As funções de riscos, auditoria interna, controles internos e compliance, muitas vezes, são vistas como supérfluas ou não essenciais. Mas este cenário está com os dias contados.
Como um dos muitos legados da pandemia causada pela covid-19, as linhas de defesa e projetos como levantamentos de riscos e desenvolvimento de medidas de contingência e planos de continuidade de negócios devem ganhar maior protagonismo.
É inegável que a crise que assola não apenas o Brasil, mas todo o mundo está abalando economias e preocupando empresários e gestores em escala global. No entanto, empresas com maior sofisticação em termos de governança corporativa, comitês de tomada de decisão constituídos e áreas da segunda linha de defesa mais bem estruturadas vivenciam os efeitos e impactos da crise de modo mais atenuado. Isso ocorre porque tais organizações conseguem mitigar impactos negativos e agir com mais celeridade e assertividade, na medida em que têm seus processos e controles previamente mapeados e conhecem seus riscos e ameaças internas e externas, além de respectivos impactos e abrangência.
O plano de continuidade de negócios ou PCN tem sido livro de cabeceira da alta administração de empresas que possuem este modelo de gestão voltado à continuidade dos negócios e, neste momento, vem sendo construído por muitas organizações que ainda não possuem um PCN estruturado - tanto em âmbito público quanto privado. Neste contexto, o presente artigo busca dar suporte à essas organizações, destacando a importância e conteúdo mínimo de um plano de continuidade de negócios.
O PCN deve abranger as áreas e processos essenciais, os quais devem ser definidos pela alta administração da empresa, prevendo sistemas, registros, premissas, cenários de indisponibilidade, mapeamento de fornecedores e prestadores de serviços essenciais, recursos mínimos, principais clientes, colaboradores chave, estratégias essenciais, fluxos de tomada de decisão e comunicação entre as áreas, metodologias de testes de sistemas relevantes, detalhes sobre gerenciamento de riscos e gatilhos mínimos para acionamento dos procedimentos extraordinários previstos no plano.
Os processos de tecnologia da informação definidos como críticos no PCN devem ser periodicamente avaliados, seja em regime de testes reais, em que é de fato simulada a ocorrência de uma possível situação de crise, seja por meio de testes de "mesa", nos quais é verificado se os sistemas da companhia suportariam a implementação do PCN durante o curso regular de negócios.
No que diz respeito aos colaboradores chave, é importante que o PCN contenha previsão de quem serão os membros do comitê de continuidade de negócios, bem como a definição dos responsáveis pela divulgação e atualização dos procedimentos de continuidade, que precisam ser revisados e adaptados de tempos em tempos, mesmo quando latentes. Em caso de concretização das situações de crise consideradas quando da elaboração do PCN, é importante que membros do comitê tenham como primeira atribuição a análise e eventual adequação de alguns fluxos, considerando aspectos e meandros específicos da situação de adversidade instaurada, bem como pacotes de incentivo governamentais e novos atos normativos anteriormente desconhecidos e que precisem ser interpretados e adicionados ao plano.
A despeito da necessidade de celeridade na tomada de decisões, o comitê deve sempre agir de maneira fundamentada e transparente, com base em informações atualizadas e confiáveis, emanadas de órgãos oficiais e de especialistas nos temas em pauta, evitando pânico, ineficiências e perdas econômicas. Resultados financeiros e manutenção de alto nível de produtividade devem ser considerados, no entanto é importante que sejam sopesados se a manutenção de alta performance corporativa puder vir a colocar em risco a saúde pública, por exemplo.
As boas práticas acima são válidas também para os comitês de crise ou comitês de riscos. Lembrando que neste artigo focamos no PCN e temas correlatos, por isso enfatizamos o comitê de continuidade dos negócios. A principal diferença entre este o os fóruns de tomada de decisão "comitê de riscos" ou "comitê de crises" diz respeito apenas ao nível de complexidade e impacto do evento.
Ainda tratando de temas relacionados a recursos humanos e governança, um ponto relevante e que muitas vezes é negligenciado diz respeito ao fato de que as responsabilidades dos colaboradores devem ser muito bem definidas, inclusive considerando eventuais riscos trabalhistas e buscando fugir de situações que possam configurar acúmulo de cargos e atribuições ou até mesmo eventual desvio de função.
Os eventos de contingência, ou seja, riscos de alto impacto, se materializados, devem ser muito bem definidos para evitar que o modelo de gestão excepcional seja acionado em situações que não justifiquem as consequentes e necessárias simplificações de processos, atalhos e flexibilização ou redução de etapas de análise e aprovação.
Questões estratégicas, trabalhistas, fiscais, operacionais (inclusive temas de tecnologia da informação) e financeiras são as mais pungentes. O ideal é que empresas elaborem seu PCN contando com suporte de especialistas com experiência e vivência em riscos e compliance. Também é altamente recomendável uma assistência jurídica adequada para o mapeamento consistente e abrangente e para a construção de fluxos, processos e procedimentos em conformidade com leis e regulamentos, bem como para assessoria em eventuais questões legais sensíveis envolvidas.
*Catarina Rattes é especialista da área de Compliance & Investigações do KLA Advogados; André Lopes é consultor sênior na área de Risk Advisory da Deloitte Brasil