Gestão de riscos de conformidade

Risco de conformidade e risco operacional: por que a diferença importa

Risco de conformidade e risco operacional se cruzam, mas têm origem e tratamento distintos — confundi-los leva a diagnósticos imprecisos e ações ineficazes.

O risco operacional é a possibilidade de um processo falhar: um sistema que cai, um erro de registro, uma entrega atrasada. Sua origem está nas falhas internas de processo, pessoas ou tecnologia.

O risco de conformidade é a possibilidade de a empresa descumprir uma regra externa — legal, regulatória ou contratual. Sua origem está na obrigação que existe fora da empresa e que a empresa precisa conhecer e cumprir. Um risco operacional pode gerar um risco de conformidade: se o processo de envio do eSocial falha (risco operacional), a empresa pode perder o prazo de entrega (risco de conformidade). Mas o tratamento de cada um é diferente: o operacional exige melhoria de processo; o de conformidade exige garantir que a obrigação seja cumprida, independentemente de como o processo é executado.

Fontes de risco de conformidade no back-office

As exposições de conformidade no back-office administrativo se distribuem em cinco áreas principais, cada uma com seus gatilhos e seus especialistas responsáveis:

1. Fiscal e tributária: obrigações acessórias entregues fora do prazo, enquadramento tributário incorreto, certidões negativas vencidas. Risco materializa em multa, juros e bloqueio de certidões necessárias para licitações, financiamentos e contratos com clientes.
2. Trabalhista: eSocial com pendências, FGTS recolhido com atraso, ausência de exames periódicos de saúde, rescisões com erros de cálculo ou prazo. Risco materializa em autuação do Ministério do Trabalho, ação na Justiça do Trabalho e perda de certidões.
3. Proteção de dados: tratamento de dados sem base legal definida, incidente de dados não comunicado no prazo adequado, fornecedor com acesso a dados sem cláusula de proteção no contrato. Risco materializa em processo administrativo junto à ANPD e dano reputacional.
4. Contratos: fornecedor inadimplente com obrigação regulatória que foi contratado sem diligência prévia, cláusula anticorrupção ausente em contratos de médio e alto valor, contratos vencidos operando sem renovação formalizada. Risco materializa em responsabilidade solidária e nulidade contratual.
5. Regulatório setorial: licença ou autorização de funcionamento não renovada, relatório periódico ao órgão regulador não entregue. Risco materializa em embargo, suspensão de atividade ou cassação de autorização.

Como montar uma matriz de riscos de conformidade

A matriz de riscos de conformidade é a ferramenta central da gestão proativa — ela transforma a lista de exposições em instrumento de priorização e controle. A metodologia é simples: listar, avaliar, priorizar, agir.

1. Listar as áreas de exposição: percorrer cada dimensão (fiscal, trabalhista, dados, contratos, regulatório setorial) e listar os riscos identificados para a empresa. O contador, o advogado e o DPO contribuem com os riscos da sua área de especialidade.
2. Avaliar a probabilidade: para cada risco, avaliar se é alta, média ou baixa a chance de ele se materializar, considerando os controles que já existem.
3. Avaliar o impacto: para cada risco, avaliar se o impacto de materialização seria alto (paralisia da operação, autuação grave, litígio), médio (multa, atraso, retrabalho) ou baixo (inconveniência gerenciável).
4. Priorizar: os riscos de alta probabilidade e alto impacto são a prioridade máxima. Os de baixa probabilidade e baixo impacto podem ser monitorados sem ação imediata.
5. Definir ação e responsável: para cada risco prioritário, definir o que será feito (mitigar, transferir, aceitar, escalar), quem é o responsável e o prazo.

A tabela abaixo ilustra o formato básico da matriz:

O que fazer com cada risco identificado

Identificar um risco sem definir uma resposta é o mesmo que não identificar. Há quatro respostas possíveis para cada risco de conformidade, e a escolha depende da combinação de probabilidade, impacto e custo de mitigação:

1. Mitigar: corrigir o processo ou controle que gera o risco — a resposta padrão para riscos de alta probabilidade ou alto impacto. Exemplo: incluir a cláusula de proteção de dados em contratos de novos fornecedores elimina o risco de exposição.
2. Transferir: contratar um terceiro que assuma parte do risco — como um seguro de responsabilidade civil ou a contratação de um DPO externo que assume a responsabilidade pela comunicação com a ANPD. A transferência não elimina a obrigação da empresa, mas distribui a exposição.
3. Aceitar: reconhecer o risco e decidir não agir — apropriado apenas quando a probabilidade e o impacto são baixos e o custo de mitigação é desproporcional. Aceitar um risco exige que essa decisão seja consciente e registrada, não que o risco seja simplesmente ignorado.
4. Escalar: levar o risco à diretoria ou ao especialista — quando o impacto é alto e a decisão sobre como tratá-lo vai além da alçada do gestor administrativo.

O que monitorar periodicamente para manter a matriz atualizada

A matriz de riscos só serve se for mantida viva. O monitoramento periódico inclui itens concretos que o gestor verifica nos ciclos regulares:

• Vencimento de certidões negativas (federal, estadual, municipal) — verificar validade e acionar o contador para renovação preventiva.
• Relatórios do contador sobre pendências fiscais e trabalhistas — cada pendência apontada é um sinal de risco que precisa de ação.
• Comunicados da ANPD e dos órgãos reguladores do setor — novas resoluções, guias e notas de orientação podem criar ou modificar obrigações existentes.
• Mudanças internas relevantes — novo sistema implantado, novo fornecedor contratado, novo processo criado. Cada mudança pode gerar novas exposições de conformidade que precisam ser avaliadas.