TREINAMENTO EM

GESTÃO DE RISCOS

TEORIA E PRÁTICA

ARMANDO MOURA JR
Superintendente SCAGRP / CGE
 Conceitos

Objetivos

Riscos

Controles
 Objetivos

 Onde se quer chegar?

 O que se quer alcançar?

 Qual o resultado planejado?

 Objetivos
O que nos desvia dos objetivos?

Qualquer evento
em potencial que possa
impedir ou desvirtuar o cumprimento dos
objetivos
 RISCO

POSSIBILIDADE QUE UM EVENTO OCORRA E AFETE NEGATIVAMENTE A REALIZAÇÃO DOS OBJETIVOS

(COSO)

O EFEITO DA INCERTEZA NOS OBJETIVOS

(ISO 31000)

POSSIBILIDADE DE OCORRÊNCIA DE UM EVENTO QUE VENHA A TER IMPACTO NO CUMPRIMENTO DOS OBJETIVOS
(IN/2016)
 Controles
 Ação tomada com o propósito de se certificar de que algo se cumpra de
acordo com o que foi planejado
 Ex: Processo de licitação

Objetivo Risco Controle

• Obter uma • Preços • Normativo de
proposta mais estimados pesquisa de
vantajosa em incorretos preços
uma compra
pública
 Exemplo do cotidiano
objetivos riscos controles
acionar mais de um
não acordar no horário
despertador

ocorrer problemas no
sair de casa com bastante
trajeto ao aeroporto
antecedência
dia de chegada no destino
viagem internacional voo não sair no horário
livre

não conseguir visto escolher como destino

país sem exigência de visto

aumento do dolar
comprar antecipadamente
 Relação gestão de riscos x processos

Organização

Gestão de Processos
riscos
Relação gestão de riscos x processos

Organização

Processos

Gestão de
riscos
Qual a relação da gestão de riscos com conceitos como integridade,
compliance, controles internos e governança?

Governança

Gestão
Compliance de Integridade
riscos

Controles
Internos
 Governança

Gestão de
riscos

Controles
Internos
Integridade

Compliance

Fonte: Rodrigo Fontenelle, Implementando a gestão de ricos no setor público, 2017

O que muda com o Gerenciamento de Riscos na Gestão dos Processos?

Gerenciamento de
Riscos dos
Processos

Informação Tomada de
Gerencial Decisão
Sistematizada Fundamentada
e Comunicada
 Marcos para a implantação da gestão de riscos na administração
pública

O TCU identificou, em levantamento para avaliação da governança feito no ano

passado, a falta de uma gestão de risco efetiva como problema na administração
direta.
Para melhorar essa questão, seguindo as recomendações do tribunal, a
Controladoria-Geral da União (CGU) e o Ministério do Planejamento, Orçamento
e Gestão (MP) determinaram aos órgãos e entidades do Poder Executivo federal
uma série de medidas para a sistematização de práticas relacionadas a gestão de
riscos, controles internos e governança.
As orientações foram publicadas no dia 11 de maio, no Diário Oficial da União,
por meio da Instrução Normativa Conjunta nº 01/16.
Publicação do Decreto nº 9203/17
 Decreto 9203/17 – dispõe sobre a política de governança da
administração direta, autárquica e fundacional
• A alta administração das organizações da administração pública federal direta, autárquica e fundacional deverá
estabelecer, manter, monitorar e aprimorar sistema de gestão de riscos e controles internos com vistas à
identificação, à avaliação, ao tratamento, ao monitoramento e à análise crítica de riscos que possam impactar a
implementação da estratégia e a consecução dos objetivos da organização no cumprimento da sua missão
institucional, observados os seguintes princípios:
• I - implementação e aplicação de forma sistemática, estruturada, oportuna e documentada, subordinada ao
interesse público;

• II - integração da gestão de riscos ao processo de planejamento estratégico e aos seus desdobramentos, às

atividades, aos processos de trabalho e aos projetos em todos os níveis da organização, relevantes para a
execução da estratégia e o alcance dos objetivos institucionais;

• III - estabelecimento de controles internos proporcionais aos riscos, de maneira a considerar suas causas, fontes,
consequências e impactos, observada a relação custo-benefício; e

• IV - utilização dos resultados da gestão de riscos para apoio à melhoria contínua do desempenho e dos processos
de gerenciamento de risco, controle e governança.
 Gestão de riscos
• Compreende todas as atividades coordenadas para dirigir e controlar uma organização no que
se refere ao risco. Não é uma atividade autônoma, separada das demais, mas sim parte de
todos os processos organizacionais, incluindo o planejamento estratégico, os projetos e
processos de gestão em todos os níveis da organização (ABNT, 2018).

• É parte integrante e indissociável das responsabilidades administrativas e inclui atividades

como:
 estabelecer o ambiente apropriado, incluindo a estrutura para gerenciar riscos;
 definir, articular e comunicar os objetivos e o apetite a risco;
 identificar potenciais ameaças ou oportunidades ao cumprimento dos objetivos;
 avaliar os riscos (i.e., determinar o impacto e a probabilidade da ameaça ocorrer);
 selecionar e implantar respostas aos riscos, por meio de controles e outras ações;
 comunicar as informações sobre os riscos de forma consistente em todos os níveis;
 monitorar e coordenar os processos e os resultados do gerenciamento de riscos; e
 fornecer avaliação quanto à eficácia com que os riscos são gerenciados
Modelos para Implantação do Sistema de
Gestão de Riscos

ISO 31000/2018

COSO

Orange Book
Gerenciamento dos Riscos Corporativos – COSO II

• O COSO é o modelo de gestão de riscos predominante no cenário corporativo

internacional, especialmente na América do Norte. Desenvolvido pelo Comitê
das Organizações Patrocinadoras (Committe Of Sponsoring Organizations of the
Treadway Commission), com o propósito de fornecer uma estratégia de fácil
utilização pelas organizações para avaliar e melhorar o gerenciamento de riscos.

• O modelo é apresentado na forma de uma matriz tridimensional, demonstrando

uma visão integrada dos componentes que uma administração precisa adotar
para gerenciar riscos de modo eficaz, de modo a mantê-los compatíveis com o
apetite a risco, no contexto dos objetivos e da estrutura de uma organização.
Gerenciamento dos Riscos Corporativos – COSO II
COSO 2016
 ISO 31000 / 2018
CARACTERÍSTICAS

 A norma surgiu da necessidade de harmonizar padrões, regulamentações e frameworks.

 Vem da necessidade das corporações de lidar com as incertezas que podem afetar os seus objetivos.

 Fornece diretrizes para implementação de gestão de riscos em organizações de qualquer tipo,

tamanho ou área de atuação.

 Oferece um padrão internacional de Gestão de Riscos, independentemente da área ou segmento de

atuação.

 Seu desafio é estabelecer uma linguagem comum, convergindo informações de normas existentes,
além de padronizar melhores práticas e abordagens para implementação.
ISO 31000/2018
ISO 31000/2018 - PRINCÍPIOS
 Princípios ISO 31000
• Cria e protege valor.
• É parte integrante de todos os processos organizacionais.
• É parte da tomada de decisões.
• É sistemática, estruturada e oportuna.
• Baseia-se nas melhores informações disponíveis.
• Personalizada, é feita sob medida.
• Considera fatores humanos e culturais.
• É transparente e inclusiva.
• É dinâmica, interativa e capaz de reagir a mudanças.
• Facilita a melhoria contínua da organização.
ISO 31000/2018 - ESTRUTURA
 Liderança e Comprometimento
A alta direção deve assegurar que a gestão de riscos esteja integrada em todas as
atividades da organização, assim como demonstrar liderança e comprometimento
por:

Emitir a política que estabeleça o plano de ação para a gestão de riscos;

Assegurar que os recursos necessários sejam alocados para gerenciar riscos;

Atribuir autoridades e responsabilidades nos níveis apropriado dentro da

organização
 Integração
A integração da gestão de riscos apoia-se em uma compreensão das estruturas e
do contexto organizacional
Estruturas diferem, dependendo do propósito, metas e complexidade da
organização
O risco é gerenciado em todas as partes da estrutura da organização
Todos na organização tem responsabilidades por gerenciar riscos
 A gestão de riscos deve ser integrada a governança, estratégia, objetivos e
operações da organização
 Concepção
Entender a organização e seu contexto (interno e externo)
Garantir que os recursos apropriados (pessoas, habilidades, processos, métodos,
sistemas de gestão da informação, ..) sejam identificados e estejam disponíveis
Identificar os proprietários de riscos (indivíduos que possuam autoridade e
responsabilidade por gerenciar riscos)
Estabelecer uma forma de comunicação e consulta para apoiar a estrutura e
facilitar a aplicação eficaz da gestão de riscos
A comunicação e consulta deve ser oportuna e assegurar que a informação
pertinente seja coletada, consolidada e compartilhada
 Implementação
Desenvolvimento de um plano apropriado, incluindo prazos e recursos
Identificação de onde, quando, como e por quem, diferentes tipos de decisão são
tomadas na organização
Modificação do processo de tomadas de decisão, onde necessário

Garantia de que os arranjos da organização para gerenciar riscos sejam

claramente compreendidos e praticados
 Avaliação
Para avaliar a eficácia da estrutura da gestão de riscos, é necessário:
Mensurar periodicamente o desempenho da estrutura de gestão de riscos em
relação ao seu propósito, planos de implementação, indicadores e
comportamento esperado
Determinar se permanece adequada para apoiar o alcance dos objetivos da
organização
 Melhoria
A organização deve melhorar continuamente a adequação, suficiência e eficácia da
estrutura de gestão de riscos
A medida que lacunas ou oportunidades de melhoria sejam identificadas, convém
que a organização desenvolva planos e os atribua aqueles responsabilizados pela
implementação
ISO 31000/2018 – PROCESSO DE GESTÃO
 Processo de Gestão de Riscos - ISO 31000
Escopo, contexto e critério

• Objetivos pertinentes a serem considerados

• Relacionamentos com outros projetos, processos e atividades
Escopo • Resultados esperados das etapas a serem realizadas no processo
• Recursos requeridos, responsabilidades e registros a serem mantidos

• Compreensão dos ambientes externos e internos (fatores sociais, culturais,

econômicos tecnológicos, políticos)
Contexto externo e interno • Relações e compromissos contratuais
• Estratégia, objetivos e políticas da organização
• Normas, diretrizes e modelos adotados pela organização

• Convém que os critérios de risco reflitam os valores, objetivos e o

Definindo critérios escopo da atividade em consideração
• Como as consequencias e as probabilidades serão definidas e medidas?
• Como o nível de rico será determinado?
 Como funcionará a parceria CGE/FAPEMIG?

Gerenciamento de
Riscos

Auditor Conduz a
Gestor do Aplicação da
Processo Presta Metodologia e
Informação dos Valida os
Riscos e sua Resultados pela
Relevância Avaliação dos
Controles
 Gerenciamento dos Riscos

1º Conhecer o ambiente e os
5º Monitoramento
objetivos
e Comunicação
Coleta as informações Ambiente interno/externo e
Acompanha as ações de controle objetivos do processo
Avalia a gestão de riscos

4º Tratamento
2º Identificar os riscos
dos riscos
Define o Plano de Ação
Causas/evento/consequências

3º Avaliação dos riscos

e controles
Classifica os riscos / avalia os controles
existentes
 SWOT

Forças Oportunidades
(características (situações positivas do
internas que ambiente externo que
representam uma permitem o

Ambiente Interno

Ambiente externo
facilidade para o cumprimento da
alcance dos objetivos) missão da unidade)

Ameaças
(situações externas,
Fraquezas sobre as quais se tem
(fatores internos que pouco controle, que
oferecem risco à representam
execução do processo) dificuldades para o
cumprimento da
missão da unidade)
 Gerenciamento dos Riscos

1º Conhecer o ambiente e os
5º Monitoramento
objetivos
e Comunicação
Coleta as informações Ambiente interno/externo e
Acompanha as ações de controle objetivos do processo
Avalia a gestão de riscos

4º Tratamento
2º Identificar os riscos
dos riscos
Define o Plano de Ação
Causas/evento/consequências

3º Avaliação dos riscos

e controles
Classifica os riscos / avalia os controles
existentes
 COMPONENTES DO RISCO

CAUSA EVENTO CONSEQUENCIA

 COMPONENTES DO RISCO
Causa: fato ou circunstância que influencia de forma direta ou
intrínseca a ocorrência do evento

Consequências: efeito que o evento terá sobre os objetivos

Evento: um incidente ou uma ocorrência de fontes internas ou

externas à organização, que podem impactar a realização de objetivos
de modo negativo, positivo ou ambos
• .
 Fatores que provocam os Eventos

Econômicos
Infraestrutura

Fatores Políticos
Fatores Meio
Pessoal Processo Externos Ambiente
Internos

Tecnologia Sociais
 Causa = Fonte / Fator + Fragilidades

Fator de Risco Fragilidades

Pessoal baixa capacitação, desmotivda, estressada, etc...

Processo ineficiente, mal estruturado, redundante, etc...

Sistema obsoleto, baixa segurança, baixa acessibilidade, etc...

Tecnologia ultrapassada, alto custo, etc...

Infraestrutura inadequada, ineficente, precária, etc...

Evento externo desasatre ambiental, crise econômica, crise política. Etc...

 COMPONENTES DO RISCO
• Um mesmo evento pode ter n causas, gerando n consequências
• Evento: incêndio
• Causas: 1 - origem criminosa
2 - provocado por sobrecarga elétrica
3 - provocado por faísca proveniente de operação de solda

Consequências: 1 – morte
2 – inutilização do maquinário
 Exemplos de Riscos
• Ex: licitação para construção de um hospital
• atividade: elaboração do edital
Equipe sem Critérios de
conhecimento qualificação Impugnação do
técnico técnica edital
suficiente inadequados

• Ex: execução de convênios

• Atividade: análise da prestação de contas
Despreparo do
servidor Prestação de Instauração de
responsável contas tomadas de
pelo envio da insuficiente contas
documentação
 Identificação do Risco - Dica
• O risco não deve ser descrito simplesmente como o não alcance do
objetivo. A descrição do risco deve prover insights sobre o que pode
dar errado no processo
• Ex: atividade de planejamento

Evento de Planejamento
risco não realizado NÃO

Evento de Procedimentos
risco mal formulados SIM
 Identificação do Risco - Dica
Ao identificar a consequencia do evento, procure apontar uma
consequencia mais próxima da atividade
• Ex: licitação para construção de um hospital
• atividade: elaboração do edital
Equipe sem Critérios de
conhecimento qualificação Hospital não
técnico
suficiente
técnica
inadequados
construído NÃO

Equipe sem Critérios de

Impugnação do
conhecimento
técnico
qualificação
técnica
edital SIM
suficiente inadequados
KAHOOT.IT
 Gerenciamento dos Riscos

1º Conhecer o ambiente e os
5º Monitoramento
objetivos
e Comunicação
Coleta as informações Ambiente interno/externo e
Acompanha as ações de controle objetivos do processo
Avalia a gestão de riscos

4º Tratamento
2º Identificar os riscos
dos riscos
Define o Plano de Ação
Causas/evento/consequências

3º Avaliação dos riscos

e controles
Classifica os riscos / avalia os controles
existentes
 COMPONENTES DO RISCO

CAUSA EVENTO CONSEQUENCIA

Os riscos são avaliados, considerando a probabilidade e o impacto

como base para determinar o modo pelo qual deverão ser geridos.

Também são avaliados quanto à sua condição de inerentes e residuais

 Avaliação dos Riscos com base em suas características
inerentes e residuais

é o risco a que uma é o risco que uma

organização está organização está
exposta sem exposta após a
Risco considerar Risco implementação de
inerente quaisquer medidas medidas de controle
Residual
de controle

Para avaliar os riscos, escolha uma das opções:

1ª opção – determinar somente o risco residual

2ª opção – determinar os riscos inerentes e residuais
 Avaliação do Risco

O valor do risco é uma função tanto da probabilidade quanto da

medida do impacto a ele vinculado

PROBABILIDADE PESO IMPACTO PESO

ALTA 4 MUITO ALTO 10
R=PXI PROVÁVEL 3 ALTO 7
POUCO PROVAVEL 2 MODERADO 4
REMOTA 1 PEQUENO 1
 NÍVEL DE RISCO - PROBABILIDADE

Para mensurar a probabilidade deve-se atribuir o peso de acordo com a

frequência observada/esperada para o evento de risco
PROBABILIDADE

PESO FREQUENCIA DESCRIÇÃO

4 - ALTA > = 90%

EVENTO QUE OCORRE NA MAIORIA DAS
CIRCUNSTANCIAS

3 - PROVÁVEL >= 50%<= 90%

EVENTO QUE PROVAVELMENTE OCORRE

2 - POUCO PROVÁVEL >= 10% < 50% EVENTO QUE DEVE OCORRER EM ALGUM
MOMENTO

1 - REMOTA < 10%

EVENTO PODE OCORRER EM
CIRCUNSTANCIAS EXCEPCIONAIS
 NÍVEL DE RISCO - PROBABILIDADE

• Ao se mensurar a probabilidade, a pergunta correta é:

• ( ) Qual a probabilidade da causa provocar o evento?

•( ) Qual a probabilidade do evento provocado pela causa ocorrer?

 NÍVEL DE RISCO - IMPACTO
Para mensurar o impacto deve-se atribuir o peso de acordo com o impacto
do evento nas ações de gestão da organização

IMPACTO
PESO DESCRIÇÃO

OCASIONA COLAPSO AS AÇÕES DE GESTÃO, A VIABILIDADE

10 - MUITO ALTO
ESTRATÉGICA PODE SER COMPROMETIDA

COMPROMETE ACENTUADAMENTE AS AÇÕES DE GESTÃO, OS

7 - ALTO OBJETIVOS ESTRATÉGICOS PODEM SER FORTEMENTE
COMPROMETIDOS

4 - MODERADO SIGNIFICATIVO NO ALCANCE DAS AÇÕES DE GESTÃO

1 - PEQUENO POUCO RELEVANTE AO ALCANCE DAS AÇÕES DE GESTÃO

 CÁLCULO DO IMPACTO
 Para auxiliar na atribuição dos pesos, deve-se considerar as seguintes categorias de impacto:

Impacto Estratégico
Descumprimento de objetivos e metas definidos em instrumentos de planejamento e gestão
(exemplo: PPAG, Orçamento Fiscal, Acordo de Resultados).
 Impacto Operacional (ou Social)
Prejuízo à qualidade do produto entregue ou serviço prestado à população, procedente de falha ou
deficiência na atividade operacional do órgão (entidade).
 Impacto à Imagem
Prejuízo à imagem do órgão ou entidade (e, consequentemente, do próprio Governo) perante a
sociedade (cidadãos, contribuintes, grupos beneficiados por políticas governamentais etc.) e outros
órgãos (entidades) das três esferas de governo.
 Impacto Legal
Sanções em razão de descumprimento de dispositivos legais e a indenizações por danos a terceiros
decorrentes das atividades desenvolvidas pela instituição
 CÁLCULO DO IMPACTO
 categorias de impacto:

Impacto Patrimonial
Perdas patrimoniais procedentes de apropriação indébita de
informações (patentes, pesquisas, informações financeiras etc.) e de
danos ou desvios de propriedades (recursos e bens patrimoniais).
Impacto orçamentário
Eventos que podem comprometer à própria execução financeira ou a
capacidade do órgão/entidade em contar com os recursos orçamentários
necessários à realização de suas atividades.
 IMPACTO - FATORES PARA ANÁLISE
estratégico operacional imagem legal orçamentário patrimonial peso
% % % % % %

com destaque na mídia

evento com potencial para determina
prejudica o alcance dos nacional, podendo atingir alto impacto perda patrimonial
levar o negócio ou serviço interrupção das 10
objetivos estratégicos os objetivos estratégicos orçamentário alta
ao colapso atividades
da organização

evento cuja consequencia com destaque na mídia determina ações

prejudica o alcance das médio impacto perda patrimonial
prejudica a entrega do nacional, provocando de caráter 7
metas do processo] orçamentário representativa
produto/serviço exposição significativa pecuniário

evento cujas consequencias

requer ações gerenciais pode chegar a mídia, determina ações
podem ser absorvidas, mas perda patrimonial
para não prejudicar o provocando a exposição de caráter pouco impacto
carecem de esforço da pouco 4
alcance das metas do por um curto período de corretivo/prevent orçamentário
gestão para minimizar o representativa
processo tempo ivo
impacto

evento cujo impacto pode impacto

pouco ou nenhum pouco ou perda patrimonial
ser absorvido por meio de impacto apenas interno orçamentário 1
impacto nas metas nenhum impacto irrelevante
atividades formais irrelevante

Os percentuais foram definidos usando a ferramenta AHP (Analytic Hierarchy Process )

 AHP
1. Entrar site: //bpmsg.com
2. Clicar ícone canto superior direito
3. Clicar em tools
4. Clicar em AHP excel template
5. Clicar em AHP free online software
6. Clicar na opção 2 – AHP priority calculater
7. Entrar com o número de categorias
8. Digitar o nome das categorias de impacto
9. Fazer a comparação pedida
10. Clicar em “check consistency”
 1ª opção - MATRIZ DE RISCO – RISCO RESIDUAL

alta 4 16 28 40
PROBABILIDADE

provavel 3 12 21 30
pouco provavel 2 8 14 20
remota 1 4 7 10
Pequeno moderado alto muito alto
IMPACTO

NIVEL VALOR Símbolo

EXTREMO MAIOR OU IGUAL A 28
ALTO MAIOR OU IGUAL A 10 E MENOR QUE 28
MÉDIO MAIOR QUE 3 E MENOR QUE 10
BAIXO MENOR OU IGUAL A 3
 Apetite ao risco

Qual das figuras representa uma organização com baixo apetite ao risco?

( ) fig A ( ) fig B
Matriz de Risco – outros exemplos
2ª opção – Determinar primeiramente o RISCO INERENTE, posteriormente o RISCO RESIDUAL

alta 4 16 28 40
PROBABILIDADE

provavel 3 12 21 30
pouco provavel 2 8 14 20
remota 1 4 7 10
Pequeno moderado alto muito alto
IMPACTO

NIVEL VALOR Símbolo

EXTREMO MAIOR OU IGUAL A 28
ALTO MAIOR OU IGUAL A 10 E MENOR QUE 28
MÉDIO MAIOR QUE 3 E MENOR QUE 10
BAIXO MENOR OU IGUAL A 3
 Avaliação da Estrutura de Controle
Nível de
Avaliação do desenho e implementação dos controles Risco de Controle (RC)
Confiança (NC)
Inexistente Controles Inexistentes, mal desenhados ou mal
Muito alto 1,0
Nc = 0% implementados, isto é, não funcionais
Fraco Controles tem abordagem ad hoc , tendem a ser
aplicados caso a caso, a responsabilidade é individual,
Alto 0,8
havendo elevado grau de confiança no conhecimento das
NC = 20% pessoas
Mediano Controles implementados mitigam algus aspectos do
risco, mas não contemplam todos os aspectos relevantes
Médio 0,6
do risco devido a deficiências no desenho ou nas
NC = 40% feramentas utilizadas
Satisfatório Controles implementados e sustentados por ferramentas
adequadas, que embora passíveis de aperfeiçoamento, Baixo 0,4
NC= 60% mitigam o risco satisfatoriamente
Forte controles implementados podem ser considerados a
"melhor prática", mitigando todos os aspectos relevantes Muto baixo 0,2
NC = 80% do risco

RC = 1-NC RR = RI x RC
 Níveis Risco Residual (RR)

NIVEL VALOR Símbolo

EXTREMO MAIOR OU IGUAL A 28
ALTO MAIOR OU IGUAL A 10 E MENOR QUE 28
MÉDIO MAIOR QUE 3 E MENOR QUE 10
BAIXO MENOR OU IGUAL A 3
 2ª opção - MATRIZ DE RISCO – RISCO RESIDUAL

alta 4 16 28 40
PROBABILIDADE

provavel 3 12 21 30
pouco provavel 2 8 14 20
remota 1 4 7 10
Pequeno moderado alto muito alto
IMPACTO

NIVEL VALOR Símbolo

EXTREMO MAIOR OU IGUAL A 28
ALTO MAIOR OU IGUAL A 10 E MENOR QUE 28
MÉDIO MAIOR QUE 3 E MENOR QUE 10
BAIXO MENOR OU IGUAL A 3
KAHOOT.IT
 Gerenciamento dos Riscos

1º Conhecer o ambiente e os
5º Monitoramento
objetivos
e Comunicação
Coleta as informações Ambiente interno/externo e
Acompanha as ações de controle objetivos do processo
Avalia a gestão de riscos

4º Tratamento
2º Identificar os riscos
dos riscos
Define o Plano de Ação
Causas/evento/consequências

3º Avaliação dos riscos

e controles
Classifica os riscos / avalia os controles
existentes
ISO 31000/2018 – PROCESSO DE GESTÃO
 Processo de Gestão de Riscos - ISO 31000

Tratamento dos riscos Registro e Relato

Definir a resposta ao risco em

Definição do método de
função do nível de risco e do
registro
apetite ao risco

Desenvolver e Implementar o
Definição do método do relato
plano de ação
 Tratamento dos Riscos
nível de risco critérios para priorização e tratamento de riscos

nível de risco muito além do apetite a risco. Qualquer risco nesse nível deve ser
RE comunicado à governança e alta administração e ter uma resposta imediata.
Postergação de medidas só com autorização do dirigente máximo

nível de risco além do apetite a risco. Qualquer risco nesse nível deve ser
RA comunicado a alta administração e ter uma ação tomada em período
determinado. Postergação de medidas só com autorização do dirigente de área.

Nível de risco dentro do apetite a risco. Geralmente nenhuma medida especial é

necessária, porém requer atividades de monitoramente específicas e atenção da
RM
gerência na manutenção de respostas e controles para manter o risco nesse
nível, ou reduzi-lo sem custos adicionais

nível de risco dentro do apetite a risco, mas épossível que existam

RB oportunidades de maior retorno que podem ser exploradas assumindo mais
riscos, avaliando a relação custo x benefícios, como diminuir o nível de controle

Fonte: TCU (2017)

Tratamento dos Riscos

5 10 15 20 25
4 8 12 16 20
3 6 9 12 15
2 4 6 8 10
1 2 3 4 5
 Processo de Gestão de Riscos - ISO 31000

Tratamento dos riscos Registro e Relato

Definir a resposta ao risco em

Definição do método de
função do nível de risco e do
registro
apetite ao risco

Desenvolver e Implementar o
Definição do método do relato
plano de ação
 Tratamento dos Riscos

O que
fazer?
Resposta ao risco

Quando?
Plano Quem?
de ação
Apetite ao risco

Como?
 Plano de Ação
risco nivel de Simbolo alguma
atividade evento de risco residual risco controle existente ação? (s/n) plano de ação responsável data início data fim
 Processo de Gestão de Riscos - ISO 31000

Tratamento dos riscos Registro e Relato

Definir a resposta ao risco em

Definição do método de
função do nível de risco e do
registro
apetite ao risco

Desenvolver e Implementar o
Definição do método do relato
plano de ação
 Objetivos do registro e relato

Comunicar os resultados da gestão de riscos para toda a organização

Fornecer informações para a tomada de decisão
Melhorar as atividades da gestão de riscos
Auxiliar a interação com as partes interessadas

Convém que as decisões relativas a criação, retenção e manuseio da

informação documentada levem em consideração o seu uso, a
sensibilidade da informação e os contextos internos e externos
O relato é parte integrante da governança da organização e convém que melhore a
qualidade do diálogo das partes interessadas e apoie a Alta Direção e os órgãos de
supervisão a cumprirem suas responsabilidades

Fatores a considerar para o Relato:

Custo, frequencia e pontualidade do Relato

Método do relato
As diferentes partes interessadas e suas necessidades específicas de
informação e requesitos
Pertinência da informação para os objetivos organizacionais e para a
tomada de decisão
ISO 31000/2018 – PROCESSO DE GESTÃO
 Gerenciamento dos Riscos

1º Conhecer o ambiente e os
5º Monitoramento
objetivos
e Comunicação
Coleta as informações Ambiente interno/externo e
Acompanha as ações de controle objetivos do processo
Avalia a gestão de riscos

4º Tratamento
2º Identificar os riscos
dos riscos
Define o Plano de Ação
Causas/evento/consequências

3º Avaliação dos riscos

e controles
Classifica os Riscos / avalia os controles
existentes
 Processo de Gestão de Riscos - ISO 31000

Comunicação e consulta Monitoramento dos riscos

Assegurar que pontos de vista diferentes

sejam considerados ao se definirem os
critérios de risco e se avaliarem os riscos Avaliação contínua dos controles

Garantir que as informações sejam

íntegras, confiáveis e tempestivas

Reunir diferentes áreas de especialização Revisar e melhorar o sistema de gestão

para cada etapa do processo de gestão de riscos
de riscos
 Monitoramento
Em caso positivo Em Caso negativo
o risco já
Setor / responsável estava
DIA MÊS atividade risco
pela identificação identificado? código do risco consequencia causa
(s/n)
 10 Passos para a Gestão de Riscos
1. Decida gerenciar riscos de forma proativa

Monte um grupo de trabalho

 devem ter interesse no tema, automotivação e persistência para continuar
mesmo em face a resistências comumente encontras
Devem possuir habilidades técnicas e gerenciais suficientes para serem capazes
de definir a estratégia, propor mudanças em processos e normativos, planejar e
coordenar o processo de implantação
 10 Passos para a Gestão de Riscos
2. Aprenda sobre a gestão de riscos

Realizar treinamentos sobre o tema “gestão de riscos”

 aprofundar o conhecimento sobre os processos e projetos críticos para a
organização, visando identifica quais se beneficiariam com a adoção de práticas
de gestão de riscos
 10 Passos para a Gestão de Riscos

3. Estabeleça a política de gestão de riscos

Defina a política de gestão de riscos

 Estabeleça uma estratégia de implantação:
 quais processos são críticos, qual a melhor ordem e momento para a
implantação
 Defina a estrutura necessária para a implantação (comitê de riscos, ferramentas,
sistemas)
 10 Passos para a Gestão de Riscos

3. Estabeleça a política de gestão de riscos

A política de gestão de riscos deve:

 definir as responsabilidades pelo gerenciamento
 garantir os recursos necessários
Definir como serão tratados os conflitos
Definir como será avaliado o desempenho
 10 Passos para a Gestão de Riscos

4. Defina papéis e responsabilidades

Defina a responsabilidades nos níveis apropriados dentro da organização (1ª e 2ª

linha de defesa
 Defina os proprietários de riscos
 10 Passos para a Gestão de Riscos

5. Defina o processo de gestão de riscos

Defina a metodologia para a gestão de riscos

 Estabeleça procedimentos para identificar, analisar e registrar os riscos
 estabeleça critérios para analisar a significância dos riscos, incluindo a
definição de como a probabilidade, impacto e os níveis de riscos serão
estimados, bem como diretrizes para avaliar e priorizar os riscos
Definir procedimentos para monitorar a ocorrência dos riscos
Definir procedimentos para o reporte as instâncias de governança dos
riscos (comitê)
 10 Passos para a Gestão de Riscos

6. Identifique os riscos chaves

Identificar os riscos que podem afetar significativamente o alcance dos objetivos

 deve envolver a participação de pessoas com conhecimento sobre o
funcionamento da organização e dos ambientes externos e internos (realização
de oficinas)
 Deve se apoiar em dados históricos (levantamento dos dados sobre o
desempenho)
 10 Passos para a Gestão de Riscos

7. Trate e monitore os riscos chaves

Defina o tratamento de riscos adequado a cada caso, de acordo com seu apetite
ao risco
 Monitore os riscos, visando aprimorar sua análise e identificar mudanças no
ambiente
 10 Passos para a Gestão de Riscos

8. Mantenha canais de comunicação com as partes interessadas

9. Incorpore a gestão de riscos aos processos organizacionais
10. Avalie e aprimore a gestão de riscos
 Referências bibliográficas
1) MINISTÉRIO DO PLANEJAMENTO, DESENVOLVIMENTO E GESTÃO. Manual de Gestão de Integridade, Riscos e Controles
Internos da Gestão. Brasília. V1.1.2 – 2017.
2) CONTROLADORIA-GERAL DA UNIÃO. Guia de integridade pública: orientações para a administração pública federal:
direta, autárquica e fundacional. Brasília, DF: Controladoria-Geral da União, 2015.
3) MIRANDA, Rodrigo F. A. Implementando a Gestão de Riscos no Setor Público. Belo Horizonte: Ed. Fórum, 2017.
4) IIA – The Institute of Internal Auditors. As Três Linhas de Defesa no Gerenciamento Eficaz de Riscos e Controles.
Declarações de Posicionamento. Janeiro, 2013.
5) CONTROLADORIA-GERAL DA UNIÃO. Metodologia de Gestão de Riscos. 2018.
6) TCU – TRIBUNAL DE CONTAS DA UNIÃO. Referencial básico de governança aplicável a órgãos e entidades da
administração pública. Versão 2. – Brasília, DF: TCU, Secretaria de Planejamento, Governança e Gestão (Seplan), 2014
7) Associação Brasileira de Normas Técnicas. Gestão de Riscos – Princípios e diretrizes. ABNT ISO 31000. Rio de Janeiro.
2018
8) COSO. Committee of Sponsoring Organizations of the Treadway Commission. Gerenciamento de
Riscos Corporativos – Estrutura Integrada. 2007. Tradução: Instituto dos Auditores Internos do Brasil
(Audibra) e Pricewaterhouse Coopers Governance, Risk and Compliance, Estados Unidos da América,
2007
9) Tribunal de Contas da União. Gestão de Riscos. Disponível em http://portal.tcu.gov.br/gestao-e-
governanca/gestao-de-riscos/. Acesso em Abril de 2017
 Obrigado!

armando.moura@cge.mg.gov.br