Respostas
Resposta:
1. Estabelecimento do contexto
A primeira coisa a ser feita no estabelecimento do contexto é a listagem e um breve resumo dos objetivos organizacionais, pois são os riscos desses objetivos não serem atingidos que serão gerenciados. Feito isso é necessária a montagem da matriz SWOT que serve para mostrar o ambiente no qual os objetivos institucionais serão perseguidos.
A matriz SWOT nada mais é do que a sigla em inglês para S-Strengths (Forças), W-Weaknesses (Fraquezas), O-Opportunities (Oportunidades), T-Threats (Ameaças). Nesta matriz devem estar listadas as forças, as fraquezas, as oportunidades e as ameaças que possam influenciar no atingimento dos objetivos da instituição.
Por fim, é necessário estabelecer os parâmetros por meio dos quais os riscos serão gerenciados, como as escalas de probabilidade e impacto e a definição do apetite a risco, que é o nível de risco considerado como aceitável.
2. Identificação dos riscos
Feita a definição dos objetivos que a instituição pretende atingir, é hora de mapear quais os eventos de risco que podem impedir que estes objetivos sejam atingidos. Passamos para a etapa de identificação de riscos.
O Tribunal de Contas da União recomenda a abordagem top-down (de cima para baixo). Inicia-se por meio da listagem dos eventos de risco ligados aos objetivos institucionais e caminha-se para um maior nível de detalhamento, como o mapeamento dos eventos de riscos ligados aos processos críticos e depois dos eventos de riscos atrelados aos subprocessos dos processos críticos. A listagem caminha do macro para o micro.
Uma vez feito o mapeamento e listagem dos eventos de risco é necessário listar as possíveis causas e possíveis consequências de cada um desses eventos, para fecharmos a etapa de identificação de riscos.
3. Análise de risco
Tendo em vista que foram definidos e listados os eventos de riscos com suas possíveis causas e consequências, é hora de mensurarmos estes eventos de risco, por meio do cálculo do nível de risco.
O primeiro passo é o cálculo do nível de risco bruto, que é a probabilidade e o impacto de um evento de risco antes de implementada qualquer medida de controle. Depois é necessário mensurar a qualidade das medidas de controle existentes em barrar o risco bruto, fornecendo o risco residual, que é o que sobra do risco bruto após ser mitigado pela atividade de controle existente.
Uma vez calculado o risco residual, monta-se uma tabela em ordem decrescente do nível de risco residual de forma a deixar claro quais são os eventos de risco que prioritariamente devem ser tratados.
4. Avaliação de risco
Uma vez que os eventos de risco já foram mensurados, torna-se necessária a definição das medidas de tratamento que serão implementadas para cada um deles, sendo que os tratamentos possíveis são: aceitar, mitigar, transferir, evitar.
Ao lado de cada evento de risco deverá ser informado a forma de tratamento que será adotada, tendo por base o nível de risco residual e o apetite a risco definido na primeira etapa de definição do contexto.
5. Tratamento de risco
Tendo em vista que já houve a definição de qual tratamento será dado, é hora de definir como cada opção de tratamento será implementada. Agora é a hora de detalhar com exatidão a forma, o prazo e os responsáveis pelas medidas de tratamento definidas.
Por exemplo, se foi definido que o evento de risco será mitigado, deve ser respondido qual será a medida de controle que fará a mitigação, em que prazo a medida será implementada, quem será o responsável pela implementação, etc. Toda medida de tratamento deve vir com indicação do responsável por sua implementação, são os gestores do risco. Nenhum evento de risco pode ficar sem um responsável respectivo.
6. Monitoramento e análise crítica
Chegamos a etapa final do Processo de Gestão de Risco. Agora é hora de avaliar se tudo o que foi feito está saindo de acordo com planejado e de averiguar se não há necessidade de atualizações.