Sobre o Debate da Definição de Riscos*

A norma ISO31000 “Risk management – Principles and guidelines” (publicada em novembro de 2009) definiu o conceito de RISCO, e isso por so só já gerou bastante discussão. E com esse novo debate, ainda veio discussões antigas, tais como se riscos engloba impactos negativos e positivos (há quem os separe em riscos e oportunidades, respectivamente);

Ao primeiro olhar, a definição de riscos é clara e direta (com apenas 5 palavras):

Risco é o “efeito da incerteza nos objetivos.”

Aí, contém todas as 3 palavras vitais presentes em qq definição de risco:

• Risco é a respeito de incerteza, ou seja, pode nunca acontecer. 
• Risco é importante e deve ser gerenciado, pois ele possui um impacto. 
• E o risco é medido porque seu impacto afeta os objetivos definidos.

Agora, analisando a frase um pouco mais, começam os problemas:

A norma de riscos da ISO claramente declara q “Risco é o efeito…”

  
Se seguirmos essa abordagem, riscos negativos seriam definidos como: atrasos, sobregastos,acidentes, danos de reputação, perda de mercado, ineficiência, e etc. E pelo outro lado, riscos positivos seriam definidos como: melhoria de desempenho, ou aumento do valor dos acionistas. Todas esses itens são efeitos nos objetivos que poderiam levantar de alguma incerteza.

Em contraste a essa definição, praticamente todas as outras normas de risco tinham a definição de risco em termos parecidos com:

Risco é "uma incerteza que, se ocorrer, ocasionará um efeito nos objetivos"

A definição acima é completamente diferente a da ISO31000. As outras normas de risco claramente declaram que um risco negativo é uma incerteza que poderia ocasionar um atraso ou um sobregasto ou um dano de reputação se ela acontecesse.

da mesma forma, um risco positivo seria também uma incerteza que se ocorresse resultaria em redução de prezos e custos, ou melhoria de reputação.

Entenderam a diferença???

Um risco pode ser um evento incerto, ou uma série de circunstancias ou uma premissa (incerta por si só), mas o ponto-chave, de acordo com essas normas, é que risco é uma incerteza.

É claro que como o risco é incerto, ele pode nunca acontecer, mas caso aconteça, é certo que terá um impacto nod objetivos. O risco não é o efeito. O risco é a incerteza que resultaria em um efeito.

Por que isso é importante?

Porque determina a meta do gerenciamento de riscos.

Se “Risco é o efeito…” então o gerenciamento de riscos vai buscar gerenciar os efeitos.... e os processos de risco devem focar em como evitar ou minimizar os impactos negativos e como explorar ou maximizar os impactos positivos.

Mas, se “Risco é a incerteza …” então o objetivo do processo de risco é endereçar os eventos ou condições incertos. Isso significa parar os riscos negativos, se possível, ou no mínimo reduzir sua probabilidade e /ou impacto (mitigar). E isso tb siginifica captar os riscos positivos ou maximizar a sua probabilidade e/ou impacto (explorar). Endereçar a incerteza leva a uma abordagem mais proativa do que tentar combater o efeito.
É muito importante ser claro na definição de risco para evitar confusão e desilusão nas equeipes que tentam gerenciar seus riscos.

Vamos ter a esperança de o senso comum prevaleça e que a definição da ISO31000 possa ser alterada.


*Baseado nos artigos de David Hillson, PMP, consultor de riscos e membro-fundador do Grupo de Interesse Específico em Gerenciamento de Riscos do Project Management Institute. Ele pode ser contatado em seu site, "Risk Doctor".