Venho conversando com amigos consultores e outros profissionais que tambem trabalham com Gestao de Riscos e discutindo quais as vantagens de utilizar uma abordagem de riscos Top-Down ou Bottom-up. No meio de agosto tive a oportunidade de conversar com o Senhor Michael Rasmussen em um treinamento em Sao Paulo e durante algumas discussoes chegamos a conclusao que as duas abordagens sao interessantes dependendo do contexto. Parece ate resposta de consultor, mas vamos por partes. A Analise Bottom-Up Quando falamos, por exemplo, em analise de riscos de Seguranca da Informacao e ou TI e muito comum realizarmos a analise olhando diretamente para os controles e definindo o risco a partir da probabilidade e impacto caso o controle nao esteja implementado, ou seja, uma abordagem puramente Bottom-Up. Um exemplo simples e pratico Qual a probabilidade e impacto de ocorrencia de vazamento de informacao (Risco) caso a empresa nao tenha um processo de Hardening (Controle) devidamente implementado? Percebam que nesse momento nao vou entrar no merito e ou semantica do "devidamente implementado" e nem mesmo detalhar todos os aspectos tecnicos relacionados a um bom Hardening, aqui cabe a simplicidade e tambem nao vou mencionar outros exemplos aplicaveis a nao TI. No exemplo em questao a analise iniciou-se com a avaliacao do controle para determinar o grau de risco. E se quisessemos determinar o risco para depois avaliar os controles aplicaveis? A Analise Top-Down Quando pensamos em determinar os riscos e depois avaliar os controles que podem mitigar os mesmos, invariavelmente estamos pensando em uma abordagem Top-Down ERM (Enterprise Risk Management). Podemos afirmar que e muito complexo e diria que praticamente impossivel comecar com o mapeamento de todos os controles para depois disso apontar os riscos. Alem disso, valem alguns questionamentos: 1- Sera que devemos mapear controles para todos os riscos? 2- Vale o esforco? 3- Nao seria mais adequado entendermos o que a Alta Gestao, Board, Investidores e ou partes interessadas entendem ser os riscos prioritarios para a companhia para depois identificar os controles necessarios (existentes ou nao)? 4- Nao seria mais adequado trabalhar os riscos de forma abrangente sem criar silos onde cada area determina o que quer avaliar e como, fazendo as suas analises Bottom-up de forma isolada? Bom com todos esses questionamentos nao quero influenciar o leitor a tomar um posicionamento que a abordagem Top-Down e mais adequada, afinal como mencionado anteriormente e necessario avaliar o contexto e determinar a melhor estrategia. Porem cada vez mais testemunho empresas que usaram no passado uma abordagem Bottom-Up em silos e agora precisam integrar com a abordagem Top-Down (ERM). Mais um exemplo simples e pratico Imagine uma empresa ficticia de capital aberto, do setor automotivo, que por sua vez deve atender inumeras regulamentacoes, tem inumeros desafios tecnologicos, busca por inovacao constante, deve se preocupar com a concorrencia interessada em informacoes sigilosas entra outras preocupacoes. Agora imagine essa empresa com varias areas realizando atividades de analise de riscos de forma isolada em seus silos, TI pensa em Riscos de Indisponibilidade, Seguranca da Informacao esta preocupada com Vazamento de Informacao, Integridade e bla bla bla, a area