Maturidade ISO 31000 · Gestão dos riscos da empresa
A sua gestão de riscos situada face à ISO 31000, traduzida num plano de ação quantificado.
10 domínios, 159 perguntas, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade ISO 31000 · Gestão dos riscos da empresa
10 domínios, 159 perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO 31000:2018 lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
O apetite ao risco está definido e é utilizado nas decisões da organização?
- N1
Nenhum apetite ao risco formalizado. As decisões são tomadas por critério pessoal, sem referência partilhada.
- N2
Existe um apetite descrito na política de gestão de riscos, mas mantém-se genérico e não está ligado a limiares utilizáveis.
- N3
O apetite é decomposto em limiares por categoria de risco, divulgado aos responsáveis e referido nas decisões de investimento.
- N4
As ultrapassagens de limiar desencadeiam uma escalada registada para o nível hierárquico competente, com decisão documentada.
- N5
O apetite é revisto periodicamente à luz dos incidentes, das evoluções do contexto e da estratégia, com um histórico documentado das revisões.
Ação para passar de N2 a N3
Traduzir a declaração de apetite em limiares quantificados por categoria de risco, fazê-los validar na comissão de riscos do próximo trimestre, e depois integrá-los no modelo de ficha de risco e no processo de decisão de investimento.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira mediçãoem ISO 31000.
Sobre o que trata este referencial
A ISO 31000 é a norma de referência da gestão do risco. Organiza-se em três conjuntos: princípios (o risco gere-se de forma integrada, estruturada, adaptada ao contexto, inclusiva e dinâmica), uma estrutura organizacional (liderança e compromisso, integração, conceção, implementação, avaliação, melhoria) e um processo (definição do contexto, apreciação em três etapas com identificação, análise e avaliação, seguida de tratamento, registo, comunicação e revisão). A versão de 2018 simplificou o texto e colocou a liderança da direção no centro da estrutura. A ISO 31000 fornece linhas de orientação, não impõe requisitos certificáveis.
A dificuldade de pilotagem vem daí. Quase todas as organizações afirmam inspirar-se nela, poucas sabem dizer em que nível de controlo se situam. O mapa de riscos serve realmente para as decisões de investimento, ou vive à parte do plano estratégico? Quem decide o apetite ao risco, e essa decisão está registada em algum lugar? Os riscos das filiais e das unidades de negócio são reportados segundo uma escala comparável, ou cada uma aplica a sua própria cotação? Sem resposta, a comissão de riscos discute uma lista, não uma trajetória.
Uma confusão surge com frequência: a ISO 31000 não é a ISO 31010 nem um sistema de gestão. A ISO 31010 é o catálogo das técnicas de apreciação, a ISO 31000 é a estrutura que indica como as mobilizar. E ao contrário da ISO 9001 ou da ISO 27001, nenhum organismo certifica a ISO 31000. Outro elemento de contexto: a multiplicação das obrigações setoriais, o DORA para a área financeira, o NIS 2 para a cibersegurança, o dever de vigilância e a CSRD para os riscos extrafinanceiros, leva a unificar dispositivos até agora separados. A ISO 31000 fornece precisamente a gramática comum, desde que seja aplicada para além do vocabulário.
O diagnóstico de maturidade coloca uma questão diferente da do auditoria de conformidade. A auditoria pergunta se o requisito é cumprido, sim ou não. O diagnóstico situa cada prática numa escala progressiva, do gesto informal ao dispositivo revisto com base nos retornos de experiência, e identifica a ação que permite passar ao nível seguinte. Numa norma de linhas de orientação como a ISO 31000, esta é a única leitura que produz uma trajetória utilizável em comissão.
No Datamensio, o referencial está pronto a usar e mantém-se sob o seu controlo. A IA ajusta os domínios, as perguntas e a formulação dos níveis conforme o seu setor e a sua dimensão, ou constrói uma variante a partir da sua política de gestão de riscos e dos seus mapas de risco existentes. Os modelos utilizados são selecionáveis, incluindo entre ofertas europeias.
Norma de referência: ISO 31000:2018
Os domínios avaliados
Princípios e política de gestão de riscos
Existência de uma política validada, coerência com os princípios da norma, âmbito abrangido, definição do apetite e da tolerância ao risco, atualização.
Liderança e compromisso da direção
Envolvimento da direção geral, mandato atribuído à função de riscos, recursos alocados, decisões tomadas ao nível adequado, papel do conselho e da comissão de riscos.
Integração na governação e na estratégia
Articulação com o plano estratégico, consideração do risco nas decisões de investimento e nos projetos, inserção no ciclo orçamental e nas revisões de desempenho.
Conceção da estrutura organizacional
Compreensão do contexto interno e externo, funções e responsabilidades atribuídas, linhas de defesa, articulação com a auditoria interna, a conformidade e a segurança.
Identificação dos riscos
Fontes e métodos de identificação, cobertura dos riscos estratégicos, operacionais, financeiros, extrafinanceiros e emergentes, frequência das revisões, contributo das áreas de negócio.
Análise e avaliação
Escala de cotação comum, avaliação da probabilidade e do impacto, distinção entre risco bruto e risco líquido, hierarquização, critérios de ultrapassagem de limiar.
Tratamento dos riscos
Escolha das opções de tratamento, designação dos responsáveis, planos de ação com prazos, acompanhamento até ao encerramento, aceitação formal dos riscos residuais.
Comunicação e concertação
Relatório de resultados à comissão de riscos e ao conselho, formato e periodicidade do reporting, diálogo com as partes interessadas internas e externas, sensibilização das áreas de negócio.
Monitorização e revisão do dispositivo
Indicadores de acompanhamento, limiares de alerta, ativação de reavaliações, integração dos incidentes ocorridos e dos retornos de auditoria.
Melhoria contínua
Retornos de experiência formalizados, revisão do método e das escalas, comparação das avaliações ao longo do tempo e entre entidades, maturidade do próprio dispositivo.
Está disponível uma versão curta do referencial, com 34 perguntas, para a auto-avaliação online. A versão completa inclui 10 domínios e 159 perguntas.
Perguntas frequentes
A ISO 31000 é certificável?
Não. A norma fornece linhas de orientação, não requisitos auditáveis por um organismo. O diagnóstico mede o seu nível de maturidade e prepara as auditorias de sistemas de gestão que examinam a abordagem pelos riscos, como a ISO 9001, a ISO 22301 ou a ISO 27001.
Qual a diferença entre um diagnóstico de maturidade e uma auditoria de conformidade?
A auditoria conclui por um desvio ou uma conformidade relativamente a um requisito específico. O diagnóstico situa cada prática numa escala progressiva e identifica a ação que permite subir um nível. Numa norma de linhas de orientação, esta segunda leitura é a única que produz um roteiro.
Quanto tempo demora a avaliação?
A versão curta preenche-se numa sessão de trabalho. A versão completa, em modo colaborativo com vários contribuidores, prolonga-se geralmente por uma a duas semanas, sendo a maior parte do tempo dedicada a recolher os elementos junto das direções envolvidas.
É possível adaptar o referencial à nossa organização?
Sim. Pode modificar as perguntas, a formulação dos níveis, acrescentar os seus próprios domínios ou partir de uma base em branco. A IA pode também gerar uma variante a partir da sua política de gestão de riscos e dos seus mapas de risco. O referencial pertence-lhe.
Como comparar várias filiais ou unidades de negócio?
O mesmo referencial é distribuído a cada entidade, o que torna as pontuações comparáveis por domínio. O benchmark situa cada entidade face às outras e face às suas próprias avaliações anteriores. Um roteiro transversal consolida os planos de ação sem os duplicar.
Como se articula este diagnóstico com o DORA, o NIS 2 ou a ISO 22301?
Estes textos impõem dispositivos de gestão de riscos assentes nos mesmos princípios. Um diagnóstico ISO 31000 sólido constitui a base comum, sendo depois os referenciais setoriais a cobrir os seus requisitos próprios. Os planos de ação cruzam-se num único roteiro.
É necessária experiência técnica para responder?
As perguntas incidem sobre práticas de governação e de gestão, não sobre métodos quantitativos. Um risk manager, um auditor interno ou um controlador interno consegue responder. O modo colaborativo permite atribuir as perguntas específicas ao interlocutor certo.
Onde são alojados os dados?
Em França, na OVH, com cópia de segurança na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados são selecionáveis, incluindo entre ofertas europeias.