Guia de Gestão de

Riscos em Processos
Escritório de Processos Organizacionais

2022
 ii

Sumário

01 Introdução 02
Gestão de Riscos 02

04 Competências

Arcabouço Legal 05

06 Etapas da Gestão de Riscos

Framework 19

20 Referências

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 1

Introdução
Diante de todo o aperfeiçoamento de mecanismos de Capítulo IV - Dos Órgãos Específicos Singulares
governança demandados pela Administração, a gestão de Seção I - Da Superintendência de Governança, Gestão
riscos se destaca como um de seus principais componentes, Estratégica e de Pessoal
uma vez que atua no sentido de otimizar e aprimorar os
processos de tomada de decisão, com reflexos na melhor Art. 28. À Superintendência de Governança, Gestão
alocação de recursos e no aumento da eficiência e eficácia no Estratégica e de Pessoal compete:
tratamento das incertezas inerentes às atividades da (...)
organização. IV - coordenar e implantar ações visando o desenvolvimento
institucional, em especial a gestão de riscos, por processos,
A gestão de riscos no setor público brasileiro emerge em projetos, compliance e governança;
decorrência de demandas da sociedade pela eficácia,
eficiência e efetividade das instituições públicas na entrega de Isto posto, a publicação da Segunda Edição do Guia de Gestão
bens, serviços e resultados que representem respostas de Riscos configura-se, a partir de agora em um processo de
efetivas e úteis às necessidades de interesse público (BRASIL, início de consolidação onde gradualmente se aprimora a
2017). Nesse contexto, o desempenho das organizações capacidade de identificação de riscos em potencial e o
públicas em entregar valor e alcançar os seus objetivos de respectivo estabelecimento de respostas.
forma otimizada torna-se fundamental (BRASIL, 2018).
Por este motivo, a Gestão de Riscos possibilitará a percepção
No âmbito da Agência Nacional de Transportes Terrestres – do aumento da eficácia, da eficiência e da efetividade em
ANTT, esta prática se iniciou no ano de 2017, a partir dos processos da ANTT, buscando a melhor utilização de recursos,
estudos para elaboração da Política de Gestão de Riscos da a melhor gestão de seus processos e consequentemente
Agência Nacional de Transportes Terrestres - PGR/ANTT, aperfeiçoando os serviços ofertados aos cidadãos.
seguida da instituição do Comitê de Governança, Riscos e
Controle – CGRC [2]. Posteriormente foi estabelecida a
Metodologia de Avaliação e Tratamento de Riscos - MATR.

Diante desse contexto, o Guia para Gestão de Riscos – GR,

Linha do Tempo
constitui documento que contempla boas práticas em gestão
NBR ISO 31000:2009
de riscos e foi elaborado com o objetivo de consolidação de
todos os normativos internos atinentes ao tema, visando à IN CGU/MPOG n.º 1/2016
racionalização e à simplificação de todo o processo, com
Decreto n.º 9.203/2017
vistas ao desenvolvimento das ações da ANTT. Tal proposta
está atualizada e alinhada ao que dispõe o inciso IV do art. 28 Deliberação ANTT n.º 87/2017
do Regimento Interno da ANTT, aprovado por meio da Portaria ANTT n.º 310/2017
Resolução ANTT n. 5.976/2022, com o propósito de orientar o
Deliberação ANTT n.º 72/2019
gerenciamento de riscos em atividades de competência da
Autarquia. Portaria CGU 57/2019
Deliberação ANTT n.º 72/2019

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 2

Gestão de Riscos
Risco "Produtos e resultados gerados, preservados ou
entregues pelas atividades de uma organização que
As antigas civilizações gregas, romanas e judaicas representem respostas efetivas e úteis às necessidades
acreditavam que antever o futuro era um dom imputado ou às demandas de interesse público e modifiquem
apenas a oráculos os quais detinham o monopólio sobre todo aspectos do conjunto da sociedade ou de alguns grupos
específicos reconhecidos como destinatários legítimos
o conhecimento humano e a capacidade de realizar previsões
de bens e serviços públicos." (BRASIL, 2017)
sobre eventos futuros.

Como uma definição inicial, o risco é derivado da palavra

riscare de origem italiana, que traduz a percepção de
Princípios e Objetivos
evolução social, científica e tecnológica do ser humano em
ousar, raiz esta que possibilita uma escolha do homem e não De acordo com o que dispõe o Art. 2º da Deliberação nº 87,
um destino divinamente determinado. de 26 de abril de 2017, os princípios que orientam a gestão
de riscos na Agência Nacional de Transportes Terrestres –
ANTT, são:
“Quando investidores compram ações, cirurgiões
realizam operações, engenheiros projetam pontes, “Art. 2º A Política de Gestão de Riscos da ANTT tem
empresários abrem seus negócios e políticos por princípio geral a adoção das melhores práticas de
concorrem a cargos eletivos, o risco é um parceiro governança e gestão de riscos no âmbito da Agência,
inevitável. Contudo, suas ações revelam que o risco proporcionando um processo estruturado de gestão
não precisa ser hoje tão temido: administrá-lo tornou- de riscos, tendo como base a identificação, a
se sinônimo de desafio e de oportunidade” avaliação e o gerenciamento de riscos que possam
(BERNSTEIN, 1997) impactar a consecução dos objetivos organizacionais.”

Já os objetivos da Gestão de Riscos no âmbito da ANTT

Assim, o processo racional de enfrentar riscos mostrou ao estão presentes do Art. 3º da mesma Deliberação, quais
mundo como compreender, medir e avaliar suas sejam:
consequências, convertendo o ato de correr riscos em um
dos principais catalisadores do desenvolvimento. A partir Art. 3º São objetivos da gestão de riscos da ANTT:
dessa compreensão do risco consistir em uma maneira de se I - sistematizar os processos e as informações
relacionar com o futuro, as sociedades modernas levaram as relacionadas a riscos e controles, assegurando que os
organizações a uma maior exposição aos riscos bem como responsáveis pelas tomadas de decisão, em todos os
uma busca de administrá-los e explorá-los de uma forma níveis da ANTT, tenham informações suficientes para
adequada. que sejam identificadas oportunidades de ganhos e se
reduza a probabilidade e impactos das perdas;
Gestão de Riscos II - permitir que a Diretoria e os gestores possam
monitorar os aspectos relacionados aos riscos dos
respectivos processos e atividades sob sua
Entende-se por Gestão de Risco o processo contínuo responsabilidade;
estabelecido, direcionado e monitorado pela alta III - monitorar os controles da gestão de riscos sob os
administração, contemplando as atividades de identificação, aspectos da ética, economicidade, eficiência, eficácia
avaliação e gerenciamento de potenciais eventos que possam e efetividade;
afetar a organização com a finalidade de fornecer segurança
razoável à realização dos objetivos (BRASIL, 2017).

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 3

Gestão de Riscos
IV - integrar as informações relacionadas a riscos e Ser implantada por meio de ciclos de revisão e
controles de gestão ao processo do Planejamento melhoria contínua. A implantação da gestão de riscos
Estratégico da ANTT e outros processos institucionais; deve ser um processo gradual e progressivo, com
V - promover o constante aprimoramento dos revisões periódicas, a partir de mudanças
processos de tomada de decisão e do tratamento organizacionais e/ou no ambiente externo e dos
adequado dos impactos negativos decorrentes da resultados das avaliações do funcionamento do sistema
ocorrência de evento; e de gestão de riscos.
VI - aumentar a probabilidade de alcance dos objetivos
estratégicos da ANTT, reduzindo os riscos a níveis Considerar a importância dos fatores humanos e
aceitáveis. culturais. A percepção sobre os riscos e seus impactos
no alcance dos objetivos depende das características
Cabe destacar que os princípios elencados pelo Manual de das pessoas responsáveis pela gestão desses riscos e
da cultura de determinado órgão ou área da instituição
Gestão de Riscos do Tribunal de Contas da União – TCU, são
em que esses riscos são avaliados. Nesse sentido, uma
bastante semelhantes àqueles definidos para a gestão de
boa gestão de riscos deve considerar a influência dos
riscos da ANTT:
fatores humanos e da cultura organizacional na
identificação, na avaliação e no tratamento dos riscos.
Fomentar a inovação e a ação empreendedora O sucesso ou fracasso da gestão de riscos depende da
responsáveis. Ao realizar algo que nunca foi feito antes cultura organizacional.
ou que implique riscos, identificar, avaliar e tratar esses
riscos aumenta a chance de sucesso. Mesmo que a Ser dirigida, apoiada e monitorada pela alta
iniciativa não tenha sucesso por algum motivo, estará́ administração. A alta administração tem a
documentado que o gestor tinha consciência dos riscos responsabilidade de conduzir o processo de
e adotou as providências necessárias para mitigá-los, implantação, de manter o sistema funcionando com
o que demonstra uma gestão responsável. eficiência e economicidade.

Considerar riscos e, também, oportunidades A

oportunidade é também chamada de risco positivo,
Benefícios
pois constitui a possibilidade de um evento afetar Observados, portanto, as boas práticas de gerenciamento de
positivamente os objetivos. A boa gestão de riscos riscos, seus princípios e objetivos, vislumbram-se benefícios
deve, também, considerar as oportunidades, pois o à organização dentre os quais destacamos:
gestor precisa estar preparado para aproveitá-las.
Melhoria da governança e gestão institucional;
Aplicar-se a qualquer tipo de atividade ou projeto. A
Melhoria da eficiência institucional com a redução de
gestão de riscos pode ser aplicada a qualquer ação
perdas e custos;
organizacional que tenha um objetivo claro ou da qual
Melhoria dos controles internos da gestão;
resulte um produto ou serviço definido.
Assertividade na tomada de decisões e alocação de
Aplicar-se de forma contínua e integrada aos processos recursos;
de trabalho. Gerir riscos não pode ser uma atividade Redução da probabilidade de ocorrência de incidentes
esporádica e descasada do dia a dia do trabalho. Deve com impacto negativo;
ser uma atitude permanente, parte integrante do Melhoria do desempenho institucional;
processo decisório, desde que apresente relação Melhoria da conformidade com os requisitos legais e
custo-benefício favorável. normativos;
Melhoria na identificação de oportunidades e ameaças;
Maior adaptação às mudanças.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 4

Competências
Conforme disposto na Deliberação ANTT n.º 87/2017, por
meio da qual foi aprovada a política de Gestão de Riscos da
Agência Nacional de Transportes Terrestres, destacamos I - estabelecer as diretrizes, estratégia da organização e
inicialmente as competências e responsabilidades de todos os a Estrutura de Gestão de Riscos; e
atores envolvidos no processo de Gestão de Riscos da II - assegurar a efetividade da estratégia e da Estrutura
de Gestão de Riscos da organização.
Autarquia. Parágrafo Único. O Diretor-Geral se comprometerá com
a disponibilização dos recursos necessários para auxiliar
o Comitê de Governança, Riscos e Controle na
efetivação da Gestão de Riscos na ANTT.

I - assegurar a implementação da Gestão de Riscos na

ANTT;
II - instituir e nomear o Comitê de Governança, Riscos e
Controle.
Parágrafo único. O Comitê de Governança, Riscos e
Controle da ANTT será formalmente instituído, em
conformidade ao estabelecido no inciso II, no prazo

ETOR GERAL
máximo de até 60 dias a partir da publicação desta

DIR Deliberação.

IA COLE
TOR GIA I - elaborar e aprovar normas, metodologia, plano de

IRE DA comunicação, institucionalização e procedimentos

D NANÇA, RISC
complementares para a implantação e operacionalização
R O
das diretrizes previstas;
VE RGANIZ
II - elaborar, manter e aperfeiçoar o Processo de Gestão
O O A
de Riscos da ANTT.
ES
S
G

III - garantir a aderência do Processo de Gestão de

E C AIS

TÉ
PO CN
Riscos da ANTT às regulamentações, leis, códigos,
COMITÊ DE

CI
D

ONTROLE

normas e padrões, com vistas à condução das políticas

UNIDA

ON
COR

e à prestação de serviços de interesse público;

ICO

IV - nomear os gestores de risco quando do

impedimento do titular responsável pela Unidade
Organizacional;
V - propor indicadores de desempenho da gestão de
riscos no âmbito da ANTT;
VI - elaborar, aprovar e supervisionar a implementação
do Planejamento anual de Gestão de Riscos que venha a
priorizar processos, objetivos estratégicos ou temas a
serem avaliados de acordo com o Processo de Gestão
de Riscos da ANTT;
VII - participar, junto com as Unidades Organizacionais,
do Processo de Gestão de Riscos nas atividades e
processos aos quais ele for aplicado;
VIII - estabelecer limites de exposição aos riscos
residuais, bem como as responsabilidades dentro da
ANTT;
IX - promover a integração da Governança de Riscos
com o Planejamento Estratégico; e
X - realizar análises críticas periódicas acerca da Gestão
de Riscos na ANTT.

I - identificar e monitorar os riscos relativos às

atividades e processos sob sua responsabilidade de
acordo com metodologia do Processo de Gestão de
Riscos da ANTT;
II - propor, implementar e monitorar os controles
aplicados nas suas atividades de acordo com
metodologia do Processo de Gestão de Riscos da ANTT;
III - figurar como responsável pelo gerenciamento do
risco da unidade organizacional correspondente;
IV - coordenar a comunicação com as partes
interessadas acerca dos riscos sob sua
responsabilidade; e
V - propor ações para o aprimoramento da Gestão de
Riscos na ANTT.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 5

Arcabouço Legal

NBR ISO
31000:2009
Deliberação ANTT IN CGU/MPOG
n.º 72/2019 n.º 1/2016

Portaria ANTT Decreto n.º

n.º 310/2017 9.203/2017

Portaria CGU Deliberação ANTT

57/2019 n.º 87/2017

PROCESSOS

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 6

ETAPAS
GESTÃO DE RISCOS
As seis etapas para uma gestão de riscos adequada

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 7

Etapas da Gestão de Riscos

ESTABELECIMENTO DE CONTEXTO
1 Compreensão do ambiente externo e interno no qual o objeto de gestão de riscos se encontra
inserido.

2 AVALIAÇÃO DE RISCOS
Identificação e a descrição dos riscos relacionados aos objetivos e resultados envolvendo a
identificação de possíveis fontes de risco.

3 ANÁLISE DE RISCOS
Desenvolvimento da compreensão sobre o risco e à determinação do nível do risco

4 COMUNICAÇÃO E CONSULTA
Identificação das partes interessadas e ao compartilhamento de informações relativas à gestão de riscos

TRATAMENTO DE RISCOS
5 Planejamento e a realização de ações para modificar o nível do risco por meio de medidas de
resposta ao risco que mitiguem, transfiram ou evitem esses riscos

MONITORAMENTO E ANÁLISE CRÍTICA

6 Acompanhamento e a verificação do desempenho da gestão de riscos, podendo abranger a
política, as atividades, os riscos, os planos de tratamento de riscos, os controles e outros
assuntos de interesse

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 8

Etapas da Gestão de Riscos

ESTABELECIMENTO DE CONTEXTO
1 Compreensão do ambiente externo e interno no qual o objeto de gestão de riscos se encontra
inserido.

A etapa de Estabelecimento de Contexto consiste em

2
compreender o ambiente externo e interno no qual o objeto
de gestão de riscos se encontra inserido e em identificar
parâmetros e critérios a serem considerados no processo de
gestão de riscos.

§ 1º O Estabelecimento do Contexto refere-se à

definição dos parâmetros internos e externos da
organização e do contexto da gestão de riscos, metas,
objetivos, escopo e responsabilidades nas atividades
em que o processo será aplicado.
§ 2º A atividade de Estabelecimento do Contexto prevê
a classificação dos riscos nas seguintes categorias:
I - riscos externos: riscos sob os quais o gestor não
tem o devido controle e que envolvem o contexto
PRODUTO
externo, isto é, o ambiente no qual a ANTT está
inserida; Análise consolidada das diretrizes da ANTT baseada na gestão
II - riscos internos: riscos assumidos por vontade de riscos mediante a identificação das diretrizes prioritárias
própria, relativos ao negócio da ANTT, envolvendo o para se implementar a gestão de riscos.
contexto interno; e
III - riscos estratégicos: riscos decorrentes das
diretrizes definidas no Planejamento Estratégico
§ 3º Para cada categoria de riscos deverão ser 1.2. Definição e priorização das
definidos subgrupos até o nível que permita a unidades integrantes
identificação clara das fontes de risco e sua A partir da identificação das diretrizes institucionais
vulnerabilidade.
prioritárias, devem ser identificadas e definidas as
áreas/unidades integrantes dessas diretrizes para fins de
1.1. Identificação dos objetivos implementação da gestão de riscos. Os critérios de
institucionais priorização das unidades devem considerar os principais
processos desenvolvidos pelas unidades e o impacto desses
Para identificação dos objetivos institucionais serão
processos na respectiva diretriz institucional.
analisadas e priorizadas, a partir do enfoque da gestão de
riscos, as diretrizes institucionais da ANTT constantes no
Mapa Estratégico 2020-2030, de forma a promover o
alinhamento da gestão de riscos ao PDI 2018-2022 e ao
Planejamento Institucional. Essas diretrizes representam os
objetivos estratégicos da Autarquia para o período e
contribuem diretamente para o alcance da missão e visão
institucionais.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 9

Etapas da Gestão de Riscos

ESTABELECIMENTO DE CONTEXTO
1 Compreensão do ambiente externo e interno no qual o objeto de gestão de
riscos se encontra inserido.

2
PRODUTO
Processo autuado SEI com a formalização da demanda à
unidade, anuência do respectivo titular da unidade e a
formalização do gestor do risco

1.4. Identificação e priorização dos

processos críticos
Definida a equipe de trabalho, será́ realizada a Oficina de
PRODUTO identificação e priorização dos projetos e processos críticos
da unidade. Caso a gestão de riscos já esteja implementada
Análise consolidada das unidades integrantes do na unidae, a realização de uma nova oficina não é obrigatória
organograma da ANTT caracterizadas como prioritárias que mas recomendável. Neste caso, será uma ótima oportunidade
serão demandadas para implantação da gestão de riscos. para revisar e aprimorar o trabalho feito durante oficinas
anteriores.

As etapas 1.1. a 1.4 devem ser conduzidas pela Unidade

1.3. Formalização da demanda à unidade Organizacional responsável pelo processo de gestão de riscos
da ANTT conforme plano de trabalho próprio.
O próximo passo é formalizar às unidades definidas como
prioritárias a demanda de implementação da gestão de riscos,
Por meio de brainstorming, busca-se nessa etapa identificar
por meio de abertura de processo institucional no SEI. Deve-
os principais processos desenvolvidos pela unidade, analisar
se encaminhar as análises anteriores para subsidiar a
a criticidade dos mesmos e o impacto desses processos nos
demanda, solicitando anuência das chefias superior e
objetivos da Autarquia. Para os processos definidos como
imediata da unidade e a designação de servidores para
prioritários será realizada a avaliação, o tratamento e
compor a equipe de trabalho de gestão de riscos na
monitoramento dos riscos.
respectiva unidade.

Os servidores indicados devem atuar diretamente nos

processos desenvolvidos pela unidade e em aderência às
competências definidas pela Deliberação ANTT n.º 87/2017.

ARN
ESC TRTI O/ SDU
ITÓ ARR
E P O CTE S S O S O R G A N I Z A C I O N A I S ANTT/SUESP
 10

Etapas da Gestão de Riscos

ESTABELECIMENTO DE CONTEXTO
1 Compreensão do ambiente externo e interno no qual o objeto de gestão de
riscos se encontra inserido.

PRODUTO
Análise descritiva consolidada dos processos críticos
prioritários da unidade que serão avaliados sob a ótica da
gestão de riscos

1.5. Análise de contexto dos

processos críticos
Para subsidiar a identificação e análise dos riscos envolvidos
nos processos críticos prioritários da unidade, será realizada
a Oficina de análise de contexto dos processos críticos.
Busca-se nessa etapa a identificação do contexto interno e
externo em que cada processo está inserido, de forma a
identificar alguns controles já existentes, oportunidades de
melhoria, deficiências dos processos e ameaças externas às
atividades que compõem o processo. Essa análise busca
facilitar a identificação dos riscos do processo.

PRODUTO
Matriz SWOT para cada processo e projeto identificados
como críticos.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 11

Etapas da Gestão de Riscos

AVALIAÇÃO DE RISCOS
2 Identificação e a descrição dos riscos relacionados aos objetivos e resultados
envolvendo a identificação das respectivas fontes de risco.

2
A etapa de Avaliação de Riscos compreende o Podem estar associadas a deficiências nos processos, nos
reconhecimento e a descrição dos riscos relacionados aos recursos e na infraestrutura disponíveis, na estrutura
objetivos e resultados de um objeto de gestão de riscos, organizacional ou em aspectos econômicos, sociais, políticos,
envolvendo a identificação de possíveis fontes de riscos. entre outros. Assim, as causas são definidas com base em
uma FONTE (material, circunstancial, temporal) e em uma
2.1. Identificação dos eventos de
VULNERABILIDADE (inexistências, inadequações ou
risco
deficiências na fonte).
Os riscos caracterizam-se pela possibilidade de ocorrência de
eventos que possam impactar o cumprimento de objetivos. PRODUTO
Esses eventos por sua vez podem ser definidos a partir da
ocorrência ou mudança em um conjunto de circunstâncias, Preenchimento do template de gestão de risco do processo.
podendo originar-se de uma ou várias causas ou resultar em
consequências únicas ou diversas (BRASIL, 2016). Dessa
forma, os riscos de um processo são definidos a partir dos
eventos de risco, ou seja, de situações, fatos ou
circunstâncias que podem ou não ocorrer e impactar os
objetivos do processo e consequentemente os objetivos da 2.3. Identificação dos efeitos do
Autarquia. Nessa primeira etapa, serão considerados os risco
eventos de riscos sem a avaliação prévia dos controles
Após identificar as causas dos eventos, busca-se analisar
internos já existentes, ou seja, serão identificados os riscos
quais os impactos e/ou resultados da materialização dos
inerentes ao processo.
eventos sobre os objetivos do processos e institucionais. Os

PRODUTO impactos podem ocorrer nas seguintes dimensões:

cronograma e prazos, financeira, qualidade, escopo, imagem
Preenchimento do template de gestão de risco do processo. e reputação, entre outros. A partir da identificação dos efeitos
do risco é possível estabelecer controles que visam diminuir o
impacto ou resultados da materialização desses eventos nos
processos e objetivos institucionais.

PRODUTO
2.2. Identificação das causas do
risco Preenchimento do template de gestão de risco do processo.

Após identificar os eventos de risco será realizado o

diagnóstico das CAUSAS desses eventos. As causas
constituem-se em fatores individuais ou agregados que
podem dar origem ou contribuir para a ocorrência do evento.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 12

Etapas da Gestão de Riscos

AVALIAÇÃO DE RISCOS
2 Identificação e a descrição dos riscos relacionados aos objetivos e
resultados envolvendo a identificação das respectivas fontes de risco.

2
2.4. Definição das categorias de RISCO LEGAL: eventos derivados de alterações legislativas ou
risco normativas que podem comprometer as atividades do órgão
ou entidade;
Em conformidade com o art. 18 da IN Conjunta MP/CGU
RISCO FINANCEIRO/ORÇAMENTÁRIO: eventos que podem
01/2016, ao efetuar a identificação e avaliação dos riscos,
comprometer a capacidade do órgão ou entidade de contar
devem ser consideradas algumas categorias de risco de
com os recursos orçamentários e financeiros necessários à
forma a contribuir para avaliação mais objetiva do impacto
realização de suas atividades, ou eventos que possam
nos objetivos institucionais. Dessa forma, os riscos podem
comprometer a própria execução orçamentária, como atrasos
ser classificados quanto às seguintes categorias:
no cronograma de licitações; e,
ORIGEM DO RISCO RISCOS DE INTEGRIDADE: risco associado a eventos que
RISCO EXTERNO: associado ao ambiente onde a Autarquia podem afetar a probidade da gestão dos recursos públicos e
atua. Em geral, a Agência não possui controle direto sobre os das atividades da organização, causados pela falta de
eventos relacionados a esse risco. Apesar disso, ações honestidade e desvios éticos.
podem ser tomadas quando necessário;
RISCO INTERNO: associado à própria estrutura da ANTT, seus PRODUTO
processos, governança, quadro de pessoal, recursos, entre
outros. A Agência pode e deve agir diretamente de forma Preenchimento do template de gestão de risco do projeto ou
proativa. do processo.

CONTROLE DO RISCO
RISCO INERENTE: aquele a que a Agência está exposta sem
considerar quaisquer controles internos que possam reduzir a
probabilidade de sua ocorrência ou seu impacto; 2.5. Nomeação do gestor de risco
RISCO RESIDUAL: risco a que a Autarquia está exposta após a
implementação de controles internos para o tratamento do Como último passo da etapa de avaliação de riscos, serão
risco. nomeados os gestores de risco para cada um dos riscos de
projetos e processos mapeados.
TIPO DO RISCO
RISCO OPERACIONAL: eventos que podem comprometer as O gestor de risco será responsável por:
atividades do órgão ou entidade, normalmente associados a orientar e acompanhar as ações de mapeamento,
falhas, deficiência ou inadequação de processos internos, avaliação e mitigação dos riscos;
pessoas, infraestrutura e sistemas; assegurar o gerenciamento dos riscos de seus processos
RISCO DE IMAGEM/REPUTAÇÃO: eventos que podem de acordo com a política de gestão de riscos da ANTT;
comprometer a confiança da sociedade (ou de parceiros, de monitorar os riscos ao longo do tempo para manutenção
clientes ou de fornecedores) em relação à capacidade do dos mesmos em níveis adequados;
órgão ou da entidade em cumprir sua missão institucional; garantir a disponibilidade de informações sobre os riscos
em todos os níveis da Autarquia.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 13

Etapas da Gestão de Riscos

ANÁLISE DE RISCOS
3 Desenvolvimento da compreensão sobre o risco e à determinação do nível do
risco

2
A etapa de Análise de Riscos se refere ao desenvolvimento da 3.4. Nível de risco inerente
compreensão sobre o risco e à determinação do nível do
risco. O nível de risco inerente (NRI) é o produto da probabilidade
(P) e do Impacto (I).
3.1. Introdução à análise de riscos
A análise de riscos é o processo de compreensão da natureza Inicialmente, o nível de risco é determinado sem levar em
do risco e determinação do nível de risco a partir da consideração os controles internos que podem reduzir a
identificação de sua probabilidade de ocorrência e do nível de probabilidade ou impacto dos riscos identificados.
potencial impacto em caso de materialização do risco (ABNT,
2018). Dessa forma, é possível observar o nível de risco inerente ao
processo e a mudança do nível de risco após a aplicação dos
A análise de riscos compreende a seguinte relação: controles.

RISCO = PROBABILIDADE X IMPACTO NRI = PROBABILIDADE X IMPACTO

3.2. Análise de probabilidade de A classificação das Probabilidades e dos Impactos de cada

risco evento de risco será realizada de acordo com os critérios
abaixo descritos e sua respectiva ponderação será
A probabilidade do risco representa a chance ou a
estabelecida na gradação de 1 a 5.
possibilidade do risco se materializar.

3.3. Análise de impacto do risco

O impacto do risco representa o efeito ou o resultado da
materialização dos riscos no processo e nos objetivos que se
pretende alcançar.

AMEAÇAS OPORTUNIDADES
MUITO
MÉDIA MÉDIA ALTA ALTA ALTA BAIXA BAIXA BAIXA MÉDIA MÉDIA
ALTA
PROBABILIDADE

ALTA BAIXA MÉDIA MÉDIA ALTA ALTA BAIXA BAIXA MÉDIA MÉDIA ALTA

MODERADA BAIXA BAIXA MÉDIA ALTA ALTA BAIXA BAIXA MÉDIA ALTA ALTA

BAIXA BAIXA BAIXA MÉDIA MÉDIA ALTA BAIXA MÉDIA MÉDIA ALTA ALTA

MUITO
BAIXA BAIXA BAIXA BAIXA MÉDIA MÉDIA ALTA ALTA ALTA ALTA
BAIXA

MUITO MUITO MUITO MUITO

BAIXO MODERADO ALTO ALTO MODERADO BAIXO
BAIXO ALTO ALTO BAIXO

IMPACTO

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 14

Etapas da Gestão de Riscos

ANÁLISE DE RISCOS
3 Desenvolvimento da compreensão sobre o risco e à determinação do nível do
risco

PROBABILIDADE GRADAÇÃO DESCRIÇÃO

Nessa etapa, será realizada a identificação dos controles
internos já existentes no tocante ao processo em análise.
Evento pode ocorrer apenas em circunstâncias excepcionais ou ainda não
Muito Baixa 1 foi verificado na execução do processo Dessa forma, devem ser apontadas as ações, os
procedimentos, as políticas, os dispositivos e as demais
Evento pode ocorrer em algum momento ou já ocorreu algumas poucas
Baixa 2
vezes durante a execução do processo práticas adotadas que ajudam a garantir o alcance das
Evento deve ocorrer em algum momento ou se verifica com certa
diretrizes institucionais e dos objetivos do processo (COSO,
Moderada 3
recorrência durante a execução do processo
2013).
Evento provavelmente ocorra na maioria das circunstâncias ou ocorre
Alta 4 com bastante frequência quando o processo é executado
3.6. Avaliação dos controles
Evento esperado que ocorra na maioria das circunstâncias ou ocorrer
Muito Alta 5 quase todas as vezes em que o processo é executado Após a identificação dos controles internos, torna-se
necessário avaliar os mesmos no tocante aos objetivos do
IMPACTO GRADAÇÃO DESCRIÇÃO
projeto ou processo. Para isso, serão utilizados fatores de
avaliação do nível de efetividade dos controles internos em
Muito Baixo 1
O impacto do evento sobre objetivos do processo é insignificante
função do seu desenho e do controle estabelecido, qando
houver:
Baixo 2 Evento pouco afeta o alcance dos objetivos do processo

NÍVEL FATOR DESCRIÇÃO

Evento dificulta o alcance de objetivos do processo e causa impacto
Moderado 3 moderado em termos de custo, prazo ou qualidade, porém recuperável

Inexistente 1 Controle inexistente ou mal implementado

Evento ameaça o sucesso de objetivos do processo e causa impacto
Alto 4 substancial em termos de custo, prazo ou qualidade, de difícil reversão

Controles em andamento com ações caso a caso e baseado na confiança

Fraco 0,8
das pessoas
Evento causa impactos irreversíveis em objetivos do processo
Muito Alto 5

Para algumas causas há controle efetivo para mitigação do risco, porém
Mediano 0,7
para outras não há controle

O nível de risco será classificado de acordo com os limites

Há controles implementados com ações adequadas que mitigam os
abaixo: Satisfatório 0,5
riscos, porém requer melhoria

Crítico – entre 15 e 25 (vermelho) Forte 0,4

Açõe mitigadoras de risco em todos os aspectos relevantes com controles
consolidados
Alto – entre 7 e 14 (laranja)
Moderado – entre 4 e 6 (amarelo) 3.7. Nível de risco residual
Baixo – entre 1 e 3 (verde)
Após a avaliação dos controles internos, observa-se que as
3.5. Identificação dos controles medidas já adotadas podem contribuir para a redução dos
existentes níveis de probabilidade e impacto dos riscos identificados no
processo.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 15

Etapas da Gestão de Riscos

ANÁLISE DE RISCOS
3 Desenvolvimento da compreensão sobre o risco e à determinação do nível do
risco

Dessa forma, ao considerar os controles implementados em

projetos e processos, o risco inerente pode sofrer alterações, PRODUTO
tornando-se necessário uma nova avaliação do nível de risco,
Matriz de Nível de Riscos de projetos e processos
denominado nível de risco residual (NRR).
identificados como críticos no âmbito da Agência.

Para o cálculo do risco residual considera-se o produto do

nível de risco inerente (NRI) e o fator de avaliação dos
controles (FA).

RISCO RESIDUAL = NRI x FA

3.8 Matriz de nível de risco

A matriz de nível de risco representa graficamente a
magnitude dos riscos de acordo com o seu nível de risco
residual, resultante da análise da probabilidade, do impacto e
da efetividade dos controles atuais.

A análise da matriz de riscos fornece subsídios para a

definição das respostas aos riscos identificados e para o
estabelecimento de ações de tratamento dos riscos.

5 5 10 15 20 25

4 4 8 12 16 20
PROBABILIDADE

3 3 6 9 12 15

2 2 4 6 8 10

1 1 2 3 4 5

1 2 3 4 5

IMPACTO

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 16

Etapas da Gestão de Riscos

COMUNICAÇÃO E CONSULTA
4 Identificação das partes interessadas e o compartilhamento de informações
relativas à gestão de riscos

A Etapa de Comunicação e Consulta abrange a identificação A atividade de Comunicação e Consulta se refere, portanto,

2
das partes interessadas e o compartilhamento de ao fluxo de informações que deve abranger as partes
informações relativas à gestão de riscos sobre determinado interessadas, tanto interna quanto externamente, durante
objeto, observada a classificação da informação quanto ao todas as fases do Processo de Gestão de Riscos, de maneira
sigilo. a proporcionar a exata compreensão dos fundamentos das
decisões e as razões pelas quais ações específicas são
Conforme dispõe a Política de Gestão de Riscos da Agência, requeridas.
um dos principais objetivos da Gestão de Riscos da ANTT é
assegurar que os responsáveis pela tomada de decisões, em PRODUTO
todos os níveis institucionais, tenham acesso tempestivo a
informações relativas aos riscos aos quais a ANTT encontra- Hotsite da Gestão de Riscos da Agência atualizado e Painéis
se exposta. para consultas por interessados com informações atualizadas;

[Link]

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 17

Etapas da Gestão de Riscos

TRATAMENTO DE RISCOS
5 Planejamento e a realização de ações para modificar o nível do risco por meio de
medidas de resposta ao risco que mitiguem, transfiram ou evitem esses riscos

2
A Etapa de Tratamento de Riscos compreende o planejamento O Plano de Gestão de Riscos de Processos deverá ter no
e a realização de ações para modificar o nível do risco, o qual mínimo os seguintes componentes:
pode ser modificado por meio de medidas de resposta ao
risco que mitiguem, transfiram ou evitem esses riscos. a) Descrição das ações em ordem de prioridade;
5.1. Plano de Gestão de Riscos de b) Tipo de ação:
Processos preventiva;
mitigadora;
O tratamento de riscos abrange o planejamento e a execução
contingencial.
de ações preventivas, mitigadoras ou contingenciais, que
c) Responsável pela implementação das ações;
resultem na diminuição da probabilidade e/ou do impacto dos
d) Descrição de como serão implementadas;
riscos identificados, caso estes se materializem. Para a
e) Indicação dos responsáveis;
definição dessas ações, devem ser considerados
f) Prazo: início e término;
os seguintes aspectos:

AVALIAÇÃO DO CUSTO-BENEFÍCIO PRODUTO

Plano de Gestão de Riscos de Processos
As ações devem ser proporcionais à probabilidade e ao
impacto do risco, levando-se em consideração o custo de
implementação da ação proposta e os resultados pretendidos.

Alguns riscos podem resultar em ações que não são

economicamente justificáveis ou até mesmo incorrer em
riscos secundários;

MELHORIA EM CONTROLES JÁ EXISTENTES:

as ações podem visar a melhoria de controles já existentes de

forma a evitar a criação de novos controles;

EXTINÇÃO DE CONTROLES SEM EFETIVIDADE:

Deve-se avaliar a possibilidade de extinção de controles em

excesso ou sem efetividade.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 18

Etapas da Gestão de Riscos

MONITORAMENTO E ANÁLISE CRÍTICA
6 Acompanhamento e a verificação do desempenho da gestão de riscos, podendo
abranger a política, as atividades, os riscos, os planos de tratamento de riscos,
os controles e outros assuntos de interesse

A Etapa de Monitoramento e Análise Crítica compreende o

2
acompanhamento regular de todas atividades do Processo de
Gestão de Riscos, e identificação de oportunidades de
melhoria do referido processo.

O acompanhamento e a verificação do desempenho ou da

situação de elementos da gestão de riscos deve abranger a
política, as atividades, os riscos, os planos de tratamento de
riscos, os controles e outros assuntos relacionados a
atividade.

O monitoramento da gestão de riscos possui as seguintes

finalidades:

Detectar mudanças no contexto interno e externo que

podem impactar nos riscos aos quais a Agência está
exposta;
Identificar alterações nos critérios de risco e nos próprios
riscos, abrangendo a revisão dos mesmos e das
prioridades estabelecidas;
Avaliar o aprendizado e a maturidade institucional de
forma a identificar pontos de melhoria no processo de
gestão de riscos;
Garantir que os controles vigentes sejam eficazes e
eficientes;
Identificar novos riscos;
Garantir o estabelecimento de níveis adequados de
exposição ao risco, de forma a contribuir para o alcance
dos objetivos institucionais.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 19

Framework
DIRETOR GERAL
DIRETORIA COLEGIADA

COMITÊ DE RISCO UNIDADES ORGANIZACIONAIS GESTRORES DE RISCO

GOVERNANÇA DA GESTÃO DE RISCOS

1 ESTABELECIMENTO DE CONTEXTO

Definir
estratégia de
Atuação
Gerenciar
portfólio de 2 AVALIAÇÃO DE RISCOS
riscos

Avaliar nível de
3 ANÁLISE DE RISCOS
maturidade em
gestão
de riscos Atualizar
arcabouço
4 COMUNICAÇÃO E CONSULTA
legal
Atualizar Plano
Anual de Gestão 5 TRATAMENTO DE RISCOS
de Riscos em
Processos

6 MONITORAMENTO E ANÁLISE CRÍTICA

GESTÃO DE RISCOS

LEVANTAMENTO DE GESTÃO DE RISCOS

TOMADA DE DECISÃO
EVIDÊNCIAS ACESSÍVEL E TRANSPARENTE

RESULTADOS

CADEIA DE VALOR

POLÍTICA DE GESTÃO DE RISCOS

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP

 20

Referências
BRASIL. Controladoria-Geral da União. Metodologia de gestão de riscos. Brasília, 2018. Disponível em:
<[Link] riscos>
BRASIL. Controladoria-Geral da União. Portaria no 57, de 4 de janeiro de 2019. Altera a Portaria CGU no 1.089, de 25 de abril
de 2018, que estabelece orientações para que os órgãos e as entidades da administração pública federal direta, autárquica e
fundacional adotem procedimentos para a estruturação, a execução e o monitoramento de seus programas de integridade e
dá outras providências. Brasília, 2019.
BRASIL. Decreto 9.203, de 22 de novembro de 2017. Dispõe sobre a política de governança da administração pública federal
direta, autárquica e fundacioanal. Brasília, 2017.
BRASIL. Ministério do Planejamento, Desenvolvimento e Gestão. Manual de Gestão de Integridade, Riscos e Controles
Internos da Gestão. Brasília, 2017. Disponível em: <[Link]

2
interno/manual-de-girc/viewf>
BRASIL. Ministério do Planejamento, Orçamento e Gestão e Controladoria-Geral da União. Instrução Normativa Conjunta no
1, de 10 de maio de 2016. Dispõe sobre controles internos, gestão de riscos e governança no âmbito do Poder Executivo
Federal. Brasília, 2016.
BRASIL. Tribunal de Contas da União. 10 passos para a boa gestão de riscos. Brasília, 2018. Disponível em:
<[Link]
riscos/>
BRASIL. Tribunal de Contas da União. Gestão de Riscos: Avaliação da Maturidade. Brasília, 2018. Disponível em:
<[Link] /gestao-de-riscos/>
BRASIL. Tribunal de Contas da União. Manual de Gestão de Riscos do TCU. Brasília, 2018. Disponível em:
<[Link]
BRASIL. Tribunal de Contas da União. Referencial básico de Gestão de Riscos. Brasília, 2018. Disponível em
<[Link] de-riscos/>.
BRASIL. Tribunal de Justiça do Distrito Federal e Territórios. Guia de Gestão de Riscos e Controles do TJDFT. Brasília, 2019.
Disponível em: <[Link] /governanca-e-gestao-estrategica/gestao-de-
riscos/[Link]>
BRASIL. Universidade de Brasília. Guia de Gestão de Riscos, 2020. Disponível em:
<[Link]
BRASIL. Universidade de Brasília. Conselho de Administração. Resolução no 0004/2019, de 25 de março de 2019. Dispõe
sobre Governança, Gestão de Riscos e Controles Internos no âmbito da Universidade de Brasília - UnB. Brasília: Conselho de
Administração, 2019. Disponível em: <[Link]
INTERNATIONAL ELECTROTECHNICAL COMMISSION - IEC. ISO/IEC 31010: Risk management - Risk assessment techniques.
Genebra, 2019.
THE COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION - COSO. Internal Control: Integrated
Framework, COSO, 2013. Disponível em: <[Link]
[Link]>.
THE COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION - COSO. Enterprise Risk
Management: Integrating with Strategy and Performance: Executive Summary. COSO, 2017. Disponível em:
<[Link] [Link]>
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS - ABNT. NBR ISO 31000: Gestão de Riscos - Diretrizes. Rio de Janeiro,
2018.

ESCRITÓRIO DE PROCESSOS ORGANIZACIONAIS ANTT/SUESP