Segundo o Tribunal de Contas da União, Gestão de Riscos é:
“Um processo de trabalho de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, aplicável em qualquer área da organização e que contempla as atividades de identificar riscos, analisar riscos, avaliar riscos, decidir sobre estratégias de resposta a riscos, planejar e executar ações para modificar o risco, bem como monitorar e comunicar, com vistas ao efetivo alcance dos objetivos da instituição.”
Por meio da referida definição, constata-se que a Gestão de Riscos é uma ferramenta que tem como objetivo final fazer com que as Instituições atinjam seus objetivos. Segundo a ISO 31.000 de 2009 o Processo de Gestão de Riscos possui as seguintes etapas:
No post de hoje explicaremos as etapas do Processo de Gestão de Risco proposto pela ISO 31.000, seguindo as recomendações do Roteiro de Auditoria de Gestão de Riscos do Tribunal de Contas da União.
Estabelecimento do contexto
A primeira coisa a ser feita no estabelecimento do contexto é a listagem e um breve resumo dos objetivos organizacionais, pois são os riscos desses objetivos não serem atingidos que serão gerenciados. Feito isso é necessária a montagem da matriz SWOT que serve para mostrar o ambiente no qual os objetivos institucionais serão perseguidos.
A matriz SWOT nada mais é do que a sigla em inglês para S-Strengths (Forças), W-Weaknesses (Fraquezas), O-Opportunities (Oportunidades), T-Threats (Ameaças). Nesta matriz devem estar listadas as forças, as fraquezas, as oportunidades e as ameaças que possam influenciar no atingimento dos objetivos da instituição.
Por fim, é necessário estabelecer os parâmetros por meio dos quais os riscos serão gerenciados, como as escalas de probabilidade e impacto e a definição do apetite a risco, que é o nível de risco considerado como aceitável.
Identificação dos riscos
Feita a definição dos objetivos que a instituição pretende atingir, é hora de mapear quais os eventos de risco que podem impedir que estes objetivos sejam atingidos. Passamos para a etapa de identificação de riscos.
O Tribunal de Contas da União recomenda a abordagem top-down (de cima para baixo). Inicia-se por meio da listagem dos eventos de risco ligados aos objetivos institucionais e caminha-se para um maior nível de detalhamento, como o mapeamento dos eventos de riscos ligados aos processos críticos e depois dos eventos de riscos atrelados aos subprocessos dos processos críticos. A listagem caminha do macro para o micro.
Uma vez feito o mapeamento e listagem dos eventos de risco é necessário listar as possíveis causas e possíveis consequências de cada um desses eventos, para fecharmos a etapa de identificação de riscos.
Análise de risco
Tendo em vista que foram definidos e listados os eventos de riscos com suas possíveis causas e consequências, é hora de mensurarmos estes eventos de risco, por meio do cálculo do nível de risco.
O primeiro passo é o cálculo do nível de risco bruto, que é a probabilidade e o impacto de um evento de risco antes de implementada qualquer medida de controle.
Depois é necessário mensurar a qualidade das medidas de controle existentes em barrar o risco bruto, fornecendo o risco residual, que é o que sobra do risco bruto após ser mitigado pela atividade de controle existente.
Uma vez calculado o risco residual, monta-se uma tabela em ordem decrescente do nível de risco residual de forma a deixar claro quais são os eventos de risco que prioritariamente devem ser tratados.
Avaliação de risco
Uma vez que os eventos de risco já foram mensurados, torna-se necessária a definição das medidas de tratamento que serão implementadas para cada um deles, sendo que os tratamentos possíveis são: aceitar, mitigar, transferir, evitar.
Ao lado de cada evento de risco deverá ser informado a forma de tratamento que será adotada, tendo por base o nível de risco residual e o apetite a risco definido na primeira etapa de definição do contexto.
Tratamento de risco
Tendo em vista que já houve a definição de qual tratamento será dado, é hora de definir como cada opção de tratamento será implementada. Agora é a hora de detalhar com exatidão a forma, o prazo e os responsáveis pelas medidas de tratamento definidas.
Por exemplo, se foi definido que o evento de risco será mitigado, deve ser respondido qual será a medida de controle que fará a mitigação, em que prazo a medida será implementada, quem será o responsável pela implementação, etc.
Toda medida de tratamento deve vir com indicação do responsável por sua implementação, são os gestores do risco. Nenhum evento de risco pode ficar sem um responsável respectivo.
Monitoramento e análise crítica
Chegamos a etapa final do Processo de Gestão de Risco. Agora é hora de avaliar se tudo o que foi feito está saindo de acordo com planejado e de averiguar se não há necessidade de atualizações.
Os objetivos foram corretamente listados? A matriz SWOT está completa ou é necessário atualização nas forças/fraquezas/oportunidades/ameaças? Os níveis de risco foram corretamente calculados? As atividades de controle barram o risco como esperado?
A revisão do trâmite do processo de gestão de riscos tem que ser periodicamente feita. Isso porque a falha no acompanhamento e no gerenciamento das etapas pode trazer consequências junto aos Tribunais de Contas.
Como exemplo, podemos citar o Acórdão TCU nº 2.468/2022 – Plenário – quando assim dispôs:
“13. Afora essas circunstâncias, o processo sofreu alterações de prazo de conclusão com um processo de gestão de riscos deficiente em que eventos com alta probabilidade de ocorrência e alto impacto não continham medidas mitigadoras efetivas, cujos indicadores apontavam para uma chance de apenas 5% de o projeto ser concluído dentro do prazo estabelecido.”
Quer saber mais sobre este assunto? A MMP oferece um curso completo:
“Implementando a Gestão de Riscos na Prática: Como Aplicar os Modelos de Gestão de Riscos nos Processos de Trabalho“
