questionário pergunta se temos um sistema de gestão de riscos, o que conta como resposta

Sistema formal ou apenas uma avaliação de riscos

Isso varia de acordo com o questionário, mas na maioria dos casos não se pergunta se você já avaliou riscos — pergunta-se se isso ocorre de forma estruturada e repetível. Um sistema neste sentido significa: os riscos foram identificados, existe uma forma de avaliá-los (probabilidade e impacto), existem medidas vinculadas a eles e há revisão periódica. Geralmente, listar riscos uma única vez em resposta a este questionário não conta como "sistema"; mas fazer parte de um procedimento operacional padrão — mesmo que seja apenas uma atualização anual de uma planilha com atribuição de responsabilidade por risco — geralmente conta.

Em questionários do tipo CSRD (derivados do módulo básico EFRAG VSME), a gestão de riscos é frequentemente perguntada especificamente para questões de sustentabilidade: clima, direitos humanos na cadeia, governança. Se você estruturou esse processo apenas para riscos financeiros ou operacionais e não para sustentabilidade, "não" é frequentemente a resposta honesta para essa parte específica, mesmo que você de fato faça gestão de riscos em outros aspectos. Alguns clientes perguntam isso como uma questão isolada, outros como parte de um bloco mais amplo sobre quem está no conselho de administração e como está composto — governança e gestão de riscos são frequentemente combinadas em questionários porque a estrutura de supervisão também costuma monitorar a gestão de riscos.

O que o módulo básico VSME e a lei anti-lavagem de dinheiro pedem como prova

O módulo básico EFRAG VSME pede uma descrição de políticas e práticas, não um sistema certificado como ISO 31000 — na maioria dos casos, uma descrição breve e factual de como os riscos são identificados e controlados é suficiente. Se a pergunta vier de um banco ou segurador, a conexão geralmente está na Lei de Prevenção da Lavagem de Dinheiro e Financiamento do Terrorismo: essa lei obriga o cliente a fazer sua própria investigação de clientes e, portanto, frequentemente quer saber se sua organização controla adequadamente os riscos — incluindo riscos de integridade. Se você não tem um sistema de gestão de riscos separado, mas tem componentes isolados como uma política de sanções ou um canal de denúncia, geralmente é mais preciso nomear esses componentes isolados do que sugerir um sistema que não existe.