Uma empresa pode medir probabilidades, estimar perdas esperadas, calcular capital econômico, definir limites de exposição, construir cenários de estresse, implantar controles, monitorar indicadores, e ainda assim compreender de maneira incompleta o risco que realmente enfrenta.

Isso ocorre porque o risco possui pelo menos duas dimensões que precisam coexistir dentro de uma boa governança, em que o risco que pode ser tecnicamente estimado. e o risco que é percebido pelas pessoas. Mas as duas dimensões nem sempre caminham juntas.

A percepção de risco corresponde ao julgamento que indivíduos e grupos fazem quando precisam avaliar uma atividade, situação, produto, tecnologia ou acontecimento potencialmente perigoso. Esses julgamentos influenciam comportamentos, decisões e a aceitação ou rejeição de determinadas exposições. Compreender como as pessoas interpretam o risco é portanto condição importante para antecipar reações, melhorar a comunicação e desenhar políticas de gestão mais eficazes.

Nas empresas brasileiras essa distinção é particularmente relevante porque conselhos de administração, executivos, áreas de negócios, gestores de riscos, auditoria, compliance, clientes, investidores, reguladores, empregados, imprensa e sociedade podem estar diante do mesmo fato, mas enxergar riscos completamente diferentes, e todos podem ter alguma razão.

Durante muito tempo uma parte significativa da gestão empresarial tratou o risco predominantemente como um problema quantitativo.

Probabilidade multiplicada por impacto. Perda esperada. Value at Risk. Capital em risco. Frequência e severidade. Indicadores de inadimplência. Limites operacionais. Sensibilidades. Testes de estresse.

Essas métricas são fundamentais, mas o problema aparece quando se conclui que aquilo que foi quantificado corresponde à totalidade do risco. Não corresponde.

Assim uma exposição pode apresentar baixa probabilidade estatística, e simultaneamente enorme potencial reputacional, regulatório ou social, enquanto que outra pode produzir perdas frequentes e relativamente elevadas, mas ser considerada rotineira e administrável. Uma terceira pode apresentar perdas historicamente pequenas e, mesmo assim, provocar grande preocupação no conselho porque envolve tecnologia pouco compreendida, consequências potencialmente catastróficas ou impactos sobre milhares de clientes.

Por isso que a pergunta relevante para uma organização madura não é apenas sobre “qual é a probabilidade de esse evento acontecer?” É também sobre “como esse risco será percebido se acontecer?” Essa segunda pergunta muda profundamente a gestão de riscos.

Seres humanos utilizam mecanismos simplificadores heurísticas para navegar em ambientes de incerteza, em que esses mecanismos são úteis porque seria impossível analisar racionalmente todas as informações disponíveis antes de cada decisão. Entretanto as determinadas heurísticas podem gerar vieses persistentes.

Dificuldades em interpretar probabilidades, experiências pessoais enganosas, cobertura seletiva de acontecimentos, ansiedade diante da incerteza e excesso de confiança podem levar as pessoas tanto a superestimar quanto a subestimar riscos. E isso não ocorre apenas entre pessoas sem formação técnica. Especialistas também ficam sujeitos a vieses, particularmente quando precisam decidir além dos limites dos dados disponíveis e passam a depender de julgamento intuitivo.

Essa conclusão deveria ser extremamente importante para conselhos e comitês de riscos, pois a presença de especialistas não elimina vieses. Modelos sofisticados também não eliminam vieses. Experiência profissional não elimina vieses. Em determinadas circunstâncias a própria experiência pode aumentar o excesso de confiança.

Um diretor que passou vinte anos sem presenciar determinado tipo de crise pode concluir que ela é improvável. Um profissional de tecnologia que nunca enfrentou um grande incidente cibernético pode acreditar que os controles existentes são suficientes. Um banco que atravessou vários ciclos econômicos sem grandes problemas de liquidez pode começar a considerar determinados pressupostos comportamentais como permanentes. Uma empresa que nunca sofreu uma penalidade relevante por falhas de proteção de dados pode tratar privacidade como risco secundário.

O fato de algo não ter acontecido ainda não significa que não possa acontecer. Esse é um dos pontos importantes da percepção de risco: de que a experiência passada é informação, mas também pode se transformar em armadilha cognitiva.

Existe ainda outro fenômeno importante, de que quando pessoas desenvolvem convicções fortes sobre determinado risco, novas informações passam frequentemente a ser interpretadas à luz dessas convicções.

Informações compatíveis com a opinião inicial tendem a parecer mais confiáveis, já as informações contrárias podem ser consideradas excepcionais, irrelevantes, enviesadas ou pouco representativas.

Consequentemente as divergências sobre riscos não necessariamente desaparecem quando mais dados são apresentados. Convicções iniciais podem moldar a interpretação das novas evidências.

Nas empresas isso aparece constantemente. Quando uma organização acredita que determinado cliente é estratégico, sinais de deterioração de crédito podem receber interpretações benevolentes. Quando um projeto já consumiu milhões de reais, evidências de inviabilidade podem ser racionalizadas. Quando determinada tecnologia foi patrocinada pela alta administração, falhas iniciais podem ser tratadas apenas como dificuldades normais de implantação. Quando a empresa está comprometida com uma aquisição, riscos identificados na diligência podem ser reinterpretados como administráveis. Quando determinado executivo possui grande influência interna, alertas sobre sua área podem enfrentar resistência maior.

Pois é nesse momento que a governança precisa criar mecanismos para evitar que convicção se transforme em cegueira institucional.

Contraditórios estruturados, análises independentes, cenários adversos, validação de modelos, opiniões das funções de controle, auditoria interna independente e participação efetiva do conselho não representam burocracia.

Representam proteção contra a tendência humana de selecionar evidências compatíveis com aquilo que já desejamos acreditar.

Existe outro desafio, pois quando não possuem opiniões previamente consolidadas, as pessoas podem ser fortemente influenciadas pela maneira como o problema é apresentado.

Apresentar a mesma informação como probabilidade de sobrevivência ou probabilidade de mortalidade, por exemplo, pode produzir decisões diferentes, mesmo quando matematicamente as informações são equivalentes. Nas empresas,o chamado efeito de enquadramento deveria receber muito mais atenção.

Compare “99,9% das transações foram processadas normalmente.” com: “Dez mil transações apresentaram falhas.” As duas afirmações podem representar exatamente a mesma realidade dependendo do volume processado.

Compare: “A inadimplência permanece abaixo de 5%.” com: “A inadimplência aumentou 40% em doze meses.” Ambas podem estar corretas.

Compare: “O modelo de inteligência artificial apresentou precisão de 96%.” com: “Em quatro de cada cem decisões, o modelo poderá produzir resultado incorreto.”

Matematicamente semelhantes, mas perceptualmente diferentes.

Por isso que as boas informações de riscos não deveriam ser construídas para induzir tranquilidade nem para produzir alarme, mas deveriam permitir julgamento.

Um bom relatório para conselho deveria mostrar números absolutos e relativos, tendência, dispersão, cenários, concentrações, limites, exceções, causalidade e possíveis impactos. A maneira como o risco é apresentado também faz parte da governança do risco.

Uma das descobertas mais relevantes no estudo da percepção de risco é que especialistas e não especialistas frequentemente utilizam critérios diferentes.

Especialistas tendem a associar risco a medidas técnicas, como frequência esperada de danos ou fatalidades.

Pessoas não especialistas conseguem compreender essas informações quando apresentadas, mas seu julgamento geral sobre a “periculosidade” de uma situação incorpora outras dimensões: potencial catastrófico, impacto sobre gerações futuras, conhecimento existente, controle sobre a exposição e distribuição dos benefícios e consequências.

Isso ajuda a explicar muitos conflitos corporativos, em que uma empresa pode afirmar de que “a probabilidade estatística é extremamente baixa.” O cliente pode responder: “mas se acontecer comigo, posso perder tudo.” A empresa pode afirmar: “o impacto financeiro esperado é imaterial.” O regulador pode perguntar: “quantas pessoas podem ser afetadas?” O diretor financeiro pode dizer: “o prejuízo é administrável.” O conselho pode perguntar: “e a reputação?” O especialista técnico pode afirmar: “o sistema é seguro.” A sociedade pode perguntar: “quem controla esse sistema?”

Todas essas perguntas pertencem à gestão de riscos.

Há uma forma particularmente útil de entender esse problema, em que os riscos podem ser avaliados não apenas pela probabilidade de ocorrência e severidade financeira, mas também por características qualitativas.

Entre elas:

Essas características influenciam profundamente a percepção e a aceitação do risco.

Para as empresas brasileiras, isso permite uma leitura muito mais sofisticada do risco, em que um risco voluntário tende a ser percebido de maneira diferente de um risco imposto. Uma pessoa pode aceitar assumir uma exposição elevada ao investir conscientemente em determinado ativo financeiro. Provavelmente reagirá de forma muito diferente se descobrir que sua instituição financeira a expôs ao mesmo risco sem que ela tivesse consciência disso.

Essa diferença ajuda a explicar por que transparência, suitability, consentimento, dever fiduciário e comunicação clara são elementos tão relevantes em produtos financeiros.

Historicamente estudos sobre aceitação do risco encontraram diferenças enormes entre riscos assumidos voluntariamente e riscos impostos às pessoas.

Em determinados experimentos os riscos voluntários chegaram a ser tolerados em ordens de magnitude muito superiores a riscos involuntários quando os benefícios percebidos eram semelhantes.

A implicação corporativa é poderosa, pois já não basta perguntar sobre se “o risco é baixo?” Também precisamos perguntar sobre “quem decidiu assumir esse risco?”

Se o risco foi voluntariamente aceito por uma pessoa devidamente informada, sua tolerância pode ser maior. Se o mesmo risco foi imposto sem conhecimento, consentimento ou possibilidade de escolha, a reação pode ser completamente diferente.

Isso é particularmente importante em proteção de dados; inteligência artificial; crédito; seguros; investimentos; serviços financeiros; saúde; relações de trabalho; terceirização; monitoramento eletrônico; uso de dados pessoais; decisões automatizadas.

A percepção de risco está profundamente ligada à percepção de autonomia.

Pessoas também toleram melhor riscos sobre os quais acreditam possuir algum grau de controle, o que ajuda a explicar por que alguém pode sentir maior medo em um avião do que dirigindo um automóvel, embora a avaliação técnica de risco possa apontar em direção diferente.

No ambiente empresarial ocorre algo semelhante, em que os conselhos se sentem mais confortáveis com riscos que entendem e sobre os quais acreditam possuir mecanismos claros de controle.

O problema surge quando essa sensação de controle não corresponde à realidade. É possível possuir políticas sem possuir controle. É possível possuir controles sem comprovar sua eficácia. É possível possuir planos de continuidade que nunca foram adequadamente testados. É possível possuir dezenas de indicadores que não antecipam nada relevante. É possível possuir limites de risco permanentemente respeitados simplesmente porque foram definidos longe demais da verdadeira capacidade de perda.

Controle percebido e controle efetivo não são a mesma coisa! Em que essa distinção deveria estar presente em toda avaliação de riscos.

Uma das dimensões mais poderosas da percepção humana é aquilo que pode ser chamado de risco de temor.

São situações associadas a falta de controle; consequências graves; potencial catastrófico; fatalidades; distribuição injusta de riscos e benefícios; efeitos sobre muitas pessoas; impacto sobre gerações futuras; dificuldade de mitigação; sensação de aumento da ameaça; exposição involuntária.

Essas características aparecem agrupadas de maneira consistente em estudos de percepção.

Quando um risco possui essas características, as pessoas tendem a classificá-lo como mais grave, desejar sua redução e demandar controles ou regulação mais rigorosos.

Agora pensemos no ambiente empresarial brasileiro. Ataques cibernéticos. Uso irresponsável de inteligência artificial. Vazamentos de dados. Fraudes em larga escala. Desastres ambientais. Acidentes industriais. Falhas em barragens. Produtos financeiros vendidos inadequadamente. Lavagem de dinheiro. Corrupção. Falhas em sistemas de pagamento. Colapso de instituição financeira.

Cada um desses eventos possui características capazes de produzir enorme percepção de temor. Por isso que tratá-los apenas pelo valor esperado de perda pode gerar decisões perigosamente incompletas.

Existe ainda uma segunda dimensão fundamental que é a do risco desconhecido.

São riscos percebidos como: pouco observáveis; desconhecidos pelas pessoas expostas; novos; com efeitos retardados; ainda parcialmente desconhecidos até mesmo pela ciência ou pelos especialistas.

Esse conceito se tornoue ainda mais relevante nas empresas contemporâneas, pois a iInteligência artificial generativa é um exemplo evidente.

Muitas empresas conseguem identificar benefícios imediatos. Produtividade. Automação. Redução de custos. Geração de conteúdo. Atendimento. Análise de documentos. Desenvolvimento de software.

Mas parte relevante dos riscos possui manifestação diferida e ainda não completamente conhecida. Discriminação algorítmica. Alucinações. Vazamento de dados. Dependência tecnológica. Risco de terceiros. Propriedade intelectual. Decisões automatizadas inadequadas. Risco reputacional. Manipulação. Fraudes sofisticadas. Risco regulatório futuro.

Quando novidade e desconhecimento se combinam com potencial catastrófico e baixa percepção de controle, temos uma das combinações mais sensíveis da gestão de riscos.

Outra conclusão importante é que tolerância ao risco depende do benefício percebido.

Pessoas tendem a aceitar riscos maiores quando consideram determinada atividade altamente benéfica. Entretanto essa relação é influenciada por voluntariedade, familiaridade, controle, potencial catastrófico, equidade e conhecimento.

Esse ponto deveria estar presente na discussão de apetite a riscos. Nenhum risco deveria ser analisado isoladamente do objetivo que justifica sua assunção.

Por que estamos correndo esse risco? Qual benefício estratégico buscamos? Quem recebe esse benefício? Quem suporta a exposição? Existe proporcionalidade? Há alternativa menos arriscada? A emprersa está sendo adequadamente remunerada pelo risco? O cliente entende a relação risco-retorno? A sociedade percebe benefício equivalente à exposição criada?

Essas perguntas aproximam estratégia e risco, porque gestão de riscos não significa evitar riscos, mas significa decidir conscientemente quais riscos devem ser assumidos para atingir objetivos e em que magnitude.

Existe uma expressão recorrente nas empresas: “Esse risco é aceitável.” Mas aceitável para quem? Para o acionista? Para o conselho? Para o cliente? Para o regulador? Para os empregados? Para a comunidade? Para a sociedade? Para futuras gerações?

Essa pergunta importa porque não existe necessariamente uma única definição universal de risco aceitável.

A aceitabilidade depende do benefício, da voluntariedade, da capacidade de controle, da familiaridade, da distribuição de impactos e de várias outras características.

Portanto uma boa declaração de apetite a riscos não deveria ser apenas uma coleção de limites quantitativos. A RAS deveria traduzir também princípios, em que há riscos que podem estar matematicamente dentro de limites e, mesmo assim, ser incompatíveis com valores, reputação, estratégia ou responsabilidade institucional.

Muitas empresas brasileiras utilizam matrizes de probabilidade e impacto. São instrumentos úteis, mas frequentemente simplificam demais a realidade.

Um avanço importante seria acrescentar uma terceira perspectiva da percepção do risco.

Por exemplo para riscos relevantes a empresa poderia avaliar o grau de voluntariedade; grau de controle; familiaridade; nível de conhecimento; potencial catastrófico; irreversibilidade; amplitude da população impactada; equidade; impacto sobre gerações futuras; novidade; tempo entre exposição e manifestação; visibilidade pública; potencial de repercussão; potencial regulatório; potencial reputacional.

Isso produziria uma visão muito mais rica do portfólio de riscos, pois dois riscos com a mesma perda esperada poderiam receber tratamentos completamente diferentes. E deveriam.

Talvez uma das aplicações corporativas mais poderosas da percepção de risco esteja na análise de incidentes.

A análise tradicional tende a se concentrar nos danos imediatos como mortes; feridos; perdas financeiras; interrupção operacional; danos materiais; despesas de recuperação.

Mas eventos graves podem produzir consequências de segunda, terceira e quarta ordem muito superiores ao dano inicial.

O impacto pode se espalhar da vítima para a empresa responsável, depois para todo o setor e, em determinadas situações, atingir organizações ou atividades apenas marginalmente relacionadas ao evento original.

É o efeito das ondas produzidas por uma pedra jogada em um lago, em que a primeira onda é o incidente. Segunda onda são os diretamente afetados. Terceira onda é a empresa. Quarta onda o setor. Quinta onda os reguladores. Sexta onda os investidores. Sétima onda a sociedade.

Entre os impactos de ordem superior estão perda de vendas; restrições regulatórias; litígios; oposição de comunidades; fuga de investidores; deterioração reputacional; mudanças regulatórias; aumento do custo operacional; redução da confiança; dificuldade de contratação; perda de clientes; aumento do custo de capital.

O modelo de propagação apresentado para eventos adversos mostra justamente essa trajetória entre características do evento, interpretação do acontecimento, formação de um sinal e propagação de consequências para vítimas, empresa, setor e outras tecnologias ou atividades. Entre os impactos corporativos aparecem explicitamente perda de vendas, restrições regulatórias, litígios, oposição da comunidade e saída de investidores.

Isso possui enorme relevância para a gestão contemporânea, em que por exemplo um incidente cibernético pode inicialmente custar R$ 10 milhões, mas essa informação não responde ao verdadeiro custo do risco.

Quanto custará a perda de clientes? Quanto aumentará o orçamento de segurança exigido pelo regulador? Quanto custará o litígio? Quanto valerá a deterioração da marca? Quanto aumentará o prêmio do seguro? Quanto custará a indisponibilidade? Quanto será perdido em oportunidades futuras? Quanto cairá a confiança dos investidores? Quanto tempo da administração será consumido pela crise?

A perda direta pode ser apenas o começo.

Existe ainda um conceito particularmente importante: determinados acontecimentos funcionam como sinais.

O impacto de um incidente não depende apenas do dano que ele produziu, mas depende também daquilo que o evento parece revelar sobre o futuro.

Assim um acidente relativamente pequeno pode provocar enorme reação quando é interpretado como evidência de que acidentes maiores podem ocorrer.

A gravidade social e os impactos de ordem superior de um evento dependem, em parte, daquilo que o acontecimento sinaliza ou parece antecipar. Um acidente em sistema familiar e bem compreendido pode gerar repercussão relativamente limitada, enquanto um evento menor em sistema novo ou pouco compreendido pode ser interpretado como prenúncio de problemas maiores.

Essa ideia é extraordinariamente útil para a gestão de incidentes corporativos como uma fraude pequena pode sinalizar falha sistêmica de controles. Um vazamento limitado pode indicar vulnerabilidade estrutural. Um erro de modelo pode revelar problema de governança de dados. Uma denúncia trabalhista pode sinalizar cultura tóxica. Uma operação suspeita detectada tardiamente pode indicar deficiências no programa de PLD. Um problema em uma subsidiária pode revelar fragilidade de supervisão do grupo. Uma exceção aparentemente isolada pode revelar normalização do desvio.

Portanto depois de um incidente a pergunta não deveria ser apenas sobre “quanto perdemos?” Mas deveria ser sobre “o que esse evento está nos dizendo?”

Essa lógica possui uma consequência imediata para gestão operacional, em que um evento que não provocou grande perda pode ser extremamente valioso. Se ele revelou uma vulnerabilidade capaz de produzir um evento futuro muito maior, seu valor como sinal pode superar seu impacto financeiro direto.

Por isso que as empresas maduras investigam incidentes; quase perdas; falhas de controle; violações de limites; alertas; reclamações; denúncias; anomalias; exceções.

Uma empresa que aprende apenas com prejuízos reais aprende tarde demais.

Determinados riscos merecem investimentos superiores aos sugeridos por uma análise tradicional de custo-benefício justamente porque um incidente poderia produzir repercussões sistêmicas muito maiores.

A análise deveria reconhecer explicitamente esses eventos de alto sinal e seus impactos de ordem superior. Isso ajuda a compreender por que alguns controles aparentemente caros são economicamente justificáveis.

Redundância tecnológica. Segregação de funções. Recuperação de desastres. Cibersegurança. Controles de prevenção à lavagem de dinheiro. Qualidade de dados. Proteção ambiental. Segurança de produtos. Governança de inteligência artificial. Compliance.

Nem todo controle deveria ser avaliado exclusivamente pela comparação entre custo anual e perda histórica. Alguns controles existem para evitar acontecimentos cuja consequência ultrapassaria em muito a perda contabilizada no primeiro dia.

Outro aprendizado importante é que riscos pertencentes à mesma categoria podem possuir percepções muito diferentes dependendo da situação.

Estudos realizados dentro de um único domínio mostraram que diferentes cenários podem apresentar graus bastante distintos de risco percebido e potencial de sinal.

Nas empresas,isso significa que categorias excessivamente amplas podem esconder exposições importantes.

“Risco cibernético” é amplo demais. Um ataque de ransomware é diferente de vazamento de dados. Que é diferente de ataque à infraestrutura crítica. Que é diferente de fraude com identidade sintética. Que é diferente de manipulação de modelos de inteligência artificial.

“Risco de crédito” é amplo demais. Crédito consignado. Corporate. Financiamento imobiliário. Cartão. Agronegócio. Financiamento de projetos. Cada um possui características diferentes.

“Risco de terceiros” é amplo demais. Um fornecedor de material de escritório não possui o mesmo potencial de risco de um provedor de nuvem que processa dados críticos.

Quanto mais relevante o risco, mais necessária é sua decomposição em cenários concretos.

Compreender como determinado risco é percebido também pode ajudar a antecipar aceitação ou oposição a produtos, tecnologias e estratégias.

Uma nova iniciativa pode ser tecnicamente segura e ainda assim enfrentar enorme resistência se for percebida como: desconhecida; incontrolável; involuntária; injusta; capaz de produzir dano catastrófico; pouco transparente; com impacto sobre pessoas que não recebem os benefícios.

Esse ponto deveria fazer parte de qualquer grande programa de transformação.

Inteligência artificial. Biometria. Open Finance. Compartilhamento de dados. Automação. Monitoramento de empregados. Sistemas autônomos. Novos produtos financeiros. Tokenização. Uso de dados alternativos para crédito.

Antes de implantar determinada tecnologia, talvez seja necessário perguntar sobre “como essa tecnologia será percebida quando ocorrer o primeiro incidente?”

Essa pergunta pode revelar problemas que uma análise puramente tecnológica nunca mostraria.

Quando especialistas e público divergem, existe uma tentação frequente de que “precisamos educá-los.” Nem sempre. Às vezes existe falta de informação. Mas em muitas situações a divergência decorre de diferentes definições de risco.

Um especialista pode estar falando sobre probabilidade. A outra pessoa pode estar preocupada com controle. O especialista fala sobre perda esperada. O cliente pensa em catástrofe. O especialista fala sobre média histórica. O conselho pensa em reputação. O especialista fala sobre benefício econômico.

A comunidade pensa em distribuição desigual dos impactos. Nessas situações simplesmente apresentar mais números pode não resolver o problema.

Uma técnica comum de comunicação consiste em comparar riscos utilizando uma única métrica da probabilidade anual; risco por hora de exposição; redução de expectativa de vida; quantidade esperada de fatalidades.

Essas comparações podem ser úteis, mas são insuficientes porque pessoas também consideram características qualitativas do risco.

Dois riscos numericamente equivalentes podem ser percebidos como completamente diferentes se um deles for voluntário, conhecido e controlável, enquanto o outro for imposto, desconhecido e potencialmente catastrófico.

Isso possui implicação direta para empresas, em que dizer ao cliente: “esse incidente ocorre em apenas 0,01% das operações” pode ser atematicamente correto. Mas talvez seja uma resposta completamente inadequada.

Se a pessoa afetada perdeu todas as economias, a frequência média não responde à sua preocupação, assim uma boa comunicação precisa reconhecer a natureza do risco, e não apenas sua frequência.

Esse talvez seja um dos princípios mais importantes de que risco não significa apenas quantidade esperada de perdas.

Em uma empresa moderna, risco pode envolver simultaneamente probabilidade; impacto; volatilidade; concentração; interdependência; controle; incerteza; reversibilidade; velocidade; persistência; reputação; equidade; externalidades; impacto social; potencial catastrófico; percepção.

A própria definição utilizada para risco pode alterar significativamente a avaliação final. Por isso que os conselhos deveriam desconfiar de respostas excessivamente simples para problemas complexos.

Existe ainda um ponto especialmente sofisticado de que em determinadas situações, o debate aparentemente relacionado a risco pode estar funcionando como substituto para outras preocupações.

Valores. Confiança. Ideologia. Distribuição de poder. Histórico de relacionamento. Interesses econômicos. Conflitos sociais.

Se isso ocorrer, aumentar a quantidade de informação técnica sobre probabilidades não resolverá a divergência, mas é necessário identificar aquilo que efetivamente está sendo discutido.

A pesquisa sobre percepção reconhece que determinadas preocupações com riscos podem servir como justificativa para posições motivadas por outras questões sociais ou ideológicas, então nesses casos a comunicação tradicional de risco pode tornar-se irrelevante até que essas questões sejam trazidas à discussão.

Nas empresas isso ocorre com frequência. Às vezes a discussão sobre “risco operacional” é na verdade uma disputa por orçamento. A discussão sobre “risco de compliance” pode esconder conflito entre crescimento e controles. A discussão sobre “risco tecnológico” pode esconder resistência à transformação. A discussão sobre “risco de pessoas” pode esconder falhas de liderança. A discussão sobre “risco reputacional” pode refletir divergências estratégicas.

Boa governança exige capacidade de descobrir qual problema realmente está sendo discutido.

Talvez a conclusão mais importante seja também uma das mais difíceis para organizações altamente técnicas. Pessoas não especializadas podem desconhecer informações relevantes. Podem interpretar probabilidades incorretamente. Podem superestimar determinados riscos. Mas isso não significa que suas preocupações sejam irrelevantes.

Em muitos casos a concepção de risco utilizada pelas pessoas é mais ampla do que aquela empregada por especialistas, pois incorpora dimensões legítimas frequentemente excluídas de avaliações técnicas tradicionais.

Essa constatação deveria mudar a maneira como empresas escutam clientes, empregados, comunidades e conselhos.

Uma reclamação pode conter informação de risco que não aparece no KRI. Uma denúncia pode revelar algo que o dashboard não capturou. Um empregado pode perceber uma fragilidade antes do modelo. Um cliente pode identificar uma injustiça que o processo formal considera aceitável. Uma comunidade pode antecipar um risco reputacional que ainda não chegou ao conselho.

Escutar não significa necessariamente concordar, mas significa reconhecer que informação relevante pode existir fora dos modelos formais.

Se especialistas apenas transmitem informações e esperam que os demais ajustem suas percepções, a comunicação provavelmente fracassará.

Comunicação de risco eficaz deveria ser um processo de mão dupla.

Especialistas fornecem: dados; modelos; probabilidades; cenários; evidências. Outras partes fornecem: experiência; valores; percepções; preocupações; contexto; impactos sociais. Ambos os lados possuem informações relevantes.

Essa é uma lição particularmente importante para empresas brasileiras que enfrentam relações cada vez mais complexas com reguladores, investidores, consumidores, empregados e sociedade.

Para um conselho, compreender percepção de risco significa ampliar a qualidade das perguntas.

Não perguntar apenas: “Qual é nossa exposição?” Mas também: “Quem percebe essa exposição de maneira diferente?” “Esse risco é voluntário para as partes afetadas?” “Quem recebe os benefícios e quem suporta as perdas?” “As pessoas expostas possuem controle?” “O risco é conhecido ou ainda pouco compreendido?” “Os efeitos são imediatos ou podem aparecer anos depois?” “Existe potencial catastrófico?” “Existe possibilidade de atingir muitas pessoas simultaneamente?” “O risco pode afetar futuras gerações?” “Um incidente pequeno poderia sinalizar fragilidade sistêmica?” “Quais são os impactos de segunda e terceira ordem?” “Como clientes, reguladores e sociedade reagiriam?” “Estamos comunicando risco ou tentando convencer as pessoas?” “Existe alguma preocupação legítima que nossos modelos não capturam?”

Essas perguntas não substituem métricas. Elas tornam as métricas mais inteligentes.

A área de riscos deveria funcionar como integradora dessas perspectivas.

Isso significa combinar: modelos quantitativos; informações qualitativas; cenários; comportamento humano; percepção; cultura; governança; reputação; regulação; estratégia.

Talvez seja necessário incluir formalmente nos processos de avaliação: risco técnico, indicando a exposição mensurada; risco percebido, indicando como stakeholders provavelmente interpretarão a exposição; potencial de sinal, indicando quanto um incidente poderá modificar expectativas sobre eventos futuros; potencial de propagação, indicando a extensão de efeitos indiretos; capacidade de recuperação da confiança, indicando a possibilidade de reconstruir legitimidade após o evento.

Esse modelo seria particularmente útil para riscos não financeiros.

Reputação não depende apenas daquilo que aconteceu, mas depende da interpretação do acontecimento.

Duas empresas podem enfrentar incidentes semelhantes e produzir consequências completamente diferentes.

Por quê?

Porque existem diferenças de: histórico; confiança; transparência; velocidade de resposta; responsabilização; comunicação; credibilidade; governança.

A própria maneira como o evento é administrado influencia o tamanho das ondas produzidas posteriormente.

Uma empresa que reconhece rapidamente uma falha pode preservar confiança. Outra que minimiza o problema pode ampliar a crise. Uma empresa que informa claramente o que aconteceu pode limitar especulações.

Outra que fornece informações contraditórias pode transformar um incidente operacional em crise reputacional. Por isso que a gestão de crise também é gestão de percepção.

Considere um vazamento de dados. A avaliação tradicional pode estimar: quantidade de registros; custo de recuperação; multas; indenizações; interrupção operacional.

Mas a percepção acrescenta perguntas decisivas os dados eram sensíveis? Os clientes sabiam que estavam sendo coletados? A empresa tinha controles adequados? O vazamento decorreu de negligência? Quanto tempo a organização levou para descobrir? Quanto tempo levou para comunicar? Existe risco de fraude futura? A organização já havia enfrentado episódio semelhante? Executivos receberam alertas e não agiram?

A resposta a essas perguntas determinará grande parte do impacto reputacional.

Poucos temas combinam de forma tão clara as dimensões de risco desconhecido e risco de temor quanto a inteligência artificial. Ela é relativamente nova. Complexa. Nem sempre transparente. Pode produzir efeitos difíceis de observar. Alguns impactos podem ser tardios. Pode tomar decisões sobre pessoas. Existe assimetria de conhecimento entre quem desenvolve e quem é afetado.

Há preocupação sobre controle. Há possibilidade de impactos coletivos. Há incerteza regulatória.

Isso significa que incidentes pequenos podem produzir efeitos reputacionais desproporcionais. Uma empresa que utiliza IA deveria, portanto, avaliar não apenas: “qual é a taxa de erro?” Mas também: “como o erro será percebido?”

No fundo, tudo converge para uma conclusão.

Risco não é apenas uma propriedade de ativos, sistemas, processos ou tecnologias. Risco também é uma construção humana.

Nós interpretamos o risco. Comparamos riscos. Aceitamos alguns. Rejeitamos outros. Tememos determinados eventos. Ignoramos outros. Superestimamos certos perigos. Subestimamos ameaças familiares.

Nos sentimos mais seguros quando acreditamos possuir controle. Somos influenciados pela maneira como a informação é apresentada. Interpretamos novos dados à luz de crenças anteriores. E podemos enxergar dimensões legítimas que nenhum modelo estatístico capturou.

É por isso que uma empresa pode possuir excelente infraestrutura de gestão de riscos e, mesmo assim, tomar decisões ruins.

Porque modelos calculam, mas pessoas decidem.

A empresa madura não escolhe entre análise técnica e percepção. Integra as duas.

Ela utiliza dados sem desprezar comportamento. Utiliza modelos sem transformar modelos em verdade absoluta. Escuta especialistas sem presumir que especialistas possuem todas as respostas. Escuta stakeholders sem abandonar critérios técnicos. Analisa perdas diretas, mas também consequências indiretas. Calcula probabilidades, mas examina potencial catastrófico. Avalia controles, mas questiona se o controle é real ou apenas percebido. Monitora incidentes, mas também interpreta sinais. Considera benefícios, mas pergunta quem suporta os riscos. Comunica informações, mas também escuta.

Essa é provavelmente uma das evoluções mais importantes que a gestão de riscos pode realizar, porque administrar risco não significa apenas prever o que pode acontecer, mas significa compreender como pessoas reagirão quando algo acontecer, e o que essa reação poderá fazer com a organização.

No mundo corporativo contemporâneo, uma pequena falha pode provocar uma grande crise se for interpretada como evidência de incompetência, negligência ou ausência de controle.

Da mesma maneira uma exposição relativamente elevada pode ser socialmente tolerada quando é compreendida, voluntária, transparente, benéfica e controlável.

Por isso, o risco real de uma organização encontra-se na interseção entre três perguntas: O que pode acontecer? Qual será a consequência se acontecer? O que as pessoas acreditarão que esse acontecimento significa?

As duas primeiras perguntas pertencem à tradição da gestão de riscos, enquanyto que a terceira pertence à percepção de risco.

As empresas que conseguirem integrar as três estarão muito mais preparadas para administrar não apenas perdas, mas também confiança, legitimidade, reputação e resiliência. E talvez essa seja uma das grandes fronteiras da gestão moderna de riscos de que não administrar apenas aquilo que os modelos conseguem medir, mas também compreender aquilo que as pessoas conseguem perceber.

Para melhor ilustrar estes conceitos e pontos acima, preparei uma apresentação didática, que pode acessar online no link abaixo. Caso queria que eu faça uma palestra assim para seu time na sua empresa me procurem que tento ajudar.