“Due diligence não é checkbox. É uma ferramenta de gestão de risco.” Ouvi essa frase na semana passada, durante uma conversa com Eugênio Ricas, diretor da Interpol, no SDGs in Brazil, em Nova Iorque. Ele falava sobre cadeias de valor e sobre a importância de uma due diligence capaz de revelar vulnerabilidades reais. A lógica era simples: uma matriz de risco só tem valor quando ajuda uma organização a enxergar aquilo que precisa ser gerenciado.
Embora o contexto fosse completamente diferente, pensei imediatamente em algo que tenho observado nas discussões sobre riscos psicossociais no Brasil. Acompanhei uma corrida das empresas para entender, mapear e documentar fatores de risco psicossociais relacionados ao trabalho.
Esse movimento é importante. Finalmente estamos trazendo para a gestão estruturada de riscos questões como sobrecarga, assédio, falta de autonomia, conflitos, baixa clareza de papéis, relações deterioradas, pouco suporte da liderança e outras características capazes de afetar a saúde das pessoas.
Mas, ao mesmo tempo, tenho observado dois movimentos que me preocupam. De um lado, organizações extremamente preocupadas em encontrar a metodologia, aplicar o questionário, produzir a matriz e gerar a documentação necessária. Do outro, companhias receosas de que um diagnóstico bem feito revele riscos demais. E talvez exista uma contradição importante aí. Queremos mapear os riscos. Desde que o mapa não mostre uma realidade que preferiríamos não encontrar.
O objetivo de uma matriz de risco não é tranquilizar a empresa
Uma matriz de risco não existe para produzir conforto, mas para revelar onde uma instituição está vulnerável. Se começo um processo de diagnóstico esperando que ele confirme que está tudo bem, não estou procurando compreender meus riscos. Estou procurando validação.
E existe uma diferença enorme entre as duas coisas. Uma boa avaliação de riscos psicossociais pode revelar sobrecarga, mostrar baixa autonomia, identificar relações deterioradas, e até revelar problemas de liderança. Além disso, ela possibilita apontar situações de assédio, evidenciar grupos que estão significativamente mais expostos do que outros, e, inclusive, trazer resultados que a liderança preferiria não encontrar.
Esse não é um defeito do diagnóstico. É exatamente a razão pela qual ele existe. A pergunta relevante começa depois: o que faremos com aquilo que descobrimos?
O risco não nasce quando entra no PGR
Essa talvez seja uma das distorções mais perigosas que tenho observado. Existe, em algumas organizações, um receio de registrar no PGR (Programa de Gerenciamento de Riscos) a realidade encontrada no diagnóstico.
A preocupação é compreensível: se reconhecermos formalmente determinado risco, estaremos criando uma evidência contra a própria empresa?
Mas há um problema fundamental nesse raciocínio. O risco não passa a existir quando entra no documento, mas quando há sobrecarga sistemática, práticas de assédio e formas de organizar o trabalho que está expondo pessoas a fatores de risco psicossociais. Essa realidade existe independentemente daquilo que foi registrado na matriz.
O documento não cria a realidade, deveria ser capaz de representá-la. O trabalho deixa rastros. Eles aparecem em relatos de trabalhadores, denúncias, afastamentos, indicadores de saúde, práticas de gestão, documentos, processos e na própria observação da organização do trabalho.
Não documentar um risco real, portanto, não deveria ser confundido com proteger a empresa, mas mostrar que a companhia escolheu não enxergar aquilo que precisava gerenciar.
Para gerenciar um risco, primeiro é preciso aceitá-lo
Para mim, essa é a discussão mais profunda: se a companhia que não aceita o resultado do diagnóstico, dificilmente vai enfrentá-lo. Se questionamos a metodologia toda vez que o resultado nos incomoda, talvez não estejamos procurando rigor metodológico, mas procurando um resultado mais conveniente. Se relativizarmos uma área crítica porque reconhecer o problema exigiria rever metas, liderança, estrutura, processos ou orçamento, a matriz perdeu sua função.
E se tentarmos reduzir artificialmente a classificação de risco porque não queremos vê-lo formalmente registrado, deixamos de usar a gestão de riscos para proteger a organização e começamos a usar o documento para proteger a narrativa. Aceitar que existe um risco não significa concluir, por si só, que existe culpa. Significa criar a possibilidade de gerenciá-lo.
Uma instituição madura não é exatamente aquela que consegue apresentar uma matriz bonita, majoritariamente verde e sem grandes problemas. Mas, talvez, a maturidade seja conseguir olhar para um resultado desconfortável e dizer: “Isso existe. Agora, o que vamos fazer a respeito?”
Aplicar um questionário não é gerenciar risco
Existe também o problema oposto: a empresa faz tudo certo na etapa de identificação, escolhe metodologia consistente, engaja os trabalhadores, obtêm uma boa taxa de participação, analisa os dados, identifica os fatores de risco, constrói uma matriz e produz um relatório impecável. É aí que ela acredita que terminou, mas não. Diagnóstico não é intervenção. Mapear risco não é gerenciar risco.
Pense em qualquer outra categoria relevante de risco organizacional. Se uma organização identifica uma vulnerabilidade importante de cibersegurança, ninguém comemora a qualidade da matriz e encerra o assunto. Ou se há risco de fraude, não se imagina que o problema foi resolvido porque ele está documentado. Pelo contrário, se é encontrada uma vulnerabilidade operacional capaz de provocar um acidente grave, a expectativa é que alguma coisa aconteça depois.
A identificação muda a pergunta. Agora que sabemos que o risco existe, qual é sua gravidade? Quem está exposto? Qual é a causa? Que controles já existem? Eles funcionam? O que precisa mudar? Quem será responsável? Em quanto tempo? Como saberemos se a exposição diminuiu?
Com riscos psicossociais, a lógica deveria ser exatamente a mesma.
