Seu Comitê de Riscos ESG: existe no papel ou realmente protege o negócio?

Durante décadas, implantando, estruturando e mantendo Conselhos e Comitês de Riscos em diferentes organizações, aprendi uma coisa que continua absolutamente atual:

Não basta conhecer os riscos. É preciso governá-los.

Ao longo da minha trajetória profissional, participei da estruturação de sistemas de gestão de riscos em diferentes setores e países e, em algumas organizações, também atuei como conselheiro, acompanhando de perto a diferença entre aquilo que é apresentado nos relatórios e aquilo que efetivamente chega à mesa de decisão.

E é justamente aí que muitas organizações ainda falham quando falamos de riscos ESG.

Seu Comitê de Riscos ESG está realmente funcionando?

Vamos começar com algumas perguntas desconfortáveis:

• Seu Comitê de Riscos ESG está organizado?
• Os riscos materiais do negócio estão efetivamente mapeados?
• As tratativas estão em andamento?
• Existem responsáveis claramente definidos?
• Há recursos financeiros e técnicos para tratar esses riscos?
• O Conselho acompanha a evolução dos riscos críticos?
• Existe uma avaliação do risco residual depois das medidas de controle?

E talvez a pergunta mais importante:

Se um desses riscos se materializar amanhã, a organização está preparada para responder?

Porque existe uma enorme diferença entre identificar um risco e gerenciá-lo.

O problema começa quando ESG vira apenas documentação

Tenho visto organizações com:

• Matriz de materialidade;
• Política ESG;
• Inventário de emissões;
• Indicadores;
• Relatórios de sustentabilidade;
• Certificações;
• Auditorias;
• Avaliações de ratings ESG;
• Planos de ação.

Tudo isso pode ser importante.

Mas nada disso, isoladamente, garante que o risco esteja sendo efetivamente administrado.

Uma empresa pode ter uma excelente documentação e continuar extremamente vulnerável.

• Certificação não elimina risco.
• Relatório não elimina risco.
• Política não elimina risco.
• Auditoria não elimina risco.

Quem reduz o risco é a combinação de governança, decisão, recursos, controles, competência, comportamento e capacidade de resposta.

O papel do Comitê de Riscos

Um Comitê de Riscos ESG maduro não deveria funcionar apenas como uma reunião para apresentação de indicadores.

Ele precisa provocar decisões.

Por exemplo:

• Qual é o risco?
• Por que ele é material?
• Qual é sua causa?
• Qual pode ser sua consequência financeira, operacional, legal, reputacional ou socioambiental?
• Qual é a velocidade de materialização?
• Quem é o responsável pelo tratamento?
• Qual é o prazo?
• Quanto custa reduzir esse risco?
• Qual é o risco residual?
• O risco está dentro do apetite de risco aprovado pelo Conselho?

Essa última pergunta é fundamental.

Porque risco não é simplesmente algo que deve ser eliminado.

Risco é algo que precisa ser compreendido, avaliado e decidido.

ESG precisa entrar na governança corporativa

Um dos grandes erros é tratar ESG como uma agenda isolada da sustentabilidade.

Na minha visão, riscos ESG precisam estar conectados à gestão corporativa de riscos e à estratégia empresarial.

• Um problema ambiental pode interromper uma operação.
• Um problema social pode gerar conflito com comunidades.
• Uma falha de governança pode gerar fraude, corrupção ou sanções.
• Um risco climático pode comprometer ativos, produção, logística e seguros.
• Um fornecedor crítico pode parar uma cadeia inteira.
• Uma deficiência em direitos humanos pode bloquear acesso a clientes e mercados.

Ou seja:

O risco ESG pode se transformar rapidamente em risco financeiro e risco de continuidade do negócio.

E quem está olhando para o risco sistêmico?

Outro ponto que aprendi ao longo de décadas trabalhando com gestão de riscos:

nem todo risco está dentro dos limites da organização.

Hoje precisamos olhar para:

fornecedores → logística → energia → água → comunidades → clima → regulação → clientes → mercados → financiamento.

A empresa pode controlar muito pouco de alguns desses elementos.

Mas precisa compreender sua exposição.

É por isso que o risco da cadeia de suprimentos ganhou tanta importância.

Não adianta uma empresa ter seus controles internos funcionando perfeitamente se um fornecedor crítico pode interromper sua operação por um problema ambiental, social, trabalhista, climático ou de governança.

O Conselho precisa fazer perguntas diferentes

Quando atuo ou atuei próximo a Conselhos, uma das coisas que considero mais importantes é sair da lógica:

“Qual é o nosso nível de compliance?”

e entrar na lógica:

“Qual é o risco para o negócio?”

São perguntas completamente diferentes.

O Conselho precisa saber:

• Quais são os 10 principais riscos materiais;
• Quais estão aumentando;
• Quais estão diminuindo;
• Quais estão fora do apetite de risco;
• Quais dependem de terceiros;
• Quais podem provocar uma crise;
• Quais podem interromper a operação;
• Quais podem comprometer o acesso a mercados e financiamento;
• E quais ainda não possuem tratamento adequado.

Isso é governança de risco.

Comitê não pode virar “teatro corporativo”

Outro aprendizado importante:

um Comitê de Riscos que apenas recebe apresentações não é necessariamente um Comitê de Riscos.

Se todas as reuniões terminam com:

• Vamos acompanhar
• Vamos avaliar
• Vamos elaborar um plano
• Vamos trazer na próxima reunião

há um problema.

Risco material exige:

decisão + responsável + prazo + recurso + indicador + acompanhamento.

E, quando necessário:

Escalonamento para a alta administração e para o Conselho.

O teste definitivo

Eu costumo pensar em uma pergunta muito simples:

“Se esse risco acontecer amanhã, o que faremos?”

Se a resposta for:

• “Vamos estudar”
• “Vamos reunir o comitê”
• “Vamos avaliar as alternativas”

provavelmente a organização ainda não está preparada.

Mas se a resposta for:

“Temos cenários definidos, responsáveis, protocolos, recursos, comunicação, contingência, continuidade do negócio e capacidade de decisão”, então estamos falando de maturidade.

É aqui que gestão de riscos, gestão de crises, emergência e continuidade de negócios deixam de ser departamentos separados e passam a fazer parte de uma mesma arquitetura de resiliência.

Minha provocação aos CEOs e Conselheiros

Depois de mais de 40 anos trabalhando internacionalmente com gestão de riscos, ESG, QSMS-RS, sustentabilidade, crises e continuidade de negócios, continuo vendo o mesmo erro se repetir:

Muitas organizações gastam mais energia demonstrando que estão gerenciando riscos do que efetivamente gerenciando os riscos.

O mundo corporativo mudou.

Hoje, risco ESG pode significar:

• Perda de mercado.
• Perda de contrato.
• Perda de financiamento.
• Interrupção operacional.
• Sanção regulatória.
• Litígio.
• Dano reputacional.
• Perda de licença social para operar.
• Ou até perda de valor do ativo.

Por isso, a pergunta não deveria ser:

“Você tem um programa ESG?”

A pergunta deveria ser:

“Quais são os riscos ESG materiais do seu negócio, quem está tratando cada um deles e o que acontece se eles se materializarem amanhã?”

Essa é uma conversa que precisa chegar ao Comitê de Riscos, à Diretoria e ao Conselho.

Porque, no final, ESG não é apenas sustentabilidade.

É gestão de riscos, proteção de valor e continuidade do negócio.

Estamos juntos