O setor público precisa adotar totalmente o risco estratégico

Na última década, as agências do setor público expandiram seu Gerenciamento de riscos As práticas, mas não acompanharam o cenário de risco global, que agora implica uma faixa mais ampla de riscos mais complexos que atingem mais, são mais rápidos, estão interconectados e trazem interrupções mais profundas. As agências do setor público precisam expandir e aprimorar sua abordagem de riscos-aplicando as melhores práticas do setor privado para se tornarem muito mais antecipatórias, proativas e inteligentes de risco. Surgiu um tema comum: enquanto a maioria está fazendo um trabalho admirável, geralmente aplica um gerenciamento de riscos defensivos e reativos que raramente considera mais amplos

We interviewed former and current government employees intimately involved in risk management at large US agencies with national or global missions, including both defense and non-defense. A common theme emerged: while most are doing admirable work, they often apply a defensive, reactive risk management that rarely considers broader Strategic riscos que podem afetar seus objetivos e criar interrupções significativas. Eles também veem o risco de maneira esmagadora como negativa, perdendo assim o Oportunidade Lado da moeda onde podem Take Riscos calculados para avançar seus objetivos estratégicos. Para ficar claro, entendemos que os profissionais de gerenciamento de riscos do setor público enfrentam uma batalha difícil de um conjunto diferente de parâmetros e restrições do que as entidades de risco do setor privado e geralmente são limitados pela natureza altamente burocrática e fragmentada de suas organizações.

Nossas lições derivadas de análise do setor privado que poderiam ajudar as agências do setor público a se afastar de uma abordagem predominantemente reativa e orientada a conformidade tática, para uma que é mais antecipatória e proativa para enfrentar e gerenciar inteligentemente riscos estratégicos. Identificamos quatro etapas (veja abaixo) que as agências do setor público poderão tomar, aplicando uma lente de risco a tudo o que fazem e obtendo uma vantagem competitiva enquanto ainda protege o valor. Dessa forma, eles poderão atender às necessidades de seus cidadãos.

Limitations to Current Risk Management Practices in the Public Sector

Um desafio central é que muitas agências do setor público não possuem fortes processos de gerenciamento de riscos para prever, sentir e lidar com Estratégico risks such as geopolitical tension, climate change, supply chain disruptions, segurança cibernética , e outros antes de se materializarem e seus impactos são sentidos. Em 2021, por exemplo, o Inspetor-Geral (IG) da Agência de Proteção Ambiental (EPA) descobriu que a agência, apesar de possuir procedimentos de gerenciamento de riscos em seus programas e escritórios, nunca havia conduzido uma avaliação de risco em nível de agência. O IG concluiu que isso deixou a EPA exposta a riscos potencialmente significativos, afirmando que a entidade de risco centralizada dentro da EPA, “não pode fornecer a direção necessária para seu próprio escritório, muito menos a administração e a equipe de toda a agência, para executar responsabilidades de gerenciamento de risco corporativo”. ”|| O desafio está crescendo. Como mostra o Anexo 1, as entidades do setor público são expostas a uma série de aumento do risco geopolítico. Muitas agências do setor público aplicam uma abordagem amplamente defensiva, silenciada, de aparência interna e baseada em conformidade ao gerenciamento de riscos, ignorando os riscos estratégicos mais amplos que poderiam impedir que eles atinjam seus objetivos estratégicos declarados. Isso contrasta direto com a mentalidade de gerenciamento de riscos e a abordagem das principais organizações do setor privado. A pesquisa do BCG em dez grandes corporações multinacionais descobriu que as empresas estão se preparando cada vez mais para interrupções estratégicas, como riscos geopolíticos por meio de gerenciamento proativo de riscos, para permitir a resiliência estratégica - e até mesmo

The EPA is perhaps an extreme example, but it’s not alone. The challenge is growing. As Exhibit 1 shows, public-sector entities are exposed to a range of increased geopolitical risk. Many public sector agencies apply a largely defensive, siloed, inward-looking, compliance-based approach to risk management, ignoring the broader strategic risks that could prevent them from achieving their stated strategic objectives. This is in direct contrast with the risk management mindset and approach of leading private sector organizations. BCG research across ten large multinational corporations found that companies are increasingly preparing for strategic disruptions like geopolitical risks through proactive risk management to enable strategic resilience—and even Crie novas vantagens Ao abraçar o nível de risco apropriado.

A maioria das agências do setor público possui uma linha de base dos processos de gerenciamento de riscos e muitos realizam revisões periódicas de risco. No entanto, eles enfrentam uma série de obstáculos no avanço de seus processos de gerenciamento de riscos. Em geral, nossas entrevistas apontam para cinco desses obstáculos. Com o tempo, com revisões anuais formalizadas. Esse tipo de abordagem linear ajuda a garantir que os riscos identificados sejam realmente "estratégicos" por natureza, mas as informações só fluem em uma direção. Por exemplo, um ex -diretor de risco (CRO) no governo nos disse que nem ela nem sua equipe de risco estavam a par do processo de planejamento estratégico ou dos materiais de estratégia abrangente resultantes; Eles simplesmente receberam o plano estratégico final depois de publicado. Ele não fornece uma lente de risco para informar o desenvolvimento dos objetivos estratégicos em primeiro lugar. Normalmente, também não leva em consideração os riscos

Agencies do not sufficiently link risk to strategy

Typically, strategic planning and risk management follow a sequential pattern: an agency develops a multi-year plan with specific strategic objectives, the offices then identify risks to the objectives under their purview, and the offices then manage those risks over time, with formalized annual reviews. This kind of linear approach helps ensure the risks identified are truly “strategic” in nature, but the information only flows in one direction. For example, one former chief risk officer (CRO) in government told us that neither she nor her risk team were privy to the strategic planning process or resultant comprehensive strategy materials; they simply received the final strategic plan after it was published.

The lack of a feedback loop prohibits agencies from revising the strategic plan to incorporate preparedness and management measures for the identified risks. It does not provide a risk lens to inform the development of the strategic objectives in the first place. Nor does it usually take into account risks from the strategy's intended and unintended consequences.

Agencies lack formal, centralized tools to sense, anticipate, monitor, and manage risks

At many public sector agencies, the responsibility for monitoring and managing risk is often delegated to lower-level offices, without centralized guidance or oversight, or direct linkage to the agency’s stated strategic objectives. Yet without centralized processes, these teams lack the necessary tools to develop the skills for sensing and identifying risks before they happen. Building such anticipatory strategic foresight would increase the lead times agencies have to prepare for, and even shape, impending risks.

One interviewee suggested as much: in response to a question about what could be improved about the risk management process at public sector agencies, the interviewee told us, “We need to do more thinking about what risks look like Antes Eles realmente se materializam. Não acho que nenhuma agência esteja fazendo o suficiente disso. ”

Another interviewed agency mentioned an overseas loan program that emphasized risks around project completion and loan repayment. These risks—which could clearly arise during interstate conflict—were largely monitored informally by the relevant program leaders, instead of through a more systematic process.

Os riscos são identificados nos níveis mais baixos da agência

Muitos entrevistados disseram que suas agências geralmente delegam a identificação de risco aos níveis mais baixos de sua organização. Escritórios, agências ou programas individuais identificam os riscos que vêem, que são então consolidados por uma entidade de risco centralizada. Embora essa abordagem de baixo para cima tenha o benefício de espalhar a responsabilidade (e a cultura) de gerenciamento de riscos por toda a organização, ela tem deficiências. Por exemplo, os escritórios de nível inferior podem identificar efetivamente riscos programáticos ou táticos, mas geralmente são considerados independentemente e isoladamente, sem abordar a interação potencial entre vários riscos que podem impactar mais de um departamento ou diretoria. Além disso, essa abordagem é menos eficaz na identificação de riscos estratégicos de nível superior

Conversamos com os funcionários em um escritório que administrava um programa de empréstimo e concessão, onde o processo de gerenciamento de riscos se concentrava amplamente nos controles internos para garantir que os empréstimos que ela seja desconhecida fossem seguros. Esse escritório-e o restante da agência-se acumulou de surpresa quando as tensões geopolíticas resultaram em um declínio significativo nos vistos dos EUA emitidos. Como o departamento não identificou esse risco potencial, seus efeitos potenciais ou indicadores de alerta precoce de sua manifestação, constituintes e partes interessadas da agência não estavam preparadas, sofreram dor burocrática significativa e tiveram que se esforçar para responder a riscos em potencial. Abate a lista com base na abordagem tradicional dos riscos como um fator de sua probabilidade e impacto. No entanto, sem critérios objetivos para quantificar "alto impacto" e "alta probabilidade", as designações podem ser altamente subjetivas. O processo também pode se tornar uma discussão excessivamente acadêmica sobre probabilidade, em vez de se concentrar no impacto e na preparação. Além disso, alguns escritórios podem usar uma rubrica diferente da que outros, tornando difíceis as comparações de probabilidade ou impacto em um conjunto agregado de riscos difíceis e muitas vezes impraticáveis. vulnerável. Em um exemplo de nossas entrevistas, uma agência havia previsto corretamente o grande impacto negativo de um cenário geopolítico no qual o fluxo transfronteiriço de mercadorias foi retardado. Mas como considerou que este era um evento de baixa probabilidade, nunca foram necessárias as medidas necessárias para se preparar para ele. Em vez disso, as organizações devem usar um exercício no qual eles assumem que todos os eventos têm uma probabilidade 1.0 e se concentram em sua preparação para que essas interrupções ocorram, respondendo a perguntas como: "Estamos tão preparados quanto pensamos?" e “Estamos tão preparados quanto precisamos ser?”

Agencies prioritize risks using subjective criteria

After developing a long list of potential risks via the bottom-up approach, interviewees told us their agencies would cull the list based on the traditional approach to risks as a factor of their probability and impact. Yet without objective criteria to quantify “high impact” and “high probability,” the designations can be highly subjective. The process can also become an overly academic discussion about probability, instead of focusing on impact and preparedness. Moreover, some offices may use a different rubric than others, thus making comparisons of probability or impact across an aggregated set of risks difficult and often impractical.

We found that organizations often fixate on probability estimates, which are increasingly difficult to quantify—especially for low-probability events and previously unheard-of “black swan” events—allowing that to outweigh the impact estimates, leaving the organizations more vulnerable. In one example from our interviews, an agency had correctly anticipated the large negative impact of a geopolitical scenario in which the cross-border flow of goods was slowed. But because it deemed this to be a low-probability event, it never took the necessary steps to prepare for it.

Overreliance on imperfect and/or subjective likelihood scores leaves organizations underprepared for impactful events. Instead, organizations should use an exercise in which they assume all events have a 1.0 probability and focus on their preparedness for these disruptions to occur, by answering questions such as: “Are we as prepared as we think we are?” and “Are we as prepared as we need to be?”

As agências se concentram principalmente na conformidade

Outro tema comum de nossas entrevistas foi que as agências prestam mais atenção aos riscos que poderiam corroer seu capital político. Por exemplo, muitas agências americanas têm requisitos explícitos do Escritório de Gerenciamento de Pessoas e outros órgãos governamentais para enfatizar os riscos de conformidade. Como resultado, seus processos se concentram em fontes internas de não conformidade, colocando -as em risco de ignorar condições externas mais amplas. Esse foco está mudando um pouco com orientações atualizadas provenientes do Departamento de Justiça, que incentiva a expansão de abordagens e a mudança de como as organizações pensam sobre a conformidade de simplesmente serem burocráticas para realmente agregar valor, mas a mudança comportamental levará tempo.

As agências orientadas a conformidade adotam uma mentalidade de "zero defeitos", o que pode levar a oportunidades perdidas que uma agência poderia buscar, estabelecendo um nível aceitável de apetite por risco. Isso reflete as limitações de visualizar o risco como apenas um negativo que apresenta ameaças ou desafios, ignorando totalmente o outro lado da moeda de risco: Oportunidade. Por exemplo, um escritório de empréstimo ou programa de concessão pode procurar mitigar riscos que possam conceder fundos indevidamente a beneficiários não autorizados. Embora importante, esse foco pode perder oportunidades para um maior impacto de cada prêmio, como a introdução de novos tipos de subsídios. Muitas organizações do setor privado já implementaram abordagens proativas de gerenciamento de riscos estratégicos proativos que as agências do setor público podem adotar para aumentar sua inteligência de risco. (Consulte o Anexo 2.)

Four Low-Cost Measures for Public Sector Agencies to Improve Their Strategic Resilience

In today's increasing uncertainty and complexity, public sector agencies need to immediately enhance their risk management capabilities and embrace new ways of thinking about and perceiving risk. Many private sector organizations have already implemented proactive anticipatory strategic risk management approaches that public sector agencies can adopt to increase their risk intelligence. (See Exhibit 2.)

Identificamos quatro etapas para isso com o maior impacto e o menor custo. De fato, a maioria não requer nenhum investimento para implementar. Sob essa abordagem, uma agência adotaria as seguintes etapas:

Stress-test strategies and assumptions using scenarios, war gaming, and other tools

In the private sector, a best practice for identifying risks and prioritizing management decisions involves stress-testing strategic objectives and planning assumptions against multiple actors and motivations using “stretched but plausible” scenarios. Under this approach, an agency would take the following steps:

• Desenvolva vários cenários do mundo inteiro que exploram mais riscos estratégicos geopolíticos e outros possíveis.
• War game each scenario to identify potential outcomes and actor moves and motivations.
• Assess resulting impacts on and de alcançar os objetivos estratégicos da agência usando uma estrutura de risco comercial, considerando as dimensões como risco de oferta, risco de demanda, risco de pessoas e risco de reputação.
• Quantify the aggregate impact using key performance indicators (KPIs).
• Develop a list of liderando Indicadores de risco-chave (KRIS) para fornecer aviso avançado.
• Identify and prioritize risk management actions based on impact and preparedness.

Em contraste com a abordagem distribuída ou isolada para o risco de identificação que as agências normalmente seguem hoje, o que resulta em uma lista de riscos individuais, esses cenários permitem que as agências capturem a interação de vários riscos dinâmicos. Esse tipo de processo de planejamento de cenários é normalmente realizado por meio de um workshop anual de dois a três dias liderado por um comitê executivo de risco ou risco existente. O objetivo é integrar esse pensamento nos maiores processos de planejamento estratégico e garantir que os recursos certos de gerenciamento de riscos estejam em vigor. Em vez disso, concentra o pensamento no impacto e na preparação. Os participantes exploram os resultados do cenário em diferentes dimensões de planejamento e fatores de risco para a organização e depois os sintetizam com KPIs e Kris específicos. (Consulte a barra lateral “Uma empresa de bens industriais usa o planejamento de cenários para avaliar riscos geopolíticos.”)

The workshop identifies and prioritizes risks that can have potentially high impact on one or more of the organization’s strategic objectives. It aims to integrate this thinking into the larger strategic planning processes and ensure the right risk management resources are in place.

Notably, it doesn’t require estimating the likelihood of a specific risk. Instead, it focuses the thinking on impact and preparedness. Participants explore scenario outcomes across different planning dimensions and drivers of risk for the organization, and then synthesize them to specific KPIs and KRIs. (See the sidebar “An Industrial Goods Company Uses Scenario-Planning to Assess Geopolitical Risks.”)

Transforme a função de risco em um centro de risco estratégico de excelência para o gerenciamento de excelência || Eles emitem instruções para os escritórios para identificar riscos (por exemplo, como preencher os formulários) e compilar listas de risco dos escritórios. Ocasionalmente, eles podem solicitar esclarecimentos sobre um impacto de risco ou perguntar se um certo risco foi considerado. Os CROs ficam no mesmo nível que os diretores de estratégia (OSC), e suas equipes servem como parceiros de pensamento para escritórios, permanecem atuais nos últimos desenvolvimentos para fornecer escritórios novos riscos de consideração e disseminar idéias e práticas recomendadas. Os CROs também servem como facilitadores da discussão que reúne os representantes de risco de todos os escritórios, levando essencialmente uma lente de risco para o desenvolvimento de estratégia e uma lente estratégica para o gerenciamento de riscos. (Consulte o Anexo 3.)

Although most agencies have a dedicated entity or team responsible for consolidating risk management evaluations, the mandate for these entities is often limited to rote processes. They issue instructions to offices for identifying risks (for example, how to fill out the forms) and compile risk lists from the offices. Occasionally, they may ask for clarification on a risk impact or inquire whether a certain risk was considered.

The most strategic-risk-intelligent organizations, however, enable these existing risk centers to assume a more anticipatory, strategic, and active role. CROs sit at the same level as chief strategy officers (CSOs), and their teams serve as thought partners to offices, remain current on the latest developments to provide offices with new risks for consideration, and disseminate ideas and best practices. The CROs also serve as facilitators of discussion that brings together the risk representatives from across all the offices, essentially bringing a risk lens to strategy development and a strategy lens to risk management. (See Exhibit 3.)

No entanto, o sucesso requer mais do que apenas o CRO. Isso significa uma abordagem mais holística para incorporar o risco de pensar em departamentos e divisões e tornar as pessoas, processos e tecnologia mais interconectados na maneira como eles gerenciam riscos estratégicos. Elevar a função de risco centralizada existente de uma agência e incorporar contas e incentivos de primeira linha transforma o processo de avaliação de risco: ela passa de um exercício passivo de verificação da caixa em uma colaboração deliberativa e eficaz que antecipa, identifica, avalia e gerencia proativamente mais os riscos estratégicos que realmente importam. Ele realinha a cultura de uma mentalidade de "zero defeitos" para um empreendedorismo, onde assumir riscos calculados é incentivado a identificar investimentos ou ações que podem causar maior impacto para a organização. Em outras palavras, ele muda a organização de ser compatível com riscos para inteligentes de risco. (Veja a barra lateral "Uma companhia de seguros transforma seu escritório de risco".)

Adote sistemas de detecção e sinalização para fornecer indicações precoces de riscos iminentes

Fora das agências diretamente responsáveis ​​por riscos de saúde ou segurança nacional, poucos se esforçam muito para monitorar os principais indicadores de risco, gatilhos ou amplificadores. As organizações líderes, no entanto, parecem "à esquerda do boom" - ou seja, para condições causais ou indicadores relacionados. Eles são monitorados para avisar precoces de um cenário iminente de risco ou risco. Por outro lado, a aparência de “direito de boom” só vê os efeitos e estratégias de gerenciamento de crises após a interrupção ocorrer. (Consulte Anexo 4.) Fazer isso permite uma vantagem de sinal, comprando tempo adicional antes de se materializar de risco - e criando um

Public sector agencies can use a similar approach by establishing systems that can sense and anticipate early warning indicators and even weak signals, analyze them, and disseminate them to the right entities. (See Exhibit 4.) Doing so enables a signal advantage, buying additional time prior to a risk materializing—and creating a vantagem decisiva de movimentação Para moldar os eventos de risco com antecedência, em vez de esperar para experimentá -los passivamente. Através dessa abordagem, as agências podem aproveitar a iniciativa em vez de ceder a iniciativa.

Sistemas de detecção podem incluir feeds automatizados e painéis dedicados, mas também está disponível um início útil de baixa tecnologia: publicar atualizações semanais ou mensais de risco em toda a organização para alertar os escritórios para materializar alterações no ambiente de risco estratégico. Uma chave para o sucesso desse sistema é garantir que os sinais de risco de alerta precoce sejam revisados ​​e discutidos com frequência (semanalmente, mensalmente ou pelo menos trimestralmente), em vez de apenas no ciclo anual comum em muitas agências. Esses alertas frequentes também devem identificar quais etapas uma agência pode tomar hoje para afetar esses riscos. (Consulte a barra lateral “Uma empresa global de energia constrói um painel de risco para antecipar riscos emergentes.”)

Sinais avançados de alimentação e avaliações de risco em planejamento estratégico para identificar oportunidades

A maioria das agências inventa e publica uma estratégia, avalia riscos para essa estratégia e os planos de resposta a contingência. A natureza linear e seqüencial desse processo significa que a avaliação de riscos e o planejamento de contingência geralmente são considerações após o fato, se houver. Em vez disso, essas informações devem ser devolvidas ao design geral da estratégia. Dessa forma, as agências podem considerar os riscos-incluindo oportunidades positivas-antes de definir (ou recomendar) uma estratégia de longo prazo. Essa abordagem cria/aprimora a resiliência estratégica, incorporando a inteligência antecipada de risco, a capacidade de resposta informada e a agilidade na própria estratégia. Dessa maneira, molda a visão estratégica no início de um processo de desenvolvimento, onde a criação de valor é enfatizada, em vez de o gerenciamento de riscos de pombo perto do final do processo e se concentrar quase exclusivamente na proteção de valor. (Consulte a barra lateral “Um provedor de serviços de nuvem integra riscos ao seu processo de design de estratégia.”)

---

Em um mundo cada vez mais incerto, os órgãos públicos devem adaptar seus programas de gerenciamento de riscos reativos e focados em conformidade e se tornarem mais proativos, antecipatórios e inteligentes de risco. As melhores organizações do setor privado da categoria desenvolveram medidas que melhoram a eficácia de suas práticas de gerenciamento de riscos, melhor preparando-se para a ampla gama de riscos estratégicos. É imperativo que as agências do setor público adotem essas práticas, desenvolvendo suas estruturas e recursos existentes para melhorar sua preparação para aproveitar a iniciativa e fazer com que o ambiente estratégico reaja a elas, em vez de ceder a iniciativa aos autores da interrupção e apenas reagir quando se manifestar. Lara Mitra