Em algum momento nas últimas semanas, um LP pediu a política de gestão de riscos do seu fundo. Você disse que enviaria. Só que você não tem uma.
É assim que isso costuma começar. Se foi o que trouxe você até aqui, saiba que está em boa companhia. A maioria dos fundos com menos de algumas centenas de milhões sob gestão só passa a ter uma política de riscos por escrito quando alguém de fora da gestora pede.
O pedido quase sempre surge durante a due diligence operacional e, em geral, não tem nada de pessoal. Alocadores institucionais pedem isso a todos, e os questionários baseados no modelo de due diligence da ILPA vêm ampliando de forma constante o que esperam que um fundo consiga demonstrar.
Pois bem. O documento que você precisa produzir é mais curto e menos assustador do que você imagina. Já o modelo que você vai encontrar em uma busca vai induzir você ao erro, e esse é o problema mais incômodo. É, em grande parte, a razão de este guia existir.
O que uma política de riscos realmente é
Deixando de lado o jargão dos modelos de referência, o documento responde a quatro perguntas.
O que pode dar errado aqui. Quais desses riscos estamos dispostos a aceitar. Quem decide e quem age. E o que acontece quando um deles se concretiza.
É isso. De oito a quinze páginas, na maioria dos casos. Se a sua está passando de trinta, você provavelmente confundiu o documento com outra coisa.
Vale esclarecer três coisas que ela não é, porque essa confusão aparece bastante.
Ela não é um registro de riscos. O registro é uma lista atualizada de exposições específicas, com responsáveis e status definidos. A política é o conjunto de regras que determina como esse registro funciona. Em algum momento, você vai precisar dos dois, mas a política vem primeiro.
Ela não é um manual de compliance. Compliance trata de regras impostas a você de fora para dentro. Gestão de riscos trata das exposições que você escolheu assumir. São problemas diferentes, que exigem estruturas diferentes.
E ela não é um documento escrito para impressionar alguém. Eu sublinharia isso se pudesse. As melhores políticas de riscos que já li são monótonas, específicas e um pouco desajeitadas em alguns trechos, porque alguém estava tentando descrever o que a gestora realmente faria, em vez de escrever algo que parecesse defensável em uma reunião.
Por que você está escrevendo a política — isso importa mais do que parece
Vale parar um pouco para pensar no que motivou a iniciativa, porque isso molda o conteúdo do documento.
Os fundos costumam chegar a esse ponto por quatro caminhos. Um LP pediu a política durante a ODD, de longe o caso mais comum. Um banco ou administrador de fundos quer ver o documento antes de prosseguir. Um regulador fez a solicitação, se você estiver sujeito à regulação, já que a maioria dos fundos de VC e fundos de cripto não está — voltarei a isso. Ou algo deu errado e, agora, existe uma política.
Esse último é o pior motivo e, infelizmente, não é raro. Políticas escritas depois de um incidente quase sempre ficam excessivamente voltadas ao que acabou de acontecer e ignoram o que ainda não aconteceu. Se você está escrevendo este documento depois de um trimestre ruim, uma disciplina útil é dedicar, de propósito, mais tempo aos riscos que não se concretizaram do que àquele que se concretizou.
O problema com todos os modelos que você vai encontrar
Esta é a parte que vai poupar duas semanas do seu tempo.
Busque um modelo de política de gestão de riscos e você encontrará muitos. ISO 31000. COSO. O que quer que seu fornecedor preferido de GRC esteja oferecendo de graça neste mês. Para ser justo, são bons documentos, e quem os escreveu sabia o que estava fazendo.
Todos eles também partem da mesma premissa, e ela não se aplica ao seu caso.
Eles pressupõem que o seu risco está dentro da sua própria organização.
Isso faz todo o sentido, porque foram escritos para empresas. O risco de uma fabricante está na sua cadeia de suprimentos, na sua fábrica, nos seus funcionários, nos seus dados. Coisas que ela possui e dirige. Os modelos dividem isso em riscos operacionais, financeiros, estratégicos, de compliance e reputacionais. Para uma empresa com três mil funcionários, é uma divisão perfeitamente razoável.
Agora olhe para a sua gestora.
Digamos que vocês sejam onze pessoas. Você investiu duzentos milhões em trinta e oito empresas do portfólio. Seu risco operacional interno é real, mas modesto: uma equipe pequena, alguns sistemas, algumas transferências bancárias e um punhado de conflitos para administrar.
Sua exposição de fato está em trinta e oito empresas que você não controla, não pode dirigir e, na maioria dos casos, não consegue examinar por dentro sem perguntar a alguém.
Preencha um modelo padrão e você produzirá um documento cuidadoso e bem estruturado que descreve talvez quinze por cento do seu risco. E ele parecerá completo, que é justamente a parte perigosa.
| Dentro da gestora | Fora da gestora | |
| Exemplos | Riscos cibernéticos. Pessoa-chave. Erro de avaliação. Fraude em transferências bancárias. Conduta de funcionários. Conflitos. | Quebra de empresa do portfólio. Má conduta de fundador. Exposição a sanções. Colapso de contraparte. Falsificação de identidade. Reclassificação regulatória. |
| Quem controla | Você. | Você não controla. |
| Cobertura típica da política | Abrangente. | Quase nenhuma. |
| Parcela da exposição real | Pequena. | A maior parte. |
Como escrever a parte interna
Certo. Esta é a parte sem glamour, e você precisa fazê-la. É a seção que um LP vai ler com mais atenção, então o esforço vale a pena.
Pessoa-chave. O que acontece se um GP sair, morrer ou for destituído. Os alocadores perguntam sobre isso o tempo todo, e quase ninguém colocou a resposta no papel. Dois parágrafos bastam: quem assume, o que caracteriza um evento de pessoa-chave nos termos do LPA e o que o fundo faz nesse intervalo.
Fraude em transferências bancárias e controles de pagamento. Este tema recebe bem mais espaço do que os demais porque, de longe, é a forma mais provável de um fundo do seu porte realmente perder dinheiro.
O ataque é banal e funciona. Alguém invade ou falsifica uma conta de e-mail — de um fundador, de um advogado, às vezes a sua — e envia novas instruções bancárias para uma transferência que já estava prevista. As instruções parecem corretas. O contexto está certo. O momento faz sentido, porque o invasor vem acompanhando a conversa. O dinheiro sai, e sai rápido.
O comprometimento de e-mails corporativos aparece consistentemente entre as maiores categorias de perdas relatadas nos dados anuais do FBI sobre crimes na internet, e a vítima típica não é um banco. É uma organização mais ou menos do seu porte, com controles parecidos com os seus, numa sexta-feira à tarde.
Sua política precisa de três medidas aqui, e elas não custam nada. Dupla autorização acima de um limite que você definir. Verificação por um canal independente para qualquer alteração nas instruções bancárias, ou seja, ligar para um número que você já tinha, em vez de usar o número informado no e-mail. E uma regra por escrito de que a urgência nunca justifica deixar de cumprir qualquer uma das duas medidas.
A terceira importa mais do que as outras duas, porque o ataque inteiro se apoia na urgência.
Segurança cibernética e dados. Na proporção do seu porte. Um fundo com onze pessoas não precisa da política de segurança da informação de um banco. Escrever uma resulta em um documento que ninguém segue. MFA em todos os acessos, proteção de endpoints, um gerenciador de senhas e uma definição clara de onde ficam os dados do fundo e quem pode acessá-los.
Avaliação. Quem avalia as posições, com base em quais critérios e quem revisa as avaliações. Se você investe em estágio inicial e mantém as posições pelo valor da última rodada, diga isso com clareza, sem enfeitar.
Conflitos de interesse. Investimentos pessoais, assentos em conselhos, alocação entre o fundo e qualquer veículo de coinvestimento. É tedioso de escrever, e é a seção que um LP vai examinar linha por linha.
Informações relevantes não públicas. Se integrantes da sua equipe participam de conselhos, eles têm acesso a informações. Diga o que acontece com elas.
Como escrever a parte externa, que os modelos ignoram por completo
Agora vem a seção que descreve a maior parte do seu risco real e não aparece em nenhum dos documentos padrão.
Para cada categoria de exposição externa, a política precisa definir quatro coisas. O que monitoramos. Com que frequência. Quem age. E o que exige encaminhamento a uma instância superior.
Vou ser direto sobre a segunda, porque é nela que a maioria desses documentos falha.
Quase toda política de riscos de fundos que já li contém uma expressão como “monitoramento contínuo das empresas do portfólio”. Na prática, isso significa “vamos verificar se surgir alguma coisa”. Todos na sala sabem disso. Ninguém diz em voz alta.
Se a sua política prevê uma revisão trimestral, você assumiu um prazo médio de cerca de quarenta e cinco dias para detectar um problema, podendo chegar a noventa no pior caso. Uma inclusão em lista de sanções que ocorra na segunda semana de um trimestre passa onze semanas sem ser vista.
Esse pode ser um risco perfeitamente aceitável para a sua estratégia e o seu portfólio. Mas deve ser uma decisão, não um acidente. Coloque o número no papel. Uma política que diz “contínuo”, mas quer dizer “de vez em quando”, fica muito bonita até alguém pedir que você demonstre como ela funciona.
As categorias que vale cobrir, no mínimo:
Sanções e listas de monitoramento. Inclusões de empresas do portfólio, seus administradores, suas contrapartes ou suas jurisdições nessas listas. A OFAC e seus equivalentes publicam atualizações continuamente, sem seguir o seu calendário.
Mídia negativa. Processos judiciais, medidas regulatórias, reportagens investigativas. Vale lembrar que uma parcela considerável das informações relevantes aparece primeiro na imprensa regional, em idiomas que sua equipe não lê.
Alterações em registros empresariais. Mudança de domicílio, troca de diretores, transferências de participações societárias, novas subsidiárias. No setor de cripto, isso é rotina, não exceção, e uma empresa pode estar substancialmente diferente oito meses depois da transferência do investimento.
Histórico de fundadores e administradores. Novos processos judiciais, cargos não declarados, empreendimentos anteriores que voltam à tona de formas que afetam você.
Exposição a contrapartes. A exchange, o custodiante ou o parceiro bancário do qual a empresa do seu portfólio depende. A quebra deles vira um problema seu, e você geralmente fica sabendo tarde.
Falsificação de identidade e ataques à marca. Canais falsos no Telegram, contas clonadas em redes sociais, centrais de suporte falsas. Tudo isso acontece depois do fechamento do investimento, é invisível a qualquer processo de onboarding por definição e já é comum o suficiente para constar na política, em vez de ficar na lista mental de preocupações de alguém.
Já escrevemos em detalhes sobre por que toda essa parte do quadro de riscos fica estruturalmente fora do alcance da due diligence de onboarding, caso você queira a versão completa.
Apetite a risco, em uma linguagem que as pessoas consigam usar
Este é o conceito que a maioria dos guias para iniciantes transforma em algo nebuloso. Vou tentar mantê-lo claro.
Apetite a risco é simplesmente: o que faríamos de fato?
Investiríamos em uma empresa cujo fundador já foi alvo de uma medida regulatória? Sob quais condições, e quem aprova?
Manteríamos uma posição em uma empresa cuja principal contraparte fosse sancionada? Por quanto tempo? O que determinaria a saída?
A partir de que nível a concentração em uma única jurisdição começa a incomodar?
Escreva as respostas antes de se ver nessa situação. Essa é toda a razão de a seção existir, e acho que a maioria dos guias não diz isso com clareza suficiente: a resposta que você dará sob pressão, com capital já comprometido e um fundador ao telefone, não é a mesma que daria com calma numa terça-feira, sem nada em jogo.
Você está escrevendo este documento para impor limites à sua versão do futuro, que estará mais otimista do que você está agora e muito mais cansada.
Encaminhamento a instâncias superiores e resposta
Mantenha esta seção curta e específica.
Níveis de gravidade, com o nome que você preferir. Uma função responsável definida para cada um, em vez de “a equipe”. Um prazo de resposta para cada nível. E uma definição clara do que exige encaminhamento ao comitê de investimentos ou aos sócios.
Um alerta enviado a um grupo é um alerta enviado a ninguém, como já discutimos em outro artigo, com mais detalhes do que alguém estritamente precisaria.
Defina uma data de revisão para a própria política
Uma vez por ano é o mínimo. Também após qualquer incidente relevante e após qualquer mudança relevante na estratégia ou na exposição.
Há um perigo real aqui que merece ser explicitado. Uma política de riscos escrita uma única vez e nunca revisada pode ser pior do que não ter política alguma, porque cria a impressão documentada de um controle que não está funcionando.
Se um LP ou um fiscal perguntar depois como você monitora as empresas do portfólio, e a política disser que a revisão é trimestral, mas a última tiver sido feita há quatorze meses, você terá de explicar a diferença entre o processo declarado e o processo real. Essa conversa é consideravelmente pior do que seria se você nunca tivesse escrito a política.
Portanto, não assuma compromissos que você não pretende cumprir. Registre aqueles que você realmente vai manter, mesmo que pareçam menos impressionantes.
Como fica o documento pronto
Doze páginas, mais ou menos. Específico. Monótono. Ninguém vai gostar de ler, e tudo bem.
O teste que eu faria: alguém que entrou na gestora na segunda-feira conseguiria abrir este documento e saber o que fazer quando surgisse um alerta de sanções sobre uma empresa do portfólio na quinta-feira?
Se sim, funciona.
Se a resposta honesta for “essa pessoa iria perguntar a alguém”, então o que você tem é um documento sobre ter uma política.
Perguntas frequentes
Um documento que responde a quatro perguntas: o que pode dar errado, quanto desse risco você está disposto a aceitar, quem decide e o que acontece quando algo dá errado. Todo o restante dos modelos padrão é um desdobramento dessas quatro perguntas.
Mais do que as pessoas imaginam. Uma política escrita porque um LP a pediu durante a due diligence é diferente de uma escrita após um incidente, e diferente ainda de uma escrita porque o fundo cresceu além do que decisões informais conseguem sustentar. Ser honesto sobre o que motivou a iniciativa é o que impede o documento de ficar genérico.
Os modelos cobrem com competência a parte interna — riscos operacionais, financeiros, de pessoa-chave e cibernéticos — e deixam a parte externa quase inteiramente de fora. É nessa parte que se concentra a maior parte do risco real de um fundo: em quem você investe, com quem faz transações e o que acontece com essas partes depois que a transferência é concluída.
O que você verifica antes de comprometer capital, o que continua verificando depois, em quais fontes, com que frequência, quem analisa os resultados e o que exige encaminhamento a uma instância superior. Tudo escrito com clareza suficiente para que uma pessoa recém-contratada consiga seguir as instruções sem perguntar a ninguém.
Diga o que você aceita, o que não aceita e onde está o limite, em uma linguagem que permita agir. “Temos um apetite moderado a risco” é vago. “Não investimos em empresas cujo beneficiário final conste em uma lista de sanções, e qualquer mídia negativa envolvendo fraude é encaminhada ao grupo de sócios antes da próxima reunião do comitê de investimentos” é uma política.
Cerca de doze páginas, específicas e monótonas. Ninguém vai gostar de ler, e tudo bem. A revisão deve ocorrer pelo menos uma vez por ano, além de após qualquer incidente relevante e qualquer mudança relevante na estratégia ou na exposição. A data de revisão deve constar no próprio documento, ou ele silenciosamente vira ficção.
A parte interna, não. É um trabalho sem glamour que só você pode fazer, e vale desconfiar um pouco de quem disser o contrário. Uma ferramenta pode executar a parte externa depois que ela estiver escrita: as verificações, as novas verificações e a trilha de evidências que as sustenta.
Conclusão
A maior parte da elaboração de uma política de riscos é um trabalho sem glamour que nenhum fornecedor pode fazer por você, e eu desconfiaria um pouco de quem dissesse o contrário. As seções internas são responsabilidade sua. As declarações de apetite a risco são responsabilidade sua. O julgamento é inteiramente seu.
Mas há uma linha no documento inteiro que determina se a parte externa é real ou decorativa: o compromisso com a frequência. Se a única coisa que você pode escrever com honestidade é “trimestral”, então a política está descrevendo um portfólio para o qual você olha quatro vezes por ano.
É para permitir que você escreva essa linha de outra forma que existimos. A Beady AI monitora continuamente empresas do portfólio, fundadores e contrapartes em relação a sanções, mídia negativa, registros empresariais e falsificação de identidade, com cada sinal rastreado até sua fonte de origem. Agende uma sessão e faremos uma análise dos seus investimentos reais, o que também é uma forma eficiente de descobrir se a política que você está prestes a escrever é uma que você realmente consegue cumprir.
