Maturidade ISO 31000 · Gestão de riscos corporativos
Sua gestão de riscos situada na ISO 31000, traduzida em plano de ação quantificado.
10 temas, 159 perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO 31000 · Gestão de riscos corporativos
10 temas, 159 perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO 31000:2018 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma uma constatação em trajetória.
O apetite ao risco está definido e é utilizado nas decisões da organização?
- N1
Nenhum apetite ao risco formalizado. As decisões são tomadas por julgamento, sem referência compartilhada.
- N2
Um apetite consta da política de gestão de riscos, mas permanece genérico e não está relacionado a limites utilizáveis.
- N3
O apetite é desdobrado em limites por categoria de risco, divulgado aos responsáveis e citado nas decisões de investimento.
- N4
As ultrapassagens de limite acionam uma escalada rastreável para o nível hierárquico competente, com decisão registrada.
- N5
O apetite é revisado periodicamente à luz dos incidentes, das mudanças de contexto e da estratégia, com um histórico documentado das revisões.
Ação para passar de N2 para N3
Traduzir a declaração de apetite em limites quantificados por categoria de risco, validá-los no comitê de riscos do próximo trimestre e depois integrá-los ao modelo de ficha de risco e ao dossiê de decisão de investimento.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 31000.
Do que trata esse referencial
A ISO 31000 é a norma de referência para a gestão de riscos. Ela se organiza em três conjuntos: princípios (o risco se gerencia de forma integrada, estruturada, adaptada ao contexto, inclusiva e dinâmica), uma estrutura organizacional (liderança e comprometimento, integração, concepção, implementação, avaliação, melhoria) e um processo (estabelecimento do contexto, avaliação em três etapas com identificação, análise e avaliação, seguida de tratamento, registro, comunicação e revisão). A versão de 2018 enxugou o texto e colocou a liderança da alta direção no centro da estrutura. A ISO 31000 fornece diretrizes, não impõe requisitos certificáveis.
Sua dificuldade de gestão vem daí. Quase todas as organizações dizem se inspirar nela, poucas sabem dizer em que nível de controle estão. O mapa de riscos realmente serve às decisões de investimento, ou tem vida própria à margem do plano estratégico? Quem decide o apetite ao risco, e essa decisão está registrada em algum lugar? Os riscos reportados pelas subsidiárias e unidades de negócio chegam segundo uma escala comparável, ou cada uma aplica sua própria pontuação? Sem resposta, o comitê de riscos discute uma lista, não uma trajetória.
Uma confusão é recorrente: a ISO 31000 não é a ISO 31010 nem um sistema de gestão. A ISO 31010 é o catálogo de técnicas de avaliação, a ISO 31000 é a estrutura que diz como mobilizá-las. E diferentemente da ISO 9001 ou da ISO 27001, nenhum organismo certifica a ISO 31000. Outro ponto de contexto: a multiplicação de obrigações setoriais, como o DORA para o setor financeiro, a NIS 2 para cibersegurança, o dever de vigilância e a CSRD para riscos extrafinanceiros europeus, empurra para a unificação de dispositivos até então separados. Para exportadores brasileiros que acessam o mercado europeu, essas obrigações se traduzem em evidências de conformidade a apresentar aos parceiros e autoridades europeias. A ISO 31000 fornece justamente a gramática comum, desde que aplicada além do vocabulário.
O diagnóstico de maturidade coloca uma pergunta diferente da auditoria de conformidade. A auditoria pergunta se o requisito foi atendido, sim ou não. O diagnóstico situa cada prática em uma escala progressiva, do gesto informal ao dispositivo revisado com base nas lições aprendidas, e nomeia a ação que leva ao próximo nível. Em uma norma de diretrizes como a ISO 31000, essa é a única leitura que produz uma trajetória utilizável em comitê.
No Datamensio, o referencial está pronto para uso e você mantém o controle total. A IA ajusta os temas, as perguntas e a formulação dos níveis conforme seu setor e seu porte, ou constrói uma versão personalizada a partir da sua política de gestão de riscos e dos seus mapas existentes. Os modelos de IA utilizados podem ser escolhidos, inclusive entre opções europeias.
Norma de referência: ISO 31000:2018
Os temas avaliados
Princípios e política de gestão de riscos
Existência de uma política validada, coerência com os princípios da norma, escopo coberto, definição do apetite e da tolerância ao risco, atualização.
Liderança e comprometimento da alta direção
Patrocínio da diretoria executiva, mandato dado à função de riscos, recursos alocados, decisões tomadas no nível adequado, papel do conselho e do comitê de riscos.
Integração à governança e à estratégia
Articulação com o plano estratégico, consideração do risco nas decisões de investimento e projetos, inserção no ciclo orçamentário e nas revisões de desempenho.
Concepção da estrutura organizacional
Compreensão do contexto interno e externo, papéis e responsabilidades atribuídos, linhas de defesa, articulação com auditoria interna, compliance e segurança.
Identificação de riscos
Fontes e métodos de identificação, cobertura de riscos estratégicos, operacionais, financeiros, extrafinanceiros e emergentes, frequência das revisões, contribuição das áreas de negócio.
Análise e avaliação
Escala de pontuação comum, avaliação da probabilidade e do impacto, distinção entre risco bruto e risco líquido, priorização, critérios de ultrapassagem de limites.
Tratamento de riscos
Escolha das opções de tratamento, designação dos responsáveis, planos de ação com prazos, acompanhamento até o encerramento, aceitação formal dos riscos residuais.
Comunicação e consulta
Apresentação dos resultados ao comitê de riscos e ao conselho, formato e periodicidade dos relatórios, diálogo com as partes interessadas internas e externas, conscientização das áreas de negócio.
Monitoramento e revisão do dispositivo
Indicadores de acompanhamento, limites de alerta, acionamento de reavaliações, incorporação de incidentes ocorridos e de conclusões de auditoria.
Melhoria contínua
Lições aprendidas formalizadas, revisão do método e das escalas, comparação das avaliações ao longo do tempo e entre unidades, maturidade do próprio dispositivo.
Uma versão curta do referencial, com 34 perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e 159 perguntas.
Perguntas frequentes
A ISO 31000 é certificável?
Não. A norma fornece diretrizes, não requisitos auditáveis por um organismo. O diagnóstico mede seu nível de maturidade e prepara as auditorias de sistemas de gestão que examinam a abordagem por riscos, como ISO 9001, ISO 22301 ou ISO 27001.
Qual a diferença entre um diagnóstico de maturidade e uma auditoria de conformidade?
A auditoria conclui por uma lacuna ou uma conformidade em relação a um requisito específico. O diagnóstico situa cada prática em uma escala progressiva e nomeia a ação que faz subir um nível. Em uma norma de diretrizes, essa segunda leitura é a única que produz um roteiro.
Quanto tempo leva a avaliação?
A versão curta é preenchida em uma sessão de trabalho. A versão completa, em modo colaborativo com vários participantes, geralmente leva de uma a duas semanas, sendo a maior parte do tempo dedicada a coletar informações junto às áreas envolvidas.
É possível adaptar o referencial à nossa organização?
Sim. Você pode modificar as perguntas, a formulação dos níveis, adicionar seus próprios temas ou partir de uma base em branco. A IA também pode gerar uma versão personalizada a partir da sua política de gestão de riscos e dos seus mapas existentes. O referencial é seu.
Como comparar várias subsidiárias ou unidades de negócio?
O mesmo referencial é distribuído a cada unidade, o que torna as pontuações comparáveis por tema. O benchmark situa cada unidade em relação às outras e em relação às suas próprias avaliações anteriores. Um roteiro transversal consolida os planos de ação sem duplicá-los.
Como esse diagnóstico se relaciona com DORA, NIS 2 ou ISO 22301?
Essas normas exigem dispositivos de gestão de riscos baseados nos mesmos princípios. Para empresas brasileiras que atendem o mercado europeu, um diagnóstico ISO 31000 sólido constitui a base comum para comprovar conformidade, com os referenciais setoriais cobrindo em seguida suas exigências específicas. Os planos de ação se cruzam em um roteiro único.
É preciso expertise técnica para responder?
As perguntas tratam de práticas de governança e gestão, não de métodos quantitativos. Um risk manager, um auditor interno ou um controller interno consegue responder. O modo colaborativo permite atribuir perguntas específicas ao interlocutor certo.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser escolhidos, inclusive entre opções europeias.