O que é Apetite ao Risco em Compliance e Como Definir

Apetite ao Risco em Compliance

Muitas organizações falam de risco, controlos, auditoria, políticas e obrigações legais. No entanto, poucas conseguem responder com clareza a uma pergunta decisiva: quanto risco estamos realmente dispostos a aceitar no domínio do compliance para atingir os nossos objetivos?

É precisamente aqui que entra o conceito de apetite ao risco.

Sem uma definição clara de apetite ao risco, a organização tende a oscilar entre dois extremos igualmente perigosos. Por um lado, pode tornar-se excessivamente conservadora, travando inovação, crescimento comercial, digitalização ou internacionalização. Por outro, pode assumir riscos regulatórios, éticos, operacionais ou reputacionais sem uma base de decisão consciente e sem mecanismos de controlo proporcionais. A literatura de governance e risco é clara ao ligar o apetite ao risco à estratégia, ao papel do órgão de administração e à necessidade de traduzir esse posicionamento em decisões concretas.

O conselho de administração deve desempenhar um papel central na definição da propensão ao risco e na supervisão da sua implementação em toda a organização.

Num contexto de compliance, isto é ainda mais sensível. A organização pode ter tolerância quase nula para suborno, fraude, retaliação contra denunciantes, manipulação documental ou violações deliberadas de privacidade, mas aceitar níveis moderados de risco em áreas como inovação regulada, automatização de processos, uso de IA sob controlo, expansão para novos mercados ou terceirização com due diligence reforçada. O problema não está em assumir risco; está em fazê-lo sem critérios, sem linguagem comum e sem limites operacionais.

O que é, afinal, apetite ao risco?

Uma definição prática e amplamente usada é a do Institute of Risk Management, que descreve o apetite ao risco como a quantidade e o tipo de risco que uma organização está disposta a assumir para alcançar os seus objetivos estratégicos. Esta formulação é útil porque afasta uma visão simplista do risco como algo meramente negativo: o risco também está ligado à procura de oportunidade, à execução da estratégia e ao desempenho.

O G20/OECD Principles of Corporate Governance 2023 vai no mesmo sentido ao destacar que o conselho de administração deve estabelecer o apetite ao risco e a cultura de risco da empresa, especificando os tipos e o grau de risco que está disposta a aceitar na prossecução dos seus objetivos. Ou seja, o apetite ao risco não é um documento decorativo. É uma orientação de governação que deve dar direção à gestão.

Em compliance, isto significa transformar uma ideia abstrata em decisões como estas:

• Em que áreas aceitamos apenas risco residual muito baixo?
• Onde aceitamos risco moderado desde que existam controlos robustos?
• Que desvios exigem escalonamento imediato?
• Que métricas ou indicadores mostram que estamos a sair da zona aceitável?
• Quem decide quando um risco pode ser aceite, mitigado, transferido ou interrompido?

Sem estas respostas, o “tom no topo” permanece vago e o programa de compliance perde consistência.

Apetite ao risco não é o mesmo que tolerância ao risco

Este é um dos erros mais comuns.

• Apetite ao risco é a posição geral da organização sobre o nível e o tipo de risco que aceita para avançar com a sua estratégia.
• Tolerância ao risco é o limite operacional ou a margem admissível em torno desse apetite.
• Capacidade de risco refere-se ao montante de risco que a organização consegue suportar sem comprometer a sua viabilidade, missão ou continuidade.

Na prática:

• o apetite diz “estamos dispostos a aceitar risco baixo nesta área”;
• a tolerância traduz isso em limites concretos, por exemplo número máximo de incidentes, tempo de remediação, valor máximo de exposição ou percentagem admissível de terceiros ainda sem reavaliação;
• a capacidade responde à pergunta “mesmo que quiséssemos, até onde conseguimos aguentar?”.

Esta distinção importa porque muitas empresas afirmam ter “baixo apetite ao risco”, mas não definem indicadores, thresholds, owners ou mecanismos de resposta. Resultado: a formulação é bonita, mas não governa nada. Aliás, orientações internacionais alertam que um apetite ao risco mal operacionalizado não produz benefícios e pode até gerar resistência interna.

Porque é que o apetite ao risco é tão importante em compliance?

Porque compliance não é apenas uma função de controlo. É também uma função de decisão.

A ISO 37301 enquadra a gestão de compliance como um sistema destinado a estabelecer, desenvolver, implementar, avaliar, manter e melhorar um sistema eficaz e responsivo de compliance. Entre os benefícios apontados estão a mitigação de riscos, o reforço da cultura de integridade, a melhoria da governação e o aumento da confiança das partes interessadas.

Ora, um sistema de compliance eficaz não pode funcionar apenas com slogans como “cumprimos tudo” ou “não aceitamos riscos”. Na realidade, todas as organizações operam em ambiente de restrições, prioridades, trade-offs e decisões imperfeitas. Até os organismos internacionais reconhecem que um apetite ao risco nulo ou demasiado baixo pode conduzir à inação e à paralisia, reduzindo a probabilidade de atingir objetivos.

Em termos práticos, definir apetite ao risco em compliance ajuda a:

• alinhar administração, direção e equipas operacionais;
• distinguir riscos intoleráveis de riscos geríveis;
• priorizar recursos de controlo, auditoria e monitorização;
• estabelecer critérios de aceitação e escalonamento;
• evitar respostas desproporcionadas ou contraditórias;
• integrar compliance com estratégia, desempenho e cultura.

O erro de definir tudo como “tolerância zero”

Em muitas empresas, a primeira reação é declarar “tolerância zero” em quase tudo. Embora compreensível do ponto de vista reputacional, esta abordagem raramente é madura.

Há áreas em que uma postura de tolerância zero faz sentido ao nível do princípio: corrupção ativa, fraude intencional, retaliação contra denunciantes, falsificação de registos, violação deliberada de sanções ou ocultação consciente de conflitos de interesses. Mas isso não significa que o sistema de gestão de risco se reduza a esse slogan. A organização continua a precisar de definir como mede exposição, como identifica desvios precoces, quem aprova exceções, que resposta desencadeia um breach e que nível de risco residual é admissível após tratamento.

Em temas de segurança da informação, a definição de apetite ao risco deve estar articulada com controlos, monitorização, métricas e revisão periódica.

Além disso, nem todos os riscos de compliance devem ser tratados da mesma forma. Um atraso pontual numa revisão documental não tem o mesmo peso que uma falha sistemática de due diligence em terceiros de alto risco. Um piloto tecnológico com controlos reforçados não equivale a uma violação voluntária da lei. Um bom framework de apetite ao risco distingue estas realidades, em vez de as colocar todas na mesma gaveta.

Como definir apetite ao risco em compliance

A melhor abordagem é simples, disciplinada e proporcional à maturidade da organização.

1. Começar pela estratégia e pelas obrigações relevantes

O apetite ao risco não deve nascer isolado dentro da função de compliance. Deve começar nos objetivos estratégicos da organização e no contexto regulatório em que opera. O OECD destaca precisamente a ligação entre apetite ao risco, estratégia e supervisão do conselho de administração.

Perguntas úteis nesta fase:

• Que objetivos estratégicos exigem maior assunção de risco?
• Que obrigações legais e normativas são críticas?
• Que riscos podem comprometer continuidade, licença para operar ou reputação?
• Que temas são materialmente sensíveis para clientes, parceiros, reguladores e acionistas?

2. Separar o risco por categorias relevantes

Um único apetite ao risco global costuma ser demasiado vago. É mais útil trabalhar por domínios de risco. Em compliance, por exemplo, a organização pode definir posicionamentos distintos para:

• anticorrupção e fraude;
• proteção de dados e privacidade;
• conflitos de interesses;
• canais de denúncia e anti-retaliação;
• terceiros, procurement e due diligence;
• concorrência;
• sanções e export controls;
• IA, automatização e inovação regulada;
• formação, cultura ética e documentação de suporte.

A maturidade em ERM reconhece precisamente valor em articular declarações de apetite por áreas-chave e revê-las periodicamente à luz da evolução do contexto e dos eventos.

3. Escolher uma escala clara e compreensível

Apetite ao risco não precisa de começar com modelos excessivamente matemáticos. Muitas organizações usam escalas qualitativas ou semi-quantitativas, como:

• Muito baixo
• Baixo
• Moderado
• Elevado

Há também exemplos oficiais de escalas de apetite em que cada nível é descrito em linguagem operacional, para apoiar decisões e escalonamento. O mais importante é que os termos sejam entendidos de forma consistente.

4. Traduzir o apetite em tolerâncias e thresholds

Aqui está a diferença entre uma política bonita e um sistema que realmente funciona.

Sem critérios consistentes, o apetite ao risco dificilmente se traduz numa verdadeira matriz de riscos de compliance útil para priorizar, tratar e monitorizar a exposição da organização.

Para cada categoria, é necessário definir:

• que nível de exposição é aceitável;
• que métricas ou KRIs serão monitorizados;
• que threshold ativa resposta;
• que threshold ativa escalonamento para direção ou administração.

Exemplos de indicadores em compliance:

• percentagem de terceiros críticos sem due diligence atualizada;
• número de investigações internas em atraso;
• incidentes de privacidade por trimestre;
• percentagem de formação obrigatória concluída;
• tempo médio de remediação;
• número de conflitos de interesses não declarados identificados em auditoria;
• volume de exceções aprovadas fora da política.

As orientações internacionais sobre risk appetite insistem que este deve ser claro, mensurável tanto quanto possível, integrado com monitorização, reporting, ação e escalonamento.

5. Definir ownership e governação

Apetite ao risco sem dono não funciona.

O board ou órgão de administração deve aprovar a direção geral. A gestão deve operacionalizar. Compliance, risco, jurídico, auditoria interna e funções de negócio devem saber onde começa e acaba a sua responsabilidade. O OECD é explícito ao atribuir ao board um papel central no estabelecimento do apetite ao risco, cultura e supervisão do sistema de gestão de risco e controlo interno.

Na prática, deves deixar claro:

• quem propõe o framework;
• quem aprova;
• quem mede;
• quem reporta;
• quem decide exceções;
• quem intervém em caso de breach.

6. Integrar no dia a dia da organização

O apetite ao risco não pode viver apenas numa política anual. Deve entrar nos processos onde o risco é realmente decidido:

• onboarding de terceiros;
• aprovação de parceiros e intermediários;
• abertura de novos mercados;
• contratação pública e procurement;
• resposta a denúncias;
• aprovações de exceções;
• avaliação de projetos com impacto regulatório;
• desenho de controlos e planos de remediação.

A guidance do IRM e a guidance internacional sobre Risk Appetite Statements sublinham que o apetite ao risco tem de ser integrado no “business as usual”, comunicado e sustentado por processos contínuos de reporte e ação.

7. Rever periodicamente

O apetite ao risco não é fixo para sempre. Deve ser revisto quando mudam a estratégia, o modelo operacional, o mercado, a regulação, a tecnologia, o perfil de incidentes ou o contexto geopolítico. O OECD e os modelos de maturidade em ERM apontam para revisão periódica através da estrutura de governação adequada.

Exemplo prático de declaração de apetite ao risco em compliance

Uma formulação inicial simples pode ser esta:

• A organização mantém apetite ao risco muito baixo para condutas que possam implicar ilegalidade intencional, fraude, corrupção, retaliação contra denunciantes, ocultação de informação material ou violação deliberada de obrigações regulatórias.
• Mantém apetite baixo para falhas de controlo em terceiros críticos, privacidade, conflitos de interesses e documentação obrigatória.
• Mantém apetite moderado para iniciativas de inovação, automação e transformação digital, desde que sujeitas a avaliação prévia, controlos proporcionais, monitorização e planos de remediação.
• Qualquer exposição acima dos thresholds definidos deve ser escalada de imediato, com decisão formal sobre mitigação, aceitação, suspensão ou interrupção da atividade.

Isto não substitui thresholds, métricas ou regras de aprovação, mas já oferece um ponto de partida coerente.

Sinais de que a tua organização ainda não definiu bem o seu apetite ao risco

Há alguns sintomas típicos:

• decisões semelhantes recebem respostas diferentes consoante a pessoa que aprova;
• o board fala de risco, mas não existem limites claros;
• compliance é chamado demasiado tarde;
• há excesso de exceções informais;
• tudo é classificado como “alto” ou “crítico”;
• ninguém sabe quando escalar;
• os relatórios mostram incidentes, mas não mostram desvios face ao apetite definido;
• o discurso oficial fala em rigor absoluto, mas a prática tolera incoerências recorrentes.

Quando isto acontece, o problema nem sempre é falta de controlos. Muitas vezes é falta de clareza estratégica sobre o risco aceitável.

Conclusão

Definir apetite ao risco em compliance não é um exercício académico nem uma moda de governance. É uma ferramenta de gestão essencial para tomar melhores decisões, alinhar a liderança, concentrar recursos onde o risco é material e evitar tanto a imprudência como a paralisia. As principais referências internacionais convergem em três ideias: o apetite ao risco deve estar ligado à estratégia, deve ser estabelecido com envolvimento forte da governação e precisa de ser traduzido em linguagem operacional, métricas, thresholds, reporte e ação.

Para muitas organizações, o melhor primeiro passo não é tentar criar um framework “perfeito”. É começar por um modelo proporcional: definir categorias críticas, descrever o apetite por cada uma, estabelecer tolerâncias, ligar indicadores a escalonamento e rever periodicamente. Esse caminho já representa um salto importante de maturidade.

Na iCompliance.eu, este tema pode ser trabalhado como parte de projetos mais amplos de governance, risk & compliance, implementação de frameworks, definição de políticas, matrizes de risco, controlos, indicadores, reporting executivo e alinhamento com referenciais como ISO 37301, ISO 27001, ISO 27701, NIS2, DORA ou programas internos de integridade e controlo. Um apetite ao risco bem definido não substitui o sistema de compliance — mas torna-o muito mais claro, defensável e útil para a gestão.