Manual de Gestão

de Riscos de
Processos
2024

Metodologia de Gestão
de Riscos da ANEEL

Comitê de Governança, Riscos e Controle

CGRC/ANEEL
Comitê de Governança, Riscos e Controles – CGRC

Presidência

Sandoval de Araújo Feitosa Neto - Diretor-Geral da ANEEL

Membros

Marcos Bragatto - Ouvidoria - OUV

Andréa Campos Reis - Corregedoria - CRG

Leonardo Marotta Gardino - Auditoria Interna - AIN

Daniel Cardoso Danna - Secretaria-Geral - SGE

Joseanne Carla de Aguiar Santos - Superintendência de Gestão de Pessoas - SGP

Secretaria Executiva

Mariana de Almeida Maciel Garcia - Gabinete do Diretor-Geral - GDG

Sumário
1. OBJETIVO DO DOCUMENTO ........................................................................................................ 4
2. PÚBLICO-ALVO ............................................................................................................................ 4
3. REFERÊNCIAS TÉCNICAS E MELHORES PRÁTICAS ......................................................................... 4
4. CONTEXTUALIZAÇÃO SOBRE GERENCIAMENTO DE RISCOS ......................................................... 5
5. DESCRIÇÃO DA METODOLOGIA DE GESTÃO DE RISCOS ............................................................... 8
Fase 1. Alinhamento Estratégico......................................................................................... 9
1.1. Definição de Apetite e Tolerância ao Risco ........................................................................... 9
1.2 Identificação dos Processos Críticos .................................................................................... 11
Fase 2. Planejamento da Gestão de Riscos ....................................................................... 15
2.1. Nivelamento Conceitual e detalhamento da metodologia .................................................. 16
2.2 Análise Situacional do Processo........................................................................................... 16
Fase 3. Identificação de Riscos .......................................................................................... 18
3.1 Listagem, Definição e Classificação dos Riscos ..................................................................... 18
3.2 Identificação dos Fatores de Riscos ..................................................................................... 21
3.3 Identificação da Relevância dos Fatores de Riscos ............................................................... 24
3.4 Matriz da Relevância dos Fatores de Riscos ......................................................................... 26
3.5 Levantamento dos Controles............................................................................................... 28
Fase 4. Análise e Avaliação de Riscos Inerentes ................................................................ 29
4.1 Probabilidade x Impacto - Inerente ..................................................................................... 30
4.2 Matriz de Riscos - Inerente .................................................................................................. 36
4.3 Nível de Riscos - Inerente .................................................................................................... 37
Fase 5. Análise e Avaliação de Riscos Residuais ................................................................ 39
5.1 Avaliação dos Controles ...................................................................................................... 40
5.2 Probabilidade x Impacto – Residual ..................................................................................... 41
5.3 Matriz de Riscos - Residual .................................................................................................. 43
5.4 Nível de Riscos - Residual .................................................................................................... 44
Fase 6. Respostas aos Riscos............................................................................................. 46
6.1 Plano de Ação ..................................................................................................................... 47
Fase 7. Monitoramento e Análise Crítica .......................................................................... 49
7.1 Estabelecimento dos Indicadores ........................................................................................ 50
7.2 Execução do monitoramento e Acompanhamento dos Indicadores .................................... 52
7.3 Elaboração de Relatórios Executivos ................................................................................... 52
7.4 Reunião de Análise Crítica ................................................................................................... 53
7.5 Retroalimentação e Aprendizado do processo de Gestão de Riscos Estratégicos................. 53
6. SIGLAS ...................................................................................................................................... 54
7. GLOSSÁRIO ............................................................................................................................... 54
1. OBJETIVO DO DOCUMENTO
Este documento visa estabelecer a metodologia para gerenciamento dos riscos de processos
organizacionais instituídos na Agência Nacional de Energia Elétrica – ANEEL, com vistas ao atingimento
dos seus objetivos para cumprimento de sua missão institucional.

2. PÚBLICO-ALVO
Coordenadores de processos organizacionais, responsáveis pelas ações de monitoramento e controle,
lideranças das unidades organizacionais, bem como todos os servidores e colaboradores que
contribuem para atingir os objetivos da ANEEL.

3. REFERÊNCIAS TÉCNICAS E MELHORES PRÁTICAS

Para desenvolvimento deste Manual, foram utilizados como referência teórica os seguintes
documentos:
 Decreto nº 9.203, de 22 de novembro de 2017, que dispõe sobre a política de governança da
administração pública federal direta, autárquica e fundacional;
 Curso EAD da ENAP: Gestão de Riscos em Processos de Trabalho (Segundo o COSO).
[Link]
 COSO II. ERM - Enterprise Risk Management, 2017;
 ABNT NBR ISO 31.000: 2018, Gestão de Riscos - Diretrizes;
 ABNT NBR ISO 31010: 2012, Gestão de Riscos - Técnicas para o processo de avaliação de riscos;
 IBGC. Cadernos de Governança Corporativa. Gerenciamento de Riscos Corporativos - Evolução
em Governança e Estratégia, 2017 - Caderno nº 19 Publicado em maio de 2017;
 Referencial Básico de Governança - TCU - 2ª versão;
 Instrução Normativa Conjunta CGU/MP nº 01, de 10/5/2016;
 Guia do GesPública sobre Orientação para Gerenciamento de Riscos.
 Declaração de Posicionamento do IIA - Instituto dos Auditores Internos: As Três Linhas de
Defesa no Gerenciamento Eficaz de Riscos e Controles.
 Modelo das três linhas do IIA 2020, uma atualização do modelo das três linhas de defesa.
 Manual de Gestão de Integridade, Riscos e Controles Internos da Gestão - Ministério do
Planejamento, Desenvolvimento e Gestão - MP - Assessoria Especial de Controles Internos -
AECI 31/01/2017.
 Brasiliano, Antonio Celso Ribeiro Brasiliano. Inteligência em Riscos - Gestão Integrada em
Riscos Corporativos. São Paulo: Sicurezza, 2017.
 Portaria - SEGECEX Nº 2 - TCU, de 22 de janeiro de 2018.
4. CONTEXTUALIZAÇÃO SOBRE GERENCIAMENTO DE RISCOS
Um risco é qualquer ação ou efeito, desconhecido ou incerto, que possa impedir o alcance de um
objetivo. De acordo com a Norma ISO 31.000: 2018 risco é o efeito da incerteza nos objetivos. Um
risco é qualificado pela probabilidade da ocorrência e pelo impacto que pode causar no processo, caso
ocorra.

Segundo o Decreto nº 9.203, de 2017, a gestão de riscos é um processo de natureza permanente,

estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de
identificar, avaliar e gerenciar potenciais eventos que possam afetar a organização, destinado a
fornecer segurança razoável quanto à realização de seus objetivos. Assim, a gestão de risco aumenta
a possibilidade de se alcançar o objetivo do processo a partir do reforço de seus controles internos.

Conforme estabelece a Norma ABNT NBR ISO 31.000, o gerenciamento de riscos baseia-se em
princípios que norteiam sua atuação, uma estrutura básica para seu funcionamento e uma
organização do seu processo para favorecer sua atuação eficiente, eficaz e consistente, conforme
figura abaixo.

Figura 1 - Conjunto de princípios, organização do processo e estrutura de funcionamento da Gestão de Riscos - Norma
ABNT NBR ISO 31.000.
O conjunto de princípios, estrutura e etapas do processo da Gestão de Riscos está descrito também
no Comitê de Organizações Patrocinadoras da Comissão Treadway – COSO, conforme quadro abaixo:

5 Componentes e 20 princípios do COSO ERM 2017

COMPONENTES PRINCÍPIOS
1. Supervisão do risco
2. Estabelecimento de estruturas operacionais
A - GOVERNANÇA E CULTURA 3. Definição de cultura desejada
4. Compromissos com os valores fundamentas
5. Atração, desenvolvimento e retenção de pessoas capazes
6. Análise do contexto de negócios
B - ESTRATÉGIA E DEFINIÇÃO DE 7. Definição do apetite a risco
OBJETIVOS 8. Avaliação de estratégias alternativas
9. Formulação de objetivos do negócio
10. Identificação do risco
11. Avaliação da severidade do risco
C - DESEMPENHO E PERFORMANCE 12. Priorização dos riscos
13. Implementação de respostas aos riscos
14. Adoção de visão integrada
15. Avaliação de mudanças relevantes
D - ANÁLISE E REVISÃO 16. Análise de riscos e performances
17. Busca do aprimoramento e gerenciamento dos riscos
18. Alavancagem dos sistemas de informação
E - INFORMAÇÃO, COMUNICAÇÃO E
19. Comunicação das informações sobre riscos
DIVULGAÇÃO
20. Divulgação de informações de riscos, cultura e performance
Figura 2 - Componentes e princípios do COSO ERM 2017.

De forma a padronizar os procedimentos necessários para avaliação e monitoramento dos riscos,

entende-se como relevante o nivelamento dos conceitos e a organização dos procedimentos,
composto por um processo estruturado, atrelado à metodologia e critérios personalizados para a
ANEEL.

Com base nas referências técnicas apresentadas e visando orientar a Gestão de Riscos de Processos
no âmbito da ANEEL, foi estabelecido um processo detalhado no capítulo “5. Descrição da
Metodologia”, sumariamente apresentado abaixo em sete etapas:
 •Ao estabelecer o alinhamento estratégico, a organização
está definindo seu apetite riscos, identificando os seus
1. Alinhamento Estratégico
processos críticos e a análise do contexto interno e
externo.

• Após a definição dos referenciais e parâmetros

estratégicos, é necessário realizar o planejamento das
2. Planejamento atividades de gerenciamento de riscos de cada um dos
processos de trabalho identificados como de alta
criticidade.

• Na fase de identificação de riscos em processos, é

necessária uma profunda análise do processo para
identificar os fatores de riscos (causas) e os controles
3. Identificação de Riscos
associados. A identificação deve incluir os riscos,
estando suas fontes sob o controle da Agência ou não,
aplicando ferramentas e técnicas adequadas.

• A análise e avaliação de riscos inerentes visa promover

o entendimento do risco sem levar em consideração os
4. Análise e Avaliação de Riscos - controles existentes, auxiliando na definição de
Inerentes prioridades. Por meio dela, é possível saber qual a
probabilidade dos riscos virem a acontecer e calcular
seus respectivos impactos nos processos da ANEEL.

• Entende-se por risco residual a análise e avaliação dos

riscos considerando os controles já existentes. Esse
5. Análise e Avaliação de Riscos -
conceito permite que os controles sejam avaliados e,
Residuais
posteriormente, que sua efetividade seja comprovada
durante os testes.

• Realizada a identificação, análise e avaliação dos riscos,

levando-se em consideração o Apetite ao Risco e a
6. Respostas aos Riscos Matriz de Riscos Residuais, a administração determina
como responderá aos riscos. As respostas incluem evitar,
reduzir, compartilhar ou aceitar os riscos.

• Os indicadores são elaborados para que os

responsáveis tenham condições de acompanhar a
evolução do ambiente de risco. Como parte do processo
7. Monitoramento e Análise
de retroalimentação, o monitoramento deve acontecer
Crítica
periodicamente através dos indicadores, propiciando
alerta tempestivo para mudanças que podem alterar o
nível de risco, impactando o negócio.

Figura 3 - Metodologia de Riscos de Processos – ANEEL.

Por fim, cabe ressaltar que as incertezas permeiam a estratégia, os processos, as atividades e as áreas
de qualquer organização. É dever do gestor antecipar-se às incertezas e, de forma proativa,
estabelecer um processo estruturado e robusto de Gestão de Riscos, proporcionando garantia
razoável de que os objetivos serão alcançados.

Sendo assim, a Gestão de Riscos de Processos é primordial para que a organização tenha maiores
chances de atingir os objetivos fixados, estabelecendo diretrizes e controles conforme o apetite ao
risco, prevenindo, desta forma, surpresas indesejadas, decorrentes de riscos adversos, bem como, a
perda de oportunidades.

5. DESCRIÇÃO DA METODOLOGIA DE GESTÃO DE RISCOS

Na ANEEL, a gestão dos Riscos de Processos, também chamados de Riscos Corporativos, possui como
bases a estrutura do framework da Norma ISO 31000:2018 – Gestão de Riscos e os fundamentos e
conceitos do COSO II – ERM de 2017.

A metodologia definida pela ANEEL é composta de sete fases interconectadas conforme desenho
abaixo. A ilustração apresenta as subfases e as respectivas ferramentas a serem utilizadas para
gerenciamento de Riscos de Processos da ANEEL.

Figura 4 - Framework do Processo de Gestão de Riscos da ANEEL, adaptado do COSO II - ERM, 2017.
Fase 1. Alinhamento Estratégico
Ao estabelecer o alinhamento estratégico, a organização articula seus objetivos e define os
parâmetros externos e internos a serem levados em consideração ao gerenciar riscos, bem como
estabelece o escopo e os critérios de risco para a gestão do processo.

O alinhamento estratégico das etapas da Gestão dos Riscos de Processos sustenta o fluxo de
atividades de um ciclo de gestão que vai desde o planejamento das etapas de avaliação de riscos, até
o monitoramento do plano de ação elaborado em função dos riscos identificados. O monitoramento,
por sua vez, retroalimenta o ciclo sucessor de avaliação de riscos.

Portanto, temos três contextos a serem definidos e alinhados:

1.1 Definição do Apetite ao Risco;

1.2 Identificação dos Processos Críticos;

1.3 Análise do Contexto Interno e Externo.

Fluxograma

Figura 5 - Fluxograma – Alinhamento Estratégico.

1.1. Definição de Apetite e Tolerância ao Risco

Ao gerenciar os riscos na ANEEL, deve-se considerar, em primeiro lugar, o apetite ao risco, avaliando
os referenciais estratégicos e fixando diretrizes compatíveis com a estratégia escolhida, bem como
desenvolver mecanismos para administrar os riscos implícitos.
Abaixo, apresentamos a Matriz de Riscos da ANEEL, os níveis de apetite, tolerância e capacidade aos
riscos e suas respectivas definições:

Figura 6 - Matriz de Riscos com os Níveis de Apetite, Tolerância e Capacidade aos Riscos.

 Apetite ao Risco: Trata-se dos quadrantes, representados com o numeral “1” na Figura 6, cuja
criticidade é aceita pela ANEEL, mediante tratativas estabelecidas pelos gestores para atingir
seus objetivos. Deve-se planejar e aprovar planos de ação preventivos (visando reduzir a
probabilidade) e/ou corretivos (visando reduzir impactos) no prazo máximo de 60 dias;

 Tolerância a Risco: Trata-se dos quadrantes, representados com o numeral “2” na Figura 6,
cuja criticidade está além do apetite ao risco e, portanto, o risco não é aceito pela ANEEL. Deve-
se planejar e aprovar planos de ação preventivos (visando reduzir a probabilidade) e/ou
corretivos (visando reduzir impactos) no prazo máximo de 45 dias;

 Capacidade de Risco: Trata-se dos quadrantes representados com o numeral “3” na Figura 6,
cuja criticidade é extrema, demandando ações imediatas. Deve-se planejar e aprovar planos
de ação preventivos (visando reduzir a probabilidade) e/ou corretivos (visando reduzir
impactos) no prazo máximo de 30 dias.

A Capacidade de Risco foi definida levando-se em consideração riscos cujos impactos são massivos ou
severos e a probabilidade de concretização é elevada. Por essa razão, trata-se de riscos que, no
ambiente de estudo, devem ser tratados prioritariamente haja vista possuírem grande potencial de
danos à estratégia da Agência.
A Tolerância a Risco foi definida levando-se em consideração riscos com probabilidade de
concretização considerável, cujos impactos trarão danos significativos à estratégia da Agência e, desta
forma, devem ser tratados com regime de urgência.

O Apetite ao Risco foi definido levando-se em consideração duas premissas: riscos de alta
probabilidade de concretização com impactos gerenciáveis e riscos de baixa probabilidade de
concretização com impactos severos ou massivos, demandando, desta forma, ações a médio prazo.

Os demais quadrantes são riscos cuja probabilidade e impactos podem ser aceitos pela Agência, sendo
necessário somente o constante monitoramento.

1.2 Identificação dos Processos Críticos

 Responsável: Comitê de Governança, Riscos e Controles – CGRC;

 Executante: Gestores dos Processos (com apoio técnico da Gerência de Governança

Corporativa do Gabinete do Diretor-Geral – GEGC/GDG);

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Lista de Processos;

 Periodicidade: Preferencialmente de forma concomitante à elaboração do Planejamento

Estratégico, bem como em suas revisões, quando forem identificadas mudanças significativas,
ou em caso de outras necessidades:

 Entrega (produto): Lista de processos classificados por criticidade;

 Descrição (como): Necessário entender e compreender quais são os processos considerados

críticos para os objetivos estratégicos e as estratégias da ANEEL. A partir da lista de processos
e de critérios previamente definidos obtém-se a classificação dos processos segundo escala de
criticidade.

Pontos de Atenção:

 O método precisa ter foco no negócio da ANEEL, considerando sua missão, e não nas
unidades organizacionais.
  Os processos de maior criticidade são aqueles que garantem as operações vitais da
Agência e não necessariamente são os mais complexos.

 Nesta etapa, o objetivo não é identificar riscos, mas sim levantar a criticidade dos
processos quanto ao impacto no negócio versus sua importância no planejamento
estratégico.

O critério de avaliação a ser utilizado é o de: Impacto no Negócio. A pontuação obtida será o Nível de
Criticidade do processo (NC), permitindo classificá-los por ordem de importância para o negócio da
organização.

 Impacto no Negócio: Qual o impacto para a ANEEL que o processo provoca caso seu
funcionamento seja interrompido (independente do motivo - incêndio, quebra de máquina,
greve, sistemas de TI, entre outros). A ANEEL define que a avaliação do impacto é realizada
sob duas óticas: Imagem e Operação. Cada uma destas óticas possui uma ponderação (peso)
distinta. Segue abaixo ilustração:

Figura 7 - Critérios de Impacto – BIA.

 Cada critério de impacto possui os seguintes referenciais para pontuação:

Imagem (peso 5): Refere-se ao impacto na reputação da ANEEL e na sua

credibilidade perante os agentes do setor, a sociedade, os servidores da Agência ou a Pontuação
Administração Pública.
Impacta massivamente: Há massiva exposição por um longo período, havendo amplo
5
interesse da sociedade.
Impacta severamente: Há exposição significativa por um período considerável, havendo
4
interesse da sociedade.
Impacta moderadamente: O impacto vai além das partes envolvidas provocando a
3
exposição por um curto período.
Impacta levemente: O impacto limita-se às partes envolvidas ou gera impacto interno. 2
Não impacta ou pouco impacta: Não impacta a imagem da ANEEL ou o impacto não é
1
significativo.
Tabela 1: Pontuação do impacto da reputação da ANEEL.

Operação (peso 4): Refere-se ao impacto na Regulação, Fiscalização, Outorgas e/ou

Pontuação
Relações com a Sociedade
Impacta massivamente: Gera a paralisação na Regulação, Fiscalização, Outorgas e/ou Relações
5
com a Sociedade.
Impacta severamente: Compromete a eficácia na Regulação, Fiscalização, Outorgas e/ou
4
Relações com a Sociedade.
Impacta moderadamente: Compromete a eficiência na Regulação, Fiscalização, Outorgas e/ou
3
Relações com a Sociedade.
Impacta levemente: Gera um pequeno impacto na Regulação, Fiscalização, Outorgas ou
2
Relações com a Sociedade.
Não impacta ou não é percebido: Não impacta ou não é percebido o impacto no processo de
Regulação, Fiscalização, Outorgas e/ou Relações com a Sociedade. 1

Tabela 2: Pontuação do impacto das atividades da ANEEL na sociedade.

Determinação do Nível de Impacto: o nível de impacto é o resultado da média ponderada de dois

critérios de impacto (multiplicação do peso versus a nota dividido pela soma dos pesos), conforme
demonstrado a seguir:

( çã ∗ ) + ( ∗ )
é − =
O resultado do nível de impacto está representado na tabela abaixo:

Grau de Impacto Escala Nível de Impacto

4,51 – 5,00 5 Massivo
4,01 – 4,50 4 Severo
3,01 – 4,00 3 Moderado
2,01 – 3,00 2 Leve
1,00 – 2,00 1 Muito leve

Tabela 3: Avaliação do nível de impacto de acordo com o grau de impacto.

Matriz do BIA - Business Impact Analysis: a Matriz do BIA, que define 3 níveis de criticidade (NC) para
os processos avaliados. Podem ser críticos, moderados ou leves, conforme tabela abaixo:

Alta Criticidade Média Criticidade Baixa Criticidade

Prioritário: É primordial e Segunda prioridade: Possui Terceira prioridade: Leve

deve possuir uma atenção um nível de importância impacto para o negócio da
especial dos gestores. médio. ANEEL.

Tabela 4: Conceitos e as respectivas cores do nível de criticidade.

1.1. Contexto Interno e Externo

 Responsável: GEGC e UORG;

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Gestor do Processo e Liderança da área técnica;

 Entrada: Estrutura organizacional, cadeia de valor, planejamento estratégico, política de

gestão de riscos, Manual de Gestão de Riscos de Processos, Regimento do CGRC e demais
documentos e informações aplicáveis e disponíveis;

 Entrega (produto): Registro do Contexto Interno e Externo;

 Descrição (como): O CGRC deve possuir perfeito entendimento do ambiente interno e externo
da ANEEL para, desta forma, planejar e orientar as atividades de Gestão de Riscos, bem como,
prover as revisões e atualizações conforme mudanças identificadas.
Fases (etapas) de inter-relacionadas

A etapa em questão interage com a fase “7. Monitoramento e Análise Crítica”, onde ocorre a
retroalimentação, essencial para a obtenção de insumos que amparam as demais fases do estudo.

Fase 2. Planejamento da Gestão de Riscos

O planejamento da gestão dos riscos corporativos começa a partir da avaliação de criticidade dos
processos de trabalho da ANEEL, definida conforme critérios e parâmetros definidos (item 1.2).

Todos os processos considerados como de alta criticidade serão geridos de acordo com o Plano Anual
de Gestão de Processos e com os referenciais técnicos estabelecidos, em especial pela Política de
Gestão de Riscos e este Manual de Gestão de Riscos de Processos.

O planejamento da gestão de riscos deve ser realizado para os processos considerados críticos,
segundo escala BIA, junto com a unidade organizacional gestora do processo, organizada em duas
atividades:

 Nivelamento conceitual e detalhamento da metodologia;

 Análise situacional do processo.

Esta é uma etapa extremamente estratégica, porque também tem a função de informar e sensibilizar
cada um dos envolvidos no processo, para que o plano alcance os melhores resultados.

Fluxograma

Figura 8 - Fluxograma - Planejamento de Gestão de Riscos.

2.1. Nivelamento Conceitual e detalhamento da metodologia

 Responsável: GEGC;

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Gestor do Processo e Liderança da área técnica;

 Entrada: Estrutura organizacional, cadeia de valor, planejamento estratégico, política de

gestão de riscos, Manual de gestão de riscos de Processos, Registro de Contexto Interno e
Externo, Regimento do CGRC e demais documentos e informações aplicáveis e disponíveis;

 Entrega (produto): cronograma de trabalho;

 Descrição (como): O líder da unidade organizacional e demais executantes do processo devem

possuir perfeito entendimento do ambiente interno e externo da ANEEL para, desta forma,
planejar e orientar as atividades de Gestão de Riscos, bem como, prover as revisões e
atualizações conforme mudanças identificadas.

2.2 Análise Situacional do Processo

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável

pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Fluxograma do processo e Registro do Contexto Interno e Externo;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Matriz SWOT;

 Descrição (como): Para a realização da análise situacional é preciso avaliar o processo, suas
atividades, produtos, deficiências e percepções de oportunidades de melhoria. Os dados
devem ser extraídos a partir da análise de fluxograma dos processos, de entrevistas com
gestores e de estudo de políticas, normas e procedimentos existentes. Portanto, é
 extremamente importante que as áreas possuam seus processos mapeados, como pré-
requisito para início desta etapa.

Para analisar os processos utiliza-se a Matriz SWOT, técnica conhecida por identificar os pontos fracos,
fortes, oportunidades e ameaças do contexto da empresa.

A avaliação das forças e fraquezas diz respeito ao ambiente interno. São as condicionantes que a
Agência possui domínio de ação e decisão, os chamados fatores de riscos internos ou variáveis
internas, podendo ser negativas (fraquezas) ou positivas (forças).

Os fatores de riscos considerados incontroláveis dizem respeito à ambiência externa, podendo ser
negativa (ameaças) ou positiva (oportunidades).

Figura 9 - Matriz SWOT.

Fases (etapas) de inter-relacionadas

A fase em questão interage em todas outras fases, garantindo o fluxo de informações e dados de
forma transparente e tempestiva, essencial para que a Gestão de Riscos atinja seus objetivos. Não
necessariamente há formalização do planejamento realizado, normalmente, são realizados
workshops no início de cada ciclo com os gestores das áreas, além de checkpoints de alinhamento,
caso necessário.
Fase 3. Identificação de Riscos
Na fase de identificação de riscos, é necessária profunda análise de todas as atividades do processo
propiciando a identificação de todos os fatores de riscos (causas), os controles e riscos associados.

A identificação deve incluir os riscos, estando suas fontes sob o controle da Agência ou não, aplicando
ferramentas e técnicas adequadas. A identificação dos riscos compreende cinco sub etapas.

Fluxograma

Figura 10 - Fluxograma - Identificação de Riscos.

3.1 Listagem, Definição e Classificação dos Riscos

 Responsável: Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo

Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Fluxograma do processo, lista de fatores de risco e controles;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Listagem e Classificação dos Riscos;

  Descrição (como): A listagem dos riscos deve ser realizada através de reuniões do tipo
brainstorming, levantando tanto os riscos já identificados como aqueles que nunca
aconteceram no contexto da ANEEL, porém são riscos exequíveis, ou seja, poderão ocorrer.

Cabe destacar que, após a realização da seção de Brainstorming, deve-se realizar o saneamento da
lista de riscos sugeridos, sendo assim, considerar somente os riscos que não forem julgados
incoerentes, repetidos e/ou fora do escopo do processo em estudo.

Visando garantir uniformidade de entendimento, o “risco” deve ser conceituado e explicitado em

dicionário de Riscos de Processos, conforme modelo abaixo:

Cód. Risco Definição Categoria

Processamento da folha com O risco está relacionado às fragilidades na análise
informações não autorizadas dos exames admissionais, proporcionado a
R.1 Operacional
ou sem a respectiva incompatibilidade de funções atribuídas ao
documentação suporte integrante, por questões técnicas ou físicas.
Pagamento incorreto de
O risco está relacionado ao pagamento de valores
R.2 benefício (interpretação Conformidade
incorretos de salários
legislativa)
Erro no pagamento de salários O risco está relacionado ao pagamento indevido
R.3 quanto a valores e/ou em caso de erro ou manipulação no ajuste da Financeiro
favorecidos folha.

Tabela 5: Listagem, Definição e Classificação dos Riscos.

 Código: Identificação alfa numérica do risco (Exemplo: R.1)

 Risco: Nome do risco (Exemplo: Pagamento Indevido de Fornecedor)

 Definição: Descrição detalhada do risco;

 Categoria: Auxilia a organização a ter visão do portfólio dos riscos, na medida em que
os agrupa de acordo com suas principais causas.

Cabe destacar que a classificação está relacionada à origem/natureza do risco e não ao seu impacto.
Sendo assim, além dos riscos relacionados diretamente aos processos, a ANEEL decide utilizar a
seguinte classificação para os outros riscos:
- Estratégico: Os riscos estratégicos estão associados ao cumprimento do Planejamento
Estratégico e podem gerar impactos substanciais para alcance dos resultados esperados.
Exemplos: Corte Orçamentário Severo, Estiagem prolongada e demais.

- Integridade: associados a eventos relacionados a corrupção, fraudes, irregularidades e/ou

desvios éticos e de conduta que podem comprometer os valores e padrões preconizados pela
ANEEL.

o Riscos de Processos (são 4 categorias):

 Operacional: Os riscos operacionais estão associados à possibilidade de ocorrência

de perdas, resultantes de falhas, deficiências ou inadequação de processos
internos, pessoas e sistemas, assim como, quando aplicável, de eventos externos
como catástrofes naturais, fraudes, greves e atos terroristas que afetam
diretamente o processo. Exemplos: Falhas em aspectos lógicos do processamento
eletrônicos, Erro não intencional, Falha em elementos de infraestrutura,
Sabotagem, Catástrofes, entre outros.

 Conformidade: Relacionados a inobservância de dispositivos legais ou

regulamentares ou, ainda, ao descumprimento de contrato. Exemplos:
Descumprimento de determinações do TCU, não aderência a políticas internas,
normas de organização, regimento interno, entre outros.

 Qualidade Regulatória: Refere-se a inobservância de melhores práticas

relacionadas por exemplo a transparência, controle social e análise de impacto
regulatório.

 Financeiro: Relacionadas com a gestão e controle ineficazes dos meios financeiros

da organização e com efeitos dos fatores externos. Exemplo: Disponibilidade de
crédito, taxas de câmbio, movimento das taxas de juros, entre outros.
3.2 Identificação dos Fatores de Riscos

 Responsável: Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo

Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Fluxograma do processo, levantamento de riscos, análise situacional;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Diagrama de Causa e Efeito dos Riscos identificados e Tabela de Fatores de
Riscos;

 Descrição (como): Os fatores de risco são na realidade a origem e/ou causa de cada risco de
processo identificado, tanto positivo como negativo.

Para compreender o risco, sua composição, existe a necessidade de dissecar o risco em causas.
Nesse caso utiliza-se a técnica do Diagrama de Causa e Efeito, o chamado Diagrama de
Ishikawa e/ou de Espinha de Peixe para entender quais são os fatores de riscos que influenciam
a concretização de cada risco.

Em 1953 o Professor Kaoru Ishikawa, da Universidade de Tóquio Japão, sintetizou as opiniões

dos engenheiros de uma fábrica na forma de um diagrama de causa e efeito, enquanto eles
discutiam problemas de qualidade.

Neste contexto, foi adaptado o diagrama de causa e efeito da qualidade para a área de Gestão
de Riscos conforme macro causas estabelecidas pelo COSO ERM.
 Figura 11 - Diagrama de Causa e Efeito - Macro Causa COSO.

Macro Causa Definição

Influência da existência de processos, políticas, normas e procedimentos
Processo
para a materialização do risco.
Influência do nível da equipe envolvida, considerando-se perfil e
Pessoal qualificação, para a materialização do risco, bem como do nível de
relacionamento dos servidores.
Influência da existência de recursos físicos e sistemas eletrônicos para a
Infraestrutura
materialização do risco.
Influência dos sistemas de informação utilizados pela agência para a
Tecnologia
materialização do risco.
Influência das variáveis externas incontroláveis para a materialização do
Ambiente Externo
risco.
Tabela 6: Definições do “Macro Causa”.
Exemplo:
Processo Pessoal Tecnologi a

FR.5 Ausência de autorização de pagamento da FR.8 Ausência de atualização legislativa dos FR.10 Envio do arquivo .txt ao contas a pagar via
folha pela diretoria f uncionários que processam a f olha e-mail

FR.11 Ausência de conciliação pelo rh dos FR.4 Ausência de comunicação ao rh de

pagamentos ef etuados f uncionários com afastamento

FR.7 Ausência de comprovação de recebimento FR.6 Ausência de rotatividade nas f unções pelos
do arquivo pelo contas a pagar f uncionários da área de folha de pagamento

FR.1 Erros nos lançamentos manuais de

FR.12 Realização de pagamentos manuais em
processos que compõem o f echamento da f olha
bancos não conveniados
de pagamento

FR.13Recebimento de inf ormações incorretas das

áreas origens
Risco

Pagamento incorreto de salário

Ambi ente Externo Infraestrutura

Figura 12 - Diagrama de Causa e Efeito.

Ressalta-se que para cada risco identificado existe a necessidade da elaboração de um diagrama de causa e efeito específico. Se
estivermos estudando 10 eventos teremos que elaborar 10 diagramas de causa e efeito.
P. 24 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Após identificados, os fatores de riscos devem ser registrados com os dados abaixo:

 Código: Identificação alfa numérica do controle (Exemplo: FR.1)

 Fator de Risco: Nome do fator de risco (Exemplo: Ausência de aprovação segregada)

 Definição: Descrição detalhada do fator de risco;

 Macrofator: Refere-se a categoria do fator de risco, podendo ser “Processos”, “Pessoal”,

“Infraestrutura”, “Tecnologia” e “Ambiente Externo”.

Exemplo Fator de Risco:

Cód. Fator de Risco Definição Macrofator

Figura 13 - Tabela de registro de Fatores de Risco.

3.3 Identificação da Relevância dos Fatores de Riscos

 Responsável: Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo

Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Fatores de Riscos;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Relevância dos Fatores de Riscos (Magnitude x Importância);

 Descrição (como): Após a identificação dos fatores de riscos é necessário identificar aqueles
que são comuns no universo de riscos mapeados. Dentre os fatores de riscos classificados
nesta condição é preciso determinar quais são os considerados relevantes, os que possuem
maior condição de influenciar na concretização do risco.
P. 25 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Para identificar a relevância dos fatores de riscos são utilizados dois critérios de avaliação, Magnitude
e Importância.

 Magnitude: representa o número de vezes que o fator de risco é identificado nos diagramas
de causa e efeito dos riscos mapeados e, por consequência, seu potencial influenciador
perante o contexto definido na etapa 2. A magnitude é ranqueada, utilizando-se uma
pontuação que varia de 1 a 3, sendo positiva ou negativa. Exemplos de cálculo para a nota de
magnitude:

Exemplo 1 - Números Inteiros

Caso um determinado fator de risco apareça 5 (cinco) vezes em 6 (seis) riscos identificados, significa
que este fator de risco possui uma frequência Alta, conclui-se, pela metodologia sugerida, que sua
magnitude terá uma nota “-3”, conforme tabela de cálculo abaixo:

Total de Riscos (6) / Constante (3) = 2 (intervalo linear das notas – classificação das ocorrências do
fator de risco).

Notas Intervalo de Ocorrências

Quantidade de Riscos 6 -1 1a2

-2 3a4

Amplitude do Intervalo 2 -3 5a6

Figura 14 - Tabelas preenchidas com os exemplos.

Exemplo 2 - Números Decimais

Caso um determinado fator de risco apareça 5 (cinco) vezes em 7 (sete) riscos identificados, significa
que este fator de risco possui uma frequência Alta, conclui-se, pela metodologia sugerida, que sua
magnitude terá uma nota “-3”, conforme tabela de cálculo abaixo:
P. 26 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Total de Riscos (7) / Constante (3) = 2,33 (intervalo linear das notas – classificação das ocorrências do
fator de risco).

Notas Intervalo de Ocorrências

Quantidade de Riscos 7 -1 Até 2,33

-2 De 2,34 até 4,66

Amplitude do Intervalo 2,33 -3 Acima de 4,67

Figura 15 – Tabelas preenchidas com os exemplos.

Nota: A frequência e a tabela de pontuação irão variar sempre que a quantidade de riscos for
alterada.

 Importância: Trata-se da sensibilidade do quão importante é o Fator de Risco para a

concretização dos riscos no contexto em análise. É uma nota subjetiva com base na percepção
dos envolvidos na avaliação do contexto. A valoração da importância situa-se em 3 níveis de
pontuação:

o 3 (Alta importância - grande potencial para concretização do risco);

o 2 (Média importância - potencial moderado para concretização do risco);

o 1 (Pouca importância - potencial baixo para concretização do risco).

Para definição de ranking dos fatores de riscos utiliza-se o resultado do produto da pontuação
atribuída à magnitude e à importância. Os fatores de riscos com maior pontuação são considerados
os mais relevantes, uma vez que possuem maior potencial de influenciar os riscos identificados.

3.4 Matriz da Relevância dos Fatores de Riscos

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);
P. 27 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Fatores de Riscos classificados pela relevância;

 Periodicidade: Anualmente, quando forem identificadas mudanças significativas, ou em caso

de outras necessidades;

 Entrega (produto): Matriz de Relevância dos Fatores de Riscos;

 Descrição (como): Com base na pontuação de magnitude e importância dada para cada fator
de risco caracterizados como fraqueza ou ameaça, podemos apresentar o resultado
matriciado, possibilitando a visualização estratégica da motricidade de cada fator.

O resultado do cruzamento da magnitude com a importância, define o nível de motricidade de cada

fator de risco, representados na Matriz da Relevância dos Fatores de Riscos que possui três
quadrantes: vermelho, laranja e verde. Com base nesta matriz o executante pode determinar a
prioridade de tratamento do fator de risco, sempre considerando como primeiro nível o vermelho,
segundo nível o laranja e o terceiro nível o verde.

Cabe destacar que a Matriz da Relevância dos Fatores de Riscos deve ser construída para os fatores
de riscos caracterizados como fraqueza (por representar o ambiente interno da organização e, desta
forma, passível de tratamento) e ameaças (por representar o ambiente externo - considerados
incontroláveis, sendo possível apenas monitorar).

Exemplo:

Figura 16 - Matriz Magnitude x Importância.

P. 28 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

3.5 Levantamento dos Controles

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Fluxograma do processo, levantamento de riscos, análise situacional;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Tabela de controles associados aos riscos;

 Descrição (como): Após o levantamento dos riscos e suas causas, é necessária a identificação
dos controles do processo, que sirvam de fatores para mitigar os riscos e/ou potencializar o
alcance dos objetivos do processo. Nessa fase é importante evidenciar de forma preliminar
eventuais fragilidades dos controles existentes, de forma a identificar oportunidades de
melhoria. Essas informações serão utilizadas na fase 5.1. Avaliação de Controles.

Nota: Controle é uma ação tomada para certificar-se de que algo se cumpra. Os controles também
são meios usados para verificar que certa ação é eficiente ao seu propósito e suas possíveis falhas.

Os controles, após identificados, devem ser registrados com os dados abaixo:

 Código: Identificação alfa numérica do controle (Exemplo: C.1)

 Controle: Nome do controle (Exemplo: Aprovação segregada)

 Definição: Descrição detalhada do controle;

 Objetivo: Refere-se à finalidade do controle;

 Tipo: Se o controle é “Manual”, realizado através da intervenção humana, ou

“Automático”, realizado independente da intervenção humana;
P. 29 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Categoria: Se o controle é “Preventivo”, quando previne a concretização do

risco, ou “Detectivo”, quando provê alerta sobre a iminência de concretização do
risco;

 Periodicidade: Refere-se ao intervalo de execução do controle, podendo ser

“Sob demanda”, “Diário”, “Semanal”, “Mensal”, “Trimestral”, “Semestral” e
“Anual”;

Exemplo Controles:

Cód. Controle Definição Objetivo Tipo Categoria Periodicidade

Comitê que promove

Proporcionar
Comitê Técnico de discussões técnicas a
C.8 melhores práticas nas Manual Preventivo Sob demanda
Direcionamento respeito de novas
regulamentações
regulamentações

Parceria com
Parceria com
universidades federais Prover o avanço
C.7 universidades Manual Preventivo Anual
para desenvolvimento tecnológico
federais
de novas tecnologias

Tabela 7: Tabela de registro de controles.

Fase 4. Análise e Avaliação de Riscos Inerentes

Segundo o COSO ERM 2017 o Risco Inerente é o risco que se apresenta a uma organização na ausência
de qualquer medida gerencial que poderia alterar a sua probabilidade ou o seu impacto.

Realizar a análise e avaliação de riscos inerentes proporcionará:

 Identificar qual a necessidade do risco por controles, sendo assim, quanto maior a criticidade
do risco maior a necessidade de controles;

 Orientar, futuramente, a Auditoria Baseada em Riscos, uma vez que se saberá qual a
dependência do risco por controles, assim, quanto maior a criticidade inerente, maior deverá
ser o número de horas investidos na análise dos controles; e,
P. 30 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Identificar riscos de baixa criticidade e que, desta forma, não necessitam de controle,
liberando recursos a serem investidos em riscos de maior criticidade.

A análise de riscos visa promover o entendimento do nível de risco e de sua natureza, auxiliando na
definição de prioridades e opções de tratamento aos riscos identificados. Por meio dela, é possível
saber qual a chance, a probabilidade de os riscos virem a acontecer e calcular seus respectivos
impactos na ANEEL.

Os riscos são avaliados de maneira qualitativa, ou seja, utiliza-se critérios pré-estabelecidos com uma
escala de valoração para a determinação do nível do risco. A metodologia a ser utilizada para a
avaliação de riscos possui dois parâmetros a serem analisados:

 Saber qual a chance, a probabilidade, dos riscos virem a acontecer, frente à condição existente
da ANEEL.

 Calcular o impacto caso ocorra o risco.

Fluxograma

Figura 17 - Fluxograma - Análise e Avaliação de Riscos – Inerente.

4.1 Probabilidade x Impacto - Inerente

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

P. 31 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Entrada: Lista de riscos e contextualização (histórico de ocorrências e entendimento do

ambiente interno e externo);

 Periodicidade: Quando forem identificadas mudanças significativas ou em caso de outras

necessidades;

 Entrega (produto): Mensuração de Probabilidade e Impacto inerente dos Riscos;

 Descrição (como): A probabilidade do risco é calculada através de três critérios, sendo que,
cada um deles possuirá um peso diferenciado (ponderação), tendo em vista seu grau de
importância. Os critérios de probabilidade são:

Figura 18 - Critérios de Probabilidade.

Segurança e Controle: É avaliada a existência e interrelação dos fatores de riscos e controles

identificados na análise situacional. Quanto maior a nota pior é a condição de segurança e dos
controles. Na avaliação de riscos inerentes não deve ser levado em consideração os controles
existentes. Essa nota deve ser com base no Diagrama de Causa e Efeito (condição do risco) de cada
risco e a Relevância dos Fatores de Riscos.

Segurança e Controle (peso 5)

Conceito Descritivo da Escala Pontuação
Não há nenhum Controle atuando nos Fatores de Riscos e/ou no
Muito ruim 5
Risco.
Os Controles que atuam nos Fatores de Riscos e/ou no Risco não
Ruim 4
previnem ou detectam a concretização do Risco.
Os Controles que atuam nos Fatores de Riscos e/ou no Risco
Média 3
previnem ou detectam parcialmente a concretização do Risco.
P. 32 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Segurança e Controle (peso 5)

Conceito Descritivo da Escala Pontuação
Os Controles que atuam nos Fatores de Riscos e/ou no Risco
Bom 2
previnem ou detectam satisfatoriamente a concretização do Risco.
Os Controles que atuam nos Fatores de Riscos e/ou no Risco
Muito bom 1
previnem ou detectam plenamente a concretização do Risco.

Tabela 8: Tabela de Segurança e Controle.

Frequência / Exposição: Mede a frequência que o risco costuma manifestar-se na ANEEL, no

segmento de energia elétrica ou regulatório.

Frequência / Exposição (peso 4)

Pontuação / Frequência Observada /
Descritivo da Escala
Conceito Esperada
Evento esperado que ocorra na maioria das
5 - Quase certo Anual
circunstâncias
Evento provavelmente ocorrerá na maioria das
4 - Provável Bienal
circunstâncias
3 - Possível Evento deve ocorrer em algum momento Quinquenal
2 - Improvável Evento pode ocorrer em algum momento Decenal
Evento pode ocorrer em circunstâncias
1 - Raro > 10 anos
excepcionais

Tabela 9: Tabela de Frequência e Exposição.

Intervalo: É avaliada a questão da frequência de avaliação/auditoria e revisão dos controles do

processo, incluindo, quando aplicável, a revisão do próprio processo. Quanto maior é o intervalo
maior é sua fragilidade. Na avaliação de riscos inerentes não deve ser levado em consideração as
avaliações e auditorias existentes.

Intervalo (peso 3)
Descritivo da Escala Pontuação
Não realiza revisão 5
Realiza avaliação/auditoria Bienal 4
Realiza avaliação/auditoria Anual 3
P. 33 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Intervalo (peso 3)
Descritivo da Escala Pontuação
Realiza avaliação/auditoria Semestral 2
Realiza avaliação/auditoria Trimestral 1
Tabela 10: Tabela de Intervalo.

O Nível de Probabilidade (Pb) é o resultado da média ponderada dos três critérios de probabilidade,
conforme demonstrado abaixo:

í
( ç / ∗ )+( / çã ∗ ) + ( ∗ )
=

O nível de probabilidade possui a seguinte classificação:

Grau de Probabilidade Escala Nível de Probabilidade

4,51 – 5,00 5 Elevada
3,51 – 4,50 4 Muito Alta
2,51 – 3,50 3 Alta
1,51 – 2,50 2 Média
1,00 – 1,50 1 Baixa
Tabela 11: Tabela da classificação do nível de probabilidade.

Determinação do Nível de Impacto: Com o objetivo de obter uma visão holística do impacto, há a
necessidade de projetar todas as consequências que os riscos causam. A avaliação do impacto na
Agência é realizada sob três critérios: Imagem, Operação e Recursos Públicos, sendo atribuída
ponderações (pesos) distintas. Segue abaixo ilustração:
 P. 34 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Figura 19 - Critérios de Impacto.

Cada critério de impacto possui os seguintes referenciais para pontuação:

Imagem (peso 5): Refere-se ao impacto na reputação da ANEEL e na sua credibilidade perante os
Pontuação
agentes do setor, a sociedade, os servidores da Agência ou a Administração Pública.
Impacta massivamente: Com destaque na mídia internacional. 5
Impacta severamente: Com destaque na mídia nacional, provocando exposição significativa. 4
Impacta moderadamente: O impacto vai além das partes envolvidas, podendo chegar na mídia,
3
provocando a exposição por um curto período de tempo.
Impacta levemente: O impacto limita-se às partes envolvidas ou gera impacto interno. 2
Não impacta ou pouco impacta: Não impacta a imagem da ANEEL ou o impacto não é significativo. 1
Tabela 12: Tabela das pontuações da Imagem (peso 5).

Operação (peso 4): Refere-se ao impacto na Regulação, Fiscalização, Outorgas e/ou

Pontuação
Relações com a Sociedade
Impacta massivamente: Gera a paralisação na Regulação, Fiscalização, Outorgas e/ou Relações
5
com a Sociedade.
Impacta severamente: Compromete a eficácia na Regulação, Fiscalização, Outorgas e/ou
4
Relações com a Sociedade.
Impacta moderadamente: Compromete a eficiência na Regulação, Fiscalização, Outorgas e/ou
3
Relações com a Sociedade.
Impacta levemente: Gera um pequeno impacto na Regulação, Fiscalização, Outorgas ou
2
Relações com a Sociedade.
Não impacta ou não é percebido: Não impacta ou não é percebido o impacto no processo de
1
Regulação, Fiscalização, Outorgas e/ou Relações com a Sociedade.
Tabela 13: Tabela das pontuações da Operação (peso 4).
P. 35 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Recursos públicos (peso 2): Refere-se a eficiência da utilização dos recursos

Pontuação
públicos.
Impacta massivamente 5
Impacta severamente 4
Impacta moderadamente 3
Impacta levemente 2
Não impacta ou pouco impacta 1
Tabela 14: Tabela das pontuações dos Recursos públicos (peso 2).

Determinação do Nível de Impacto: O nível de impacto é o resultado da média ponderada dos três
critérios de impacto (multiplicação do peso versus a nota dividido pela soma dos pesos), conforme
demonstrado abaixo:

( çã ∗ ) + ( ∗ )+( ú ∗ )
í =

O resultado do nível de impacto está representado na tabela abaixo:

Tabela 15: Tabela Grau de Impacto Escala Nível de Impacto do resultado do

nível de impacto. 4,51 – 5,00 5 Massivo
3,51 – 4,50 4 Severo
2,51 – 3,50 3 Moderado
1,51 – 2,50 2 Leve
1,00 – 1,50 1 Muito leve

Exemplo:
P. 36 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

S/C FRE INT Nível de OPE IMG RP Nível de

Cód. M.P.P M.P.I Matriz
(5) (4) (3) Probabilidade (4) (5) (2) Impacto

R.6 5 5 5 5.00 Elevada 5 4 5 4.54 Massivo

R.7 5 2 5 4.00 Muito Alta 4 3 2 3.18 Moderado

R.8 5 1 4 3.41 Alta 5 3 1 3.36 Severo

Figura 20 - Análise de Risco Inerente (Probabilidade e Impacto).

MPP = Média Ponderada de Probabilidade

( / ∗ )+( ∗ )+( ∗ )
=

MPI = Média Ponderada de Impacto

( ∗ )+ ( ∗ )+( ∗ )
=

4.2 Matriz de Riscos - Inerente

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes GEGC;

 Entrada: Mensuração das Probabilidades e Impactos Inerentes dos Riscos;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Matriz de Riscos Inerentes do Processo;

 Descrição (como): A avaliação de riscos visa comparar os níveis de riscos em relação aos
critérios pré-estabelecidos. A relevância dos riscos possui como parâmetro a matriz de riscos
P. 37 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

e o seu resultado é o grau de criticidade do risco, ou seja, é a priorização que a Agência deve
utilizar para tratar cada risco, frente ao seu apetite ao risco. A matriz é dividida em quadrantes
e para cada quadrante existe uma estratégia de tratamento e priorização.

A matriz de riscos demonstra os pontos de cruzamento (horizontal e vertical) da probabilidade de

ocorrência e do impacto. Quanto maior for a probabilidade e o impacto de um risco, maior será o
nível do risco.

Exemplo:

Figura 21 - Avaliação de Risco Inerente (Matriz de Risco).

4.3 Nível de Riscos - Inerente

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Média Ponderada de Probabilidade (M.P.P) e Média Ponderada de Impacto (M.P.I)

dos riscos;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Nível de Risco Inerente do Processo;

P. 38 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Descrição (como): Após a finalização da etapa para determinar a criticidade de cada risco, isto
é, sua probabilidade e impacto, deve ser elaborado o nível de risco do processo, que
proporcionará posteriormente o ranqueamento dos processos.

O Nível de Risco é um índice calculado com base na M.P.P e M.P.I dos riscos identificados, conforme
cálculo abaixo:

Nível de Risco = Média das Probabilidades x Média dos Impactos

Para identificarmos o Nível de Risco é necessário utilizar a tabela de conversão abaixo:

Nível de Risco Tratamento

Processos que estão na zona de conforto, devendo ser gerenciados e

1a5 1 Verde
administrados.

Processos com grau de riscos consideráveis, mas que causam

5,1 a 10 2 Amarelo consequências gerenciáveis. Devem ser monitorados de forma
rotineira ou sistemática.

Processos que devem receber tratamento em médio e curto prazo.

10,1 a 15 3 Laranja Possui riscos com probabilidades e/ou impactos consideráveis.
Devem ser constantemente monitorados.

Processos que tem alto grau de risco e poderão resultar em impacto

15,1 a 25 4 Vermelho extremamente severo. Exigem implementação imediata de
estratégias de prevenção e/ou continuidade.

Tabela 16: Tabela de Conversão.

É importante ressaltar que quanto maior o nível do risco, maior sua criticidade para o processo.

Figura 22 – Níveis dos riscos e sua criticidade.

Exemplo:
P. 39 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Cód. Risco Probabilidade Impacto

Processamento da folha com informações não autorizadas ou sem a

R.6 5,00 4,60
respectiva documentação suporte

R.7 Pagamento incorreto de salário 4,00 3,40

R.8 Fraude no pagamento de salários quanto a valores e/ou favorecidos 3,41 3,40

Tabela 17: Tabela de exemplificação.

Nível de Risco

Probabilidade Impacto

Total 12,41 11,40

Média 4,14 3,80

Nível de Risco 15,72

Tabela 18: Tabela com o resultado do nível de risco.

Figura 23 - Nível de Risco – Inerente.

Fase 5. Análise e Avaliação de Riscos Residuais

P. 40 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Segundo o COSO ERM 2017 o Risco Residual é o risco que resta após a administração ter adotado
medidas para alterar a sua probabilidade ou o impacto.

Desta forma, entende-se por risco residual a análise e avaliação dos riscos considerando os controles
já existentes. Esse conceito permite que os controles sejam avaliados e posteriormente que sua
efetividade seja comprovada durante os testes.

Fluxograma

Figura 24 - Fluxograma - Análise e Avaliação de Riscos Residuais.

5.1 Avaliação dos Controles

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Fluxograma do Processo e Listagem de Fatores de Risco e Controles;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Avaliação dos Controles do Processo;

 Descrição (como): Com o objetivo de confirmar a eficácia dos controles identificados no

processo em estudo, é necessário realizar a avaliação dos controles. No final desta etapa, a
informação disponível permitirá ao executante conhecer a eficácia, ineficácia ou inexistência
P. 41 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

dos controles, bem como, sua relação com os fatores de risco ou riscos, desta forma,
possibilitando a análise de riscos residuais.

Para registro da avaliação dos controles deve-se preencher o Resultado e o Parecer, conforme
descrito abaixo:

 Resultado: Descrever como o controle analisado atua embasando o parecer final;

 Parecer: Com base no resultado obtido, indicar se o controle é eficaz ou ineficaz.

Exemplo:

Cód. Controle Definição Objetivo Tipo Categoria Periodicidade Resultado Parecer

Comitê que Comitê formado
promove Proporcionar e discutido
Comitê Técnico

Ineficaz
discussões técnicas melhores anualmente, não
C.8 de Manual Preventivo Sob demanda
a respeito de práticas nas existindo um
Direcionamento
novas regulamentações processo
regulamentações contínuo.
A parceria é
Parceria com
realizada
universidades
Parceria com anualmente e os

Eficaz
federais para Prover o avanço
C.7 universidades Manual Preventivo Anual resultados são
desenvolvimento tecnológico
federais monitorados de
de novas
acordo com os
tecnologias
projetos.

Figura 25 - Avaliação de Controle – Walkthrough.

Todos os controles devem ser associados a um ou mais riscos ou fatores de riscos. Conceitualmente,
controles preventivos atuam “bloqueando” fatores de risco, enquanto controles detectivos atuam
“alertando” a possível concretização do risco. Esta associação permitirá identificar na análise de risco
residual o quão exposto o risco está, desta forma, norteando a atribuição da nota de
“Segurança/Controle” e “Intervalo”.

5.2 Probabilidade x Impacto – Residual

P. 42 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Probabilidade x Impacto – Inerente e Avaliação de Controles;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Mensuração de Probabilidade e Impacto residual dos Riscos;

 Descrição (como): Para realizar análise de riscos residuais deve-se utilizar a metodologia e os
critérios abordados na Subfase “4.1 Probabilidade x Impacto – Inerente”, porém, neste caso,
levar em consideração os controles existentes e sua relação com os fatores de risco, como
também, os riscos, atribuindo nota aos critérios “Segurança/Controle” e “Intervalo”.

Caso a organização conte com controles que atuem mitigando os impactos, pode-se reavaliar as notas
atribuídas no critério de impacto. Exemplos de controles mitigatórios: Plano Estruturado de Gestão
de Continuidade de Negócios (Emergência, Crise e Contingência) e Apólice de Seguro.

Exemplo:

S/C FRE INT Nível de OPE IMG RP Nível de

Cód. M.P.P M.P.I Matriz
(5) (4) (3) Probabilidade (4) (5) (2) Impacto

R.6 1 5 1 2.33 Elevada 5 4 5 4.54 Massivo

R.7 3 2 3 2.66 Muito Alta 4 3 2 3.18 Moderado

R.8 4 1 3 2.75 Alta 5 3 1 3.36 Severo

Figura 26 - Análise de Risco Residual (Probabilidade e Impacto).

MPP = Média Ponderada de Probabilidade

P. 43 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

( / ∗ )+( ∗ )+( ∗ )
=

MPI = Média Ponderada de Impacto

( ∗ )+ ( ∗ )+( ∗ )
=

5.3 Matriz de Riscos - Residual

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Mensuração das Probabilidades e Impactos Residuais dos Riscos;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Matriz de Riscos Residuais do Processo;

 Descrição (como): Para elaborar a Matriz de Riscos Residuais utilizar a metodologia descrita
na Subfase “4.2 Matriz de Riscos – Inerentes”. Cabe destacar que devem ser utilizadas as notas
de Probabilidade e Impacto residuais.

Exemplo:
P. 44 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Figura 27- Avaliação de Risco Residual (Matriz de Risco).

5.4 Nível de Riscos - Residual

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Média Ponderada de Probabilidade (M.P.P) e Média Ponderada de Impacto (M.P.I)

dos riscos;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Nível de Risco Residual do Processo;

 Descrição (como): Para elaborar a Nível de Riscos Residuais utilizar a metodologia e os

critérios do capitulo “4.3 Nível de Riscos – Inerente”.

O Nível de Risco – Residual é um índice calculado com base na M.P.P e M.P.I residuais dos riscos
identificados, conforme cálculo abaixo:

Nível de Risco = Média das Probabilidades Residuais x Média dos Impactos Residuais
P. 45 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Para identificarmos o Nível de Risco é necessário utilizar a tabela de conversão abaixo:

Nível de Risco Tratamento

1a5 Processos que estão na zona de conforto, devendo ser

1 Verde
gerenciados e administrados.

Processos com grau de riscos consideráveis, mas que causam

5,1 a 10 2 Amarelo consequências gerenciáveis. Devem ser monitorados de forma
rotineira ou sistemática.

Processos que devem receber tratamento em médio e curto

10,1 a 15 3 Laranja prazo. Possui riscos com probabilidades e/ou impactos
consideráveis. Devem ser constantemente monitorados.

Processos que tem alto grau de risco e poderão resultar em

15,1 a 25 4 Vermelho impacto extremamente severo. Exigem implementação imediata
de estratégias de prevenção e/ou continuidade.

Tabela 19: Tabela de Conversão.

É importante ressaltar que quanto maior o nível do risco, maior sua criticidade para o processo.

Figura 28 – Níveis dos riscos e sua criticidade.

Exemplo:

Cód. Risco Probabilidade Impacto

Processamento da folha com informações não autorizadas ou sem a

R.6 2,33 4,60
respectiva documentação suporte

R.7 Pagamento incorreto de salário 2,66 3,40

R.8 Fraude no pagamento de salários quanto a valores e/ou favorecidos 2,75 3,40

Tabela 20: Tabela de exemplificação.

P. 46 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Nível de Risco

Probabilidade Impacto

Total 7,74 11,40

Média 2,58 3,80

Nível de Risco 9,80

Tabela 21: Tabela com resultado do nível de risco.

Figura 29 - Nível de Risco – Residual.

Fase 6. Respostas aos Riscos

Realizada a identificação, análise e avaliação dos riscos, levando-se em consideração a Matriz de
Riscos Residuais e respeitando o Apetite ao Risco, o executante e o responsável devem determinar
como será a resposta aos riscos.

As respostas incluem evitar, reduzir, compartilhar ou aceitar os riscos, cujo principal insumo para
tratamento advém dos Fatores de Risco (Causas) identificados, bem como, controles ineficientes.
P. 47 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Fluxograma

Figura 30 - Resposta aos Riscos.

6.1 Plano de Ação

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Matriz de Riscos - Residual, Diagrama de Causa e Efeito, SWOT e Avaliação de

Controles;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Plano de Resposta aos Riscos (Plano de Gestão conforme a Política de
Gestão de Riscos da ANEEL), incluindo Planos de Ação ;

 Descrição (como): Depois de identificados, avaliados e mensurados, deve-se definir qual o

tratamento que será dado aos riscos. A priorização deve estar embasada na Matriz de Riscos
- Residual, Diagrama de Causa e Efeito, Matriz SWOT e Avaliação dos Controles.

É importante que exista a conscientização e comprometimento com o gerenciamento de riscos por

parte da alta administração da ANEEL. Nesse contexto, os tomadores de decisão são os responsáveis
P. 48 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

por esse gerenciamento, ou seja, mediante a matriz de riscos deve-se identificar qual a resposta a ser
adotada para tratamento do risco.

Abaixo as estratégias que podem ser adotadas para o tratamento dos riscos:

 Evitar o Risco: Descontinuação das atividades que geram os riscos. Evitar riscos pode, por
exemplo, implicar a descontinuação de um processo.

 Reduzir o Risco: São adotadas medidas para reduzir a probabilidade ou o impacto dos
riscos, ou, até mesmo, ambos. As medidas devem ser tomadas pautadas nos fatores de
riscos e aprimoramento de controles.

 Compartilhar: Redução da probabilidade ou do impacto dos riscos pela transferência ou

pelo compartilhamento de uma porção do risco. As técnicas comuns compreendem a
aquisição de produtos de seguro e a “terceirização” de uma atividade (levando-se em
consideração a corresponsabilidade).

 Aceitar: Nenhuma medida é adotada para afetar a probabilidade ou o grau de impacto dos
riscos. Tratando-se de riscos além do apetite ao risco, é necessário a formalização pelo
gestor do risco e aprovação pela Diretoria Colegiada.

Para elaboração do plano de ação é utilizada a técnica adaptada das perguntas 5W e 2H.

 “O que ocasiona o risco?” Qual o motivo para realização da ação (fator de risco);

 “Criticidade”: Refere-se a relevância do fator de risco (Magnitude x Importância);

 “Quem faz parte neste processo?”: Nome do responsável pela implementação da ação;

 “Quando será implementado?”: Data limite para implementação da ação;

 “O que pode ser implementado?”: Medida em relação à causa prioritária (ação corretiva);

 “Como deve ser realizado para melhoria?”: Descrever como será executada ação
proposta;

 “Quanto Custa?”: Qual o valor do custeio / investimento.

Os responsáveis pelos processos são também responsáveis pelo tratamento e/ou monitoramento
dos riscos associados. Desta forma, deve acompanhar o status dos planos de ação, bem como,
P. 49 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

informar à GEGC quando vislumbrar mudanças nos ambientes interno e/ou externo que podem
afetar o risco.

Caso não ocorra o planejamento e aprovação de resposta ao risco, bem como, a execução do plano
dentro do prazo estipulado, a pendência existente será encaminhada ao CGRC para conhecimento e
providências.

Exemplo

O que ocasiona o risco? Qual o motivo para realização da ação (fator de risco);

Refere-se a relevância do fator de risco (Magnitude x

Criticidade
Importância)

Quem faz parte neste processo? Nome do responsável pela implementação da ação;

Quando será implementado? Data limite para implementação da ação;

O que pode ser implementado? Medida em relação à causa prioritária (ação corretiva);

Como deve ser realizado para

Descrever como será executada ação proposta;
melhoria?

Quanto custa? Qual o valor do custeio / investimento.

Status Andamento da ação: Em execução, Finalizada, Atrasada e etc.

Fase 7. Monitoramento e Análise Crítica

Os indicadores devem ser planejados como parte do processo da avaliação de riscos e devem ser
monitorados de maneira regular. Podem ser periódicos ou acontecer em resposta a um fato
específico.

Fluxograma
P. 50 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Figura 32 - Monitoramento e Análise Crítica.

7.1 Estabelecimento dos Indicadores

 Responsável: GEGC;

 Executante: GEGC;

 Entrada: Matriz de Riscos – Inerente, Nível de Risco, Matriz SWOT e Plano de Ação;

 Periodicidade: Quando forem identificadas mudanças significativas, ou em caso de outras

necessidades;

 Entrega (produto): Indicadores Estabelecidos;

 Descrição: Abaixo serão estabelecidos os indicadores do processo de gestão de riscos, bem

como, a periodicidade de monitoramento.

Tipos de Indicadores

Todos os indicadores a seguir, devem ser representados através de um dashboard (painel de

controle), devendo ser visualizados de forma separada (por tipo) e de forma integrada.

 Criticidade dos Riscos Residuais

Diz respeito à evolução das condições dos riscos identificados e analisados na Matriz de Riscos -
Residual. Neste caso, deve-se montar um processo de acompanhamento para verificar se as
condições listadas no diagrama de causa e efeito sofrem mudanças, abrangendo os ambientes
interno e o externo.
P. 51 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

o Objetivo: Apresentar a evolução da criticidade dos riscos residuais (Matriz de Riscos -

Residual).

o Periodicidade de Monitoramento: Semestralmente, quando forem identificadas

mudanças significativas, ou em caso de outras necessidades;

o Métrica: Quantificação dos Riscos por Quadrante;

o Meta: A definir.

Exemplo de aplicação:

Figura 33 - Indicador de Criticidade.

 Planos de Ação

Visa verificar se os planos de ação estão sendo executados conforme cronograma estabelecido e
aprovado. Para isso devemos utilizar um farol com os indicadores de: Concluído, Em andamento,
Previsto, Atrasado e Cancelado. Devem ser acompanhadas para saber se seus objetivos foram
atingidos e, se não foram, quais as dificuldades encontradas e as ações corretivas.

o Objetivo: Medir a evolução da implantação dos planos de ação;

o Periodicidade de Monitoramento: Trimestral;

P. 52 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

o Métrica: Contador de Status (Concluído, em andamento, previsto, atrasado e

cancelado);

o Meta: A definir.

Exemplo de aplicação:

Figura 34 - Indicador de Plano de Ação.

7.2 Execução do monitoramento e Acompanhamento dos Indicadores

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Indicadores estabelecidos;

 Periodicidade: Anualmente;

 Entrega (produto): Apuração dos Indicadores;

 Descrição (como): O monitoramento e acompanhamento dos indicadores deve ser executado

conforme periodicidade estabelecida, sendo enviado relatório ao CGRC.

7.3 Elaboração de Relatórios Executivos

 Responsável: GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador

(responsável pelo Processo);
P. 53 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Executante: Facilitador da Gestão de Riscos;

 Envolvidos: Líderes, áreas técnicas coparticipantes e GEGC;

 Entrada: Indicadores apurados;

 Periodicidade: Anualmente;

 Entrega (produto): Relatório Executivo dos Indicadores de Riscos do Processo;

 Descrição (como): Elaboração de Relatório contendo os itens de monitoramento e os

indicadores apurados, constando as justificativas necessárias para o entendimento. O
relatório elaborado deverá ser remetido anualmente ao GEGC.

7.4 Reunião de Análise Crítica

 Responsável: GEGC;

 Executante: GEGC;

 Entrada: Relatórios Executivos;

 Periodicidade: Anualmente (final do ciclo);

 Entrega (produto): Relatório de Análise Crítica;

 Descrição (como): Na reunião em questão deve ser apresentado o Relatório Executivo Anual,
contendo todos os itens de monitoramento e indicadores de riscos, explanando sobre os
avanços realizados e dificuldades encontradas. Os principais pontos levantados e debatidos e,
sobretudo, as diretrizes e determinações estabelecidas pela Diretoria Colegiada devem ser
registrados.

7.5 Retroalimentação e Aprendizado do processo de Gestão de Riscos Estratégicos

 Responsável: CGRC

 Executante: GEGC;
P. 54 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

 Envolvidos: CGRC e Líderes e áreas técnicas;

 Entrada: Relatório de Análise Crítica;

 Periodicidade: Anualmente, quando forem identificadas mudanças significativas ou em caso

de outras necessidades;

 Entrega (produto): Não Aplicável;

 Descrição (como): Fruto das diretrizes/determinações estabelecidas pela alta direção, o

processo deve ser retroalimentado, com ganhos de aprendizado, iniciando-se pela
comunicação, onde deve ser considerado todos os apontamentos realizados na reunião de
análise crítica.

6. SIGLAS
GDG: Gabinete do Diretor-Geral.

CGRC: Comitê de Governança, Riscos e Controle.

AID: Assessoria Institucional da Diretoria.

GEGC: Gerência de Governança Corporativa

7. GLOSSÁRIO
Para os efeitos deste documento, aplicam-se os seguintes termos e definições.

Alta administração: gestores que integram o nível executivo mais elevado da organização com
poderes para estabelecer as políticas, os objetivos e conduzir a implementação da estratégia para
realizar os objetivos da organização. (Fonte: Portaria - SEGECEX Nº 2, de 22 de janeiro de 2018)

Ameaça: Qualquer circunstância, situação ou correlatos com potencial para ocasionar ou contribuir
para a concretização de riscos. (Fonte: autores)

Análise crítica: Atividade realizada para determinar a adequação, suficiência e eficácia do assunto em
questão para atingir os objetivos estabelecidos. Nota: A análise crítica pode ser aplicada à estrutura
da gestão de riscos, ao processo de gestão de riscos, ao risco ou ao controle. (Fonte: ISO 31000:2009)
P. 55 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Análise de riscos: Processo de compreender a natureza do risco e determinar o nível de risco. Nota:
1 A análise de riscos fornece a base para a avaliação de riscos e para as decisões sobre o tratamento
de riscos. Nota: A análise de riscos inclui a estimativa de riscos. (Fonte: ISO 31000:2009)

Diagrama de Causa e Efeito: Fornece uma visualização gráfica estruturada de uma lista de causas
para um efeito específico. (Fonte: Adaptado da ISO 31010:2012)

Apetite a riscos: A quantidade total de riscos que uma companhia ou outra organização está disposta
a aceitar na busca de sua missão (ou visão). (Fonte: COSO ERM 2017)

Atitude perante o risco: Abordagem da organização para avaliar e eventualmente buscar, reter,
assumir ou afastar-se do risco. (Fonte: ISO 31000:2009)

Avaliação de riscos: Processo de comparar os resultados da análise de riscos com os critérios de risco
para determinar se o risco e/ou sua magnitude é aceitável ou tolerável. Nota: A avaliação de riscos
auxilia na decisão sobre o tratamento de riscos. (Fonte: ISO 31000:2009)

Categoria de Objetivos: Uma das quatro categorias de objetivos de uma organização - estratégicos,
eficácia e eficiência operacionais, confiabilidade dos relatórios e cumprimento de leis e regulamentos
cabíveis. As categorias sobrepõem-se. Assim, um determinado objetivo poderá classificar-se em mais
de uma categoria. (Fonte: COSO ERM)

Comitê de Governança, Riscos e Controle: constitui instância administrativa na ANEEL, instituída e

subordinada à Diretoria Colegiada, tendo por finalidade implementar e manter o processo de gestão
de riscos corporativos da Agência. (Fonte: Regimento Interno do CGRC)

Consequência: Resultado de um evento que afeta os objetivos. Nota 1: Um evento pode levar a uma
série de consequências. Nota 2: Uma consequência pode ser certa ou incerta e pode ter efeitos
positivos ou negativos sobre os objetivos. Nota 3: As consequências podem ser expressas qualitativa
ou quantitativamente. Nota 4: As consequências iniciais podem desencadear reações em cadeia.
(Fonte: ISO 31000:2009)

Contexto externo: Ambiente externo no qual a organização busca atingir seus objetivos. Nota: O
contexto externo pode incluir: o ambiente cultural, social, político, legal, regulatório, financeiro,
tecnológico, econômico, natural e competitivo, seja internacional, nacional, regional ou local; os
P. 56 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

fatores–chave e as tendências que tenham impacto sobre os objetivos da organização; e as relações

com partes interessadas externas e suas percepções e valores. (Fonte: ISO 31000:2009)

Contexto interno: Ambiente interno no qual a organização busca atingir seus objetivos. Nota: O
contexto interno pode incluir: governança, estrutura organizacional, funções e responsabilidades;
políticas, objetivos e estratégias implementadas para atingi-los; capacidades compreendidas em
termos de recursos e conhecimento (por exemplo, capital, tempo, pessoas, processos, sistemas e
tecnologias); sistemas de informação, fluxos de informação e processos de tomada de decisão (tanto
formais como informais); relações com partes interessadas internas, e suas percepções e valores;
cultura da organização; normas, diretrizes e modelos adotados pela organização; e forma e extensão
das relações contratuais. (Fonte: ISO 31000:2009)

Controle: Medida que está modificando o risco. Nota 1: Os controles incluem qualquer processo,
política, dispositivo, prática ou outras ações que modificam o risco. Nota 2: Os controles nem sempre
conseguem exercer o efeito de modificação pretendido ou presumido. (Fonte: ISO 31000:2009)

Critérios de risco: Termos de referência contra os quais a significância de um risco é avaliada. Nota
1: Os critérios de risco são baseados nos objetivos organizacionais e no contexto externo e contexto
interno. Nota 2: Os critérios de risco podem ser derivados de normas, leis, políticas e outros
requisitos. (Fonte: ISO 31000:2009)

Criticidade: Resultado da probabilidade e o impacto de um risco. (Fonte: autores)

Estabelecimento do contexto: Definição dos parâmetros externos e internos a serem levados em

consideração ao gerenciar riscos, e estabelecimento do escopo e dos critérios de risco para a política
de gestão de riscos. (Fonte: ISO 31000:2009)

Estrutura da gestão de riscos: Conjunto de componentes que fornecem os fundamentos e os arranjos

organizacionais para a concepção, implementação, monitoramento, análise crítica e melhoria
contínua da gestão de riscos através de toda a organização. Nota 1: Os fundamentos incluem a
política, objetivos, mandatos e comprometimento para gerenciar riscos. Nota 2: Os arranjos
organizacionais incluem planos, relacionamentos, responsabilidades, recursos, processos e
atividades. Nota 3: A estrutura da gestão de riscos está incorporada no âmbito das políticas e práticas
estratégicas e operacionais de toda a organização. (Fonte: ISO 31000:2009)
P. 57 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Evento: Ocorrência ou mudança em um conjunto específico de circunstâncias. Nota 1: Um evento

pode consistir em uma ou mais ocorrências e pode ter várias causas. Nota 2: Um evento pode consistir
em alguma coisa não acontecer. Nota 3: Um evento pode algumas vezes ser referido como um
"incidente" ou um "acidente". Nota 4: Um evento sem consequências também pode ser referido
como um "quase acidente", ou um "incidente" ou "por um triz". (Fonte: ISO 31000:2009)

Fonte de risco: elemento que, individualmente ou combinado, tem o potencial intrínseco para dar
origem ao risco. Nota: Uma fonte de risco pode ser tangível ou intangível. (Fonte: ISO 31000:2009)

Gestão de riscos: Atividades coordenadas para dirigir e controlar uma organização no que se refere
a riscos. (Fonte: ISO 31000:2009)

Grupo Técnico de Apoio à Gestão de Riscos: Incumbe ao GTAGR apoiar o CRC na implantação do
processo de gerenciamento de riscos e na orientação dos gestores de riscos para o desempenho de
suas atribuições. (Fonte: Regimento Interno do CRC).

Identificação de riscos: Processo de busca, reconhecimento e descrição de riscos. Nota 1: A

identificação de riscos envolve a identificação das fontes de risco, eventos suas causas e suas
consequências potenciais. Nota 2: A identificação de riscos pode envolver dados históricos, análises
teóricas, opiniões de pessoas informadas e especialistas, e as necessidades das partes interessadas.
(Fonte: ISO 31000:2009)

Monitoramento: Verificação, supervisão, observação crítica ou identificação da situação, executadas

de forma contínua, a fim de identificar mudanças no nível de desempenho requerido ou esperado.
Nota: O monitoramento pode ser aplicado à estrutura da gestão de riscos, ao processo de gestão de
riscos, ao risco ou ao controle. (Fonte: ISO 31000:2009)

Nível de risco: Magnitude de um risco ou combinação de riscos, expressa em termos da combinação

das consequências e de suas probabilidades. (Fonte: ISO 31000:2009)

Parte interessada: Pessoa ou organização que pode afetar, ser afetada, ou perceber–se afetada por
uma decisão ou atividade. Nota: Um tomador de decisão pode ser uma parte interessada. (Fonte: ISO
31000:2009)
P. 58 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Perfil de risco: Descrição de um conjunto qualquer de riscos. Nota: O conjunto de riscos pode conter
riscos que dizem respeito a toda a organização, parte da organização, ou referente ao qual tiver sido
definido. (Fonte: ISO 31000:2009)

Plano de gestão de riscos: Esquema dentro da estrutura da gestão de riscos, que especifica a
abordagem, os componentes de gestão e os recursos a serem aplicados para gerenciar riscos. Nota
1: Os componentes de gestão tipicamente incluem procedimentos, práticas, atribuição de
responsabilidades, sequência e cronologia das atividades. Nota 2: O plano de gestão de riscos pode
ser aplicado a um determinado produto, processo e projeto, em parte ou em toda a organização.
(Fonte: ISO 31000:2009)

Política de gestão de riscos: Declaração das intenções e diretrizes gerais de uma organização
relacionadas à gestão de riscos. (Fonte: ISO 31000:2009)

Probabilidade: Chance de algo acontecer. Nota 1: Na terminologia de gestão de riscos, a palavra

”probabilidade" é utilizada para referir-se à chance de algo acontecer, não importando se definida,
medida ou determinada objetiva ou subjetivamente, qualitativa ou quantitativamente, ou se descrita
utilizando-se termos gerais ou matemáticos (tal como probabilidade ou frequência durante um
determinado período de tempo). Nota 2: O termo em Inglês "likelihood" não tem um equivalente
direto em algumas línguas; em vez disso, o equivalente do termo "probability" é frequentemente
utilizado. Entretanto, em Inglês, "probability" é muitas vezes interpretado estritamente como uma
expressão matemática. Portanto, na terminologia de gestão de riscos, ”likelihood" é utilizado com a
mesma ampla interpretação de que o termo "probability" tem em muitos outros idiomas além do
inglês. (Fonte: ISO 31000:2009)

Processo de avaliação de riscos: Processo global de identificação de riscos, análise de riscos e

avaliação de riscos. (Fonte: ISO 31000:2009)

Processo de gestão de riscos: Aplicação sistemática de políticas, procedimentos e práticas de gestão

para as atividades de comunicação, consulta, estabelecimento do contexto, e na identificação,
análise, avaliação, tratamento, monitoramento e análise crítica dos riscos. (Fonte: ISO 31000:2009)

Proprietário do risco: Pessoa ou entidade com a responsabilidade e a autoridade para gerenciar um

risco. (Fonte: ISO 31000:2009)
P. 59 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX.

Risco: Efeito da incerteza nos objetivos. Nota 1: Um efeito é um desvio em relação ao esperado =
positivo e/ou negativo. Nota 2: Os objetivos podem ter diferentes aspectos (tais como metas
financeiras, de saúde e segurança e ambientais) e podem aplicar–se em diferentes níveis (tais como
estratégico, em toda a organização, de projeto, de produto e de processo). Nota 3: O risco é muitas
vezes caracterizado pela referência aos eventos potenciais e às consequências, ou uma combinação
destes. Nota 4: O risco é muitas vezes expresso em termos de uma combinação de consequências de
um evento (incluindo mudanças nas circunstâncias) e a probabilidade de ocorrência associada. Nota
5: A incerteza é o estado, mesmo que parcial, da deficiência das informações relacionadas a um
evento, sua compreensão, seu conhecimento, sua consequência ou sua probabilidade. (Fonte: ISO
31000:2009)

Risco Inerente: é o risco que se apresenta a uma organização na ausência de qualquer medida
gerencial que poderia alterar a sua probabilidade ou o seu impacto. (COSO ERM 2017)

Risco residual: Risco remanescente após o tratamento do risco. Nota 1: O risco residual pode conter
riscos não identificados. Nota 2: O risco residual também pode ser conhecido como "risco retido".
(Fonte: ISO 31000:2009)

SWOT (Strengths, Weaknesses, Opportunities e Threats): Em português: Forças, Ameaças,

Oportunidades e Fraquezas. Trata-se de uma análise para posicionar ou verificar a posição estratégica
da empresa no ambiente em questão. (Fonte: Autores)

Tolerância a Riscos: A variação aceitável relativa à realização de um objetivo. (Fonte: COSO ERM)

Tratamento de riscos: Processo para modificar o risco. Nota 1: O tratamento de risco pode envolver:
a ação de evitar o risco pela decisão de não iniciar ou descontinuar a atividade que dá origem ao risco;
assumir ou aumentar o risco, a fim de buscar uma oportunidade; a remoção da fonte de risco; a
alteração da probabilidade; a alteração das consequências; o compartilhamento do risco com outra
parte ou partes (incluindo contratos e financiamento do risco); e a retenção do risco por uma escolha
consciente. Nota 2: Os tratamentos de riscos relativos às consequências negativas são muitas vezes
referidos como "mitigação de riscos", "eliminação de riscos", "prevenção de riscos" e "redução de
riscos". Nota 3: O tratamento de riscos pode criar novos riscos ou modificar riscos existentes. (Fonte:
ISO 31000:2009).