Módulo 6 – Já tenho a
Matriz. E agora?
1
[Link]
“
Tudo na vida é administração de risco, não
sua eliminação.
Walter Wiston
2
AGENDA
1. Definindo a resposta ao risco.
2. Elaborando um plano de ação.
3. Monitorando os riscos.
1
Definindo a
resposta ao
risco
Resposta ao Risco
Conhecido o nível de risco residual, verifique qual estratégia a ser adotada para
responder ao evento de risco. A escolha da estratégia dependerá do nível de
exposição a riscos previamente estabelecido pela organização em confronto
com a avaliação que se fez do risco.
Aceitar Mitigar Transferir Evitar
Cuidado com a resposta!
Resposta ao Risco
O tratamento dos riscos deve seguir os seguintes passos (TCU, 2018):
Identificar medidas de resposta ao risco.
Avaliar a viabilidade da implantação dessas medidas (custo
benefício, viabilidade técnica, etc.).
Decidir quais serão implementadas
Elaborar plano de implementação das medidas para inclusão
nos planos institucionais.
Mitigação
1. As ações de mitigação tenham um custo-
benefício positivo.
2. Eventual plano de ação deve ser eficaz na
redução do risco.
3. Deve-se monitorar as atividades de
mitigação.
Transferência
Envolve a ação de transferir o impacto negativo de uma ameaça (e a titularidade da
resposta) a um terceiro.
Importante:
• A transferência de risco não elimina uma ameaça, simplesmente faz com que a
outra parte seja responsável pelas perdas econômicas/físicas conectadas.
• As organizações transferem para terceiros (companhias de seguros, mercados de
derivativos etc.), principalmente, quando o custo de transferência é menor ou
igual a perda esperada.
• Não exagere com o overhedging dos riscos → Pode acontecer de você transferir
a terceiros as oportunidades também (upside risk).
Evitar
O risco deve que ser evitado quando:
a) É inconsistente com os objetivos da
organização.
b) É maior que o apetite de riscos da
organização.
c) Os custos incrementais de hedging
são maiores do que os resultados
positivos de cobertura.
Apetite a Riscos
Apetite a Riscos - Legenda
Muito Baixo A organização não aceita nenhum risco, devendo tratar todos os eventos de risco.
Baixo A organização aceita a possibilidade de ocorrência de eventos de riscos baixos.
Médio A organização aceita a possibilidade de ocorrência de eventos de riscos baixo e moderados
Alto A organização aceita a possibilidade de ocorrência de eventos de riscos baixo, moderado e altos
Muito Alto A organização aceita a possibilidade de ocorrência de eventos de todos os níveis de risco.
Apetite a Riscos
Nível de Risco
Pequeno Moderado Alto Crítico
Muito Baixo Tratar Tratar Tratar Tratar
Baixo Aceitar Tratar Tratar Tratar
Apetite a
Médio Aceitar Aceitar Tratar Tratar
Riscos
Alto Aceitar Aceitar Aceitar Tratar
Muito Alto Aceitar Aceitar Aceitar Aceitar
Apetite a Riscos
Atitude perante o Risco Residual
Exemplo: Apetite a Riscos Médio
Nível de risco dentro do apetite a risco. Podem existir oportunidades de
Pequeno maior retorno que possam ser exploradas. Pode ser o caso de assumir mais
riscos, avaliando a relação custo x benefício e diminuindo alguns controles.
Nível de risco dentro do apetite a risco. Requer atividades de monitoramento
Moderado
e manutenção dos controles.
Alto Nível de risco, além do apetite a risco. Alguma ação deve ser tomada.
Nível de risco muito além do apetite a risco. Ações devem ser tomadas
Crítico
tempestivamente.
2
Elaborando
um plano de
ação
Plano de Ação
Dica prática
• Uma das boas opções disponíveis para a
elaboração de um plano de ação é a
metodologia 5W2H, exemplificada a seguir.
• Na implementação de um plano de ação,
identifique claramente a ordem de prioridade em
que cada tratamento deva ser implementado.
• Ao pensar em uma atividade de controle para
mitigar determinado risco avaliado, faça uma
avaliação da relação benefício/custo da
implementação daquele controle. Fará sentido
você implementá-lo se o resultado for maior que
1.
Plano de Ação
O QUE
(what)
ONDE POR QUE
(where) (why)
QUANDO
(when)
5W2H QUEM
(who)
COMO QUANTO
(how) (how much)
Plano de Ação
Análise GUT
Ferramenta que auxilia na priorização de resolução de problemas.
✓ Gravidade: refere-se ao impacto que o risco gerará nos envolvidos, se concretizado.
✓ Urgência: é o tempo disponível para a resolução do problema. Quanto menor o tempo,
mais urgente será o problema que deverá ser resolvido. Pode-se perguntar: Isso pode
esperar?
✓ Tendência: trata da probabilidade que o risco tem de se concretizar com o passar do
tempo. A pergunta a ser feita é: Se eu não resolver isso hoje, o problema vai piorar aos
poucos ou bruscamente?
Plano de Ação
Exemplo
3 Monitorando
os riscos
Informação e Comunicação
As informações relevantes devem ser identificadas, coletadas e comunicadas, a tempo de permitir que
as pessoas cumpram suas responsabilidades, não apenas com dados produzidos internamente, mas,
também, com informações sobre eventos, atividades e condições externas, que possibilitem o
gerenciamento de riscos e a tomada de decisão.
Informações Confiáveis, íntegras e tempestivas
Comunicação Flui em todas as direções e que alcance toda a organização
Entre instâncias de supervisão de gestão de riscos e controles internos ocorre por
meio dos níveis de relacionamento delineados no Modelo de Relacionamento.
Informação e Comunicação
Todos os riscos mapeados – Gestores dos
área gestora Processos
Filtro automático: Filtro 1
Riscos relevantes para a Unidade Chefe da
Unidade
Filtro manual: Filtro 2
Riscos relevantes para a organização 2ª linha / Alta
Exemplo: Administração 21
MPOG, adaptado
Informação e Comunicação
Filtro 1
Serão selecionados automaticamente os riscos considerados relevantes, de acordo com a
classificação abaixo:
✓ Riscos Estratégicos ou de Integridade.
✓ Riscos inerentes com Impacto 5 ou residuais com Impacto 4.
✓ Riscos residuais em nível “Crítico” ou “Alto”.
Filtro 2
A 2ª linha avaliará individualmente cada risco selecionado no Filtro 1, reportando às instâncias
superiores (Alta Administração) os que possuam maior relevância.
22
Definição das medidas de controle
Critérios de classificação riscos-chave Categoria de Risco
• Riscos Estratégicos
01 • Riscos de Integridade
• Riscos de Reputação/Imagem
Avaliação do Impacto
RISCOS-CHAVE 02 • Nota impacto: 8 – ALTO
• Nota impacto: 10 – MUITO ALTO
Nível do Risco
03 • Risco Residual: RA – ALTO
• Risco Residual: RMA – MUITO ALTO
• Risco Residual: RC - CRÍTICO
Exemplo: SCGE-PE 23
Monitoramento
“Devem ser criados processos para verificar se os riscos continuam a existir, se
surgiram novos riscos, se a probabilidade e impacto dos riscos mudaram, reportar
Orange Book alterações significativas que ajustem as prioridades de risco e garantir a eficácia
dos controles.”
“O gerenciamento de riscos corporativos de uma organização modifica-se com o
passar do tempo. As respostas a risco que se mostravam eficazes anteriormente
podem tornar-se inócuas; as atividades de controle podem perder a eficácia ou
deixar de ser executadas; ou os objetivos podem mudar. Essas modificações
COSO ERM podem ser causadas pela chegada de novos profissionais, pelas mudanças na
estrutura ou no direcionamento da organização ou, ainda, pela introdução de
novos processos. Diante dessas mudanças, a administração necessita determinar
se o funcionamento do gerenciamento de riscos corporativos permanece eficaz.”
ISO “Verificação, supervisão, observação crítica ou identificação da situação,
31073:2022 executadas de forma contínua, a fim de identificar mudanças no nível de
desempenho requerido ou esperado.”
Monitoramento
Formas
Contínuo
Feitas de forma rotineira e definida. Em geral são realizadas pelos
administradores das áreas, sendo inseridas no processo de negócio e efetuadas
em tempo real.
Independente
Periódicas e conduzidas pela administração, auditoria interna, auditoria externa,
entre outros. O que será avaliado, bem como a periodicidade são definidos pela
administração do órgão avaliador. Sua periodicidade depende do ritmo de
mudanças na entidade a ser avaliada.
KRI
Indicadores-chave de Risco
✓ São indicadores definidos para dar maior visibilidade às principais fontes de riscos
da organização.
✓ Ao monitorar dados associados aos eventos, as organizações identificam a
existência de condições que poderiam originar um evento.
✓ O KRI fornece um aviso antecipado com o objetivo de identificar potenciais
eventos que possam impactar um objetivo de negócio traçado.
✓ Habilitam a prevenção de potenciais riscos elevados.
✓ Ajudam a identificar fraquezas em processos e/ou controles de forma a permitir
ações a serem tomadas com objetivo de fortalecer o controle e resolver casos
específicos.
Características
Mensuráveis Previsíveis Comparáveis Informativos
KRI
Causa - Evento
Raiz de Risco Efeito
KRI Resposta KPI
ao Risco
KRI
Objetivo: construção de uma escola por meio de
convênio
Risco: execução irregular
Fatores de Risco KRI
Recursos % de recursos
Demora na Documentação executados versus Número de
parados na Número de
conclusão do inidônea para % de recurso comprovações
maior parte da previsto para o
recursos de
processo comprovação de despesas
execução do período no plano licitantes
licitatório de despesas inidôneas
convênio de trabalho
Processo com Gestão de Riscos