Agregação de dados de risco é o processo de coletar, consolidar e traduzir registros operacionais de risco em informação íntegra, rastreável e tempestiva para o órgão de governança — conselho de administração, consultivo ou fiscal — fundamentar suas deliberações.
A integridade e a tempestividade da informação, pressupostos de toda decisão de governança corporativa, raramente se sustentam ao longo do trajeto que o dado de risco percorre da operação até o colegiado responsável por sua supervisão, seja um conselho de administração, um conselho consultivo ou um conselho fiscal, conforme a estrutura adotada pela organização. Os principais frameworks internacionais de gestão de riscos nomeiam o trajeto descrito de formas distintas, ainda que convergentes quanto ao conteúdo: o Comitê de Basileia de Supervisão Bancária refere-se a risk data aggregation; o COSO trata do tema sob o componente Information, Communication and Reporting de sua estrutura de gerenciamento de riscos corporativos; o Instituto Brasileiro de Governança Corporativa, na 6ª edição do Código das Melhores Práticas de Governança Corporativa (2023), condiciona a efetividade da supervisão de risco exercida pelo conselho à qualidade do fluxo de informação recebido da gestão. Este artigo adota a nomenclatura consolidada no compliance brasileiro para o fenômeno: agregação de dados de risco.
A relevância do tema cresce à proporção que órgãos de governança passam a responder, de maneira mais direta, pela qualidade da informação sobre a qual fundamentam suas deliberações. Entre as causas mais recorrentes de decisão tomada sob apetite a risco mal calibrado figuram falhas no processo de agregação, raramente a ausência de dado primário na origem.
O que Caracteriza a Agregação de Dados de Risco
O conceito origina-se do documento Principles for Effective Risk Data Aggregation and Risk Reporting, publicado pelo Comitê de Basileia de Supervisão Bancária em janeiro de 2013, em resposta a falhas de reporte identificadas na crise financeira de 2008 (disponível em bis.org/publ/bcbs239.pdf). O documento estabelece catorze princípios, distribuídos em três blocos: governança e infraestrutura de dados (Princípios 1 e 2); capacidade de agregação, com destaque para exatidão, integridade, completude e tempestividade (Princípios 3 a 6); e práticas de reporte, com destaque para clareza e utilidade (Princípios 7 a 11). Os três princípios remanescentes aplicam-se a supervisores bancários, não a instituições reguladas. O conjunto foi concebido para instituições financeiras de importância sistêmica global e posteriormente incorporado, de forma adaptada, a metodologias de gestão de risco fora do setor bancário.
Toda organização que opere múltiplas unidades, geografias ou sistemas enfrenta o desafio de converter registros fragmentados em indicadores compreensíveis pela alta administração, com independência do setor de atuação. A fragilidade mais recorrente concentra-se na tradução do dado em linguagem decisória, etapa posterior à coleta e anterior à apresentação executiva, raramente na coleta do dado primário em si.
Agregação de dados de risco nos principais frameworks de governança de risco
A estrutura de gerenciamento de riscos corporativos do COSO, na versão de 2017 intitulada Enterprise Risk Management — Integrating with Strategy and Performance, dedica o componente Information, Communication and Reporting a três de seus vinte princípios: o Princípio 18, Leverages Information Systems; o Princípio 19, Communicates Risk Information; e o Princípio 20, Reports on Risk, Culture, and Performance. Em conjunto, estabelecem que a qualidade da informação de risco depende de fonte apropriada, tempestividade, atualidade, precisão e acessibilidade, atributos com frequência ausentes em processos de agregação pouco maduros.
A ISO 31000:2018 trata o tema sob dois ângulos complementares: como princípio, ao prever que a gestão de riscos deve fundamentar-se na melhor informação disponível, histórica e prospectiva; como componente de estrutura, ao prever mecanismo de comunicação e consulta entre partes interessadas internas, do qual depende a qualidade do fluxo entre a operação e o órgão de governança.
O modelo Three Lines, divulgado pelo Instituto de Auditores Internos em sua revisão de 2020, distingue as responsabilidades de quem produz o dado de risco, na primeira e na segunda linhas, das responsabilidades de quem o audita de forma independente, na terceira linha, antes de sua chegada ao colegiado de governança. A ISO 37301:2021 estabelece, por sua vez, obrigação de reporte periódico do desempenho do sistema de gestão de compliance à alta direção e, quando existente, ao órgão de governança, prática que pressupõe a mesma cadeia de agregação examinada neste artigo.
No plano nacional, o Instituto Brasileiro de Governança Corporativa, na 6ª edição do Código das Melhores Práticas de Governança Corporativa, lançada em agosto de 2023, desmembrou gestão de riscos, controles internos e compliance em áreas de tratamento distinto, até então reunidas em capítulo único nas edições anteriores. A separação reconhece papel próprio à gestão de riscos dentro da estrutura de órgãos e ferramentas de controle, com fluxo de informação organizado entre gestão e colegiado como condição de efetividade da supervisão exercida pelo conselho.
Três momentos de perda de precisão no reporte
Entre a origem do dado e sua apresentação ao órgão de governança, distinguem-se três momentos de perda de precisão, cada um com mecanismo próprio e consequência distinta sobre a qualidade final da informação.
Consolidação horizontal
Ocorre quando áreas operacionais registram um mesmo tipo de exposição sob critérios distintos. Uma interrupção na cadeia de suprimento, por exemplo, pode ser classificada como risco operacional por uma unidade e como risco estratégico por outra, a depender do critério interno adotado, ainda inexistente de forma unificada em grande parte das organizações. O resultado é um conjunto de dados tecnicamente corretos e, ao mesmo tempo, incomparáveis entre si, o que compromete qualquer tentativa de consolidação posterior.
Consolidação vertical
Manifesta-se quando a informação sobe por camadas hierárquicas e sofre sínteses sucessivas. Cada nível de gestão tende a comprimir múltiplos registros em um único indicador agregado, prática necessária à gestão do volume de informação, mas que descarta, a cada camada, parte da granularidade sobre a qual repousa o julgamento de materialidade. Ao alcançar o órgão de governança, o indicador final carrega pouco ou nenhum rastro do evento que o originou.
Corresponde à etapa em que o registro técnico converte-se em narrativa voltada a um público que avalia exposição sob a ótica de apetite e estratégia, não de processo. Nessa conversão, perdem-se com frequência os intervalos de confiança, as premissas de cálculo e as bases probabilísticas que sustentavam o dado original, restando ao órgão de governança uma impressão qualitativa em lugar de uma medida calibrada de exposição.
O terceiro momento concentra a maior parte das falhas relatadas por conselheiros e auditores independentes: a informação alcança a mesa de decisão, porém desprovida do contexto necessário à ponderação de sua materialidade.
Consequências para o conselho de administração: apetite a risco, CVM e responsabilidade dos administradores
O COSO define apetite a risco como o nível de exposição que a organização está disposta a aceitar na busca de seus objetivos. A calibração do parâmetro compete ao órgão de governança; a exposição real, contudo, manifesta-se na operação, sob variáveis que raramente se enquadram, com exatidão, nos limites formalmente aprovados. Quando o canal de reporte não capta a nuance operacional, a discrepância entre exposição declarada e exposição real permanece latente até que um evento a torne visível.
A consequência não se restringe ao plano gerencial. A Comissão de Valores Mobiliários, por meio da Resolução CVM nº 23, de 25 de fevereiro de 2021, exige de companhias listadas em segmentos que adotam comitê de auditoria estatutário a atribuição, ao colegiado, de competência para supervisionar a qualidade e a integridade dos mecanismos de controles internos e de gestão de riscos, com dever de reporte ao conselho de administração. A Resolução CVM nº 80, de 29 de março de 2022, condiciona o formulário de referência de emissores registrados à divulgação estruturada de fatores de risco e da forma como a administração os monitora, exigência que pressupõe exatamente a cadeia de agregação examinada neste artigo.
No plano da responsabilidade civil, o dever de diligência previsto no artigo 153 da Lei 6.404/76 e a responsabilidade dos administradores tratada no artigo 158 do mesmo diploma sustentam entendimento consolidado na doutrina societária brasileira: a exposição do administrador não decorre apenas da decisão tomada, mas da adequação do processo de informação que a instruiu. Companhia sujeita a comitê de auditoria estatutário e a formulário de referência estruturado, portanto, já opera sob arcabouço regulatório que pressupõe agregação de dados de risco funcional, ainda que a implementação prática, na experiência de mercado, permaneça aquém da exigência formal.
Registra-se, em auditorias posteriores a eventos materializados, um padrão recorrente: a informação relevante já constava de relatórios internos, sem que houvesse alcançado o nível decisório em tempo hábil ou com clareza suficiente para orientar ação. O custo de remediação de um risco descoberto tardiamente supera, de forma consistente, o custo de sua identificação tempestiva, relação que a literatura de auditoria descreve como assimetria entre custo de prevenção e custo de correção.
Sinais de fragilidade no processo de reporte
Cinco indicadores permitem identificar fragilidade na agregação de dados de risco antes da ocorrência de um evento materializado.
O primeiro consiste na divergência de metodologia entre unidades de negócio na classificação de uma mesma exposição, já descrita como causa da perda de precisão na consolidação horizontal. O segundo manifesta-se na ausência de rastreabilidade entre o indicador apresentado ao órgão de governança e o registro operacional que o originou, de modo que um conselheiro, ao questionar a origem de um número, não obtém resposta em prazo razoável. O terceiro reside na dependência de compilação manual, em planilha, para a produção de relatórios periódicos, prática que compromete tempestividade e introduz risco de erro humano na própria camada de controle. O quarto aparece na ausência de protocolo formal de escalonamento, de modo que a decisão sobre o que é suficientemente grave para alcançar o órgão de governança fora do ciclo ordinário de reporte fica a critério pessoal de quem detém o dado. O quinto, menos discutido, está na inexistência de verificação independente sobre o próprio processo de agregação, que segue auditado quanto ao risco reportado e raramente quanto à metodologia empregada para reportá-lo.
A presença de qualquer um dos indicadores listados aponta, em geral, para ausência de metodologia formal de agregação, lacuna comum em organizações que cresceram mais rapidamente que sua infraestrutura de governança, raramente para falha de conduta ou insuficiência técnica das equipes envolvidas.
Bases metodológicas para o fechamento da lacuna
O fechamento da lacuna entre operação e órgão de governança não decorre da multiplicação de relatórios, e sim da adoção de metodologia organizada em torno de cinco pilares, cada um deles voltado a um dos mecanismos de perda de precisão examinados neste artigo.
Taxonomia única de risco
Estabelece critério comum de classificação entre unidades, de modo que um mesmo tipo de exposição receba tratamento idêntico, com independência da área que o registra. Endereça diretamente a falha de consolidação horizontal e constitui pré-requisito para qualquer tentativa posterior de comparação ou agregação.
Arquitetura de rastreabilidade
Assegura que todo indicador apresentado ao órgão de governança conserve trilha até o registro operacional de origem, princípio expresso na exigência de reconciliação do documento do Comitê de Basileia. Sem arquitetura de rastreabilidade consolidada, a pergunta de um conselheiro sobre a origem de um número permanece, com frequência, sem resposta tempestiva.
Camada de tradução executiva com metodologia própria
Converte registro técnico em narrativa decisória sem descartar premissas de cálculo, intervalos de confiança ou bases probabilísticas. Mapas de calor calibrados ao apetite formalmente aprovado, gatilhos de materialidade definidos com critério objetivo e narrativa executiva vinculada ao dado subjacente substituem a impressão qualitativa por medida de exposição efetivamente comparável ao parâmetro aprovado pelo colegiado.
Cadência e protocolo de escalonamento
Define, de forma prévia e documentada, a periodicidade do reporte ordinário e os critérios objetivos que disparam comunicação extraordinária ao órgão de governança. Remove da esfera pessoal de quem detém o dado a decisão sobre o que é suficientemente grave para escalonamento, tema tratado, no plano internacional, sob o atributo de tempestividade previsto pelo Comitê de Basileia e pelo COSO.
Verificação independente do processo de agregação
Submete a própria metodologia de agregação a auditoria periódica, papel atribuído à terceira linha no modelo Three Lines. A prática distingue-se da auditoria do risco em si: audita-se o processo pelo qual o risco chega, ou deixa de chegar, ao conhecimento de quem o supervisiona.
FAQ — Perguntas frequentes sobre agregação de dados de risco
1. O que é agregação de dados de risco?
Agregação de dados de risco é o processo de coletar, consolidar e traduzir registros operacionais de risco em informação íntegra, rastreável e tempestiva para que o órgão de governança — conselho de administração, consultivo ou fiscal — fundamente suas deliberações. O termo tem origem na expressão risk data aggregation, empregada pelo Comitê de Basileia de Supervisão Bancária, e designa não apenas a coleta do dado primário, mas a cadeia inteira que o conduz da operação até a mesa de decisão.
2. O que é o BCBS 239 e a quem ele se aplica?
O BCBS 239 é o documento Principles for Effective Risk Data Aggregation and Risk Reporting, publicado pelo Comitê de Basileia de Supervisão Bancária em janeiro de 2013, em resposta a falhas de reporte identificadas na crise financeira de 2008. Estabelece catorze princípios distribuídos em três blocos: governança e infraestrutura de dados; capacidade de agregação, com destaque para exatidão, integridade, completude e tempestividade; e práticas de reporte, com destaque para clareza e utilidade. Os três princípios remanescentes aplicam-se a supervisores bancários, não a instituições reguladas. O conjunto foi concebido para instituições financeiras de importância sistêmica global.
3. A agregação de dados de risco se aplica a empresas fora do setor financeiro?
Sim. Embora o BCBS 239 tenha sido concebido para instituições financeiras de importância sistêmica global, seus princípios foram posteriormente incorporados, de forma adaptada, a metodologias de gestão de risco fora do setor bancário. Toda organização que opere múltiplas unidades, geografias ou sistemas enfrenta o desafio de converter registros fragmentados em indicadores compreensíveis pela alta administração, com independência do setor de atuação. COSO, ISO 31000, modelo Three Lines, ISO 37301 e o Código do IBGC tratam do mesmo fenômeno sob nomenclaturas distintas
4. Quais são os três momentos de perda de precisão no reporte de riscos?
O primeiro é a consolidação horizontal: áreas operacionais registram um mesmo tipo de exposição sob critérios distintos, produzindo dados tecnicamente corretos e, ao mesmo tempo, incomparáveis entre si. O segundo é a consolidação vertical: a informação sobe por camadas hierárquicas e sofre sínteses sucessivas, descartando a cada nível parte da granularidade sobre a qual repousa o julgamento de materialidade. O terceiro é a tradução executiva: o registro técnico converte-se em narrativa decisória e perdem-se os intervalos de confiança, as premissas de cálculo e as bases probabilísticas. É neste último momento que se concentra a maior parte das falhas relatadas por conselheiros e auditores independentes.
5. Quais sinais indicam fragilidade no processo de reporte ao conselho?
Cinco indicadores permitem identificar a fragilidade antes de um evento materializado. Divergência de metodologia entre unidades de negócio na classificação de uma mesma exposição. Ausência de rastreabilidade entre o indicador apresentado ao órgão de governança e o registro operacional que o originou, de modo que um conselheiro, ao questionar a origem de um número, não obtém resposta em prazo razoável. Dependência de compilação manual em planilha para relatórios periódicos. Ausência de protocolo formal de escalonamento, deixando a critério pessoal de quem detém o dado a decisão sobre o que é suficientemente grave. E a inexistência de verificação independente sobre o próprio processo de agregação. A presença de qualquer um deles aponta, em geral, para ausência de metodologia formal — raramente para falha de conduta ou insuficiência técnica das equipes.
6. Qual é a responsabilidade dos administradores pela qualidade da informação de risco?
O dever de diligência previsto no artigo 153 da Lei 6.404/76 e a responsabilidade dos administradores tratada no artigo 158 do mesmo diploma sustentam entendimento consolidado na doutrina societária brasileira: a exposição do administrador não decorre apenas da decisão tomada, mas da adequação do processo de informação que a instruiu. A qualidade da agregação de dados de risco, portanto, não é questão exclusivamente gerencial — integra o próprio parâmetro pelo qual a conduta do administrador será avaliada.
7. O que a CVM exige das companhias listadas sobre reporte de riscos?
A Resolução CVM n.º 23, de 25 de fevereiro de 2021, exige de companhias listadas em segmentos que adotam comitê de auditoria estatutário a atribuição, ao colegiado, de competência para supervisionar a qualidade e a integridade dos mecanismos de controles internos e de gestão de riscos, com dever de reporte ao conselho de administração. A Resolução CVM n.º 80, de 29 de março de 2022, condiciona o formulário de referência de emissores registrados à divulgação estruturada de fatores de risco e da forma como a administração os monitora — exigência que pressupõe uma cadeia de agregação funcional.
8. Como estruturar a agregação de dados de risco na prática?
O fechamento da lacuna não decorre da multiplicação de relatórios, e sim da adoção de metodologia organizada em torno de cinco pilares. Taxonomia única de risco, que estabelece critério comum de classificação entre unidades. Arquitetura de rastreabilidade, que assegura trilha de todo indicador até o registro operacional de origem. Camada de tradução executiva com metodologia própria, que converte registro técnico em narrativa decisória sem descartar premissas de cálculo. Cadência e protocolo de escalonamento, definidos de forma prévia e documentada. E verificação independente do processo de agregação, atribuída à terceira linha no modelo Three Lines — audita-se o processo pelo qual o risco chega, ou deixa de chegar, ao conhecimento de quem o supervisiona.
Conclusão
A convergência entre Comitê de Basileia, COSO, ISO 31000, modelo Three Lines, ISO 37301, jurisprudência de Delaware sobre dever de supervisão e Código das Melhores Práticas do IBGC demonstra que a lacuna entre a operação e o órgão de governança configura desafio recorrente entre organizações que amadurecem sua governança de riscos, com independência de porte ou de segmento de atuação.
A implementação dos cinco pilares descritos raramente compete a uma única área da empresa. Compliance, controles internos e tecnologia da informação concorrem para o resultado, e a coordenação entre elas configura, em boa parte das organizações, o verdadeiro desafio de governança. Empresas que buscam avaliar a maturidade de seu processo de agregação de dados de risco encontram, na análise conduzida por especialistas externos à operação, via frequentemente mais precisa que a autoavaliação interna.
