Respostas Rápidas: Quem é o CRO da empresa, a profissão de 2018?

Nasceu sem data fixa, mas caiu nas graças dos empresários com a emergência do tema do ciberespaço. O Chief Risk Officer (CRO), responsável pelas operações de gestão de risco das empresas, é uma das novas profissões que vão estar em voga este ano.

A identificação do cargo já tem pelo menos 20 anos. Em setembro de 1997, um artigo da ERM Initiative, “Emergence of Chief Risk Officers”, já descrevia esta profissão e o crescente impacto dentro de empresa. Dezassete anos mais tarde, em 2014, a Towers Watson apelidava-o de “pensador estratégico e catalisador de mudança”.

O relatório “Aon’s Cybersecurity 2018 Predictions” prevê que este ano os CRO estejam debaixo dos holofotes quando o assunto é a cibersegurança, trabalhando em estreita colaboração com os principais Chief Information Security Officers (CISOs) para ajudar as organizações a entender o impacto holístico deste risco no negócio. Pedro Penalva, CEO da Aon Portugal, explica em que consiste este ‘responsável do risco’:

Qual é papel do CRO na estratégia de cibersegurança de uma empresa?

O risco cibernético é distribuído e exige uma solução integrada, que envolva a área de Tecnologias de Informação (IT, sigla em inglês), das operações, a comercial, a financeira, a de Recursos Humanos e jurídica. O responsável da multinacional gestora de risco e corretora de seguros salienta que, como a transformação digital abrange todo este tipo de atividades, o CRO ganha um papel mais importante.

“A figura do CRO, independentemente do tema da cibersegurança, é uma figura em crescente importância devido à noção do risco como variável estratégica. [A cibersegurança] é uma mudança grande e também contribui para o papel do CRO, que tem de ter uma visão global sobre o que é a organização. (…) Não se vai ter uma resposta na área jurídica e outra na de Recursos Humanos ou comercial. Se uma variável pode afetar toda a organização, de várias formas, tem de ter esta visão de helicóptero”.

Como é que o CRO vai trabalhar em conjunto com o Data Protection Officer (DPO)?

“Aí temos de definir o que é uma estratégia de empresa e o mecanismo de governance que queira construir para a área de risco, e aquilo que são as exigências regulatórias. A regulação [Regulamento Geral da Proteção de Dados] implica um conjunto de exigências e que se crie a figura de DPO e mais, quem tem a responsabilidade pela gestão dos dados, pela segurança desses dados, a segurança de acessos. É uma realidade absolutamente distribuída, mas com uma resposta integrada em que o dono dessa responsabilidade, o CRO, trabalha com DPO, com o CIO, com o responsável de operações, o de Recursos Humanos.”

A que área – IT, operações, jurídica – pertence o CRO? Há formação específica para o cargo?

Depende da atividade da empresa e da sua dimensão. Por exemplo, um banco e uma fábrica requerem perfis diferentes deste técnico, uma vez que os maiores riscos são operacionais e físicos, respetivamente. Porém, com a emergência do risco cibernético, todos os CRO terão de saber lidar com ele.

“Vai ser a oportunidade do futuro. Falamos muito de que um dos desafios da Inteligência Artificial e do processo de disrupção que estamos a viver em termos tecnológicos tem a ver com a eliminação de um conjunto de empregos. Mas depois temos o outro lado da moeda, que é todo um conjunto de profissões que hoje não conseguimos tangibilizar de forma clara, mas que vão ter de existir para resposta a este tipo de necessidades. (…) Hoje estamos a falar de um CRO que tem lidar com tudo mais o risco cibernético”

Pedro Penalva considera que os estabelecimentos de ensino superior em Portugal, ao contrário aos de muitos países europeus e norte-americanos, não têm um plano curricular desenvolvido sobre a área de risco.

“Se pensarmos que o risco vai ter esta característica distribuída, que vai ser multissectorial, multidisciplinar, não podemos ter um engenheiro clássico que vai tratar destes temas. Estamos a falar de uma área de conhecimento que se olharmos em Portugal para a academia, há uma lacuna clara. Quer em termos de pós-graduações ou licenciaturas”

Que tarefas tem o CRO?

• Criar uma estrutura de risco integrada para toda a organização
• Avaliar o risco em toda a organização
• Quantificar limites de risco
• Desenvolver planos para mitigar riscos
• Aconselhar na alocação de capital para projetos com base em risco
• Ajudar os gerentes na obtenção de financiamento de mitigação de risco
• Monitorizar o progresso das atividades de mitigação de risco
• Publicar relatórios de medições de risco
• Comunicar aos stakeholders o perfil de risco do negócio

Fonte: Accounting Tools