Referencial Teórico

Gestão do Conhecimento

A perspectiva da empresa baseada no conhecimento deriva, em parte, da teoria baseada em recursos, e tem se desenvolvido na literatura de gestão estratégica a partir de autores como ^{Spender (1996)}, ^{Nonaka e Takeuchi (1997)}, ^{Cole (1998)}, dentre outros e, de acordo com ^{Alavi e Leidner (2001)} postula que os serviços prestados por recursos tangíveis dependem de como eles são combinados e aplicados, que por sua vez é uma função do know-how da empresa (isto é, o conhecimento). Ainda, segundo ^{Alavi e Leidner (2001)}, este conhecimento é incorporado na organização e envolve a cultura e a identidade organizacional, as rotinas, políticas, sistemas e documentos, bem como os indivíduos.

Segundo ^{Chait (1999)} e ^{Smith (2001)}, a gestão do conhecimento nas organizações é o processo formal e dirigido para determinar quais informações os membros possuem que poderiam beneficiar outros integrantes e, em seguida, desenvolvendo maneiras de torná-la facilmente disponíveis, esse processo contempla como o conhecimento é capturado, avaliado, tratado, armazenado, fornecido e utilizado.

Ressalta-se também que os estudos sobre gestão do conhecimento segregam-no em conhecimento tácito e explícito. o conhecimento tácito é subjetivo, representa habilidades, ideias, percepções e experiências pessoais difíceis de serem formalizadas, transferidas e explicadas; enquanto que o conhecimento explícito é relativamente fácil de ser codificado, transferido e reutilizado, já que é facilmente organizado em bases de dados e outras formas de publicação (^{Silva, 2004}). De acordo com ^{Brown e Dugid (2001)} o conhecimento tácito pode ser utilizado para fomentar a criatividade e a inovação ao passo que o explícito possibilita tornar o ambiente de trabalho previsível facilitando a realização das tarefas.

Adicionalmente, conforme ^{Devenport e Prusak (2003)} há cinco formas de gerar conhecimento: Aquisição, Recursos Dedicados, Fusão, Adaptação e Rede de conhecimento. A Aquisição ocorre por intermédio de compra, de outras empresas ou contratação de novos colaboradores. os Recursos Dedicados geram conhecimento a partir da criação de grupos específicos para criação de conhecimento, por exemplo, por meio de pesquisa e desenvolvimento e universidades corporativas. Quanto à Fusão é o processo de geração de conhecimento a partir da criação de grupos de trabalho multidisciplinares, formado deliberadamente por membros com diferentes conhecimentos e habilidades. Já a Adaptação gera conhecimento pela existência de recursos internos receptivos às mudanças, que são absorvidas em um processo contínuo de aprendizagem. Por fim, a Rede de Conhecimento funciona como um condutor, formal ou informal, do pensamento inovador (^{Devenport & Prusak, 2003}).

Para ^{Takeuchi e Nonaka (2008}, p. 24) a produção de novos conhecimentos organizacionais envolve um processo que amplia o conhecimento criado pelos indivíduos e solidifica-o como parte da rede de conhecimento da organização. "Esse processo é decorrente de uma iteração contínua, dinâmica e simultânea entre o conhecimento tácito e o explícito". Por fim, segundo ^{Smith (2001)}, existe tensão entre processo e prática. Processo representa o conhecimento explícito, ou como o conhecimento é organizado. Prática representa o conhecimento tácito, ou a forma como o trabalho é realmente feito. As empresas que lidam com sucesso com tais tensões e usam os vários tipos de conhecimento tácito e explícito em seu proveito, podem ser mais bem sucedidas na consecução dos objetivos organizacionais.

Procedimentos Metodológicos

A pesquisa, quanto aos objetivos, caracteriza-se como descritiva. Quanto aos procedimentos, caracteriza-se como um levantamento e para ser operacionalizada adota uma abordagem quantitativa (^{Raupp & Beuren, 2006}).

Quanto à população inicial do estudo, corresponde a 37 Chief Risk Officers que atuam em empresas brasileiras cadastrados na rede social Linkedin, na qual realizou-se uma busca com a palavra-chave "chief risk officer" no campo "cargo". Após a identificação dos CROS efetuou-se contato, primeiramente por intermédio do próprio Linke-din, a fim de apresentar a pesquisa aos CROS e enviar-lhes o link do questionário. Posteriormente procedeu-se ao contato telefônico com os participantes para verificar se estes haviam recebido o link e também para confirmar o endereço eletrônico. Neste momento, o questionário foi reenviado, por correio eletrônico ou por meio do sistema de mensagens do Linkedin.

O processo de seleção da amostra resultou em 11 respostas válidas dos CROS. Em virtude da amostra ser pouco representativa, optou-se por enviar também para auditores e consultores de gestão de riscos. Para tanto, efetuou-se uma busca no site do Instituto dos Auditores Independentes do Brasil (IBRACON) o que permitiu identificar 132 empresas associadas que foram contatadas por e-mail, telefone ou pelo fale conosco da empresa. observa-se que das 132 empresas, não foi possível o contato com 36, por falta de informações suficientes. Por fim, realizou-se também busca no portal Google com as palavras-chave: "consultoria" e "gestão de riscos". Esta busca retornou mais 11 empresas de consultoria, que também foram contatadas por telefone e correio eletrônico. Ao final do processo de coleta obtiveram-se 22 respostas válidas, sendo 15 respondentes do sexo masculino e 72,7% da amostra com idade entre 21 e 40 anos.

Para a coleta dos dados, utilizou-se um questionário estruturado em quatro blocos, elaborado com base no estudo de ^{Fraser, Schoening-Thiessen e Simkins (2008)}, que objetivou determinar quão útil os executivos de risco consideravam a literatura publicada sobre gestão de riscos. o primeiro bloco destinou-se a identificar o perfil dos respondentes e compreendeu questões que indagavam sobre gênero, idade, tempo de atuação na área de gestão de riscos, designação do cargo atualmente ocupado, tempo no cargo atual e capacitações realizadas para o desempenho da atual função. o segundo bloco do instrumento de coleta de dados objetivou identificar o perfil das organizações participantes da pesquisa. Para tanto, compreendeu questões acerca do setor de atuação, porte da empresa, tempo de adoção do sistema de Gestão de Riscos corporativos, motivos que levaram à implementação da GRC e número de funcionários envolvidos com gestão de riscos na organização.

Quanto ao terceiro bloco de perguntas, destinou-se a identificar quais as ferramentas e técnicas que os respondentes utilizam na Gestão de Riscos corporativos. Neste bloco, foram apresentadas as ferramentas elencadas no ^{COSO (2007)} para o processo de identificação e avaliação de riscos. Os participantes foram solicitados a responder, por meio de uma escala Likert, o nível de utilização de cada uma das ferramentas e técnicas apresentadas. Também indagou-se sobre a utilização de consultoria externa para assuntos relacionados à GRC e quais os benefícios oriundos desta prática. Por fim, o último bloco do questionário dedicou-se a identificar os instrumentos de capacitação utilizados pelos respondentes e o nível de importância atribuído pelos CROS a cada instrumento. Para a elaboração deste bloco de perguntas realizou-se, primeiramente, uma busca bibliográfica por obras (livros e normas) e cursos divulgados na internet que tratassem de Gestão de Riscos Corporativos. Efetuou-se pré-teste com um pesquisador e um consultor da área de gestão de riscos, resultando na reformulação do quarto bloco do questionário. Deste modo, após a revisão, chegou-se a um total de 16 obras e 6 cursos que compuseram as perguntas do quarto bloco, apresentadas no Quadro 1.

Em função da impossibilidade de contemplarem-se todas as obras que versam sobre gestão de riscos no instrumento de coleta de dados, optou-se por abordar apenas as obras mais referenciadas. No entanto, ao final do quarto bloco, uma pergunta aberta permitiu que os respondentes incluíssem outras obras ou cursos não elencados no questionário que julgassem importantes para a capacitação em Gestão de Riscos Corporativos.

Antes de levar o instrumento a campo foi aplicado um segundo pré-teste. Participaram outras duas pessoas que trabalham e pesquisam sobre gestão de riscos, sendo que nenhuma das duas faz parte da amostra final do estudo. Depois de validado, o instrumento foi digitado no site do Google Forms e enviado conforme exposto anteriormente. A coleta dos dados ocorreu entre setembro de 2015 e fevereiro de 2016. Após a obtenção das respostas, os dados foram tabulados em planilha eletrônica. A análise ocorreu mediante estatística descritiva e Análise de Componentes Principais (ACP).

A ACP "é uma técnica de análise exploratória multivariada que transforma um conjunto de variáveis correlacionadas num conjunto menor de variáveis independentes, combinações lineares das variáveis originais, designadas por componentes principais'" (^{Maroco, 2003}, p. 231). De acordo com ^{Banet e Morineau (1999)} as variáveis da ACP podem ser representadas por vetores em um plano fatorial, sendo que o ângulo formado pelas variáveis revela a correlação existente entre elas. Deste modo, ângulos próximos a 0^o denotam forte correlação positiva, ângulos próximos a 180° indicam forte correlação negativa e ângulos próximos a 90° sugerem a ausência de correlação (^{Banet & Morineau, 1999}).

Destarte, procederam-se a ACP a fim de identificar a correlação entre as características pessoais dos respondentes e das empresas e os motivos, ferramentas e obras identificadas na pesquisa. A Figura 1 ilustra as relações a serem testadas.

Fonte: Elaborado pelos autores.

Figura 1 Relações a serem testadas 

Estudos anteriores evidenciam que características pessoais do CRO possuem forte influência sobre o nível de adoção da Gestão de Riscos Corporativos (^{Daud et al., 2010}). Assim, são analisadas as correlações entre as características pessoais (capacitação, tempo de experiência em GRC, função atualmente exercida e tempo na função atual) com as ferramentas utilizadas pelos respondentes e com as obras lidas.

Do mesmo modo, características da empresa, tal como seu tamanho, também se encontram associadas à GRC (^{Baxter, Bedard, Hoitash & Yezegel, 2013}). Logo, também foram testadas as relações entre as características organizacionais (porte da empresa, setor de atuação e tempo que realiza GRC) com as ferramentas utilizadas e os motivos que levaram à adoção da GRC e as obras lidas. A seguir descrevem-se os resultados encontrados.

Análise Dos Dados

0 perfil dos participantes da pesquisa foi identificado por meio das questões do primeiro bloco do questionário. Na Tabela 1 encontram-se sintetizadas algumas informações acerca dos respondentes, tais como função atual, tempo na função e experiência em GRC.

Observa-se em relação ao tempo de atuação na área de gestão de riscos que 50% dos respondentes possuem pouco tempo de atuação (entre menos de 1 ano até 5 anos), e que os 50% restantes apresentam mais de 10 anos de experiência na área. No que tange à função atual desempenhada, verificou-se que 11 pessoas (50%) desempenham a função de Chief Risk Officer (CRO), também identificou-se as funções de auditor (13,64%) e gerente de riscos (13,64%). Em relação ao tempo em que o respondente ocupa a atual função, pôde-se perceber que, assim como no tempo de experiência, houve maior concentração de respostas nas faixas iniciais, o que denota pouco tempo de experiência no cargo, o que talvez, como aponta ^{Nocco e stulz (2006)}, possa ser explicado pela contemporaneidade da gestão de risco como uma ferramenta de controle gerencial.

Buscou-se investigar também se para desempenhar a função atual o respondente teria realizado alguma capacitação específica. Como nota-se na Tabela 1 apenas 8 respondentes afirmaram que sim, ou seja, realizaram cursos específicos para o cargo que ocupam. Entre os cursos citados pelos respondentes encontram-se cursos de Complice, Controle Interno, Governança, Gestão de Riscos e Business Continuity, bem como certificações em ISO 27001, em Business Continuity (CBCP) e em Risco e Controle de Sistemas de Informação (Certified in Risk and Information Systems Control) - (CRISC) indicando uma predominância de aquisição de conhecimento de forma tácita.

Quanto ao perfil das empresas em que atuam os respondentes a Tabela 2 descreve algumas características.

Nota-se que a maioria das empresas é do setor de serviços (40,9%), seguidas por empresas do setor financeiro (31,8%) e de indústria e comércio (13,6%). Dentre as atividades contempladas nestes setores encontram-se, por exemplo, empresas do ramo automobilístico, de imóveis, seguros, consultorias e auditorias. Em relação ao porte, houve maior concentração de empresas de grande porte (31,8%), entretanto também se identificaram respondentes provenientes de microempresas (22,7%). Destaca-se que, tanto as microempresas quanto as pequenas empresas identificadas na amostra correspondem às empresas de auditoria e consultoria em gestão de riscos.

Pode-se verificar também que o número de pessoas envolvidas com gestão de riscos nas empresas participantes da pesquisa não é tão elevado, uma vez que em apenas cinco empresas há mais de 10 pessoas envolvidas com GRC. Tal resultado é consistente com a pesquisa realizada pela ^{Deloitte (2014)}, que demonstrou que a média de profissionais que atuam na gestão de riscos é de nove funcionários por empresa. No que diz respeito ao tempo de adoção formal de um sistema de GRC, percebe-se uma maior distribuição das respostas, sendo que o destaque vai para a faixa de 5 a 10 anos (27,3%).

Indagou-se quais os motivos que levaram sua organização a adotar práticas de gestão de riscos. Foram apresentados sete motivos, sendo que o respondente poderia assinalar mais de uma opção, tendo a alternativa de indicar algum motivo adicional não contemplado no instrumento. Os resultados encontram-se na Tabela 3.

A exigência de entidades reguladoras foi o motivo com maior taxa de resposta para justificar a adoção da GRC, o resultado converge com o estudo de ^{Collier et al. (2007)} que verificaram que exigências regulatórias são motivadoras para práticas de gestão de riscos e com os resultados de ^{Paape e Speklé (2012)} que evidenciaram que o grau de implementação da GRC é influenciado pelo ambiente regulatório.

Além da exigência regulatória, os motivos mais recorrentes para a adoção da GRC são: melhorar a compreensão e o controle dos riscos (54,44%), melhorar a governança corporativa ou atender requisitos do conselho (40,91%) e minimizar surpresas (40,91%). Tais resultados estão em consonância com os resultados de ^{Fraser et al. (2008)}, em que melhorar a compreensão e o controle dos riscos e melhorar a governança corporativa ou atender requisitos do conselho foram os dois motivos mais citados para a implantação do processo de gestão de riscos nas empresas investigadas pelos autores.

Estes resultados também concordam com os achados de collier et al. (2007), em que a gestão de riscos foi impulsionada por uma resposta institucional aos apelos para melhorar a governança corporativa. Entretanto, em relação aos achados de ^{Paape e Speklé (2012)} não houve concordância, visto que os autores concluíram que a governança parece não influenciar a adoção da GRC.

Com o intuito de tentar identificar características organizacionais que possam estar associadas aos motivos relatados pelas empresas para a adoção da grc, apresenta-se na Figura 2 o mapa fatorial gerado pela Análise de Componentes Principais.

Fonte: Dados da pesquisa.

Figura 2 Mapa fatorial entre os motivos para a adoção da GRC e características organizacionais 

Percebe-se que a adoção da GRC em função de exigências de entidades reguladoras (MOT01) mostrou-se positivamente associada a empresas do setor industrial (IND) e financeiro (FIN), de grande porte (GRAN) e que adotam a GRC entre 10 e 15 anos (E10A15). Salienta-se que tal motivo apresentou ausência de correlação com microempresas (MICRO), empresas do setor comercial (COM) e que adotaram a GRC há menos de um ano (EM1); e correlação negativa com empresas do setor de serviços (SERV) e de pequeno porte (PEQ).

Em relação à adoção da GRC para melhorar a compreensão e o controle dos riscos (MOT02), observa-se que este motivo está positivamente relacionado com empresas do setor industrial (IND) e comercial (COM), porém sem correlação com empresas do setor financeiro (FIN). Estes resultados ensejam uma reflexão acerca das motivações subjacentes à adoção da Gestão de Riscos corporativos. como observou-se anteriormente, a exigência por parte de entidades reguladoras exerce um papel fundamental na opção das empresas pela implantação da GRC.

Assim sendo, há que se refletir então se o processo de gestão de riscos presente em tais empresas é de fato utilizado como suporte à gestão e a tomada de decisões ou se apenas cumpre requisitos regulatórios com características meramente figurativas. O resultado apresentado pela ACP aponta que a exigência imposta por entidades reguladoras está mais associada às empresas do setor financeiro do que a motivação para melhorar a compreensão e o controle dos riscos, fornecendo indícios de que nestas organizações a GRC seja apenas uma formalidade.

Estes resultados são reforçados ao constatarse que o terceiro motivo (melhorar a Governança Corporativa ou atender requisitos do Conselho -MOT03) mostrou-se associado positivamente às empresas do setor financeiro (FIN), ou seja, além de pressões externas do ambiente regulatório, também pressões internas advindas do conselho de Administração parecem explicar melhor a adoção da GRC em empresas deste setor, ao invés de motivos ligados à utilização da Gestão de Riscos para auxílio da gestão e tomada de decisão.

Somado a este fato, verifica-se ainda que não houve associação entre a adoção da GRC para minimizar surpresas (MOT04) ou auxiliar na alocação de recursos (MOT05) e as empresas do setor financeiro (FIN), ao passo que o atendimento de diretrizes estabelecidas no Planejamento Estratégico (MOT06) mostrou-se forte e positivamente correlacionado, acentuando a constatação de que a GRC, nas empresas financeiras investigadas, constitui-se em elemento para atender exigências (externas ou internas) e não para a gestão.

Relativamente à adoção da GRC em função de atender requisitos do conselho ou melhorar a Governança Corporativa (MOT03), evidenciou-se que esta não se encontra associada às empresas de nenhum setor, além do financeiro (FIN), apresentando também correlação positiva com empresas de grande porte (GRAN) e com processo formal de gestão de riscos estabelecido há mais de 15 anos (EM15).

Em relação ao quarto e quinto motivos observados, qual seja minimizar surpresas (MOT04) e auxiliar na alocação de recursos (MOT05), observou-se correlação positiva com as variáveis IND e COM, indicando assim que empresas industriais e comerciais adotam a GRC pelos motivos supramencionados. Tais motivos também estão positivamente associados com a variável E1A5, que denota adoção da GRC entre um e cinco anos.

O sexto motivo, atender diretrizes estabelecidas no Planejamento Estratégico (MOT06), não está associado a nenhuma variável de setor além do financeiro (FIN) e apresenta correlação positiva fraca com empresas de grande porte (GRAN). Finalmente, no que concerne à adoção da GRC em função da emissão de ADR'S observa-se que esta mostrou-se positivamente associada com as variáveis que indicam o setor industrial (IND) e financeiro (FIN), com porte médio-grande (MDG) e com GRC estabelecida entre 10 e 15 anos (E10A15). No entanto, mostrou-se negativamente associada a empresas do setor de serviços (SERV) e de pequeno porte (PEQ), fato que era esperado.

Ferramentas utilizadas na gestão de riscos

O terceiro bloco do questionário buscou identificar quais as ferramentas utilizadas pelos respondentes na gestão de riscos. Para tanto, foram elencadas as técnicas listadas pelo ^{COSO (2007)} para identificação e avaliação de riscos e solicitado que os respondentes indicassem o grau de utilização de cada técnica. A seguir, na Tabela 4, encontram-se sintetizadas as respostas obtidas.

Observa-se que as médias obtidas das respostas sobre a utilização das técnicas listadas pelo ^{COSO (2007)} são moderadamente baixas, uma vez que ficaram muito próximas a 2, que na escala utilizada correspondia a "utilizo raramente". Tal resultado converge ao que foi constatado por ^{Fraser et al. (2008)}, que identificaram que as técnicas e ferramentas propostas pelo COSO são utilizadas raramente pela maioria dos respondentes da pesquisa e estão alinhadas com a indicação, pelos respondentes, de que a gestão de risco tende a ser um mecanismo proforma para atender à regulação externa ou diretrizes do conselho de administração, sem, no entanto, ter suas potencialidades efetivamente utilizadas para o processo de gestão organizacional.

Em relação às técnicas para a identificação dos riscos, a técnica de análise do fluxo de processo é a mais utilizada, com a única média que chegou a casa de 3 pontos (utilizo algumas vezes), seguida por indicadores de evento e alerta de mudança (2,5), questionários e pesquisas (2,3) e rastreamento de dados (2,3). Já para a avaliação dos riscos as técnicas que se destacaram foram: categorização de riscos (média de 2,8), análise de cenários (2,7) e valor em risco (2,6). Pode-se perceber que as técnicas mais utilizadas são também as mais simples, ao passo que técnicas mais complexas, tais como árvore de eventos, teste de estresse e distribuição de perda apresentaram baixa utilização. Este achado é consonante com os resultados do estudo de ^{Collier et al. (2007)}, em que os entrevistados afirmaram que manter técnicas de gestão de risco mais simples era melhor.

Deve-se, entretanto, analisar os dados de forma cautelosa, visto que os desvios-padrão calculados apresentaram-se elevados em virtude da grande variabilidade de respostas, conforme pode-se observar na Tabela 4. Assim, destaca-se, por exemplo, que dentre as técnicas para identificação dos riscos a análise do fluxo do processo e questionários e pesquisas foram as que apresentaram maior concentração de respostas nos itens 4 e 5, ao passo que a técnica de seminário com facilitadores, apesar de não possuir a menor média, apresentou maior concentração de respostas no item "não conheço".

Além das técnicas acima apresentadas, indagou-se se o respondente utiliza outras técnicas na gestão de riscos. Entre as técnicas citadas encontram-se: análise de impacto no negócio (Business Impact Analysis - BIA), Matriz de SWOT e ferramentas do Control Objectives for Information and related Technology (COBIT).

Quanto à contratação de consultoria externa para tratar de assuntos relacionados à gestão de riscos, constatou-se que apenas 31,8% das empresas utilizam consultores externos para tratar de tais assuntos. Em relação aos benefícios que um consultor externo pode trazer à GRC, as respostas mais recorrentes foram: trazer profissionais com experiência externa, compartilhar diferentes opiniões e pontos de vista, trazer técnicas atualizadas e redução de custos fixos.

A fim de identificar que características organizacionais e pessoais podem estar associadas às técnicas de gestão de riscos empregadas procedeu-se à ACP, com posterior construção do mapa fatorial. Para tanto, cada ferramenta foi transformada em uma variável binária, que assumiu o valor de 1 nos casos em que a resposta dada correspondia à utilizo em grande extensão (4) e utilizo o máximo possível (5), indicando utilização da ferramenta em questão. Para as demais respostas (0 - não conheço; 1 - conheço, porém não utilizo; 2 - utilizo raramente; e 3 - utilizo algumas vezes) a variável foi codificada como 0, indicando não utilização da técnica pela empresa. Na Figura 3, apresentam-se os mapas fatoriais elaborados para as características organizacionais e as ferramentas de gestão de riscos identificadas.

Fonte: Dados da pesquisa.

Figura 3 Mapa fatorial para as ferramentas da GRC e características organizacionais 

O mapa fatorial A apresenta o resultado da ACP para as ferramentas de identificação de riscos e as características organizacionais, enquanto o B apresenta as ferramentas de avaliação de riscos e as características da empresa. Em relação às ferramentas de identificação de riscos observa-se que empresas do setor financeiro (FIN), de grande porte (GRAN), com gestão de riscos implementada há mais de 15 anos (EM15) apresentaram associação positiva com a ferramenta de inventário de eventos (FI05) e correlação negativa com questionários e pesquisas (FI03). A ferramenta árvore de eventos (FI08) mostrou-se positivamente associada às empresas industriais (IND), de médio-grande porte (MDG), com GRC implementada entre 1 e 5 anos (E1A5). Empresas comerciais (COM) mostraram-se positivamente associadas com indicadores de evento e alerta de mudança (FI02), enquanto empresas de prestação de serviços (SERV) mostraram maior correlação com questionários e pesquisas (FI03), entrevistas (FI06) e seminários com facilitadores (FI07). Tais ferramentas também apresentaram associação positiva com empresas de pequeno porte (PEQ) e com GRC implantado entre 5 e 10 anos (E5A10).

Relativamente às ferramentas de avaliação de riscos observa-se que empresas do comércio (COM), com GRC entre 1 e 5 anos (E1A5) apresentam-se associadas positivamente às ferramentas: categorização de riscos (FA01), análise de cenários (FA02), questionários (FA04), benchmarking (FA05) e back testing (FA10). A variável IND, que representa as empresas do setor industrial mostrou-se correlacionada positivamente com as ferramentas de distribuição de perdas (FA09) e mapa de calor (FA11). No entanto, estas técnicas revelaram associação negativa com empresas prestadoras de serviço (SERV), sendo que esta variável também apresentou ausência de correlação com as ferramentas análise de cenários (FA02) e questionários (FA04). De modo geral, empresas de maior porte (MDG e GRAN) parecem estar mais associadas a ferramentas mais sofisticadas, como por exemplo, valor em risco (FA03), teste de estresse (FA08) e distribuição de perdas (FA09).

Além das características organizacionais, também buscou-se analisar a associação entre as ferramentas de gestão de riscos e as características dos indivíduos. Na Figura 4 apresentam-se os mapas fatoriais elaborados a partir da ACP.

Fonte: Dados da pesquisa.

Figura 4 Mapa fatorial para as Ferramentas da GRC e características pessoais 

O mapa fatorial C apresenta a associação entre as características pessoais e as técnicas de identificação de riscos. Observa-se que, em relação à capacitação os respondentes que realizaram algum tipo de treinamento para desempenhar sua atual função (CSIM) apresentaram maior associação com as ferramentas entrevistas (FI06) e seminários com facilitadores (FI07). Estas técnicas também estão associadas às pessoas que desempenham sua função entre 5 e 15 anos (F5A10 e F10A15). Para os que declararam não receber capacitação para o desempenho de sua função (CNAO), observa-se maior associação positiva com questionários e pesquisas (FI03) e inventário de eventos (FI05). Em relação à função exercida, constata-se que às pessoas que ocupam o cargo de cro (cros) apresentam associação positiva com as ferramentas análise do fluxo de processo (FI01), indicadores de evento e alerta de mudança (FI02) e árvore de eventos (FI08), ao passo que os que desempenham outras funções (CRON) não apresentaram associação positiva com nenhuma das técnicas de identificação de riscos analisadas.

Com relação às ferramentas de avaliação de riscos (mapa fatorial D) verifica-se que a capacitação para exercer a função (CSIM) não apresentou associação positiva com nenhuma ferramenta. No que concerne ao cargo desempenhado, podese observar que o cargo de CRO (CROS) mostrou-se forte e positivamente associado às ferramentas de análise de cenário (FA02), benchmarking (FA05), análise de sensibilidade (FA07), teste de estresse (FA08), distribuição de perda (FA09) e mapa de calor (FA11). Este resultado fornece indícios de que o CRO domina práticas de GRC, visto que os demais cargos (CRON) não apresentaram correlação positiva com nenhuma ferramenta. Destaca-se ainda que, a experiência em GRC pode exercer papel fundamental nas práticas de gestão de riscos empregadas pela empresa, uma vez que a experiência entre 10 e 15 anos (G10A15) mostrou-se positivamente correlacionada com todas as técnicas de gestão de riscos, o que é consistente com a existência de conhecimento tácito.

Obras e cursos mais relevantes em gestão de riscos

Por fim, o último bloco do questionário destinou-se a identificar as obras e cursos considerados pelos respondentes como relevantes para a aquisição de conhecimento sobre gestão de riscos. Primeiramente, analisaram-se as obras sobre gestão de riscos indicadas como as mais lidas, para na sequência avaliar as obras consideradas pelos respondentes como de maior relevância. A Tabela 5 sumariza os resultados relacionados às obras mais lidas. Os dados estão distribuídos em uma escala de 1 a 5, em que 1 indica desconhecimento da obra e 5 denota que o respondente leu mais de 80% de seu conteúdo.

O framework Gerenciamento de Riscos Corporativos - Estrutura Integrada elaborada pelo ^{COSO (2004)}, o Guia de Orientação para Gerenciamento de Riscos Corporativos (IBGC, 2009), a NBR ISO 31000 (^{ISO, 2009}) e o livro Gestão de Risco: uma abordagem orientada a riscos operacionais (^{Brito, 2007}) foram as obras com maior indicação de leitura, visto que apresentaram as maiores média. Em contrapartida obras internacionais acadêmicas, tais como os artigos de ^{Mikes (2009)}, ^{Kaplan e Mikes (2011)} e ^{Mikes (2011)} acabaram tendo as médias mais baixas, o que indica pouca leitura dessas obras pelos respondentes.

Salienta-se, entretanto, que a média geral de leitura de todas as obras apresentou-se baixa, oscilando entre 2,1 e 3,3 informação que sinaliza baixa utilização das obras sugeridas para fins de aprendizagem. contudo, deve-se destacar também a grande variabilidade das respostas, o que contribui para o decréscimo das médias. Nesse sentido, pode-se notar que o Gerenciamento de Riscos Corporativos (^{COSO, 2004}) apresentou grande concentração de respostas no item 4, ou seja, li entre 10% e 80%. Analisando-se ainda a obra do ^{COSO (2004)}, pode-se perceber que o número de respondentes que leu mais de 10% da obra (13 no total) é maior do que o número de respondentes que leu menos (9 no total), porém, mesmo assim sua média não chegou a 4. Constata-se ainda a grande dispersão dos dados por meio dos desvios-padrão calculados, que oscilaram de 1,2 a 1,7.

Em relação à importância atribuída às obras sobre gestão de riscos, os resultados são sintetizados na Tabela 6. Os dados estão distribuídos em uma escala de 1 a 5, em que 1 indica que a obra não é relevante para GRC e 5 que indica que a obra é de leitura obrigatória para GRC. As obras sobre gestão de riscos são apresentadas em ordem decrescente de média. Ressalta-se que, para a construção da Tabela 6 e das médias nela apresentadas, foram levadas em consideração apenas as respostas provenientes de pessoas que possuíam conhecimento sobre a obra em questão, ou seja, aqueles que responderam "li entre 10% e 80%" e "li mais que 80%" na questão anterior.

Pode-se observar que a obra que os respondentes consideram agregar maior valor para a gestão de riscos é Basel III: A global regulatory framework for more resilient banks and banking systems (BCBS, 2010), seguida pela NBR ISO 31000 - Gestão de Riscos: Princípios e Diretrizes (^{ISO, 2009}) e pelo livro The Resilient Enterprise: Overcoming Vulnerability for Competitive Advantage (^{Sheffi, 2007}). Destacase que a Estrutura Integrada do ^{COSO (2004)}, apesar de ser a mais lida, aparece apenas em décimo primeiro lugar dentre as obras consideradas mais valiosas para gestão de riscos, com uma média de 3,4. Este resultado converge ao fato de que poucas empresas adotam as técnicas e ferramentas propostas pelo coso na gestão dos riscos, conforme discutido anteriormente.

Além das obras citadas, o instrumento de pesquisa contemplou uma pergunta aberta em que os respondentes poderiam incluir demais obras que julgassem importantes para a gestão de riscos. Dentre as obras que foram citadas estão: COBIT 5 (^{ISACA, 2012}), Risk IT Framework (^{ISACA, 2009}), Manager's Guide to Compliance (^{Tarantino, 2006}) e Gestão de riscos com controles internos (^{Assi, 2012}).

O COBIT 5 foi desenvolvido pela Information Systems Audit and Control Association (ISACA) e constitui-se em um quadro abrangente de princípios, práticas, ferramentas analíticas e modelos que auxiliam as empresas em questões relacionadas à governança e gestão de informação e tecnologia, auxiliando a empresa a maximizar valor e minimizar o risco relacionado à informação (^{ISACA, 2012}). A ISACA também foi responsável pelo lançamento, em 2009, do Risk IT Framework, como complemento ao COBIT 4.1 (antecessor do COBIT 5). Este documento fornece um quadro geral para o controle e a governança de informações e tecnologias, definindo boas práticas que permitam à empresa identificar e gerir os riscos de tecnologia da informação.

O livro Manager's Guide to Compliance de Anthony ^{Tarantino, lançado em 2006}, apresenta uma visão geral de diversas normas e regulações mundiais, tais como Lei Sarbanes-Oxley (SOX), coso, cobit, Basiléia II e International Financial Reporting Standards (IFRS), além de estudos de casos e melhores práticas, com o intuito de auxiliar usuários sobre questões relacionadas à gestão riscos (^{Tarantino, 2006}).

Por fim, a obra Gestão de Riscos com controles internos de Marcos Assi foi a única obra nacional a ser citada pelos respondentes. O livro tem por objetivo trazer técnicas e práticas de gestão de riscos e controles internos com base em instruções de órgãos nacionais e internacionais, como por exemplo, o COSO ERM, a SOX e a ISO 31000:2009 (^{Assi, 2012}).

Destaca-se aqui que, ainda em relação às obras sobre gestão de riscos, um dos respondentes enfatizou em sua resposta que se deve "evitar a academia" nas questões concernentes à gestão dos riscos, pois essa encontra-se "fora da realidade".

Buscou-se identificar também dificuldades que os respondentes eventualmente haviam enfrentado na implantação da grc e que não haviam encontrado suporte na literatura. Entre as dificuldades mais relatadas, a incorporação da GRC à cultura da empresa foi o que obteve maior destaque, seguida por resistência da alta administração e falta de persistência em manter o sistema implantado.

Finalmente, investigou-se a relação existente entre características organizacionais e pessoais e as obras lidas pelos respondentes. Para tanto, cada obra foi transformada em uma variável binária, que assumiu o valor de 1 nos casos em que a resposta dada correspondia à "li entre 10% e 80%" (4) e "li mais de 80%" (5), indicando assim que o respondente havia de fato lido substancialmente a obra em questão. Para as demais respostas a variável foi codificada como 0, indicando a não leitura de tal obra pelo respondente. Na Figura 5, apresentam-se os mapas fatoriais gerados a partir da Análise de componentes Principais.

Fonte: dados da pesquisa.

Figura 5 Mapa fatorial para as características organizacionais e pessoais e obras lidas 

O mapa fatorial E apresenta as correlações para o setor da empresa e as obras lidas pelos participantes da pesquisa. Pode-se observar que o setor industrial (ind) mostrou-se positivamente correlacionado com diversas obras de gestão de riscos, dentre as quais: controladoria: de risco-retorno em instituições financeiras (O06), Medindo e gerenciando riscos operacionais em instituições financeiras (O08), Basel III: a global regulatory framework for more resilient banks and banking systems (O09), The black swan: the impact of the highly improbable (O12), The resilient enterprise: overcoming vulnerability for competitive advantage (O13), Risk management and calculative cultures (O14), Managing the multiple dimensions of risk (O15) e From counting risk to making risk count: Boundary-work in risk management (O16).

O setor financeiro (FIN) e o setor comercial (COM) mostraram-se associados positivamente com as obras controladoria: de risco-retorno em instituições financeiras (O06) e The black swan: the impact of the highly improbable (O12). O setor financeiro apresentou relação positiva, embora fraca, com a obra Basel III: A global regulatory framework for more resilient banks and banking systems (O09). Tal resultado já era esperado em virtude do conteúdo da obra, que aborda gestão de riscos em instituições financeiras. Por sua vez, o setor de serviços mostrou associação positiva apenas com a NBR ISO 31000 - Gestão de riscos: princípios e diretrizes (O03).

Relativamente às características pessoais dos respondentes verifica-se que a capacitação para o cargo (CSIM) e a função de CRO (CROS) apresentam-se positivamente relacionadas às obras: Controladoria: guia de orientação para gerenciamento de riscos corporativos (O02), NBR ISO 31000 (O03), Controladoria: de risco-retorno em instituições financeiras (O06) e Norma de gestão de riscos FERMA.

(O11). Já a não capacitação (CNAO) e outros cargos (CRON) apresentaram-se associados positivamente à The black swan: the impact of the highly improbable (O12), Risk management and calculati-ve cultures (O14) e Managing the multiple dimensions of risk (O15).

Em relação ao tempo de experiência em GRC constata-se que quanto maior o tempo de experiência maior o número de obras em que se estabelecem correlações positivas. Deste modo, menos de um ano de experiência (GM1) mostrou-se correlacionado negativamente com as obras NBR ISO 31000 - Gestão de riscos: princípios e diretrizes (O03), Controladoria: de risco-retorno em instituições financeiras (O06) e Norma de gestão de riscos FERMA (O11), ao passo que, experiência de mais de 15 anos em GRC (GM15) mostrou-se positivamente correlacionada às mesmas obras, além da obra Guia de orientação para gerenciamento de riscos corporativos do IBGC (O02).

No que diz respeito aos cursos considerados relevantes para capacitar-se em Gestão de Riscos, os resultados encontram-se sumarizados na Tabela 7. Destaca-se que para o cálculo das médias e dos desvios-padrão levou-se em consideração apenas as respostas compreendidas entre 1 (não relevante para GRC) e 5 (obrigatório para GRC).

O curso considerado mais relevante para Gestão de Riscos é o Enterprise Risk Management: an introduction oferecido pelo Instituto de Auditores Internos do Brasil (IIA Brasil). Porém, a média para todos os cursos elencados foram baixas, o que denota que os respondentes atribuem pouca importância a estes cursos. Além dos cursos listados no questionário solicitou-se que o respondente indicasse outros cursos que considerassem relevante para a capacitação em gestão de riscos. Estre os cursos citados figuraram cursos sobre gestão de continuidade de negócios e cursos sobre ISO 31000 (^{ISO, 2009}).