A política de gerenciamento de riscos deve documentar todos os aspectos referentes ao processo de gerenciamento de riscos na MAHLE Metal Leve S/A (MAHLE) para assegurar um entendimento comum para a Diretoria da MAHLE, o Comitê de Riscos, a organização de gerenciamento de riscos e todos os gerentes e empregados relevantes que são afetados com respeito ao gerenciamento de riscos.
O principal é descrever, explicar e documentar:
A política é válida para a MAHLE e todas as empresas que a MAHLE possui participação majoritária direta ou indiretamente. Todos empregados destas companhias e seus conselhos e diretorias devem aderir a este manual para assegurar sua implementação. Além disso, é aplicável a empresas estrangeiras da MAHLE, desde que a MAHLE detenha uma maioria direta ou indireta dos direitos de voto. Se uma aplicação direta da política não for possível devido a regulamentos legais específicos do país, então os regulamentos adequados devem ser especificados e documentados pela empresa estrangeira controlada pela MAHLE.
As regras são adaptadas ao nível de risco da MAHLE para cumprir com os requisitos da CVM (Comissão de Valores Mobiliários).3
Dentro desta política, o risco é definido como qualquer desenvolvimento interno ou externo que comprometa o alcance das metas e objetivos da MAHLE. O risco pode ser de natureza estratégica (“Estamos fazendo as coisas certas?”), bem como de natureza operacional (“Estamos fazendo as coisas da maneira correta?”). Mais precisamente, risco é o possível desvio negativo do lucro planejado / orçado dentro do processo de planejamento de negócios da MAHLE.
O gerenciamento de riscos é o processo de identificar e controlar sistematicamente as ameaças que podem afetar os objetivos da empresa. Esse processo precisa ser aplicado de forma consistente em todas as funções e unidades de negócio da MAHLE (ver capítulo 1 – escopo) e deve ser economicamente viável e proporcional aos riscos que estão sendo gerenciados.
A estratégia de risco da MAHLE determina que os riscos devem ser tomados apenas para aumentar o valor da empresa e para evitar riscos que possam comprometer a existência contínua da companhia. Para cumprir com essa estratégia de risco, as ações relacionadas ao risco devem estar alinhadas com os seguintes princípios da política de risco para a própria MAHLE, incluindo todas as empresas subsidiárias (ver capítulo 1 – escopo) e todos os empregados:
Quadro 1: Visão compreensiva de riscos
A MAHLE Metal Leve S/A (MAHLE) está listada no mais alto nível de governança corporativa denominado “Novo Mercado” na B3 em São Paulo.
Portanto, as regulamentações específicas da Comissão de Valores Mobiliários do Brasil (CVM, atualmente CVM 552) são relevantes para a companhia e suas subsidiárias.
De acordo com os regulamentos acima mencionados, a MAHLE deve descrever, dentro da divulgação do Formulário de Referência para a CVM, os seguintes tópicos principais, pelo menos anualmente:
Como parte da forma organizacional existente, as seguintes funções de gerenciamento de risco são responsáveis nos vários níveis do grupo. Em particular, estes são:
O conselho de administração da MAHLE é responsável por supervisionar a diretoria com relação à implementação de um sistema apropriado de gerenciamento de risco para a MAHLE e, consequentemente, aprovar a política de gerenciamento de risco.
A diretoria é responsável pela implementação legal e funcionalidade contínua do sistema de gerenciamento de risco, considerando a eficiência e adequação das medidas individuais. Dentro dessa responsabilidade, a diretoria também deve definir os objetivos corporativos, a política de riscos, os campos de risco, o apetite de risco e as diretrizes gerais para o gerenciamento de riscos. Segundo o COSO (Committee of Sponsoring Organizations of the Treadway Commission), o apetite ao risco é a quantidade de risco, em um nível amplo, que uma organização está disposta a aceitar para aumentar o valor da empresa. Cada organização tem vários objetivos para agregar valor e deve compreender amplamente o risco que está disposto a assumir ao fazê-lo.
Além disso, a diretoria tem a tarefa de entender os riscos mais significativos, bem como gerenciar a organização em uma crise. A integração do sistema de gestão de risco na organização da empresa deve ser assegurada pela diretoria, assim como tomar medidas para o avanço da cultura de risco dentro da MAHLE.
Se surgirem tópicos que precisam ser decididos imediatamente, reuniões ad-hoc do conselho de administração devem ocorrer. Os tópicos de gestão de risco relativos a alterações na documentação, comunicação, responsabilidades, entre outros, são determinados pela diretoria, seguindo as principais instruções do conselho de administração. A diretoria é responsável pelo monitoramento das atividades de mitigação e por tomar as medidas apropriadas de contenção.
A tarefa do gerente de risco é desenvolver o sistema de gerenciamento de risco e mantê-lo atualizado. Além disso, ele/ela é responsável pela documentação das políticas e estruturas internas de risco e pela coordenação das atividades de gerenciamento de riscos. A preparação de relatórios para a diretoria, bem como a compilação de informações sobre riscos, também é responsabilidade do gerente de riscos. Além disso, a tarefa inclui, por exemplo:
Dentro da MAHLE, os especialistas em riscos geralmente são gerentes de Unidades de Negócios, Centros de Lucro, empresas do grupo, funções, entre outros, que devem assegurar a implementação e a correta aplicação de sistemas apropriados de gerenciamento de riscos para detectar e controlar riscos em suas áreas. Além disso, eles devem relatar os riscos dentro de sua área de responsabilidade de acordo com as solicitações de divulgação dentro do processo de gerenciamento de riscos e / ou devem validar os riscos relatados por seus coordenadores ou relatores de risco.
Tanto o desenvolvimento de um programa de auditoria interna baseado em risco, como a auditoria de processos de risco em toda a organização são tarefas da Auditoria Interna. Além disso, o departamento é responsável pela elaboração de relatórios sobre a eficiência e a eficácia dos controles internos e dos sistemas de gerenciamento de riscos.
O auditor externo é responsável pelo exame da adequação e funcionalidade do sistema de gerenciamento de riscos durante a auditoria da demonstração financeira anual.
Todo colaborador deve entender, aceitar e implementar os processos de gerenciamento de risco definidos no presente manual. Desta maneira, os colaboradores devem informar de maneira proativa potencias ineficiências atuais e futuras, controles desnecessários ou impraticáveis e mesmo eventos de perda. Para que se atinjam os objetivos mencionados, é necessário que haja cooperação mútua entre a alta gestão e os colaboradores em investigações de incidentes e outros. Adicionalmente, a MAHLE deve fornecer os treinamentos necessários e comunicar de maneira clara todos os aspectos envolvidos aos colaboradores.
Os próximos capítulos compreendem as etapas mais relevantes do processo de gestão de risco dentro da MAHLE:
Os riscos são identificados com base em workshops de avaliação de risco organizados pelo gerente de riscos, envolvendo os especialistas de riscos definidos pela Diretoria da MAHLE. Dentro dos workshops, os questionários de risco são avaliados e outros riscos podem ser adicionados. Recomenda-se que os questionários sejam previamente preenchidos pelos especialistas de riscos a fim de aumentar a eficiência dos workshops.
Tais riscos são traduzidos em valores monetários e escalas de probabilidade (vide tópico 6.2). Para identificar os principais riscos, as seguintes instruções devem ser consideradas (mesma estrutura do questionário inicial):
Além disso, os colaboradores devem relatar a qualquer momento novos riscos ou mudanças na avaliação de riscos para os especialistas de riscos que avaliarão e informarão ao gerente de riscos caso os valores atinjam os limites mencionados no tópico 6.4.
Os critérios para avaliação de risco visam combinar fatores quantitativos (impacto financeiro) e qualitativos (por exemplo, imagem):
Figura 1: Critério para avaliação do risco
A figura demonstra que o impacto e a probabilidade são os principais direcionadores para o cálculo do valor do risco, que são influenciados por fatores de risco: imagem, velocidade, detecção, ocorrência e mitigação. Os critérios são descritos abaixo.
As categorias para o impacto do risco de perda são:
| Range | BRL (Milhões) |
|---|---|
| 1 | 2-4 |
| 2 | 5-20 |
| 3 | 21-40 |
| 4 | 41-100 |
| 5 | 101-200 |
| 6 | 201-400 |
| 7 | 401-1.000 |
| 8 | 1.001-1.600 |
| 9 | > 1.600 |
Os critérios para probabilidade de eventos futuros são:
| Range | % | Ocorrência |
|---|---|---|
| 1 | 1%-2% | Menor que uma vez em 50 anos |
| 2 | 3%-10% | Uma vez em 10-50 anos |
| 3 | 11%-30% | Uma vez em 5-10 anos |
| 4 | 31%-50% | Uma vez em 3-5 anos |
| 5 | 51%-70% | Uma vez em 2-3 anos |
| 6 | 71%-90% | Uma vez em 1-2 anos |
| 7 | > 90% | Uma vez por ano |
O impacto do risco de perda será multiplicado pela probabilidade. Assim, o valor do risco individual para cada risco por participante é calculado. Os seguintes fatores são usados para melhor suportar o impacto do risco em termos de lucratividade e a sua probabilidade.
a) Imagem: impacto causado pela materialização do risco:
| Range | Descrição |
|---|---|
| 1 | Insignificante |
| 2 | Baixo |
| 3 | Moderado |
| 4 | Alto |
| 5 | Crítico |
b) Velocidade entre a ocorrência do evento e o possível impacto:
| Range | Descrição |
|---|---|
| 1 | Fora do horizonte |
| 2 | Longo prazo |
| 3 | Médio prazo |
| 4 | Curto prazo |
| 5 | Imediato |
c) Detecção é o nível de controle para permitir a identificação da ocorrência de risco (por exemplo, monitoramento regular realizado pelo gerente do departamento para avaliar as ocorrências passadas):
| Range | Descrição |
|---|---|
| 1 | Controle muito robusto |
| 2 | Controle com alta efetividade |
| 3 | Controle com efetividade moderada |
| 4 | Controle com baixa efetividade |
| 5 | Controle inefetivo ou não existente |
d) Ocorrência baseada em eventos passados:
| Range | Descrição |
|---|---|
| 1 | Uma vez em 20-50 anos |
| 2 | Uma vez em 10-20 anos |
| 3 | Uma vez em 5-10 anos |
| 4 | Uma vez em 2-5 anos |
| 5 | Uma vez ao ano |
e) Mitigação nível dos controles para reduzir ou eliminar a exposição e/ou impacto:
| Range | Descrição |
|---|---|
| 1 | Controle muito robusto |
| 2 | Controle com alta efetividade |
| 3 | Controle com efetividade moderada |
| 4 | Controle com baixa efetividade |
| 5 | Controle inefetivo ou não existente |
A avaliação dos fatores de risco acima deve ser refletida no cálculo do risco de impacto e probabilidade, por exemplo, uma pontuação alta atribuída ao risco de imagem deve levar a um alto impacto no risco de lucro. Um modelo de pontuação eventual combinando os fatores de risco e o respectivo impacto e probabilidade pode ser definido pela diretoria visando uma avaliação de risco mais precisa.
Os especialistas de riscos devem atribuir contramedidas (controles de mitigação) seguindo os limites no anexo 2. As contramedidas (controles de mitigação) devem seguir os atributos.
Além disso, o controle deve definir um processo para lidar com as exceções identificadas (por exemplo, informar ao especialista de riscos e ao gerente de riscos).
Com base em todos os riscos relatados e as respectivas contramedidas, o gerente de riscos revisará a consistência e configurará uma matriz de risco consolidada versus os controles de mitigação. Essa matriz será a base para a futura avaliação de risco e também pode ser usada pelos especialistas de riscos para auto avaliação dos riscos ou por auditorias internas ou externas para realizar os testes de controles internos.
Dependendo da área de responsabilidade de cada participante há uma consolidação por risco dos impactos gerais, as probabilidades e os valores de risco. O gerente de riscos consolidará os riscos de acordo com a responsabilidade e evitará duplicação.
Os riscos relatados pelo especialista de riscos são revisados pelo gerente de riscos e pela diretoria. Posteriormente, o gerente de riscos é responsável por de consolidar os riscos reportados.
A tolerância de risco único para um risco consolidado (por exemplo, devido ao mesmo risco pode ser reportado por diferentes unidades de negócios) do ponto de vista total da MAHLE é fixado pela diretoria (consulte o anexo 2). Portanto, nenhum risco individual deve exceder esse valor. Caso haja um risco maior, ações imediatas devem ser iniciadas para reduzir o valor do risco. Mais detalhes estão descritos no capítulo 6.4. quanto à divulgação e controle de riscos.
A exposição máxima ao risco é determinada pela diretoria (consulte o anexo 2). Caso a exposição máxima ao risco seja excedida, o gerente de riscos deve informar a diretoria sobre esta situação. As provisões e cobertura de seguro aqui devem ser deduzidas para calcular a exposição ao risco (para a identificação de riscos individuais, não é permitido assegurar que todos os campos problemáticos sejam considerados dentro do processo de gerenciamento de risco, ver capítulo 6.1). Além disso, a exposição ao risco é mostrada no relatório de risco regular descrito no capítulo 6.4. Uma vez por ano, a diretoria analisa a exposição máxima ao risco e ajusta-a no caso de novas percepções.
Os riscos consolidados são resumidos no relatório de risco regularmente. Dependendo do nível de risco, os riscos são relatados no relatório de risco do conselho de administração. Outros riscos fazem parte de um relatório que deve estar sob o foco da organização de gerenciamento de risco. Para os principais riscos (consulte o anexo 2), os sistemas de controle geral devem ser documentados e os planos de medição com responsabilidades claras devem ser definidos e acompanhados pela organização de gerenciamento de riscos.
As principais determinações da diretoria referente ao conteúdo dos relatórios de risco e do ciclo de reportingsão:
O ciclo de report de risco referente aos seus principais conteúdos relevantes é o seguinte:
O especialista de riscos é responsável pela auto avaliação se a contramedida (controle de mitigação) foi aplicada de acordo com o desenho de controle de mitigação. Em caso de qualquer fraqueza de contramedida, o especialista de riscos deverá informar o supervisor e o gerente de riscos.
O relatório de risco é a principal fonte de informações divulgadas anualmente à CVM, em conformidade com os requisitos legais existentes. Todos os principais riscos (top risks – consulte o anexo 2) devem ser reportados à CVM, além disso, a administração pode decidir relatar outros riscos em linha com as práticas aplicadas no mercado.
Antes de ser divulgado à CVM, o respectivo texto deve ser elaborado pelo gerente de riscos e aprovado pelo Departamento Jurídico, de Relações com Investidores e pela Diretoria.
Se houver alguma mudança relevante na situação de risco, uma nova divulgação deve ser feita durante o ano e o fluxo de aprovação deve ser seguido.
A figura a seguir demonstra uma visão geral do processo de gerenciamento de riscos:
Figura 2: Visão geral do processo de gerenciamento de riscos
Esta política é divulgada a todos os colaboradores através da Intranet (página: Brasil Finanças e Controladoria / Gestão de Riscos).
Além disso, a política é comunicada aos executivos (EL) e gerentes (ML1) por meio de sessões de treinamento / workshops que devem aceitar e estar comprometidos com o cumprimento dos requerimentos.
