Durante muito tempo a gestão de riscos foi construída sobre uma premissa relativamente confortável de que seria possível identificar os riscos, classificá-los em categorias, atribuir responsáveis, estabelecer controles e acompanhar sua evolução por meio de indicadores relativamente independentes.

Assim o risco de crédito permanecia com Crédito; risco de mercado, com Tesouraria; risco operacional, com Operações; risco cibernético, com Tecnologia; risco regulatório, com Compliance; risco reputacional, muitas vezes, aparecia apenas depois que alguma coisa já havia acontecido. Essa arquitetura continua sendo necessária para definir responsabilidades, organizar processos, estruturar reportes e estabelecer mecanismos de governança, mas o problema é que ela descreve cada vez menos a forma pela qual as crises efetivamente se desenvolvem.

O ambiente contemporâneo é muito mais interconectado. Tecnologia, dados, plataformas digitais, infraestrutura crítica, fornecedores, serviços em nuvem, meios de pagamento, cadeias globais de suprimentos, energia, mercados financeiros e redes sociais formaram uma infraestrutura econômica na qual praticamente nenhum risco relevante permanece isolado durante muito tempo.

Asssim a consequência é uma mudança importante na lógica da gestão de riscos de que precisamos deixar de perguntar apenas sobre “qual é o risco?” e começar a perguntar também sobre “para onde esse risco pode viajar depois que se materializar?”.

Essa diferença parece pequena, mas muda profundamente a maneira de construir matrizes de riscos, cenários, testes de estresse, planos de continuidade, indicadores, limites de apetite a risco e, principalmente, a agenda dos Conselhos de Administração e dos Comitês de Riscos.

A dinâmica dominante passa a ser o contágio. Uma tensão política pode se transformar em interrupção logística, ou a interrupção logística pode comprometer estoques, ou a escassez de determinados insumos pode elevar custos, ou a elevação dos custos pode pressionar margens, ou a deterioração das margens pode reduzir geração de caixa, ou a menor geração de caixa pode afetar covenants, capacidade de investimento e rating, e aquilo que começou como risco geopolítico pode terminar como risco financeiro, estratégico, operacional e reputacional.

Da mesma maneira que uma falha tecnológica pode se tornar indisponibilidade de serviço, gerar prejuízo aos clientes, produzir reclamações, atrair supervisão regulatória, desencadear repercussão pública, provocar perda de confiança e finalmente chegar ao balanço.

Assim a interconectividade comprime o tempo disponível para reação, reduz os amortecedores existentes entre os eventos e amplia as consequências finais.

Essa é precisamente a mudança de perspectiva em que os riscos deixam de se comportar como choques independentes e passam a ser compreendidos pela maneira como o estresse se propaga pelos sistemas conectados.

Uma empresa precisa de taxonomia de riscos, pois sem ela se torna difícil estabelecer responsabilidades, consolidar informações, construir políticas, definir limites, atribuir capital e organizar a governança. Entretanto existe uma diferença entre utilizar categorias para administrar riscos e acreditar que os riscos se comportam de acordo com essas categorias. Eles não se comportam. O risco real atravessa as fronteiras do organograma.

Esse fenômeno tem se tornado cada vez mais particularmente relevante porque a transformação digital produziu uma espécie de concentração invisível de dependências. Uma empresa pode acreditar que possui centenas de processos independentes, e descobrir durante uma crise de que dezenas deles dependem do mesmo provedor de nuvem, da mesma infraestrutura de telecomunicações, de um pequeno conjunto de APIs, de determinado fornecedor tecnológico, de uma base de dados central, de determinado sistema legado ou até de algumas poucas pessoas detentoras de conhecimentos importantes. Eficiência operacional e digitalização produziram enormes ganhos econômicos, mas também podem aumentar a fragilidade quando eliminam redundâncias e concentram dependências.

Por iss que uma matriz tradicional formada apenas por probabilidade e impacto começa a oferecer uma fotografia incompleta. Duas exposições classificadas como “médio risco” podem possuir características radicalmente diferentes se uma delas tiver baixa capacidade de propagação e a outra estiver conectada a vinte processos críticos. A segunda exposição pode possuir aquilo que poderíamos chamar de elevado potencial de contágio. Justamente a tecnologia, dados, plataformas e identidade digital passaram a conectar empresas, mercados e economias em grande velocidade, permitindo que problemas anteriormente locais se propaguem rapidamente.

Isso sugere uma evolução prática da gestão integrada de riscos. Além de probabilidade, impacto e velocidade, empresas deveriam compreender concentração, conectividade, substituibilidade e capacidade de propagação.

Pois um fornecedor pode representar apenas uma pequena parcela das despesas e, simultaneamente, ser absolutamente importante para a continuidade de uma atividade crítica. Um sistema pode possuir baixo valor contábil e elevado valor operacional. Um cliente pode representar concentração de receita, mas uma plataforma tecnológica pode representar concentração de continuidade. São dimensões diferentes do mesmo problema.

Talvez uma das ideias mais relevantes para a realidade brasileira seja perceber que riscos aparentemente externos à empresa acabam entrando nela por meio das operações.

Geopolítica é um excelente exemplo, em que durante décadas muitas empresas brasileiras trataram geopolítica como assunto de economistas, diplomatas, grandes multinacionais ou instituições financeiras com operações internacionai, mas ultimanente essa percepção se tornou inadequada. Pois uma empresa até pode não possuir uma única subsidiária no exterior, mas mesmo assim continuar profundamente exposta à geopolítica por meio de semicondutores, fertilizantes, energia, software, equipamentos, commodities, câmbio, logística marítima, sistemas de pagamento, financiamento, sanções, fornecedores tecnológicos ou clientes dependentes do comércio internacional.

Isso significa que o CRO não precisa se tornar especialista em relações internacionais, mas a função de riscos precisa desenvolver capacidade de traduzir acontecimentos geopolíticos em exposições operacionais concretas.

A pergunta relevante diante de uma escalada geopolítica não deveria ser simplesmente sobre “qual será o impacto sobre o PIB?”. Para determinada empresa brasileira as perguntas muito mais úteis seriam sobre quais fornecedores dependem daquela região? Quais componentes não possuem substitutos homologados? Quanto tempo de estoque temos? Existem rotas logísticas alternativas? Qual seria o impacto cambial? Quais clientes seriam atingidos? Há alguma exposição a sanções? Alguma tecnologia crítica depende de componentes produzidos naquela região? Quais seguros poderiam ser afetados? Quanto tempo levaríamos para substituir determinado fornecedor?

O atual ambiente geopolítico é caracterizado por competição entre Estados abaixo do limiar de conflitos militares tradicionais, envolvendo operações cibernéticas, coerção econômica, infraestrutura crítica e disputas tecnológicas. O próprio Brasil aparece nesse cenário como um país que procura preservar autonomia estratégica enquanto mantém profundas relações econômicas e institucionais com diferentes blocos. Para empresas brasileiras portanto geopolítica precisa ser traduzida em dependências, cenários e decisões.

Aqui aparece um dos maiores desafios para a governança corporativa moderna de que muitas estruturas de resposta foram projetadas para eventos sequenciais, enquanto as crises atuais podem produzir consequências simultâneas.

Imagine uma instituição financeira brasileira enfrentando uma indisponibilidade significativa de seus canais digitais. Em poucos minutos surge o problema operacional. Clientes começam a reclamar. As reclamações migram para redes sociais. A imprensa procura informações. As áreas de atendimento recebem volumes extraordinários. Compliance e Jurídico precisam avaliar obrigações regulatórias e contratuais. Tecnologia procura identificar a causa. Segurança Cibernética precisa determinar se houve ataque. A Diretoria precisa decidir o que comunicar. Tesouraria avalia eventuais consequências financeiras. Relações com Investidores pode precisar preparar posicionamento. Dependendo da extensão, autoridades e supervisores entram no processo.

Observe que não existe uma sequência organizada como “primeiro risco operacional, depois risco reputacional e finalmente risco regulatório”. Todos começam praticamente ao mesmo tempo.

Importante então entender essa dinâmica com uma interrupção operacional, prejuízo aos clientes, atenção regulatória, dano reputacional e efeitos sobre capital ou liquidez podem manifestar-se paralelamente, enquanto estruturas tradicionais ainda modelam principalmente impactos de primeira ordem dentro de silos funcionais.

Daí surge uma conclusão importante de que conhecer os caminhos de contágio pode ser tão importante quanto estimar precisamente a probabilidade do evento inicial.

Grande parte das matrizes corporativas de riscos continua excessivamente concentrada no impacto direto. Se o fornecedor parar, qual será a perda? Se o sistema ficar indisponível, qual será o custo? Se o câmbio variar, quanto perderemos? São perguntas necessárias, mas insuficientes, pois a gestão moderna precisa perguntar o que acontece depois?

Considere uma empresa industrial brasileira dependente de determinado componente importado. Uma ruptura logística interrompe o fornecimento. Esse é o impacto de primeira ordem. A produção diminui. Segundo impacto as entregas aos clientes atrasam. Terceiro impacto alguns clientes aplicam penalidades contratuais ou procuram concorrentes. Quarto impacto a receita cai e o capital de giro aumenta. Quinto impacto a empresa utiliza linhas adicionais de crédito. Sexto impacto o custo financeiro cresce. Sétimo impacto os projetos de investimento são adiados. Oitavo impacto em que eependendo da duração do choque, o problema deixa de ser simplesmente risco da terceiros da cadeia de suprimentos, e passa a afetar estratégia, liquidez, crédito, reputação e competitividade. Isso é contágio!

Por essa razão que os testes de estresse precisam ser menos estáticos. Em vez de perguntar apenas sobre “o que acontece se X ocorrer?”, deveríamos perguntar sobre “o que acontece depois de X, quais dependências são atingidas, quais outros riscos são ativados e em que momento nossa capacidade de resposta começa a deteriorar?”. É uma mudança da análise de impacto para a análise de propagação.

Outro ponto relevante para empresas brasileiras é o risco decorrente da instabilidade ou mudança das premissas institucionais utilizadas no planejamento.

Projetos de investimento frequentemente utilizam horizontes de cinco, dez, quinze ou vinte anos. Entretanto a tributação, política industrial, política energética, regras ambientais, financiamento, infraestrutura, comércio exterior e regulamentação podem sofrer alterações muito mais rapidamente. O problema não consiste necessariamente em prever qual política prevalecerá, mas em evitar estratégias cuja viabilidade dependa de uma única hipótese regulatória ou econômica.

Por istoq ue queria chama ratenção justamente para essa fragilidade de que os planos empresariais construídos sobre premissas estreitas de política pública tornam-se vulneráveis quando ocorre reversão ou recalibração, exigindo tolerâncias maiores nas decisões de capital, preços e investimento.

Para a realidade brasileira isso significa incorporar cenários regulatórios e institucionais ao planejamento estratégico. Um projeto deveria sobreviver não apenas ao cenário-base, mas a combinações razoavelmente adversas de juros, câmbio, tributação, regulação, energia, demanda e disponibilidade de financiamento.

Resiliência estratégica nesse contexto não significa acertar a previsão. Significa conseguir continuar executando a estratégia quando a previsão estiver errada.

Existe ainda uma dimensão particularmente relevante para Conselhos, Comitês de Riscos e instituições financeiras: deterioração financeira raramente começa no momento do default, mas antes dele aparecem sinais.

Renegociação de covenants, postergação de investimentos, venda de ativos, utilização crescente de linhas de curto prazo, alongamento de fornecedores, deterioração de capital de giro, aumento de concentração bancária, renegociação de dívidas e sucessivas reestruturações podem representar sintomas antecipados de pressão financeira. Por isto que queria ressaltar justamente que renegociações de covenants, venda de ativos e reestruturações frequentemente antecedem defaults e que resiliência do balanço e opcionalidade de funding constituem vantagens relevantes.

No sistema financeiro brasileiro isso possui implicação direta para risco de crédito. O acompanhamento não deveria se limitar ao atraso, pois um cliente pode permanecer adimplente enquanto sua capacidade econômica já está se deteriorando. Essa diferença é especialmente importante quando se discute aumento significativo do risco de crédito, renegociações, monitoramento prospectivo e provisões esperadas. O default é frequentemente o último capítulo visível de uma deterioração iniciada muito antes.

A inteligência artificial introduz uma característica adicional nesse ambiente: escala.

Uma decisão humana incorreta pode produzir uma consequência localizada. Um modelo utilizado milhares ou milhões de vezes pode reproduzir o mesmo erro em velocidade extraordinária. Por isso que a IA funciona simultaneamente como multiplicador de produtividade e multiplicador de risco.

À medida que IA passa a participar de crédito, precificação, atendimento, operações, prevenção a fraudes, compliance, análise documental e tomada de decisão, risco de modelo, proveniência dos dados, vieses, explicabilidade e governança deixam de ser assuntos exclusivamente técnicos.Queria observar de que IA amplia conhecimento, mas também amplia erro, e que falhas em decisões automatizadas podem ocorrer rapidamente e em escala, colocando responsabilidade sobre alta administração e Conselho.

A questão portanto não deveria ser simplesmente se a empresa utiliza IA, mas a pergunta de governança é outra sobre se sabemos onde ela está sendo utilizada, quais decisões influencia, quais dados utiliza, quem responde pelo resultado, quais controles existem, quando uma pessoa precisa intervir e como conseguimos interromper rapidamente sua utilização caso o comportamento observado saia dos limites aceitáveis?

Em linguagem de riscos, isso significa inventário de casos de uso, classificação por criticidade, responsáveis nominais, controles, limites, monitoramento, validação independente quando necessária, trilhas de auditoria e mecanismos de interrupção.

Existe ainda um ativo que dificilmente aparece adequadamente no balanço que é a confiança.

Clientes confiam que o serviço estará disponível. Investidores confiam que a administração conhece seus riscos. Reguladores confiam que os controles apresentados funcionam. Empregados confiam que a liderança tomará decisões adequadas durante crises. Fornecedores confiam que contratos serão honrados. Credores confiam na capacidade financeira da empresa. Durante uma crise essa reserva de confiança começa a ser consumida.

Uma falha cibernética, vazamento de dados, indisponibilidade de serviços ou deficiência de controles pode atravessar simultaneamente clientes, contrapartes, reguladores e mercados. Nesse contexto reputação deixa de depender apenas daquilo que a empresa construiu ao longo dos anos e passa a depender fortemente de como ela se comporta sob pressão. O documento enfatiza velocidade, clareza, responsabilidade e capacidade decisória durante crises como elementos determinantes da preservação da confiança.

Essa percepção muda inclusive o papel da comunicação de crise. Comunicação não substitui capacidade operacional. Uma empresa não recupera confiança apenas construindo uma narrativa melhor. Precisa demonstrar domínio da situação, responsabilidade, transparência adequada e capacidade concreta de restaurar o serviço.

Confiança acumulada durante anos pode funcionar como capital reputacional, mas o capital reputacional também pode ser consumido.

Outro efeito da era do contágio é uma mudança naquilo que significa possuir controles adequados.

Política aprovada não prova que o controle funciona. Procedimento documentado não prova que a operação está aderente. Comitê formalmente constituído não prova que decisões difíceis são tomadas. Plano de continuidade armazenado em uma pasta não prova que a empresa conseguirá operar durante uma crise.

Por isto que preciso destacar uma convergência crescente das expectativas regulatórias e uma mudança de atenção para resultados, testes de cenários, mapeamento de dependências, decisões sob estresse e aprendizado decorrente das interrupções. Essa lógica é extremamente aplicável ao ambiente brasileiro.

Conselhos e Comitês deveriam começar a perguntar menos sobre se “temos uma política?” e mais sobre “como sabemos que ela funciona?”. A diferença é enorme, pois a primeira pergunta produz documentos, enquianto que a segunda produz evidências.

O risco energético oferece outro bom exemplo da transformação de riscos aparentemente estratégicos em riscos operacionais concretos.

A discussão energética frequentemente permanece concentrada em preço ou sustentabilidade. Entretanto disponibilidade, confiabilidade, transmissão, armazenamento e dependência de infraestrutura também podem determinar continuidade operacional.

Data centers, indústrias eletrointensivas, hospitais, telecomunicações, mineração, logística, infraestrutura portuária e inúmeros outros negócios dependem não simplesmente de “energia”, mas de energia confiável, disponível e economicamente sustentável.

A transição energética introduz um problema de sequenciamento: avançar lentamente aumenta exposição climática, mas avançar rapidamente sem infraestrutura adequada pode reduzir a resiliência do sistema. A energia precisa ser analisada nos níveis de ativo, localização e dependência, porque compromissos estratégicos pouco ajudam quando a infraestrutura física está sob pressão.

Para empresas brasileiras essa análise deveria entrar no Business Impact Analysis (BIA), e no mapa de dependências críticas.

Chegamos então ao ponto que conecta todos os demais, de que a resiliência operacional não deveria ser entendida simplesmente como plano de continuidade, disaster recovery ou obrigação regulatória, mas é a capacidade de a estratégia continuar existindo depois que a realidade deixa de se comportar conforme o planejamento.

Uma empresa resiliente não é aquela em que nada dá errado, pois essa empresa não existe. Resiliente é aquela capaz de sofrer um choque, absorver parte de seus efeitos, impedir ou reduzir sua propagação, adaptar-se rapidamente e continuar entregando seus produtos e serviços mais importantes dentro de limites previamente compreendidos.

Isso exige conhecer processos críticos, ativos importantes, sistemas, pessoas-chave, dados, instalações, fornecedores, prestadores de serviços, infraestrutura e demais dependências. Exige também compreender como essas dependências se conectam.

Essa arquitetura em cinco capacidades do monitoramento integrado do horizonte de riscos, visibilidade das dependências críticas e terceiros, testes de cenários que ultrapassem impactos de primeira ordem, governança explícita para decisões sob estresse e disciplina para agir antecipadamente em vez de esperar pela decisão teoricamente perfeita.

Essa última capacidade merece especial atenção, pois em crises a informação perfeita normalmente chega tarde. Assim a governança de crise não pode depender de certeza absoluta. Precisa estabelecer antecipadamente níveis de autoridade, gatilhos, tolerâncias e critérios de escalonamento.

Vejam de que o objetivo não é tomar sempre a decisão ótima ex post, mas é sim impedir que a necessidade de certeza paralise a empresa enquanto o risco continua se propagando.

A primeira transformação deveria acontecer na matriz e no repositório de riscos. Em que em vez de registrar apenas evento, causa, consequência, probabilidade, impacto, controles e responsável, vale acrescentar dependências críticas, riscos correlacionados, possíveis impactos de segunda e terceira ordem, velocidade de propagação, concentração, substituibilidade e capacidade de recuperação.

A segunda transformação deveria ocorrer nos testes de estresse, em que os cenários não deveriam ser construídos apenas como choques isolados. Poderíamos imaginar, por exemplo, uma empresa brasileira enfrentando simultaneamente ataque cibernético a um fornecedor crítico, indisponibilidade de determinado serviço tecnológico, volatilidade cambial e aumento extraordinário das reclamações de clientes. O objetivo do exercício seria descobrir não apenas quanto a empresa perderia, mas onde a estrutura de decisão começaria a falhar.

A terceira transformação deveria ocorrer nos KRIs, em que os ndicadores tradicionais normalmente procuram antecipar a probabilidade ou a severidade de determinado risco. Na era do contágio precisamos também de indicadores de concentração e conectividade: percentual de processos críticos dependentes de determinado terceiro; número de serviços importantes dependentes de uma mesma infraestrutura; tempo estimado para substituição de fornecedores; capacidade redundante disponível; concentração geográfica; dependência de pessoas-chave; tempo de recuperação testado versus tempo tolerável; quantidade de processos críticos sem alternativa operacional.

A quarta transformação precisa chegar ao apetite a risco. Em que já não basta declarar tolerância genérica a risco operacional ou cibernético. Limites operacionais deveriam ser traduzidos para disponibilidade, concentração, recuperação, perda de dados, exposição a terceiros, tempo máximo tolerável de interrupção e outros parâmetros mensuráveis.

Finalmente essa transformação precisa chegar ao Conselho. Talvez uma das perguntas mais poderosas que um conselheiro possa fazer diante de um risco relevante seja sobre “se isso acontecer amanhã, qual será o próximo risco a se materializar?” E imediatamente depois “e depois dele?” Essa sequência obriga a empresa a abandonar a fotografia estática e enxergar o filme.

A grande mudança não está necessariamente no surgimento de riscos completamente novos, mas está na intensidade das conexões entre riscos conhecidos.

Cyber, geopolítica, crédito, liquidez, tecnologia, terceiros, IA, energia, clima, regulação e reputação já estavam no radar das empresas. O que mudou foi a velocidade com que um pode ativar o outro. Por isso que talvez a principal competência da gestão de riscos nos próximos anos seja a capacidade de compreender interdependências.

O CRO deixa de ser apenas o profissional que consolida riscos individuais e passa a ser também aquele que ajuda a empresa a compreender como eles se conectam. O Comitê de Riscos deixa de olhar somente para os maiores riscos e passa a examinar os principais caminhos de propagação. O Conselho deixa de perguntar apenas se o risco está dentro do apetite e começa a questionar se um choque poderia atravessar diferentes limites simultaneamente. Essa mudança é importante porque crises sistêmicas raramente respeitam o desenho das estruturas corporativas.

A empresa pode possuir excelente gestão de risco cibernético, excelente gestão de terceiros, excelente continuidade de negócios e excelente comunicação de crise quando cada disciplina é avaliada isoladamente. Ainda assim, pode falhar se ninguém tiver testado as quatro juntas, mas é exatamente aí que reside a diferença entre possuir controles e possuir resiliência.

Em ambientes relativamente estáveis, empresas eficientes e empresas resilientes podem parecer semelhantes. Ambas entregam resultados, cumprem seus processos e alcançam seus indicadores. A diferença aparece sob pressão.

Quando surge uma ruptura inesperada, a empresa excessivamente otimizada descobre que eficiência havia eliminado redundâncias importantes. Descobre que fornecedores alternativos existiam apenas formalmente. Descobre que o plano de continuidade nunca havia sido testado nas condições reais. Descobre que diferentes áreas possuíam versões diferentes da mesma informação. Descobre que ninguém sabia exatamente quem poderia tomar determinada decisão. Descobre que o terceiro crítico também dependia de outro terceiro crítico. Descobre que os tempos de recuperação apresentados ao Conselho eram estimativas e não resultados testados.

A empresa resiliente pode enfrentar exatamente o mesmo choque, em que a diferença é que conhece melhor suas dependências, seus limites e suas alternativas. Ela não elimina a crise, mas impede que a crise elimine sua capacidade de agir.

E talvez essa seja uma das maneiras mais úteis de compreender gestão de riscos daqui para frente, em que o objetivo não é construir uma empresa na qual nenhum evento adverso ocorra, mas o objetivo é sim construir uma empresa capaz de continuar tomando boas decisões quando diversos eventos adversos começam a ocorrer simultaneamente.

Assim o ambiente passa a ser caracterizado menos por crises isoladas e mais por pressão persistente, propagação acelerada e menor margem para erro, então diante disto as empresas mais preparadas não serão necessariamente aquelas que fizerem as melhores previsões, mas aquelas que compreenderem como os riscos se espalham e desenvolverem capacidade operacional para responder quando isso acontecer.

Essa talvez seja a principal mensagem para Conselhos de Administração, Comitês de Riscos, CROs, Compliance, Auditoria, Tecnologia e gestores de negócios brasileiros, de que o próximo grande evento de risco provavelmente não chegará educadamente identificado com o nome da categoria à qual pertence.

Em que ele poderá começar em algum ponto distante da empresa, atravessar um fornecedor, atingir uma tecnologia, interromper um processo, alcançar clientes, provocar uma reação regulatória, consumir confiança e finalmente chegar ao balanço.

Quando isso acontecer, possuir uma matriz de riscos será necessário, mas compreender o caminho do contágio será muito mais importante. Porque na era da interdependência, administrar riscos não significa apenas saber o que pode dar errado, mas significa compreender como uma coisa que dá errado pode fazer várias outras darem errado ao mesmo tempo, e assim construir a resiliência necessária para interromper essa cadeia antes que o evento se transforme em crise sistêmica.

Para melhor ilustrar estes conceitos e pontos acima, preparei uma apresentação didática, que pode acessar online no link abaixo. Caso queria que eu faça uma palestra assim para seu time na sua empresa me procurem que tento ajudar.