Gerir todos os riscos da organização: registo, apetite, conformidade e reputação

1Dos riscos de segurança aos riscos da organização

A gestão dos riscos da organização (muitas vezes chamada ERM, enterprise risk management) alarga a lógica da segurança a todos os riscos que ameaçam a missão:

• Segurança: violência, acidentes, saúde do pessoal.
• Fiduciários: fraude, corrupção, desvio, má utilização dos fundos.
• Operacionais: rutura de abastecimento, falha de um parceiro, perda de acesso.
• Jurídicos e de conformidade: sanções, antiterrorismo, direito do trabalho, fiscalidade, proteção de dados.
• Éticos e de salvaguarda: exploração e abuso sexual, assédio, violação dos princípios.
• Reputacionais: perda de confiança das comunidades, dos doadores e do público.
• Financeiros e estratégicos: dependência de um doador, crise de tesouraria, perda de pertinência.

Estes riscos estão ligados: um desvio de ajuda por um grupo armado é ao mesmo tempo fiduciário, jurídico (sanções), operacional (suspensão), reputacional e de segurança (represálias se a organização o denunciar). É por isso que é necessária uma abordagem integrada.

2O registo dos riscos

O registo dos riscos identifica os principais riscos, com, para cada um: descrição (causa, acontecimento, consequência), categoria, proprietário, probabilidade, impacto, pontuação inerente, medidas existentes, pontuação residual, medidas adicionais previstas, prazo.

O registo é revisto todos os trimestres pela direção e todos os anos pelo conselho ou pelo seu comité de auditoria e riscos. Os dez principais riscos são objeto de um acompanhamento especial.

3O apetite pelo risco

O apetite pelo risco é o nível de risco que a organização aceita correr para cumprir a sua missão. É fixado pelo conselho, por categoria:

• Segurança: apetite moderado, elevado apenas para as atividades vitais (ver a criticidade dos programas).
• Fiduciário: apetite baixo pela fraude, mas aceitação de um risco residual nos contextos difíceis, desde que seja detetado e comunicado.
• Exploração e abuso sexual: tolerância zero para os comportamentos, o que não impede reconhecer que o risco existe e deve ser gerido ativamente.
• Programático: apetite mais elevado pela inovação e pelo acesso a zonas difíceis.

O apetite pelo risco não é um slogan: traduz-se em limiares (pontuação residual máxima por categoria), em delegações (quem pode aceitar que nível de risco) e em decisões documentadas. Um apetite demasiado baixo impede de trabalhar onde as necessidades são maiores; um apetite não definido deixa cada responsável decidir sozinho.

4A perda esperada

Para certos riscos financeiros, pode completar-se a matriz com a perda esperada: probabilidade anual × custo em caso de concretização. Isto ajuda a comparar o custo de uma medida com a perda que ela evita.

Exemplo. Risco de roubo da caixa de um escritório de terreno: probabilidade anual estimada em 20 %, perda média de 15 000 USD (numerário e despesas). Perda esperada: 0,2 × 15 000 = 3 000 USD por ano. Passar para pagamentos por dinheiro móvel custa 1 800 USD por ano e reduz a probabilidade para 5 % e a perda média para 4 000 USD: perda esperada de 200 USD. Ganho líquido: 3 000 − 200 − 1 800 = 1 000 USD por ano, sem contar a redução do risco para a segurança do caixa.

Limites: a perda esperada não serve para os riscos que afetam vidas ou cujo impacto é catastrófico. Ninguém decide aceitar um rapto porque a sua «perda esperada» seria baixa. Para estes riscos, raciocina-se em termos de limiar aceitável e de planos de contingência.

5Conformidade: sanções, antiterrorismo, fraude

As obrigações de conformidade impõem-se através das leis nacionais, dos regimes de sanções e dos contratos dos doadores:

• Sanções e antiterrorismo: proibição de pôr fundos ou recursos à disposição de pessoas ou entidades inscritas nas listas. Medidas: verificação dos fornecedores, parceiros e trabalhadores segundo o risco; cláusulas contratuais; vigilância sobre os pagamentos nas zonas controladas por grupos listados; utilização das isenções humanitárias existentes, documentando a sua aplicação.
• Antifraude e anticorrupção: política, linha de denúncia, investigações, comunicação aos doadores dentro dos prazos (ver as finanças).
• Verificação do beneficiário final: em geral, os doadores não exigem que cada beneficiário da ajuda seja verificado contra as listas, e os princípios humanitários opõem-se a isso; os controlos incidem sobre os parceiros, os fornecedores e o pessoal.

O diálogo com os doadores e os bancos é essencial: a retirada dos bancos (de-risking), que se recusam a trabalhar com organizações que atuam em zonas sancionadas, pode bloquear operações inteiras. Documentar a sua diligência ajuda a manter as contas abertas.

6Proteção contra a exploração e o abuso sexual

A proteção contra a exploração e o abuso sexual (PSEA) das populações assistidas é uma obrigação fundamental. Os seis princípios fundamentais do Comité Permanente Interagências (IASC) proíbem nomeadamente qualquer relação sexual com crianças (menos de 18 anos), qualquer troca de dinheiro, emprego, bens ou serviços por favores sexuais, e impõem a comunicação de qualquer preocupação.

O dispositivo:

• código de conduta e formação de todo o pessoal e dos parceiros;
• verificação de referências no recrutamento (dispositivos interagências);
• mecanismos de queixa comunitários acessíveis, seguros, adaptados às mulheres e às crianças;
• assistência às vítimas (médica, psicossocial, jurídica) segundo as suas escolhas;
• investigações rápidas e independentes, sanções, comunicação aos doadores;
• cláusulas PSEA nos acordos com os parceiros.

Indicador enganador: zero queixas não significa zero abusos. Na maior parte dos contextos, a ausência de queixas indica antes que os mecanismos não são conhecidos nem considerados seguros pelas comunidades.