Los riesgos se categorizan —estratégicos, operativos, financieros, regulatorios y legales, y reputacionales— y se priorizan a partir de una matriz con nueve cuadrantes, guiados por ejes de intensidad de impacto y de probabilidad de ocurrencia.

Esta matriz de riesgos se revisa anualmente y se adecua a nuestro plan de negocios de cinco años. Con esa definición, se elaboran planes de acciones y se destinan recursos para su control y mitigación.

Específicamente en el aspecto comercial, nuestro comité de Riesgos de Mercado analiza constantemente el comportamiento de los mercados de commodities y de divisas para guiarnos sobre las posiciones de cobertura y la estrategia de fijación de precios de las exportaciones o importaciones de productos. También estudia los riesgos relacionados con la comercialización de etanol y derivados para que definamos los límites en las políticas de riesgo instituidas.

En cuanto a la operación, los riesgos de parada en casos de contingencias se evitan mediante el Plan de Continuidad de los Procesos de Negocios Críticos, documento revisado anualmente por los gestores para prever los escenarios y planes de trabajo, simulados periódicamente y cuyos resultados se trasladan a la alta dirección.

Desde 2017, mapeamos los principales riesgos y oportunidades derivados del cambio climático. Los resultados se añaden al proceso de gestión de riesgos y a la planificación estratégica de la empresa.

En cuanto a los riesgos, se registran los relacionados con los cambios en la dinámica hídrica y con la mayor incidencia de eventos climáticos extremos. Por otra parte, en el campo de las oportunidades, se abre un hueco para las políticas públicas y líneas de financiación diferenciadas, con crecientes incentivos a la producción y comercialización de soluciones energéticas bajas en carbono, como biocombustibles y electricidad de fuentes alternativas, productos que forman parte del porfolio de la empresa.

Debido a la relevancia de los temas ESG, los riesgos y oportunidades relacionados con los temas sociales y ambientales siguen la misma gobernanza que cualquier otro riesgo relevante, siendo tratados en el mismo nivel de discusión que los demás y destacados en la matriz de riesgos consolidada.

El Comité de Auditoría discute anualmente los riesgos de alta clasificación de todas las categorías. Este organismo también es responsable de la elaboración y del seguimiento de los planes de acción desarrollados para cada riesgo que se considere relevante, incluida la definición de responsables y plazos.

La Dirección de Auditoría Interna y Controles Internos, subordinada al Comité de Auditoría, tiene, entre otras funciones, la de gestionar los riesgos del negocio, mediante el mapeo de los riesgos y de planes de acción para mitigarlos. La ejecución de los controles internos y demás mecanismos de protección es responsabilidad de las áreas de negocio (1.ª línea de defensa), observando las directrices internas.

La gerencia de sostenibilidad brinda soporte técnico, y se encarga de mapear los riesgos y oportunidades relacionados con los temas de ESG, especialmente los previstos en el Plan Estratégico de Sostenibilidad (saber más aquí). Otras áreas como Medio Ambiente, Salud y Seguridad y Operación también se consultan durante el período de revisión de la matriz para asegurar el mapeo y la gestión de todos los riesgos relevantes.

Otro comité involucrado es el de Responsabilidad Social Corporativa (compuesto por el presidente, vicepresidentes y accionistas), que apoya directamente al Consejo de Administración en la evaluación y dirección de temas relacionados con la sostenibilidad.

Asimismo, contamos con: el SIGO, sistema que difunde la Política de HSE y los procedimientos de gestión de efluentes, residuos, emisiones al aire y licencias; una herramienta que monitorea y actualiza los requisitos legales aplicables; un Plan de Gestión Ambiental; un Plan de Gestión de Residuos Sólidos; y un Plan de Monitoreo de la Calidad de Aguas Superficiales y Efluentes Líquidos; además de monitorear el Indicador de Desarrollo Ambiental y el cumplimiento de las premisas legales. |GRI 102-11; SASB EM-MD-160.a.1|

ara saber más sobre los riesgos y oportunidades derivados del cambio climático, pulseaquí. |SASB FB-AG-440a.1.|

Seguridad de la información

En marzo de 2020, algunos de nuestros sistemas sufrieron interrupciones momentáneas debido a un acto delictivo por parte de hackers. Con todo, las operaciones volvieron totalmente a la normalidad pocos días después del ataque, con un impacto limitado en los resultados. Las acciones se guiaron por los planes de contingencia, lo que permitió la continuidad de nuestras actividades, aun parcialmente, el mismo día del ataque.

Aceleramos la actualización de nuestras aplicaciones para tener versiones más modernas y, complementariamente, seguimos evolucionando en mejoras en cuanto a la detección de amenazas y ataques y a la velocidad de respuesta y corrección de vulnerabilidades. No obstante, el episodio nos impulsó a adoptar medidas aún más estrictas para la seguridad de la información y la protección de datos. Aumentamos las inversiones en los tres pilares que sostienen nuestra estrategia de Seguridad de la Información: Procesos, Personas y Tecnología, siguiendo los marcos de trabajo de mercado, adquisición de nuevos productos de seguridad de última generación, así como creación de una estructura dedicada a la defensa cibernética y a la contratación de socios de negocio líderes de mercado en el sector.

Expandimos la cobertura de nuestra Política de Seguridad de la Información y añadimos controles más estrictos en el procedimiento del uso de los recursos de Tecnología de la Información (TI), los cuales han de observare cuando se emplee cualquier equipo de TI y medio de comunicación, aplicándose a empleados y empleadas, como así como a contratistas. Estas directrices también garantizan que todo el equipo actué en línea con las reglas referentes al tratamiento y protección de la información y los activos.

También respetamos las directrices del Marco Civil de Internet brasileño y estamos evolucionando con las adaptaciones de sistemas y procesos de acuerdo con la legislación relacionada con el tema, como la Ley General de Protección de Datos de Brasil (LGPD) y el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.

También invertimos en actividades de formación y educación en materia de comportamiento seguro. En este sentido, se destacan el lanzamiento de la formación online en la Universidad Raízen sobre la LGPD, obligatoria para todos los empleados y empleadas, y la concienciación de los proveedores que realizan actividades en procesos críticos que implican servicios de procesamiento y almacenamiento de datos. Este trabajo abarca la recopilación de información, mediante cuestionarios, auditorías (dependiendo de la clasificación del proveedor), la definición de planes de acción y el seguimiento para evaluar la mejora continua.