:quality(85))
Este artigo é a primeira parte de uma série de dois artigos com contributos do CEO da Z2Data, Mohammad Ahmad, que analisa como uma nova geração de disrupções está a mudar a forma como as empresas pensam e implementam análises de risco de fornecedores, assim como o que os fabricantes precisam de fazer para realizar avaliações de risco eficazes dos seus fornecedores de semicondutores. Consulte a Parte 2, "Developing and Implementing a Risk Model for the Semiconductor Supply Chain", aqui.
A escassez de semicondutores que teve início em 2020 e se prolongou até 2023 representou uma calamidade para a cadeia de abastecimento sob quase qualquer ponto de vista. Esta disrupção histórica paralisou a produção e distorceu a dinâmica entre oferta e procura numa vasta gama de grandes setores industriais, custando à economia dos EUA mais de 200 mil milhões de dólares só em 2021 e levando à perda de milhares de postos de trabalho e a aumentos de preços, em muitos casos irreversíveis, em produtos essenciais.
Para muitas organizações, essa experiência, juntamente com outras dificuldades no sourcing e aprovisionamento vividas nos últimos quatro anos, evidenciou o aumento da relevância e da prevalência do risco associado aos fornecedores. Empresas que, anteriormente, se limitavam a lidar com disrupções de forma informal e pontual, começaram subitamente a reconhecer a urgência—e até a necessidade estratégica—de adotar uma abordagem mais proativa e antecipada para avaliar as ameaças que a sua cadeia de abastecimento e respetivos parceiros representam. Houve uma perceção coletiva de que é possível identificar, avaliar e mitigar riscos antes de estes colidirem com a atividade através de uma paragem fabril, um problema regulamentar ou uma crise de obsolescência.
O que é uma análise de risco de fornecedores?
Felizmente, fabricantes, importadores e outros stakeholders interessados em analisar o risco junto dos seus fornecedores possuem já uma base consolidada de conhecimento a que recorrer. As análises de risco de fornecedores existem, de alguma forma, há várias décadas. Uma análise de risco—também designada avaliação de risco—é um quadro ou conjunto de critérios que visa identificar e avaliar os riscos associados a um determinado fornecedor. Estas avaliações estruturadas são um elemento fundamental do campo mais amplo da gestão de risco da cadeia de abastecimento, que o National Institute of Standards and Technology (NIST) define de forma útil como um «processo sistemático para gerir o risco na cadeia de abastecimento, identificando suscetibilidades, vulnerabilidades e ameaças ao longo da cadeia e desenvolvendo estratégias de mitigação para esses riscos».
Uma análise de risco—também designada avaliação de risco—é um quadro ou conjunto de critérios para identificar e avaliar os riscos associados a um fornecedor específico.
As avaliações de risco de fornecedores são a base de uma boa gestão de risco da cadeia de abastecimento. Ao desenvolver e implementar estas análises específicas, as organizações conseguem submeter potenciais parceiros a um processo de avaliação padronizada e obter uma perceção alargada e precisa de como certas vulnerabilidades históricas poderão regressar de forma dispendiosa. Trata-se também de uma das estratégias mais eficazes para manter uma resposta mais dinâmica e ágil perante a cadeia de abastecimento.
«É extremamente importante, porque permite antecipar potenciais problemas que teriam impacto na cadeia de abastecimento, afetando a entrega ou a produção do produto final», sublinha Mohammad Ahmad, CEO da Z2Data, plataforma de gestão de risco da cadeia de abastecimento. No entanto, estas avaliações são mais do que simples perfis de risco, explica Ahmad. Servem também como dossiês detalhados sobre fornecedores, que apoiam a tomada de decisões críticas em múltiplos cenários. «Uma grande questão atualmente é: até que ponto se conhece verdadeiramente os fornecedores?», refere. «Todos procuram visibilidade dos seus fornecedores.»
«Uma grande questão atualmente é: até que ponto se conhece verdadeiramente os fornecedores?», refere. «Todos procuram visibilidade dos seus fornecedores.»
A análise de risco de fornecedores está longe de ser uma prática nova. Contudo, é uma ferramenta que tem deixado de ser opcional para passar a ser cada vez mais encarada como essencial para uma gestão eficaz do risco da cadeia de abastecimento. Num decénio tão conturbado e complexo como têm sido os anos 2020, as empresas que conseguem identificar e analisar riscos—e assim atingir maior transparência perante os fornecedores—dispõem de uma vantagem decisiva.
Os critérios mais importantes numa análise de risco de fornecedores
Tradicionalmente, os fabricantes que realizavam uma análise de risco focavam-se em alguns aspetos principais dos seus fornecedores, incluindo a saúde financeira, a qualidade do produto e a reputação. As empresas avaliavam o grau de exposição de cada fornecedor e geravam depois uma pontuação composta que procurava captar de forma precisa o perfil de risco agregado do fornecedor.
Atualmente, o panorama de risco para os fabricantes e as cadeias de abastecimento em que confiam é mais complexo e implacável. As ameaças clássicas acima referidas são agora agravadas por novos fatores, únicos das atuais conjunturas ambiental e geopolítica, em que agentes humanos e naturais convergem para amplificar a volatilidade. Como resultado, as empresas têm de alargar a sua lista de critérios de risco e incluir fatores como o historial de conformidade regulamentar e a localização geográfica. Este último elemento ganha especial importância, pois indica a exposição do fornecedor a ameaças como catástrofes naturais, questões geopolíticas e conflitos comerciais.
Atualmente, o panorama de risco para os fabricantes e as cadeias de abastecimento em que confiam é mais complexo e implacável.
As empresas sempre tiveram de lidar com a possibilidade de os fornecedores serem afetados por fenómenos meteorológicos extremos como tufões, tornados e cheias. O impacto crescente das alterações climáticas, porém, acelerou a frequência destas catástrofes destrutivas. Segundo o United Nations Office for Disaster Risk Reduction (UNDRR), o número de «catástrofes de grande escala» a nível global mais do que triplicou desde o início do século, situando-se atualmente entre 350 e 500 por ano. Diversos cenários climáticos apontam ainda para uma subida rápida destes números nos próximos anos.
Na última meia década, governos e organizações internacionais de referência começaram a adotar medidas mais concretas para responsabilizar as empresas pelo seu papel no aumento das temperaturas e das alterações climáticas. Os movimentos de sustentabilidade e ESG (environmental, social, and governance) estão a ganhar expressão com a criação de regulamentos aplicáveis e juridicamente vinculativos em todo o mundo. Este conjunto crescente de novas regulamentações acrescenta uma nova categoria de risco para fabricantes e outros atores da cadeia de abastecimento, que agora têm de cumprir uma série de exigências relacionadas com sustentabilidade. À medida que diretivas como a CSRD, a CS3D e os novos requisitos de divulgação climática da SEC entram em vigor globalmente, os fornecedores vêem-se obrigados a navegar uma nova zona de vulnerabilidade.
À medida que diretivas como a CSRD, a CS3D e os novos requisitos de divulgação climática da SEC entram em vigor globalmente, os fornecedores vêem-se obrigados a navegar uma nova zona de vulnerabilidade.
Como se tal não bastasse, há ainda o rápido crescimento dos riscos cibernéticos. Esta ameaça emergente foi bem evidenciada por vários ciberataques recentes sem precedentes em dimensão e impacto. O ataque SolarWinds, perpetrado por agentes russos em 2020, e a violação dos dados do Microsoft Exchange em 2021 por um grupo de hackers ligado ao Ministério de Segurança do Estado da República Popular da China demonstraram os avanços alarmantes da ciberespionagem ao longo da última década. À medida que estes grupos altamente sofisticados, com o apoio de governos poderosos, se tornam mais ousados e ambiciosos nas suas campanhas, as multinacionais enfrentam cada vez mais o risco de fugas de dados, ataques de malware e falhas de segurança em larga escala.
Os fabricantes norte-americanos e outras empresas que dependem atualmente de múltiplos fornecedores e subníveis de sourcing deparam-se com uma verdade simples e incontornável: a gestão de risco da cadeia de abastecimento evoluiu. Quem pretender construir a sua própria análise de risco de fornecedores deve ir além das forças disruptivas que há décadas afetam as cadeias de abastecimento. É fundamental reconhecer a onda de novas ameaças que já são endémicas a muitos ecossistemas de fabrico.
Os fabricantes norte-americanos e outras empresas que dependem atualmente de múltiplos fornecedores e subníveis de sourcing deparam-se com uma verdade simples e incontornável: a gestão de risco da cadeia de abastecimento evoluiu.
De forma agregada, existem atualmente pelo menos meia dúzia de riscos para a cadeia de abastecimento que devem ser considerados em qualquer análise de risco abrangente:
- Saúde financeira e/ou risco de falência
- Fenómenos meteorológicos extremos e eventos relacionados com o clima
- Questões geopolíticas
- ESG e sustentabilidade
- Cibersegurança
- Conformidade comercial
- Transparência dos dados
Recolher dados para avaliação de risco
Quando as empresas compreendem a importância de avaliar o risco junto dos seus fornecedores e as categorias específicas de risco a analisar, estão preparadas para realizar a avaliação. O primeiro, e provavelmente o mais crucial, passo na condução de uma análise de risco é a recolha de dados sobre os fornecedores. Existem diferentes estratégias para reunir esta informação, e as empresas não devem ficar condicionadas a um único método. Pelo contrário, recomenda-se aproveitar várias metodologias para recolha de dados, começando pelo acesso a informação publicamente disponível. Este tipo de dados pode incluir elementos como informações financeiras, localização geográfica das sedes sociais e unidades fabris, bem como relatórios de ESG (dados que terão cada vez maior visibilidade pública nos próximos tempos).
Após reunir todos os dados públicos possíveis, as empresas devem identificar lacunas e solicitar aos fornecedores as informações que não conseguiram obter autonomamente. Muitas organizações realizam esta segunda etapa através de questionários dirigidos aos fabricantes, solicitando dados sobre controlos de segurança, medidas de mitigação de risco e processos de gestão da cadeia de abastecimento.
O questionário Shared Information Gathering (SIG) é um exemplo de ferramenta de gestão de risco de terceiros desenvolvida pela organização Shared Assessments. Inclui centenas de perguntas para reunir informação prática em 21 domínios principais, incluindo os seguintes:
- Gestão de conformidade
- Environmental, Social, and Governance (ESG)
- Gestão de risco empresarial
- Gestão de incidentes de cibersegurança
- Segurança de rede
- Resiliência operacional
Apesar de os questionários serem indispensáveis para a recolha de dados, não devem constituir o único meio utilizado para obter informação sobre os fornecedores. «Não considero que devam ser a única fonte», afirma Ahmad. «É necessário dispor de múltiplas fontes de informação para que seja possível tomar decisões baseadas no risco e avaliar se importa aprofundar.»
Construir um processo transversal de avaliação de risco: Parte 2
Mas identificar áreas de risco e reunir todos os dados relevantes são apenas os primeiros passos do processo global de avaliação de risco. Depois de estes passos estarem concluídos, como é possível desenvolver um modelo de risco e colocá-lo em prática numa avaliação eficaz?
Abordamos estas questões—e destacamos ainda alguns dos riscos mais comuns e exclusivos da cadeia de abastecimento de semicondutores—na segunda parte do nosso artigo, Developing and Implementing a Risk Model for the Semiconductor Supply Chain.
