permite uma resposta mais rápida em tempos de crise grave ou ameaça operacional. Uma tarefa-chave para os gestores neste contexto é definir claramente e comunicar a tolerância de uma organização ao risco. A direção e os funcionários devem se sentir habilitados a transmitir más notícias, mas também a partilhar informações sobre onde e como os riscos foram abordados com sucesso e de forma proativa.