Gestão dos riscos da organização e da segurança

1A gestão dos riscos da organização

A norma ISO 31000 define o risco como o efeito da incerteza sobre os objetivos. Uma organização humanitária enfrenta riscos de várias naturezas: de segurança, fiduciários (fraude, corrupção, desvio), jurídicos e de conformidade (sanções, direito do trabalho, proteção de dados), operacionais (acesso, rutura de abastecimento), reputacionais, éticos (abusos, violação dos princípios) e financeiros (câmbio, tesouraria, dependência dos doadores).

O registo de riscos descreve cada risco (causa, evento, consequência), a sua probabilidade e o seu impacto (muitas vezes numa escala de 1 a 5), as medidas existentes, o risco residual, o responsável e a data de revisão. O nível de risco é muitas vezes calculado como probabilidade × impacto: um risco de probabilidade 4 e impacto 5 obtém 20 em 25, acima de um limiar de escalada fixado, por exemplo, em 15.

O apetite pelo risco, aprovado pelo conselho de administração, diz que riscos a organização aceita para cumprir a sua missão. Uma ONG médica pode aceitar um risco de segurança elevado para prestar cuidados em zona de conflito, mas não aceitar nenhum risco de tolerância em relação à exploração sexual. Sem um apetite pelo risco formalizado, cada decisão depende da personalidade do diretor em funções.

A transferência de riscos para os parceiros locais é um desvio denunciado por numerosos estudos: a ONG internacional fica abrigada enquanto o seu parceiro suporta o perigo sem meios. A partilha de riscos pressupõe financiar a segurança dos parceiros, partilhar a informação e decidir em conjunto o que é aceitável.

2Análise dos riscos de segurança

A gestão dos riscos de segurança segue um ciclo: análise de contexto (atores, dinâmicas do conflito, criminalidade, perceção da organização), identificação das ameaças (rapto, ataque armado, assalto na estrada, engenhos explosivos, violência sexual, detenção arbitrária, distúrbios civis, catástrofes naturais, doenças), análise das vulnerabilidades e das capacidades, e depois avaliação do risco e escolha das medidas.

Uma fórmula pedagógica resume a lógica: risco = ameaça × vulnerabilidade / capacidades. Quase nunca se controla a ameaça; atua-se sobre a vulnerabilidade (exposição, perfil, rotinas previsíveis) e sobre as capacidades (formação, comunicações, procedimentos, rede).

O limiar de risco aceitável decide-se pesando o risco residual face à criticidade do programa: quanto mais uma atividade salva vidas, mais risco pode ser aceite, com medidas reforçadas. O quadro de criticidade dos programas do sistema da ONU (Programme Criticality) e a abordagem do GISF (Global Interagency Security Forum) formalizam este raciocínio.

As fontes de informação devem ser cruzadas: rede de contactos locais, fóruns de segurança de ONG e organizações de aconselhamento em segurança, agências da ONU, media locais, dados públicos sobre conflitos (por exemplo o programa de dados sobre conflitos de Uppsala, UCDP). As informações sensíveis recebidas de parceiros ou de terceiros não se divulgam sem o seu acordo.

3Estratégias: aceitação, proteção, dissuasão

O triângulo da segurança distingue três estratégias complementares:

• Aceitação: reduzir ou eliminar a ameaça obtendo o consentimento dos atores (comunidades, autoridades, grupos armados) graças à qualidade, à imparcialidade percebida, à transparência e ao diálogo. É a estratégia preferida das ONG, mas constrói-se ao longo do tempo e pode ruir depressa se um ator considerar a organização parcial.
• Proteção: reduzir a vulnerabilidade através de medidas físicas e processuais (muros, guardas, viaturas adequadas, procedimentos de deslocação, hibernação, redução da visibilidade).
• Dissuasão: opor uma contra-ameaça (escoltas armadas, retirada condicional, pressão política). As escoltas armadas são em princípio um último recurso, enquadrado pelas diretrizes do IASC sobre o uso de escoltas armadas, porque podem comprometer a neutralidade percebida e criar novos riscos.

O plano de segurança de um país inclui: análise de riscos, níveis de segurança e indicadores de passagem de um nível a outro, procedimentos operacionais padrão (deslocações, comunicações, gestão de numerário, visitantes), planos de contingência (hibernação, relocalização, evacuação) e organigrama de crise. Deve ser conhecido, compreendido e testado através de exercícios; caso contrário, de nada serve.

Indicadores de ativação: decida antecipadamente que eventos fazem passar de um nível a outro (por exemplo dois incidentes armados a menos de 20 km da base numa semana). Sem indicadores, a decisão de relocalizar chega muitas vezes tarde demais.

4Gestão de incidentes críticos

Um incidente crítico (rapto, morte, agressão grave, ataque a um escritório, desaparecimento) ultrapassa as capacidades normais de gestão. É gerido por uma equipa de gestão de crise na sede ou a nível regional, distinta da equipa no terreno, com papéis definidos antecipadamente: responsável da crise, ligação com a família, comunicação, segurança, jurídico e seguros, recursos humanos, apoio psicológico.

Princípios para as primeiras horas: pôr em segurança as pessoas ainda expostas, verificar os factos, ativar a célula de crise, manter um diário cronológico de todas as decisões e informações, controlar a comunicação (nenhuma declaração pública nem publicação nas redes sociais por parte do pessoal, um único porta-voz), informar a família antes de qualquer outro público e coordenar com as autoridades e as outras organizações.

Em caso de rapto, as organizações apoiam-se em especialistas e nos seus seguros; as políticas variam quanto ao pagamento de resgates, proibido ou fortemente desencorajado por vários Estados e contrário aos regimes de sanções em alguns casos. A política da organização deve estar clara antes do incidente, e não ser improvisada durante.

Depois do incidente: apoio psicológico para as pessoas afetadas e para a equipa, retorno de experiência sem procura de bodes expiatórios, atualização da análise de riscos e, se for o caso, revisão da presença na zona.

5Continuidade das atividades e reputação

A continuidade das atividades prepara a organização para manter as suas funções essenciais apesar de uma perturbação: perda de um escritório, corte das comunicações ou dos bancos, epidemia, ciberataque, suspensão do registo. O plano identifica as funções críticas (salários, pagamentos aos beneficiários, abastecimentos vitais, comunicação com os doadores), o seu tempo máximo de interrupção aceitável e as soluções de recurso (cópias de segurança fora do local, contas bancárias alternativas, delegações de assinatura, gestão remota).

A gestão remota (programas conduzidos por equipas nacionais ou parceiros quando o pessoal de direção já não pode aceder à zona) exige uma atenção especial: transferência real dos meios de segurança, sistemas de acompanhamento por terceiros, chamadas de verificação aos beneficiários e vigilância para não transferir o risco sem transferir os meios.

O risco reputacional decorre muitas vezes dos outros riscos: um escândalo de abusos, uma fraude dissimulada ou um incidente mal gerido custam muito mais do que as suas perdas diretas. A melhor proteção é a transparência: informar os doadores e, quando apropriado, o público, de forma factual e rápida, mostrando as medidas tomadas.

A cibersegurança e a proteção de dados são agora riscos importantes: autenticação de dois fatores, cópias de segurança, atualizações, formação contra o phishing e encriptação dos dados sensíveis dos beneficiários.