Módulo 5 – Matriz de
Riscos
1
[Link]
“
O risco é como o fogo: se controlado,
ele irá ajudá-lo; se incontrolável, ele se
levantará e destruirá você.
Theodore Roosevelt
2
AGENDA
1. Risco inerente.
2. Avaliando os controles.
3. Risco residual.
4. Bate-papo com especialista.
1 Risco inerente
Nível de risco antes de quaisquer ações
de mitigação de risco terem sido levadas
em conta, como atividades de controle.
COSO 2013
Passado
FUTURO
Avaliação de Riscos
Controles
Risco Inerente Risco Residual
Matriz de Riscos
Níveis de riscos
Muito alto 5
Risco Crítico
Alto 4
Impacto
Risco Alto
Médio 3
Risco
Baixo 2
Moderado
Muito baixo 1 Risco
Pequeno
1 2 3 4 5
Muito Baixa Baixa Média Alta Muito Alta
Probabilidade
Matriz de Riscos
Escala de Probabilidade
Frequência Observada /
Peso Escala Descrição
Esperada
5 Muito Alta >= 90% O evento é esperado na maioria das
circunstâncias.
4 Alta >= 50% < 90% O evento provavelmente ocorre na maioria
das circunstâncias.
3 Média >= 30% < 50% O evento deve ocorrer em algum momento.
O evento pode ocorrer em algum
2 Baixa >= 10% < 30% momento.
O evento pode ocorrer apenas em
1 Muito Baixa < 10% circunstâncias excepcionais.
Matriz de Riscos
Escala de Impacto
Peso Escala Descrição
5 Muito alto O impacto ocasiona colapso às ações de gestão, a viabilidade
estratégica pode ser comprometida.
Alto O impacto compromete acentuadamente às ações de gestão, os
4
objetivos estratégicos podem ser fortemente comprometidos.
3 Médio O impacto é significativo no alcance das ações de gestão.
2 Baixo O impacto é pouco relevante ao alcance das ações de gestão.
1 Muito baixo O impacto é mínimo no alcance das ações de gestão.
2 Avaliando os
controles
Controles
Estudar padrões de
comportamento Inspecionar um produto
Capacitar uma equipe Dupla checagem de um relatório
financeiro
Implantar câmeras de Monitorar um indicador
movimento
Controles
Internos
Controles Internos da Gestão são um conjunto de regras, procedimentos, diretrizes,
protocolos, rotinas de sistemas informatizados, conferências e trâmites de documentos e
informações, entre outros, operacionalizados de forma integrada pela direção e pelo corpo de
servidores das organizações, destinados a enfrentar os riscos e fornecer segurança razoável de
que, na consecução da missão da entidade, os seguintes objetivos gerais serão alcançados:
Execução ordenada, ética, Cumprimento das
econômica, eficiente e obrigações de
eficaz das operações accountability
Salvaguarda dos recursos
Cumprimento das leis e
para evitar perdas, mau
regulamentos aplicáveis
uso e danos
IN MP/CGU Nº 01/2016
Preventivos
Detectivos
Corretivos
Elaborado pelo Prof. Rodrigo Fontenelle © Todos os direitos reservados
Autoavaliação dos Controles (CSA)
Os principais aspectos a serem observados na construção de uma CSA são os regulatórios,
éticos e de integridade que influenciam o processo, observando se os controles relacionados a
esses aspectos são suficientes e eficazes.
O CSA pode ser abordado de diversas formas, não havendo uma considerada “melhor”.
Podemos utilizar uma abordagem ou combinação de várias, conforme abaixo:
• Workshop (reunião facilitadora);
• Questionários ou pesquisas;
• Entrevistas;
• Análises preparadas pela gerência.
COSO
Princípios
✓ A organização demonstra compromisso com a integridade e valores éticos.
✓ O Conselho demonstra independência da administração e fiscaliza o
desenvolvimento e a performance do controle interno.
✓ A administração estabelece, em conjunto com o Conselho, estruturas, linhas de
reporte e autoridades e responsabilidade apropriadas ao alcance dos objetivos.
✓ A organização demonstra comprometimento em atrair, desenvolver e reter
indivíduos competentes em linha com os seus objetivos.
✓ A organização mantém indivíduos responsáveis pelo controle interno que
assegurem o alcance dos objetivos.
Princípios
✓ A organização especifica objetivos com suficiente clareza para possibilitar a
identificação e avaliação dos riscos relacionados aos objetivos.
✓ A organização identifica os riscos ao alcance de seus objetivos e analisa os riscos,
de forma a determinar como esses podem ser gerenciados.
✓ A organização considera o potencial de fraude na avaliação dos riscos ao
alcance dos objetivos.
✓ A organização identifica e avalia alterações que podem impactar
significativamente o sistema de controle interno.
Princípios
✓ A organização seleciona e desenvolve atividades de controle que contribuem para
mitigar os riscos ao alcance dos objetivos a níveis aceitáveis.
✓ A organização seleciona e desenvolve atividades gerais de controle em relação à
tecnologia que suporta o alcance dos objetivos.
✓ A organização implanta atividades de controle através de políticas que
estabelecem o que é esperado e procedimentos que coloquem essas políticas em
ação.
Princípios
✓ A organização obtém/gera e usa informações relevantes e de qualidade para
suportar o funcionamento do controle interno.
✓ A organização comunica suas informações internamente, incluindo objetivos e
responsabilidades para controle interno, necessárias para suportar o
funcionamento do controle interno.
✓ A organização se comunica com partes externas sobre as questões que afetam o
funcionamento do controle interno.
Princípios
✓ A organização seleciona, desenvolve e realiza avaliações para assegurar se os
componentes do controle interno estão presentes e funcionando.
✓ A organização avalia e comunica deficiências de controle interno
tempestivamente para as partes responsáveis por adotar ações corretivas,
incluindo a alta administração e o Conselho, quando apropriado.
Limitações
Nenhum controle interno é 100% infalível. O que ele deve proporcionar é uma
segurança razoável de que os objetivos da empresa serão atingidos. Dessa forma, as
principais limitações do controle interno são:
Conluio de Eventos Servidores Custo
Servidores Externos Negligentes x
Benefício
Avaliação dos Controles
Nível de Eficácia
3 Risco residual
Nível de risco após ter levado em
consideração as ações de mitigação de
risco tais como atividades de controle.
COSO 2013
Apetite a Riscos
“Quantidade e tipo de riscos que uma organização está disposta a buscar
ou reter. ” ISO 31073/2022
A última fase da avaliação do risco envolve a comparação do seu nível
com o limite de exposição a riscos, a fim de determinar se o risco é
aceitável.
O limite de exposição a riscos representa o nível de risco acima do qual é
desejável o tratamento do risco.
Espera-se que, com os resultados do tratamento, o nível de risco residual
fique abaixo do limite de exposição.
Elaborado pelo Prof. Rodrigo Fontenelle © Todos os direitos reservados
Apetite a Riscos
Matriz de Riscos
I Muito Alto 5 10 15 20 25
m
Alto 4 8 12 16 20
p
a Médio 3 6 9 12 15
c
Baixo 2 4 6 8 10
t
o Muito Baixo 1 2 3 4 5
Pouco Muito Praticamente
Raro Provável
Provável Provável Certo
Probabilidade
Elaborado pelo Prof. Rodrigo Fontenelle © Todos os direitos reservados
Apetite a Riscos
Apetite a Riscos - Legenda
Muito Baixo A organização não aceita nenhum risco, devendo tratar todos os eventos de risco.
Baixo A organização aceita a possibilidade de ocorrência de eventos de riscos baixos.
Médio A organização aceita a possibilidade de ocorrência de eventos de riscos baixo e moderados
Alto A organização aceita a possibilidade de ocorrência de eventos de riscos baixo, moderado e altos
Muito Alto A organização aceita a possibilidade de ocorrência de eventos de todos os níveis de risco.
Elaborado pelo Prof. Rodrigo Fontenelle © Todos os direitos reservados
Apetite a Riscos
Nível de Risco
Pequeno Moderado Alto Crítico
Muito Baixo Tratar Tratar Tratar Tratar
Baixo Aceitar Tratar Tratar Tratar
Apetite a
Médio Aceitar Aceitar Tratar Tratar
Riscos
Alto Aceitar Aceitar Aceitar Tratar
Muito Alto Aceitar Aceitar Aceitar Aceitar
Elaborado pelo Prof. Rodrigo Fontenelle © Todos os direitos reservados
Apetite a Riscos
Atitude perante o Risco Residual
Exemplo: Apetite a Riscos Médio
Nível de risco dentro do apetite a risco. Podem existir oportunidades de
Pequeno maior retorno que possam ser exploradas. Pode ser o caso de assumir mais
riscos, avaliando a relação custo x benefício e diminuindo alguns controles.
Nível de risco dentro do apetite a risco. Requer atividades de
Moderado
monitoramento e manutenção dos controles.
Alto Nível de risco, além do apetite a risco. Alguma ação deve ser tomada.
Nível de risco muito além do apetite a risco. Ações devem ser tomadas
Crítico
tempestivamente.
Elaborado pelo Prof. Rodrigo Fontenelle © Todos os direitos reservados
Dica Prática
• Em sessões presenciais, boa parte das dicas são as mesmas vistas na etapa
anterior.
• Para ajudar na atribuição de pesos, tanto para o impacto como para a
probabilidade, os participantes poderão valer-se de abordagens como entrevistas,
opinião de participantes, dados históricos, por exemplo, além das escalas
numéricas, das definições e das orientações previstas para a Matriz de Riscos.
• É importante que seja definida a metodologia utilizada para chegar às notas
dadas para impacto e probabilidade. Pode-se procurar buscar o consenso do
grupo, mas nem sempre isso é praticável. Dessa forma, uma saída é escolher entre
maioria, média ou mediana. É importante que essa escolha fique registrada em ata.
Dica Prática
• Caso a metodologia de sua organização tenha optado por não avaliar o
risco inerente, ao utilizar a matriz de riscos já considere a avaliação dos
controles internos existentes no processo objeto da avaliação de riscos.
• Se a metodologia de sua organização contempla a avaliação do risco
inerente, após a utilização da matriz de riscos deve ser realizada a
avaliação dos controles já existentes no processo que está sendo avaliado.
Em seguida o grupo deverá voltar à matriz de riscos para fazer nova
avaliação, agora do risco residual, ou seja, considerando os controles já
existentes.
Bate-papo com
Especialista
Dacy Bastos
35