Riscos, mudança e não conformidade: parece coisa da qualidade, é gestão

Em quase toda empresa, 3 processos ficam num canto administrativo, tocados por 1 ou 2 pessoas com formação em qualidade, produzindo documentos que a diretoria só olha 15 dias antes da auditoria: gestão de riscos, gestão de mudança e tratamento de não conformidade.

A leitura de que isso é assunto de certificação está tecnicamente correta e estrategicamente errada. Esses 3 processos são, juntos, o sistema nervoso de uma empresa que quer crescer sem quebrar.

Por que a gestão despreza, e por que se arrepende

O desprezo tem explicação. Os 3 processos compartilham 2 características que os tornam invisíveis para quem cobra resultado.

O benefício é um evento que não aconteceu. Ninguém recebe crédito pela obra que não atrasou, pelo cliente que não foi perdido, pela multa que não veio. O valor de gestão de risco é contrafactual, e organizações premiam o visível.

A forma como são implantados costuma ser burocrática de fato. Existe um alerta honesto sobre isso na própria literatura da área: enquanto estivermos gerenciando riscos sem buscar de verdade os valores da norma, estaremos apenas preenchendo planilhas, contribuindo para criar burocracia e engessar as coisas. [1] Quando a gestão desconfia que é teatro, muitas vezes ela está certa.

O arrependimento chega junto com a escala. Uma empresa de 80 pessoas gerencia risco por conversa: todos sabem o que pode dar errado, e alguém está sempre por perto. Aos 400, essa memória compartilhada não existe mais, e o primeiro sintoma é a repetição: o mesmo problema, na obra nova, com pessoas diferentes, sem que ninguém saiba que já aconteceu antes.

As 3 bases que ninguém percebe estar construindo

Aqui está a reinterpretação que muda o valor percebido desses processos.

Riscos: a lógica é antecipação, não formulário

A ISO 31000 descreve princípios, estrutura e processo de gestão de riscos com abordagem genérica, aplicável a qualquer organização. [3] E ela é explícita quanto ao alcance: a gestão de riscos deve ser parte integrante de todos os processos e atividades da empresa, não apenas dos que afetam a qualidade do produto. [1]

Há um ponto sobre eficácia que costuma ser ignorado nas implantações: a eficácia da gestão de riscos depende da sua integração à governança e a todas as atividades da organização, incluindo a tomada de decisão, e isso requer apoio das partes interessadas, em particular da alta direção. [4] Sem a diretoria usando o mapa de riscos para decidir, o mapa é documento.

A norma também estabelece que a gestão de riscos deve ser proporcional ao contexto e relacionada aos objetivos da organização. [1] Proporcional é a palavra que salva projetos de virarem burocracia: uma empresa de 200 pessoas não precisa do aparato de uma multinacional, precisa dos 12 riscos que realmente podem tirá-la do jogo, com dono e com resposta definida.

E o objetivo final é simples de enunciar: detectar, reconhecer e responder aos incêndios que a empresa vive apagando, antes mesmo de eles acontecerem. [1]

Não conformidade: o vocabulário importa

Existe uma confusão de termos que atrapalha a prática, e a norma é precisa. Segundo a ISO 9000:2015, ação preventiva é executada para prevenir a ocorrência de uma não conformidade potencial, enquanto ação corretiva é executada para prevenir a recorrência de algo que já aconteceu. [5]

Há ainda uma terceira, que é a mais usada e a menos nomeada: a ação imediata, de contenção sobre as consequências do problema identificado, feita antes ou junto com a corretiva, e que não passa por análise profunda de causa. [6] A maioria das empresas faz muito bem a ação imediata, chama isso de resolver, e nunca chega à corretiva. É por isso que o problema volta.

A versão 2015 da ISO 9001 conectou os 2 mundos: ao ocorrer uma não conformidade, é necessário entender se já existe um risco mapeado para aquele tema e evidenciar a incidência, ou criar o risco. [7] Essa amarração é o que transforma 2 sistemas paralelos em 1 ciclo: o risco que se materializou vira não conformidade, e a não conformidade recorrente vira risco.

Mudança: o processo mais ignorado dos 3

Gestão de mudança aparece aqui por um motivo específico: a maior parte das não conformidades graves acontece depois de uma mudança. Novo fornecedor, novo método, nova equipe, novo sistema, nova regra. O risco não estava no processo estável, estava na transição.

E a lógica é encadeada: até mesmo uma ação preventiva pode gerar riscos ou levar a mudanças planejadas maiores. [6] Ou seja, corrigir também é mudar, e mudança sem avaliação de impacto é o mecanismo pelo qual empresas criam problemas novos ao resolver os antigos.

O processo mínimo cabe em 4 perguntas antes de qualquer alteração relevante: o que muda, quem é afetado, o que pode dar errado, e quem confirma que funcionou. Nenhuma exige software.

O que se ganha ao levar isso a sério

Além da redução de repetição, existem 3 ganhos que costumam surpreender a diretoria.

• ·Certificação deixa de ser projeto e passa a ser consequência. Empresas que mantêm o processo vivo não fazem "projeto de certificação": elas passam pela auditoria com o que já existe. A diferença de custo entre os 2 caminhos é grande.
• ·Abre porta comercial. Em vários mercados, conformidade com norma específica não é recomendação de boa prática, é condição contratual para participar. [3] Quem já tem a base montada responde a um edital ou a uma qualificação de fornecedor em dias, não em meses.
• ·Reduz dependência de pessoas-chave. Quando causa, tratamento e eficácia estão registrados, a saída de um especialista deixa de ser perda de memória operacional. É o argumento mais forte junto a quem enxerga esses processos como custo.

Vale citar o retrato do que acontece quando essas bases não existem, porque é reconhecível: prazo de ação corretiva vencido sem ninguém perceber, relatório duplicado em 2 abas porque 2 pessoas editaram a mesma planilha ao mesmo tempo, e auditor pedindo um histórico que está espalhado em 3 e-mails e 1 pasta compartilhada. [8]

Nenhuma dessas cenas é sobre qualidade. São sobre uma empresa que não consegue responder o que fez, por que fez e se funcionou. E essa é uma pergunta de gestão, não de certificado.

Referências

1. [1]Sobre a gestão de riscos como parte integrante de todos os processos, proporcionalidade ao contexto, e a crítica ao preenchimento de planilhas: Fábrica de Qualidade
2. [2]Sobre a obrigatoriedade de retenção de informação documentada e seu uso como base de conhecimento, e sobre a ação imediata: Qualyteam
3. [3]Sobre o escopo e a abordagem genérica da ISO 31000, e sobre normas como condição contratual de mercado: Qualyteam
4. [4]Sobre a eficácia da gestão de riscos depender de integração à governança e à tomada de decisão, com apoio da alta direção: Norma QSP 31000:2018
5. [5]Definição de ação preventiva e ação corretiva conforme a ISO 9000:2015, item 3.12.1: Blog da Qualidade
6. [6]Sobre ação preventiva podendo gerar riscos ou levar a mudanças planejadas maiores: Qualyteam
7. [7]Sobre a necessidade de verificar se existe risco mapeado ao ocorrer uma não conformidade: Blog da Qualidade
8. [8]Sobre os sintomas de controle disperso em planilhas e e-mails: Qualyteam
9. [9]Sobre o processo de avaliação de riscos apoiar as decisões tomadas e servir de norte para auditorias: Docnix

Marcas de terceiros citadas neste texto pertencem aos respectivos titulares. A menção é de caráter informativo e não implica parceria, patrocínio ou vínculo.