Governança

Além disso, o mapeamento de risco identificou dois riscos relacionados a temas de Direitos Humanos (trabalho decente na cadeia de fornecimento e discriminação). Esses riscos possuem as devidas ações de monitoramento e mitigação, sendo geridos pelas áreas diretamente relacionadas.

GRI 103-1, 103-2, 103-3

Ao longo de 2019, a atuação da área de Gestão de Riscos e Controles Internos foi marcada pelo avanço do modelo de gestão de riscos na Klabin, fundamentado em cinco pilares – Identificação, Análise, Tratamento, Monitoramento e Plano de Contingência – e orientado pela Política de Gestão de Riscos. Destacam-se ainda:

• Aprovação da avaliação de riscos feita em 2018, pela Diretoria Executiva e pelo Conselho de Administração.
• Aprovação de dez riscos de grande magnitude prioritários para monitoramento da Diretoria Executiva e do Conselho de Administração. 
• Criação e aprovação da Política de Gestão de Crises junto à Diretoria Executiva.
• Sistematização do processo de gestão de riscos em plataforma online (fase de testes).

GRI 102-15, 103-1, 103-2, 103-3

O mapeamento de riscos, na Klabin, tem como direcionadores: prevenir perdas, antecipar eventos e evitar surpresas.

A identificação de riscos segue procedimento específico e é feita pela Gerência de Riscos e Controles Internos, em conjunto com as Diretorias, os gestores dos negócios e as áreas corporativas. Também são feitas entrevistas e/ou aplicados questionários junto aos colaboradores que possuam amplo conhecimento das respectivas áreas de atuação, para definição dos aspectos principais a serem monitorados. 

Os riscos identificados são avaliados em relação à sua criticidade, que depende do grau de impacto e de vulnerabilidade definidos no procedimento interno da Gestão de Riscos. Após a determinação desses aspectos, o risco é inserido em um “mapa de calor”, com intuito de determinar sua criticidade e priorização de tratamento. O grau de criticidade pode ser baixo, médio, alto e crítico. A partir dessa etapa, o mapeamento é apresentado na Comissão de Riscos, a fim de ratificar e evidenciar os riscos prioritários para tratamento.

A Comissão de Riscos, composta por membros da Diretoria, é responsável pelo acompanhamento, avaliação e comunicação dos riscos e respectivos planos de ações, juntamente com a Gerência de Riscos e Controles Internos, em reuniões periódicas, bem como pelo encaminhamento de informações de riscos para apreciação das demais áreas da Companhia.

• Identificação: identificar os riscos e compreender as suas características.
• Análise: avaliar a criticidade dos riscos, com base no respectivo grau de Impacto e Vulnerabilidade.
• Tratamento: decidir como lidar com cada risco de forma a estruturar planos de ação.
• Monitoramento: acompanhamento e revisão dos riscos e planos de ação. Definição de indicadores.
• Plano de contingência: Planos de Contingência e Gestão de Crise.

GRI 103-1, 103-2, 103-3, 418-1

Dentro do conceito da Indústria 4.0, a Klabin promoveu o desenho de arquitetura de tecnologia para segurança da fábrica, com foco no trânsito de informações das unidades industriais para ambiente externo com segurança. O trabalho resultou na criação do Padrão de Segurança Cibernética, que já está em testes na Unidade Monte Alegre. O recurso está previsto na concepção do projeto Puma II e em novas linhas que exigem interação com ambiente externo. 

Para se adequar à Lei Geral de Proteção de Dados (Lei 13.709/2018), que entra em vigor em agosto de 2021, a Klabin realizou mapeamento de riscos relacionados a informações de colaboradores, terceiros e clientes finais que possuem dados pessoais custodiados na Klabin, a fim de garantir o sigilo desses dados. A empresa já está atuando nas implementações de controles necessários, com apoio de um escritório jurídico especializado em privacidade, para adequação à nova legislação.

Em 2019, não foram identificados e/ou registrados vazamentos ou perdas de dados de clientes da Companhia. 

Entendemos que o engajamento interno é fundamental para o processo de cybersegurança na Klabin. Por isso, promovemos várias iniciativas para o comprometimento dos nossos profissionais, que são acompanhadas mensalmente em reunião de indicadores. Em 2019, realizamos diversas iniciativas de treinamento e conscientização entre nossos colaboradores, com base na Política de Segurança da Informação da Companhia e na Lei Geral de Proteção de Dados (LGPD).

Um dos temas que envolveu grande parte dos colaboradores em treinamentos foi o Pishing, uma forma de fraude em que o atacante tenta extrair informações, como credenciais de login ou informações financeiras, se passando por uma entidade respeitável ou outra pessoa, seja via e-mail, mensagens instantâneas ou websites. Em 2019, contratamos uma plataforma que imitava o envio de Phishing e direcionava o usuário que era “fisgado” pela fraude simulada para um treinamento rápido sobre como identificar um e-mail de Phishing. Mais de 6 mil colaboradores foram treinados pela plataforma.