O apetite a risco é o nível e o tipo de risco que uma organização está disposta a aceitar na busca de seus objetivos. É uma decisão da alta administração: define até onde a organização aceita ir, em cada tema, para alcançar resultados. Também é chamado de apetite ao risco. Sem essa definição, cada gestor decide por conta própria quando um risco é aceitável, e a organização fica sem critério para priorizar controles.
Conceitos próximos
- Apetite a risco: o quanto a organização aceita, em termos gerais, como orientação estratégica.
- Tolerância ao risco: a variação aceitável em torno de um objetivo específico, ou seja, o limite concreto (por exemplo, um atraso máximo aceitável em determinada entrega).
- Capacidade de risco: o máximo de risco que a organização suportaria sem comprometer sua existência ou sua missão.
- Nível de risco: o resultado da avaliação de um risco específico, a ser comparado com o apetite.
Os referenciais COSO e ISO 31000 tratam do tema (veja COSO e ISO 31000), e a definição dos níveis é parte da política de gestão de riscos exigida no âmbito da governança.
Para que serve
O apetite funciona como régua. Riscos abaixo do limite podem ser aceitos e apenas monitorados, com economia de controles. Riscos acima exigem resposta: reduzir, compartilhar, evitar ou obter autorização de nível superior para aceitá-los. Isso orienta onde investir esforço de controle e dá previsibilidade à decisão: os gestores sabem de antemão o que podem decidir sozinhos e o que precisa subir.
Como definir na prática
- A alta administração discute, em reunião do comitê de governança, os objetivos estratégicos e os tipos de risco que os afetam (legal, financeiro, operacional, de imagem, de integridade, de segurança de pessoas).
- Para cada categoria, formula-se uma declaração simples, como “baixa tolerância a descumprimento legal” ou “tolerância moderada a riscos de inovação em serviços”.
- As declarações são traduzidas em limites objetivos na matriz de riscos: por exemplo, riscos de nível alto ou crítico em integridade nunca podem ser aceitos sem aprovação do prefeito.
- O apetite é aprovado formalmente, comunicado a todos e revisado ao menos uma vez por ano ou a cada mudança relevante.
Um exemplo hipotético: uma prefeitura estabelece que tem baixíssimo apetite para riscos que envolvam descumprimento de limites da Lei de Responsabilidade Fiscal ou segurança de pessoas, apetite baixo para riscos de integridade, e apetite moderado para riscos de projetos-piloto de inovação em atendimento ao cidadão. Assim, uma proposta de teste de novo canal digital pode ser autorizada pelo secretário, mas uma operação que ponha em dúvida limites fiscais exige parecer do jurídico e decisão do prefeito.
Por que varia entre áreas
O apetite não precisa ser igual para todos os temas. Em saúde e segurança de pessoas, normalmente é muito baixo. Em inovação de serviços, pode ser maior, desde que haja controle do impacto. A diferenciação evita tanto o excesso de controle em atividades de baixo risco quanto o descuido em atividades críticas. O apetite também depende do contexto: em períodos de restrição fiscal, a tolerância a riscos financeiros tende a cair.
Papel da alta administração
Definir e revisar o apetite é atribuição indelegável da liderança. Cabe à alta administração aprová-lo, e às áreas técnicas e ao controle interno traduzi-lo em critérios operacionais e monitorar seu cumprimento. Não é função do analista de riscos decidir isoladamente o que o prefeito aceita.
Erros comuns
- Não definir apetite e deixar cada gestor decidir.
- Definir de forma tão genérica que ninguém consegue aplicar (“risco baixo em tudo”).
- Declarar apetite que a prática contradiz, como aceitar atrasos legais reiterados.
- Não revisar após mudanças de gestão, de orçamento ou de legislação.
- Confundir apetite com tolerância, sem limites mensuráveis.
Como comunicar e usar o apetite no dia a dia
Um apetite que ninguém conhece não funciona. Depois de aprovado, ele deve ser divulgado em linguagem simples, incluído em treinamentos e traduzido em regras de decisão: quais riscos o secretário pode aceitar sozinho, quais exigem aval do comitê e quais devem chegar ao prefeito. Também deve constar dos formulários de análise de riscos, para que o gestor compare o nível encontrado com o limite aceito. Nos relatórios periódicos à alta administração, destaque os riscos que excedem o apetite e as respostas em andamento.
Exemplos de declarações de apetite
Declarações úteis são curtas e verificáveis: “a prefeitura não aceita riscos que comprometam o cumprimento dos limites constitucionais de educação e saúde”; “a prefeitura aceita risco moderado em projetos-piloto de melhoria de serviços, desde que o impacto seja limitado e reversível”; “a prefeitura não tolera fraude ou corrupção”. Cada declaração deve ter um indicador ou um critério objetivo, como limites percentuais, prazos máximos ou categorias de impacto, para que não vire apenas frase de efeito.