Gestão de risco

Question 1

O que é Gestão de Riscos, de acordo com o Tribunal de Contas da União (TCU)?

Answer 1

É um conjunto de atividades coordenadas para identificar, analisar, avaliar, tratar e monitorar riscos, visando conferir razoável segurança quanto ao alcance dos objetivos.

Question 2

Qual a definição de risco para a Fundação Nacional da Qualidade (FNQ)?

Answer 2

Risco é o efeito (positivo ou negativo) da incerteza nos processos, sistemas e decisões, causando variáveis (esperadas ou inesperadas) em seu desempenho frente aos objetivos das partes interessadas de uma determinada organização.

Question 3

Como a Norma Brasileira ISO 31000 define risco?

Answer 3

Risco é o efeito da incerteza dos objetivos.

Question 4

O que o Tribunal de Contas da União (TCU) entende por “risco” e “oportunidade” em seu Manual de Gestão de Riscos (2020)?

Answer 4

Risco: A combinação entre a probabilidade de um evento ocorrer e os impactos negativos gerados por ele.
Oportunidade: A possibilidade de um evento afetar positivamente o alcance de objetivos.

Question 5

Qual a fórmula básica para expressar o risco?

Answer 5

Risco = probabilidade de ocorrência + impactos

Question 6

Por que as organizações se preocupam em identificar e avaliar os riscos?

Answer 6

Porque existem processos primários que, se afetados pelos riscos, podem trazer grandes prejuízos. É preciso identificar em que processos os riscos aparecem e, se estiverem nos principais, o gerenciamento deve ser mais preocupante.

Question 7

O que a Norma Brasileira ISO 31000 entende por Gestão de Riscos e por “gerenciar riscos”?

Answer 7

Gestão de Riscos: Refere-se à arquitetura (princípios, estrutura e processo) para gerenciar riscos eficazmente.
Gerenciar Riscos: Refere-se à aplicação dessa arquitetura para riscos específicos.

Question 8

Qual a relação entre a Gestão de Riscos e o Decreto nº 9.203/17, que dispõe sobre a política de governança da administração pública federal?

Answer 8

O Decreto nº 9.203/17 (Art. 17) estabelece que a alta administração das organizações da administração pública federal direta, autárquica e fundacional deve estabelecer, manter, monitorar e aprimorar um sistema de gestão de riscos e controles internos para identificar, avaliar, tratar, monitorar e analisar criticamente riscos que possam impactar a implementação da estratégia e a consecução dos objetivos.

Question 9

Como o Decreto nº 9.203/17 (art. 2º, inciso IV) define Gestão de Riscos?

Answer 9

É o processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar e gerenciar potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos.

Question 10

Qual a importância da Gestão de Riscos para o Tribunal de Contas da União (TCU)?

Answer 10

O TCU associa a Gestão de Riscos ao princípio constitucional da eficiência, pois sua implementação proporciona ganhos na entrega de resultados e alcance de objetivos institucionais. Ela auxilia na tomada de decisões racionais, aumenta a capacidade da organização de lidar com eventos inesperados, estimula a transparência, favorece o uso eficiente dos recursos e fortalece a imagem da instituição.

Question 11

Quais são os motivos e objetivos que levam as organizações a adotar a Gestão de Riscos?

Answer 11

Alinhar a disponibilidade para assumir riscos com a estratégia organizacional (o quanto a organização está disposta a correr riscos).
Desenhar decisões em resposta aos riscos (delinear estratégias para minimizar probabilidade ou impacto).
Redução de surpresas e prejuízos (ter uma atitude proativa).
Identificar e gerenciar múltiplos riscos (organizações são sistemas complexos e riscos não são isolados).
Aproveitar oportunidades (riscos podem ter impactos positivos).
Otimizar o uso do capital (lidar com prejuízos pode ser mais caro que gerenciar riscos).

Question 12

Quais são as etapas do Processo de Gestão de Riscos?

Answer 12

O processo de gestão de riscos compreende as seguintes etapas:
1. Estabelecimento do Contexto
2. Identificação dos Riscos
3. Análise de Riscos
4. Avaliação de Riscos
5. Tratamento de Riscos
6. Monitoramento e Análise Crítica
7. Comunicação (permeia todas as fases)

Question 13

O que envolve o Estabelecimento do Contexto no processo de Gestão de Riscos?

Answer 13

Envolve o entendimento da organização, seus objetivos e o ambiente (incluindo controle interno) onde os objetivos são perseguidos. O objetivo é ter uma visão abrangente dos fatores que podem influenciar a capacidade da organização de atingir seus objetivos e fornecer parâmetros para as atividades subsequentes da gestão de riscos.

Question 14

Quais são as ações que a organização realiza ao estabelecer o contexto?

Answer 14

Ao estabelecer o contexto, a organização:
Articula seus objetivos.
Define os parâmetros externos e internos a serem considerados ao gerenciar riscos.
Estabelece o escopo e os critérios de risco para o restante do processo.

Question 15

O que é “contexto” na gestão de riscos?

Answer 15

Contexto é o ambiente no qual a organização busca atingir os seus objetivos. A gestão de riscos ocorre no contexto dos objetivos da organização, abrangendo a identificação dos fatores ambientais (internos e externos) e das partes interessadas.

Question 16

O que é a Identificação dos Riscos no processo de Gestão de Riscos?

Answer 16

É o processo de busca, reconhecimento e descrição dos riscos. O objetivo é produzir uma lista abrangente de riscos, incluindo fontes e eventos que possam impactar o alcance dos objetivos identificados na etapa de estabelecimento do contexto.

Question 17

Quais são as formas de identificar riscos?

Answer 17

Dados históricos
Análises teóricas
Opiniões de pessoas informadas e especialistas
Necessidades das partes interessadas
Ferramentas e técnicas incluem: abordagem top-down, brainstorming, entrevistas e Análise de Listas de Verificação de Riscos.

Question 18

O que é a Análise de Riscos no processo de Gestão de Riscos?

Answer 18

É o processo de compreender a natureza e determinar o nível de risco, a fim de subsidiar a avaliação e o tratamento de riscos. Inclui a apreciação das causas e fontes de riscos, suas consequências (positivas e negativas) e a probabilidade de ocorrência.

Question 19

Como o nível do risco é expresso na análise de riscos?

Answer 19

O nível do risco é expresso pela combinação da probabilidade de ocorrência do evento e das consequências resultantes caso o evento realmente ocorra. O resultado é uma classificação para a probabilidade e o impacto de cada risco identificado.

Question 20

Quais são os tipos de métodos de análise de riscos?

Answer 20

A análise de riscos pode ser qualitativa, semiquantitativa ou quantitativa, ou uma combinação destas.

Question 21

Explique os Métodos Qualitativos de Análise de Riscos.

Answer 21

Definem o impacto, a probabilidade e o nível de risco por qualificadores como “alto”, “médio” e “baixo”, com base na percepção das pessoas. São geralmente utilizados para uma avaliação inicial ou quando não se exige precisão quantitativa.

Question 22

Explique os Métodos Semiquantitativos de Análise de Riscos.

Answer 22

Usam escalas numéricas previamente convencionadas para mensurar a consequência e a probabilidade, que são combinados por meio de uma fórmula para produzir o nível de risco. As escalas podem ser lineares, logarítmicas ou de outros tipos.

Question 23

Explique os Métodos Quantitativos de Análise de Riscos.

Answer 23

Estimam valores para as consequências e suas probabilidades a partir de valores práticos e calculam o nível de risco com base em unidades específicas definidas no desenvolvimento do contexto. Necessitam de dados factuais, o que nem sempre é possível.

Question 24

O que é Nível de Risco Inerente (NRI)?

Answer 24

É o nível de risco antes da consideração das respostas que a organização adota para reduzir a probabilidade do evento ou seus impactos nos objetivos, incluindo controles internos. Resulta da combinação da probabilidade com o impacto.

Question 25

O que é Nível de Risco Residual?

Answer 25

É o risco que ainda permanece depois de considerado o efeito das respostas adotadas pela gestão para reduzir a probabilidade e o impacto dos riscos, incluindo controles internos e outras ações.

Question 26

O que é a Matriz de Risco (Matriz de Probabilidade/Consequência)?

Answer 26

É uma matriz que cruza dois eixos (consequências/impactos e probabilidades) para classificar os riscos. Permite visualizar o nível do risco (trivial, moderado, intolerável) com base na combinação de probabilidade (baixa, média, alta) e impacto (insignificante, moderado, catástrofe).

Question 27

Quais são as classificações dos riscos na Matriz de Risco (3x3)?

Answer 27

Triviais: A organização não precisa se preocupar. Moderados: Necessário que a organização analise e monitore as respostas. Intoleráveis: A organização deve evitar e buscar respostas para contorná-los.

Question 28

O que é "Apetite de Risco"?

Answer 28

É a quantidade de risco considerado aceitável pela organização.

Question 29

O que é a Avaliação de Riscos no processo de Gestão de Riscos?

Answer 29

É a comparação do nível de risco com os critérios estabelecidos no contexto, para determinar se o risco é aceitável ou tolerável, ou se algum tratamento é exigido. Seu objetivo é auxiliar na tomada de decisões sobre quais riscos necessitam de tratamento e a prioridade para sua implementação.

Question 30

Quais ações a Norma ISO 31000 sugere como "ação adicional" após a avaliação de riscos?

Answer 30

Fazer mais nada. Considerar as opções de tratamento de riscos. Realizar análises adicionais para melhor compreender os riscos. Manter os controles existentes. Reconsiderar os objetivos.

Question 31

O que é o Tratamento de Riscos?

Answer 31

É a identificação e seleção de alternativas de respostas aos riscos, através da escolha de uma ou mais opções que modifiquem o nível de cada risco. Envolve também a elaboração de planos de tratamento que proporcionam controles novos ou modificam os existentes.

Question 32

Quais são as principais opções de tratamento de riscos?

Answer 32

Evitar o risco: Decisão de não iniciar, descontinuar a atividade ou desfazer-se do objeto sujeito ao risco. Reduzir ou mitigar o risco: Adotar medidas para diminuir a probabilidade ou a consequência dos riscos, ou ambos. Compartilhar ou transferir o risco: Transferir ou compartilhar parte do risco, por exemplo, por meio de seguros ou terceirização. Aceitar ou tolerar o risco: Não tomar nenhuma medida para alterar a probabilidade ou a consequência do risco, geralmente porque está dentro do nível de tolerância da organização, a capacidade de ação é limitada ou o custo de ação é desproporcional ao benefício. Pode ser passivo ou ativo.

Question 33

Quais são as respostas positivas aos riscos (relacionadas a oportunidades)?

Answer 33

Prevenção e redução dos danos: Diminuição da probabilidade de ocorrência e/ou diminuição do impacto esperado. Capacitação: Avaliar a capacidade da organização de lidar com os riscos (identificar, antecipar, mensurar, monitorar e mitigar). Compartilhar: Alocar responsabilidade de uma oportunidade a um terceiro com maior capacidade de explorá-la. Melhorar: Maximizar a probabilidade de obter desfechos positivos. Explorar: Adotada para riscos com impactos positivos quando a organização deseja garantir que a oportunidade seja concretizada.

Question 34

O que é o Monitoramento e Análise Crítica no processo de Gestão de Riscos?

Answer 34

Corresponde à verificação, supervisão, observação crítica ou identificação da situação, executadas de forma contínua, para identificar mudanças no nível de desempenho requerido ou esperado.

Question 35

Quais são os objetivos do Monitoramento e Análise Crítica?

Answer 35

Detectar mudanças no contexto (externo e interno), nos critérios e no próprio risco, que podem requerer revisão dos tratamentos e prioridades, e identificar riscos emergentes. Obter informações adicionais para melhorar a política, a estrutura e o processo de gestão de riscos. Analisar eventos ("quase incidentes"), mudanças, tendências, sucessos e fracassos e aprender com eles. Assegurar que os controles sejam eficazes e eficientes no projeto e na operação.

Question 36

Qual o papel da Comunicação na Gestão de Riscos?

Answer 36

A comunicação são processos contínuos e iterativos que uma organização conduz para fornecer, compartilhar ou obter informações e se envolver em diálogo com as partes interessadas e outros, com relação ao gerenciamento de riscos. Ela permeia todo o processo de gestão de riscos e não é necessariamente uma etapa isolada.

Question 37

Quais são os Princípios da Gestão de Riscos, conforme a ISO 31000?

Answer 37

Cria e protege valor. É parte integrante de todos os processos organizacionais. É parte da tomada de decisões. Aborda explicitamente a incerteza. É sistemática, estruturada e oportuna. Baseia-se nas melhores informações disponíveis. É feita sob medida (alinhada ao contexto e perfil de risco). Considera fatores humanos e culturais. É transparente e inclusiva. É dinâmica, iterativa e capaz de reagir a mudanças. Facilita a melhoria contínua da organização.

Question 38

Quais são os Modelos de Gestão de Riscos mais cobrados pelas bancas?

Answer 38

Os modelos mais explorados são: COSO-IC (COSO I) COSO-ERM (COSO II) ISO 31000 INTOSAI - Guias GOV 9100 e GOV 9130 KING III - King Code of Governance Principles The Institute of Internal Auditors (IIA) - As Três Linhas de Defesa O Livro Laranja (The Orange Book) Ferma - Padrão de Gestão de Riscos ISACA/Cobit 5

Question 39

Qual o objetivo do modelo COSO-IC (COSO I)?

Answer 39

Publicado em 1992, o COSO-IC (Internal Control - Integrated Framework) tem como objetivo orientar as organizações quanto a princípios e boas práticas de controle interno, assegurando a produção de relatórios financeiros confiáveis e a prevenção de fraudes.

Question 40

Como o controle interno é definido no COSO-IC?

Answer 40

O controle interno é definido como "processo implementado pelos gestores para mitigar riscos e alcançar objetivos".

Question 41

Quais são as três "faces" visíveis que representam o modelo COSO-IC (COSO I)?

Answer 41

Face I (Tipos de Objetivos): Operacionais, assegurar relatórios financeiros confiáveis e assegurar conformidade legal/regulatória. Face II (Níveis da Estrutura Organizacional): Unidade, divisão, etc. Face III (Componentes): Ambiente de controle, análise de riscos, atividades de controle, informação e comunicação e monitoração.

Question 42

Qual o foco principal do COSO-IC?

Answer 42

O foco do COSO-IC está no processo de controle interno da organização, e a avaliação de riscos é apenas um componente. Não contempla todas as atividades e aspectos importantes para um processo completo de gestão de riscos.

Question 43

Qual o objetivo do modelo COSO-ERM (COSO II)?

Answer 43

O COSO-ERM (Enterprise Risk Management - Integrated Framework) tem como objetivo orientar as organizações no estabelecimento de um processo de gestão de riscos corporativos, abrangendo todo o escopo do COSO I e incorporando ferramentas complementares de gestão de riscos.

Question 44

Qual a principal diferença entre o COSO-IC e o COSO-ERM?

Answer 44

Enquanto o COSO-IC foca no controle interno, o COSO-ERM é mais abrangente, incorporando o COSO-IC e aplicando a gestão de riscos não só nas atividades operacionais, administrativas e de suporte, mas também nas atividades de planejamento estratégico da organização.

Question 45

Quais conceitos o COSO-ERM introduz?

Answer 45

O COSO-ERM introduz conceitos como: Apetite a risco: Montante de risco que a organização se dispõe a aceitar na criação de valor.

Question 46

Quais conceitos o COSO-ERM introduz?

Answer 46

O COSO-ERM introduz conceitos como: Apetite a risco: Montante de risco que a organização se dispõe a aceitar na criação de valor. Tolerância a riscos: Nível de variação aceitável no alcance de um certo objetivo.

Question 47

Quais foram as mudanças do COSO-ERM em sua atualização de 2017?

Answer 47

O COSO-ERM (2017) adotou princípios, simplificou definições, enfatizou o papel da cultura e melhorou o foco no valor. Destaca a importância de considerar os riscos no estabelecimento da estratégia e na melhoria da performance. Reduziu de oito para cinco os componentes da gestão de riscos.

Question 48

Quais são os cinco componentes do COSO-ERM (2017) para a gestão de riscos?

Answer 48

1. Governança e cultura 2. Estratégia e definição de objetivos 3. Desempenho 4. Revisão e correção 5. Informação, comunicação e reporte

Question 49

Qual o propósito da Norma ISO 31000 - Guia de Gestão de Riscos (publicada em 2009)?

Answer 49

Ela provê princípios e boas práticas para um processo de gestão de riscos corporativos, aplicável a organizações de qualquer setor, atividade e tamanho. É uma norma geral que serve como guia para gerenciar qualquer tipo de risco.

Question 50

Quais são os objetivos dos Guias INTOSAI - GOV 9100 (2004) e GOV 9130 (2007)?

Answer 50

O Guia GOV 9100 objetivou disponibilizar um modelo de controle interno no setor público e fornecer uma base para sua avaliação. O Guia GOV 9130 o complementou com informações adicionais. Estes guias adaptam os modelos COSO I e COSO II para uso no setor público.

Question 51

O que é o modelo KING III - King Code of Governance Principles?

Answer 51

É um modelo de governança corporativa da África do Sul que apresenta um modelo formalizado de "Governança dos riscos". Prevê a realização obrigatória de ao menos uma avaliação de riscos por ano e incorpora elementos de governança dos riscos de Tecnologia da Informação no sistema de governança de riscos corporativo.

Question 52

O que o The Institute of Internal Auditors (IIA) propõe em "As Três Linhas de Defesa no Gerenciamento Eficaz de Riscos e Controles"?

Answer 52

Publicado em 2012, este guia visa esclarecer os papéis e responsabilidades essenciais no gerenciamento de riscos e controle, dividindo-os em três linhas: Primeira Linha: Gerência operacional (gerenciam e têm propriedade de riscos). Segunda Linha: Funções de controle de riscos e supervisão de conformidade (supervisionam riscos). Terceira Linha: Auditoria interna (fornece avaliações independentes e objetivas).

Question 53

Qual a função principal da auditoria interna na abordagem das Três Linhas de Defesa?

Answer 53

Prover avaliações independentes sobre a eficácia da governança, do gerenciamento de riscos e dos controles internos, incluindo a forma como a primeira e a segunda linhas de defesa alcançam os objetivos de gerenciamento de riscos e controle.

Question 54

O que é O Livro Laranja (The Orange Book)?

Answer 54

É um guia publicado em 2001 pelo HM Treasury (Reino Unido) que provê um modelo de gestão de riscos. Ele auxilia no desenvolvimento de políticas institucionais sobre o tema e é aplicável em diversos níveis, desde a organização como um todo até projetos ou operações.

Question 55

Quais os tipos de apetite de risco que o Livro Laranja define?

Answer 55

Apetite de risco corporativo: Montante de risco aceitável, definido pela alta administração. Apetite de risco delegado: Semelhante ao anterior, mas definido no âmbito das unidades e divisões organizacionais. Apetite de risco de projeto: Definido para um projeto específico.

Question 56

Qual o objetivo do Ferma - Padrão de Gestão de Riscos?

Answer 56

O guia "Risk Management Standard", publicado em 2003 pela Ferma (Federation of European Risk Management Association), é resultado de um esforço para a adoção da gestão de riscos em diversas organizações, incluindo o setor público. Apresenta princípios e orientações para a gestão de riscos.

Question 57

O que é o ISACA/COBIT 5 em relação à gestão de riscos?

Answer 57

O COBIT é um framework para a governança e gestão de Tecnologia da Informação (TI). O modelo atual (COBIT 5) propõe um modelo completo para a governança e gestão corporativas de TI, apoiando na definição e alcance de objetivos de negócio relacionados com TI. Muitos de seus processos estão relacionados à gestão de riscos ("Garantir a otimização do risco" e "Gerenciar riscos"). A ISACA também publicou o guia "Cobit 5 for Risk" com práticas para gestão de riscos de TI.