Como especialista em segurança institucional, Ernesto Kenji Igarashi alude que existe uma leitura preguiçosa da ISO 31000, que a reduz a um certificado na parede ou a uma pasta que ninguém abre depois da auditoria. Essa leitura desperdiça o que a norma tem de mais útil. Ela não foi feita para gerar documento, e sim para organizar a forma como uma instituição pensa e decide sobre aquilo que pode dar errado.
O ponto de partida vale a explicação. A maior parte das organizações trata risco como assunto de emergência, algo que só ganha atenção depois do problema, quando a ISO 31000 propõe exatamente o contrário: transformar a gestão de riscos em parte da rotina, e não em reação ao susto.
O que a ISO 31000 é?
A ISO 31000 é uma norma internacional que oferece diretrizes para gerenciar riscos de qualquer natureza, em qualquer tipo de organização. Ela não é uma receita fechada nem uma lista de controles obrigatórios. É uma estrutura de raciocínio: como identificar o que pode ameaçar os objetivos da instituição, como avaliar essas ameaças e como decidir o que fazer com cada uma.
Essa flexibilidade é o traço mais mal compreendido da norma. Ernesto Kenji Igarashi comenta que, por não impor uma fórmula única, ela exige que a organização adapte os princípios à própria realidade. Uma escola, um hospital e uma empresa de logística enfrentam riscos completamente diferentes, mas podem aplicar a mesma lógica de gestão. A norma dá o método; o conteúdo vem de cada contexto.
Como a norma funciona na prática?
O coração da ISO 31000 é um processo simples de enunciar e difícil de manter vivo. Identificar os riscos, analisá-los para entender probabilidade e impacto, avaliá-los para definir prioridade e, então, tratá-los, seja reduzindo, transferindo, evitando ou aceitando conscientemente. Não há mágica no ciclo. Há disciplina de repeti-lo.
Vale sublinhar a última dessas opções, porque é a mais esquecida. Aceitar um risco de forma consciente é uma decisão legítima da norma, não uma falha. Nesse quesito, Ernesto Kenji Igarashi nota que nenhuma organização elimina tudo o que pode dar errado, e tentar fazê-lo desperdiça recurso onde não precisa. O que a norma exige é que essa aceitação seja deliberada e registrada, e não fruto de distração: assumir um risco sabendo que ele existe é gestão; ignorá-lo por não tê-lo enxergado é exposição.
Quais são as etapas do processo de gestão de riscos da ISO 31000?
Entre as etapas, temos a identificação, análise, avaliação e tratamento dos riscos, todas sendo sustentadas por comunicação constante e por monitoramento que revisa tudo à medida que o cenário muda.
Esse monitoramento contínuo é o que separa quem usa a norma de quem apenas a arquiva. Por isso, conforme salienta Ernesto Kenji Igarashi, risco não é foto, é filme: o que era pouco provável ontem pode virar ameaça central amanhã, e uma matriz de riscos que não é revisada envelhece rápido, dando à instituição uma falsa sensação de controle.
Por que a norma só serve quando vira rotina?
Uma matriz de riscos preenchida uma vez e esquecida numa gaveta é pior do que nenhuma, porque cria a ilusão de que o assunto foi resolvido. A ISO 31000 só entrega valor quando a gestão de riscos entra na conversa cotidiana: na reunião de planejamento, na decisão de um novo contrato, na avaliação de um evento. Deixa de ser um evento anual e passa a ser um jeito de pensar.
Fazer essa transição exige menos burocracia e mais cultura. Não adianta um documento robusto se as pessoas que tomam decisões não pensam em risco naturalmente. Ernesto Kenji Igarashi destaca que a norma amadurece quando o gestor de área comum passa a considerar risco antes de agir, sem precisar que alguém do setor de segurança o lembre disso a cada vez.
Conformidade não é o objetivo
Muita organização inverte a ordem e busca a conformidade como fim, correndo atrás do selo para satisfazer um cliente ou uma auditoria. O resultado é previsível: um sistema montado para agradar o auditor, não para proteger a instituição. A conformidade real com a ISO 31000 não é o alvo. É o subproduto de uma gestão de riscos que funciona de verdade.
Quando o processo está vivo, a conformidade acontece quase sozinha, porque os registros refletem uma prática real, não uma encenação. Essa é a diferença entre uma instituição que passa na auditoria e uma que está de fato protegida: a primeira preparou papéis, a segunda construiu um hábito. É hábito, ao contrário de documento, não expirar na data da próxima renovação do certificado.
