Victor Maciel, advogado tributarista e fundador do Victor Maciel Advogados, observa que a maioria dos mapas de risco corporativo para no operacional e no digital: segurança da informação, continuidade do sistema, backup de dados. São riscos reais e merecem atenção, mas formam só uma parte do quadro inteiro. Enquanto a empresa investe em firewall e política de senha, o risco financeiro e o risco fiscal seguem fora do radar, tratados como assunto de contabilidade, não como parte da gestão de riscos que deveria proteger a operação como um todo, de ponta a ponta.

Essa lacuna não aparece no dia a dia, porque nenhum desses riscos silenciosos gera um alerta imediato como uma invasão de sistema geraria na tela de qualquer gestor de TI. Eles se acumulam devagar, sem interromper a rotina, até que um evento externo force a empresa a mostrar um retrato completo da própria saúde financeira e fiscal. Vale, antes de seguir, uma provocação direta: a maior parte dos mapas de risco simplesmente não inclui o fiscal como categoria a ser monitorada com a mesma disciplina reservada à segurança digital.

O erro de tratar risco como só segurança de dados e sistemas

Quando uma empresa fala em gestão de riscos, a primeira imagem que vem à cabeça costuma ser de servidor, senha e proteção contra ataque digital. Essa associação não é errada, mas é incompleta, e a incompletude tem um custo real: recursos, atenção e orçamento de risco se concentram em um único tipo de ameaça, enquanto outros riscos igualmente capazes de comprometer a operação seguem sem dono definido dentro da estrutura da empresa, sem processo formal de revisão.

O resultado prático é uma empresa bem protegida contra invasão digital e completamente exposta a um problema tributário que já vem se acumulando há meses, porque simplesmente não havia ninguém encarregado de olhar para esse tipo específico de risco com a mesma disciplina usada para proteger o sistema, os servidores e os dados de clientes armazenados na operação diária, e que raramente aparece em qualquer relatório de risco apresentado à diretoria.

Victor Maciel

O erro de só olhar para o risco financeiro quando o caixa já aperta

O risco financeiro, na maioria das empresas, só ganha atenção formal quando o caixa já está apertado e alguém precisa explicar, em reunião, por que a situação chegou a esse ponto sem que ninguém tivesse percebido antes. Antes disso, a sensação de que tudo está sob controle costuma ser suficiente para que ninguém formalize um processo de acompanhamento, mesmo quando os sinais já estavam aparecendo em indicadores que ninguém tinha o hábito de revisar com regularidade.

Victor Maciel destaca que gestão de riscos financeiros deveria funcionar de forma preventiva, não reativa: acompanhar indicadores de liquidez, endividamento e margem antes que eles se transformem em problema visível para todos, e não depois, quando as opções de correção já são mais limitadas e mais caras do que seriam se o sinal tivesse sido notado a tempo de agir com calma, planejamento e sem a pressão de uma decisão emergencial sobre a mesa.

O erro de deixar o risco fiscal fora do mapa de riscos da empresa

Risco fiscal costuma ser tratado como responsabilidade exclusiva da contabilidade, distante da conversa sobre gestão de riscos que a diretoria acompanha com regularidade. Isso cria um ponto cego relevante, porque decisões comerciais comuns, como abrir uma filial, mudar de fornecedor ou lançar um produto novo, quase sempre têm efeito tributário que ninguém avaliou antes de a decisão já estar tomada e em andamento na operação da empresa, muitas vezes sem que ninguém tenha sido formalmente responsabilizado por essa checagem.

O risco fiscal faz parte da gestão de riscos corporativa? Sim: qualquer exposição capaz de gerar autuação, multa ou passivo relevante deveria constar do mesmo mapa de risco usado para acompanhar ameaça digital ou financeira, com a mesma prioridade.

Para Victor Maciel, o ponto de virada é simples: colocar o risco fiscal ao lado dos demais riscos monitorados, com responsável definido e revisão periódica, em vez de deixá-lo isolado dentro da contabilidade, tratado como rotina burocrática e não como parte do risco real que a empresa carrega todos os meses de operação, cresça ela rápido ou devagar, com ou sem expansão prevista para os próximos anos.

Gestão de riscos completa começa pelo que a empresa evita perguntar

Empresas raramente ignoram risco de propósito. Elas simplesmente nunca perguntaram, de forma explícita, quais riscos fiscais e financeiros estão correndo junto com a operação do dia a dia, porque essa pergunta não aparece na mesma lista que segurança digital costuma ocupar nas reuniões de diretoria. Fazer essa pergunta antes que um evento externo obrigue a resposta é o que separa gestão de risco completa de proteção parcial disfarçada de completa, avalia Victor Maciel, e é também o primeiro passo para que o mapa de risco da empresa deixe de contar só metade da história que sustenta a operação inteira.