RESOLUÇÃO FCP Nº 18, DE 22 DE DEZEMBRO DE 2023 (parte 2 de 4)

ANEXO
METODOLOGIA DE GESTÃO DE RISCOS DA FUNDAÇÃO CULTURAL PALMARES
1. INTRODUÇÃO
Este documento apresenta a metodologia de gestão de riscos da Fundação
Cultural Palmares - FCP, em conformidade com a Portaria nº 64, de 24 de março de 2020,
que cria o Comitê Interno de Governança da entidade, pautada com as diretrizes dispostas
na Resolução CIGFCP nº 07, de 12 de agosto de 2021, que aprova a Política de Gestão de
Riscos, e em observância as demais normas que regem a matéria.
A metodologia abrange a definição de conceitos, diretrizes, atribuição de papéis
e responsabilidades dos gestores, o detalhamento do processo de gerenciamento de riscos,
a definição da Matriz de Riscos e o apetite a risco da FCP. Também, tem por parâmetro a
ABNT NBR ISO 31000:2018, por se tratar de um normativo padrão internacional que
fornece princípios e diretrizes genéricas, contudo, possibilita que seja adaptado a
especificidade de cada organização.
A metodologia implementada pela FCP permitirá gerar um fluxo ordenado de
ações de modo a avaliar, identificar, analisar, tratar, monitorar e comunicar os riscos da
entidade. Quando efetivada e mantida de acordo com as diretrizes estabelecidas nesta
norma será mais um mecanismo de controle de prevenção e proteção para o alcance dos
objetivos da entidade.
O processo de gerenciamento de riscos de maneira estrita, consiste nas
seguintes etapas (ISO 31000:2018): a) estabelecimento do contexto; b) identificação de
riscos; c) análise de riscos em impacto e probabilidade; d) avaliação de riscos em categorias
(pequeno, moderado, alto e crítico); e) tratamento de riscos; f) comunicação e consulta; g)
monitoramento e análise crítica; e h) registro e relato. Em que pese se tenham essas fases,
na prática o processo é iterativo e incremental, isto é, realizado em fases de revisão onde
agrega-se e refina-se as informações de forma contínua a cada ciclo.
Para o gerenciamento dos riscos é necessário o mapeamento dos processos
como etapa prévia, uma vez que é nessa etapa que são estudadas as entradas, as saídas,
os fornecedores e os clientes do processo (Análise SIPOC), bem como o fluxograma do
processo.
A metodologia foi elaborada pela equipe da Coordenação-Geral de Gestão
Estratégica e posteriormente foi aprovada no âmbito do Comitê Interno de Governança da
Fundação Cultural Palmares, por meio da Reunião Ordinária/Extraordinária de XXX.
O gerenciamento de riscos será executado pelas unidades administrativas da
FCP, de forma integrada aos processos oriundos das competências regimentais e do
planejamento estratégico, levando em consideração a cultura organizacional da entidade,
abrangendo os níveis estratégico, tático e operacional.
2. FUNDAMENTO LEGAL
a) Lei n º 7.668, de 22 de agosto de 1988, que autoriza o Poder Executivo a
constituir a Fundação Cultural Palmares - FCP e dá outras providências.
b) Decreto nº 11.203, de 21 de setembro de 2022, que aprova o Estatuto e o
Quadro Demonstrativo dos Cargos em Comissão e das Funções de Confiança da Fundação
Cultural Palmares e remaneja e transforma cargos em comissão e funções de confiança.
c) Instrução Normativa Conjunta MPOG e CGU nº 1, de 10 de maio de 2016 -
Dispõe sobre controles internos, gestão de riscos e governança no âmbito do Poder
Executivo Federal;
d) Decreto nº 9.203, de 22 de novembro de 2017 - Dispõe sobre a política de
governança da administração pública federal direta, autárquica e fundacional;
e) Portaria FCP nº 64, 24 de março de 2020 - Institui o Comitê Interno de
Governança da FCP, alterada pela Portarias nº 104, de 29 de maio de 2020 e nº 71, de 09
de março de 2021; e
f) Resolução CIGFCP º 07, de 12 de agosto de 2021, aprova a Política de Gestão
de Riscos da Fundação Cultural Palmares.
3. CONCEITOS
Para fins deste documento, consideram-se os seguintes conceitos:
accountability: conjunto de procedimentos adotados pelas organizações
públicas e pelos indivíduos que as integram, os quais evidenciam sua responsabilidade por
decisões tomadas e ações implementadas, incluindo a salvaguarda de recursos públicos, a
imparcialidade e o desempenho das organizações;
apetite ao risco: nível de risco que a instituição está disposta a aceitar;
agente responsável pela gestão de riscos: servidor, funcionário, empregado ou
colaborador em exercício na FCP que atue na Gestão de Risco dos processos
organizacionais sob sua responsabilidade;
Coordenação-Geral de Gestão Estratégica - CGE: unidade que tem a finalidade
de orientar, sistematizar e padronizar a identificação, a avaliação e a adoção de controles
(respostas aos eventos de riscos) dos processos das unidades administrativas da FCP.
Também tem a responsabilidade de acompanhar a evolução e melhorias do Programa de
Integridade da Fundação;
controles internos da gestão: conjunto de regras, procedimentos, diretrizes,
protocolos, rotinas de sistemas informatizados, conferências e trâmites de documentos e
informações, entre outros, operacionalizados de forma integrada pela direção e pelo corpo
de servidores das organizações, destinados a enfrentar os riscos e fornecer segurança
razoável e suficiente para o alcance dos objetivos estratégicos. Também visa:
a) execução ordenada, ética, econômica, eficiente e eficaz das operações;
b) cumprimento das obrigações de accountability;
c) cumprimento das leis e regulamentos aplicáveis; e
d) salvaguarda dos recursos para evitar perdas, mau uso e danos.
evento: um ou mais incidentes ou ocorrências, provenientes dos ambientes
interno ou externo, ou mudança em um conjunto específico de circunstâncias, podendo
também consistir em algo não acontecer;
gestão de riscos: processo de natureza permanente, estabelecido, direcionado e
monitorado pela alta administração, que contempla as atividades de identificar, avaliar e
gerenciar potenciais eventos que possam afetar a entidade, destinado a fornecer segurança
razoável quanto à realização de seus objetivos;
gestor de risco e controle: agente responsável pelo gerenciamento do risco no
âmbito de suas unidades organizacionais, quer seja o coordenador geral, diretor ou cargo
equivalente, quer seja o agente operacional a frente da execução do processo;
governança pública: conjunto de mecanismos de liderança, estratégia e
controle postos em prática para avaliar, direcionar e monitorar a atuação da gestão, com
vistas à condução de políticas públicas e à prestação de serviços de interesse da
sociedade;
matriz de risco: ferramenta para classificar e apresentar riscos definindo faixas
para impacto e probabilidade;
medida de controle: medida aplicada, no âmbito da FCP, para mitigar ou
eliminar os riscos e aumentar a probabilidade de que os objetivos e as metas
organizacionais sejam alcançados;
nível do risco: medida da importância ou significância do risco, considerando a
probabilidade de ocorrência do evento e o seu impacto;
objeto de gestão de riscos: qualquer processo de trabalho, atividade, projeto ou
ação de plano institucional, assim como os recursos que dão suporte para a efetivação
dessas iniciativas e para o alcance dos objetivos estratégicos da FCP;
planejamento estratégico: O planejamento estratégico consiste em um processo
de reflexão, análise e tomada de decisão acerca dos grandes objetivos de uma organização
e dos meios que serão utilizados para alcançá-los. Por meio dele, a instituição desenvolve
autoconhecimento e promove uma orientação estratégica comum para todos os seus
colaboradores, com a definição da sua Missão (razão de existir), sua Visão (projeção bem-
sucedida da organização no futuro) e seus Valores (princípios mais relevantes que devem
permear sua atuação).
política de gestão de riscos: declaração das intenções e diretrizes gerais de uma
organização relacionadas à Gestão de Riscos;
processo: conjunto de ações e atividades interrelacionadas, que são executadas
para alcançar produto, resultado ou serviço predefinido;
risco: possibilidade de que um evento afete o alcance de objetivos
estratégicos;
riscos institucionais: riscos priorizados e elencados para serem monitorados
pela alta administração;
risco inerente: risco a que a entidade está exposta sem considerar quaisquer
ações de controle que possam reduzir a probabilidade de sua ocorrência ou seu
impacto;
risco residual: risco a que a entidade está exposta após a implementação de
controles para o tratamento do risco; e
tolerância ao risco: disposição da organização ou parte interessada em suportar
o risco após o tratamento do risco a fim de atingir seus objetivos. Pode ser influenciada
por requisitos legais ou regulatórios.
tratamento dos riscos: permitir a construção do Plano de Implantação das
Ações de Controle dos Riscos (ou Plano de Ação). Trata-se de um documento que organiza
as atividades a serem realizadas para a adequada implantação dos controles previstos na
Matriz de Riscos. Busca-se estabelecer o tratamento dos riscos, por meio de ações de
caráter imediato, curto, médio ou longo prazo, ou de aperfeiçoamento contínuo.
4. PRINCÍPIOS
Em conformidade com a Política de Gestão de Riscos da CGE, e de acordo com
a norma ABNT NBR ISO 31.000: 2018, constituem princípios da gestão de riscos:
I - proteção do ambiente organizacional;
II - melhoria contínua dos processos da organização;
III - visão sistêmica, estruturada e oportuna, subordinada ao interesse
público;
IV - qualidade e tempestividade das informações;
V - transparência;
VI - uniformidade de procedimentos;
VII - dinamismo e interatividade;
VIII - alinhamento à gestão estratégica;
IX - estabelecimento de procedimentos de controle interno proporcionais ao
risco observada a
relação custo-benefício, e destinados a agregar valor à organização;
X - estabelecimento de níveis de exposição a riscos adequados; e
XI - utilização do mapeamento de riscos para o apoio à tomada de decisão e à
elaboração do planejamento estratégico.
5. OBJETIVOS
A Metodologia é uma ferramenta capaz de auxiliar os gestores públicos no
processo de tomada de decisão, a fim de assegurar a devida aplicação dos recursos
públicos e, consequentemente, a efetividade das políticas públicas. Seus objetivos são:
I - aumentar a probabilidade de alcance dos objetivos institucionais, reduzindo
riscos a níveis aceitáveis;
II - apoiar a tomada de decisão dos gestores, com informações tempestivas e
suficientes a
respeito dos riscos a que a organização está exposta;
III - promover uma gestão proativa;
IV - melhorar a eficácia e a eficiência operacional;
V - melhorar a governança; e
VI - agregar valor à organização por meio da melhoria dos processos de tomada
de decisão e
do tratamento adequado dos riscos dos impactos negativos decorrentes de sua
materialização
6. RESPONSABILIDADE
Para melhor compreensão das responsabilidades em gestão de riscos da FCP,
propõe-se o Modelo de Três Linhas de Defesa, do IIA - The Institute of Internal Auditors
(2020) (Figura 1), o qual apresenta de forma simples e eficaz papéis e responsabilidades
essenciais e suas competências. No entanto, competências específicas estão discriminadas
na Resolução nº 7 de 2021 que aprova a Política de Gestão de Riscos da Fundação Cultural
Palmares.
Nessa estrutura em que todos têm alguma responsabilidade, atuam como
elementos centrais: (i)os gestores dos riscos, (ii) os especialistas em controles internos,
gestão de riscos e conformidade, (iii) os auditores internos e os órgãos de governança.
O modelo envolve pessoas e setores diversos, formando uma estrutura clara,
com transparência na comunicação e na distribuição de funções, conforme detalhamento
a seguir:
a) Primeira Linha: são os gestores em seus respectivos âmbitos e escopos de
atuação, os responsáveis pelos processos de trabalho, projetos, atividades e ações
desenvolvidos nos níveis estratégicos, táticos ou operacionais. Compete aos gestores como
Primeira Linha:
I - Escolher os processos, projetos, atividades e ações que terão seus riscos
gerenciados e tratados, observada a Política de Gestão de Riscos;
II - Definir os níveis de risco aceitáveis e elaborar os planos de ação para o
tratamento dos riscos, considerando a declaração de apetite a riscos do órgão;
III - Realizar o acompanhamento da evolução dos níveis de risco e da
efetividade dos planos de ação;
b) Segunda Linha: composta pelos responsáveis pelo controle interno, gestão
de riscos e conformidade da organização, que têm como objetivo apoiar os gestores dos
riscos para que cumpram com suas responsabilidades de Primeira Linha, fornecendo
conhecimento e ferramentas adequadas. Compete aos responsáveis pelo controle interno,
gestão de riscos e conformidade da organização, como Segunda Linha:
I - Apoiar a Primeira Linha na implantação, monitoramento e melhoria dos
controles internos estabelecidos na gestão de riscos;
II - Monitorar os riscos que impactam o alcance dos objetivos estratégicos;
III - Avaliar a adequação, a suficiência e a eficácia do processo de gestão de
riscos, revisando a política e a metodologia de gestão de riscos sempre que necessário;
IV - Assessorar os órgãos de governança nos temas técnicos acerca da gestão
de riscos.
c) Terceira Linha: composta pela auditoria interna, que tem o papel de fazer
uma avaliação objetiva e independente dos controles e da gestão de riscos. Compete à
auditoria interna, como Terceira Linha:
I - Avaliar as atividades da Primeira e Segunda Linhas no que tange à eficácia
dos controles internos e da gestão de riscos, assessorando-os quanto às melhores
práticas;
II - Verificar a conformidade das atividades executadas com a Política de Gestão
de Riscos;
III - Avaliar o desempenho da gestão de riscos, com o objetivo de promover a
melhoria contínua dos processos.
6.1 Método aplicado para definição de responsabilidade
As competências específicas dos atores da gestão de risco estão discriminadas
na Resolução nº 7 de 2021 que aprova a Política de Gestão de Riscos da Fundação Cultural
Palmares e estão disponíveis na Matriz RACI abaixo (Quadro 1).
A Matriz RACI é um método de discernimento dos atores da Gestão de Riscos,
ou seja ela tem a função de avaliar a distinção entre os diferentes papéis por meio do
reconhecimento dos seguintes atores:
R: quem executa a atividade;
A: quem aprova a tarefa ou produto. Pode delegar a função, mas mantém a
responsabilidade;
C: quem pode agregar valor ou é essencial para a implementação; e
I: quem faz o controle, mas não precisa necessariamente se envolver na
decisão.
Quadro 1 - Matriz RACI da Gestão de Riscos na FCP.
. Atividades Atores do processo
. CIGFCP CGE GRs Auditoria
. Definir a matriz de risco A R C I
. Definir o apetite ao risco A R C I
. Definir diretrizes para
priorização e tratamento dos
riscos
A R C I
. Priorização de
projetos/processos de
trabalhos/serviços
A C R I
. Estabelecer o contexto geral A C R I
. Identificar os riscos A C R I
. Analisar os riscos A C R I
. Avaliar os riscos A R C I
. Tratar os riscos A C R I
. Monitorar e realizar análise A R C R
7. MAPEAMENTO DOS PROCESSOS ORGANIZACIONAIS PARA DEFINIÇÃO DO
OBJETO DA GESTÃO DE RISCO
7.1. Análise do Escopo do Processo
De forma a possibilitar a integração da Gestão de Riscos à Gestão de Processos,
primeiro foi necessário compreender de forma detalhada os processos, uma vez que os
processos serão o objeto de gerenciamento dos riscos.
Esse trabalho trará melhorias substanciais para ambas atividades, gestão de
processos e gestão de riscos, como por exemplo, melhor entendimento das etapas e dos
fluxos dos processos e assim melhor controle de riscos nos pontos críticos; melhor
entendimento do papel dos atores e das suas responsabilidades e ainda, visualização
adequada das etapas para melhor dimensionamento do custo operacional e temporal dos
processos.
Além desses benefícios, tanto a gestão de processos como a gestão de riscos
colaboram para a mesma finalidade, isto é, o alcance dos objetivos estratégicos por meio
de Planos de Ação com focos distintos, melhoria do processo e tratamento de riscos. Dessa
forma, optou-se por integrar ambos os processos, buscando uma otimização do tempo,
custo operacional e redução no impacto para as áreas executoras.
A estratégia adotada foi entrevistar cada área da entidade para levantamento
de todas as atividades realizadas e identificação dos conjuntos de atividades que
correspondem aos processos. Dentre os critérios para identificação dos processos estão:
(i)a identificação de conjuntos de atividades que tenham interface com outras unidades da
entidade ou público-alvo, (ii)normas reguladoras próprias e (iii) procedimentos
específicos.
Nessa etapa é necessário que se avalie e confirme os processos para
realizarmos um mapeamento dos processos da entidade, que consiste em descrever o
fluxo de trabalho, objetivos, etapas, procedimentos, atividades, recursos humanos,
equipamentos, sistemas de informação e materiais requeridos, entradas e saídas. Esses
dados serão descritos na Planilha Diagrama de Escopo e Interface do Processo - DEIP
(Figura 3).
Cabe ressaltar que esse passo fornece as saídas dos processos, o que é essencial
para definir os eventos de riscos que podem afetar seus objetivos, uma vez que a ocorrência
do risco acarreta na impossibilidade de obtenção da saída do processo (Figura 4).
7.2. Modelagem do Processo
A modelagem do processo é representada por um fluxograma (Figura 5). O
fluxograma uma representação gráfica de como o trabalho acontece e tem a função de
simplificar ao entendimento sobre as tarefas. Ele é elaborado com o auxílio da ferramenta
Bizagi.
Figura 5 - Exemplo de Fluxograma do Processo
Para facilitar a elaboração do fluxograma será solicitado inicialmente o
preenchimento da planilha Lista de Tarefas do Processo (Figura 6).
Figura 6 - Lista de Tarefas do Processo para elaboração do fluxograma.
Assim que concluído os passos descritos acima, análise do escopo e fluxograma,
será possível visualizar a carteira de processos de toda a entidade, bem como todas as
tarefas e interfaces entre as diferentes áreas da entidade. Esses dados auxiliam o
levantamento de riscos por permitirem a fácil identificação de pontos críticos e a reflexão
mais objetiva sobre os riscos que prejudicam ou impedem a obtenção das saídas dos
processos.
8. ETAPAS DA METODOLOGIA DE GESTÃO DE RISCO
O processo de gerenciamento de riscos, segundo a ISO 31000:2018 (Figura 7)
contém as seguintes etapas:
Figura 7 - Diagrama do processo de gestão de riscos da norma ABNT NBR ISO
31000:2018 - Diretrizes
a) Escopo, Critério e Contexto: conhecer os objetivos organizacionais e os
processos a eles relacionados, assim como definir os contextos internos e externos a serem
levados em consideração ao gerenciar os riscos;
b) Identificação do risco - corresponde a aplicação do processo sistemático para
compreender o que pode acontecer, como, quando e por quê;
c) Análise do risco - se relaciona com a compreensão de cada risco, suas
consequências e probabilidades;
d) Avaliação do risco - envolve tomada de decisão sobre o nível do risco e
prioridade de atenção através da aplicação do critério desenvolvido na ocasião em que o
contexto foi estabelecido.
e) Tratamento do risco - se refere ao processo pelo qual os controles existentes
são aperfeiçoados ou novos controles são desenvolvidos e implementados. Compreende a
avaliação e seleção de opções, o que inclui análise de custos e benefícios e avaliação de
novos riscos que podem ser gerados a partir de cada opção e, desse modo, priorizando e
implementando o tratamento selecionado segundo o processo planejado.
f) Os elementos "Comunicação e Consulta", "Monitoramento e Análise Crítica"
e "Registro e Relato" são considerados agentes de ação contínua do processo de gestão de
riscos. A comunicação e consulta implica no envolvimento das partes interessadas internas
e externas a organização, objetivando considerar seus pontos de vista, conhecendo seus
objetivos por meio de envolvimento planejado. O "Monitoramento e a Análise Crítica"
preveem a tomada de ação no momento em que surgirem novos riscos que mudem os
riscos existentes, como produto de mudança nos objetivos organizacionais ou nos
ambientes interno e externo. O "Registro e Relato" são os mecanismos apropriados para
relatar e documentar os fatos apropriadamente.
Para registro dos riscos levantados será utilizada a "Planilha documentadora de
Riscos", que é um documento em formato "xls" apensado a este manual. Este arquivo
contém diversas abas as quais deverão ser preenchidas e impressas em pdf. A citada
planilha é de autoria do TCU, na qual estão inseridos critérios para análise do impacto e
probabilidade do risco, bem como fórmulas para ponderação dos fatores de impacto e
probabilidade.
A execução do processo de gerenciamento de riscos, na FCP, acompanhará, o
ciclo do planejamento estratégico. O processo de gerenciamento de riscos deverá ser
executado integralmente, após à definição do planejamento estratégico para o período.
Ao alinhar o calendário de ambas as iniciativas, estimula-se a sinergia entre os
instrumentos, visto que há fases que se retroalimentam nesses processos. Por exemplo, a
formulação da estratégia prevê a realização de diagnóstico organizacional e priorização de
iniciativas e processos que devem direcionar a fase de escopo, contexto e critério, do
gerenciamento de riscos.
A reunião de análise estratégica, de periocidade anual, que revisita iniciativas,
processos, planos táticos e indicadores, também fornece subsídios para o monitoramento
e controle do processo de gerenciamento de riscos, podendo redundar, inclusive, em novas
iterações do processo.
Nesse sentido, será elaborado relatório anual acerca do monitoramento dos
riscos mencionados e o Plano de Gestão de Riscos será quadrienal e em consonância ao
Plano Estratégico Institucional.
8.1. Escopo, Contexto e Critérios
Segundo a ISO 31000:2018, o propósito do estabelecimento do escopo,
contexto e critérios é personalizar a gestão de riscos, permitindo um processo de avaliação
de riscos eficaz e um tratamento de riscos apropriado.
8.1.1. Escopo
Definir o escopo significa circunscrever os elementos básicos que nortearão a
execução do processo de gerenciamento de riscos, como por exemplo: (i)Objetivos e
decisões que precisam ser tomadas; (ii) Resultados esperados das etapas a serem
realizadas no processo; (iii)Tempo, localização, inclusões e exclusões específicas; (iv)
Ferramentas e técnicas apropriadas para o processo de avaliação de riscos; (v) Recursos
requeridos, responsabilidades e registros a serem mantidos; (vi) Relacionamentos com
outros projetos, processos e subprocessos.
Será priorizada a aplicação do gerenciamento de riscos no nível estratégico, por
isso serão avaliados os processos que contribuem diretamente para o alcance dos objetivos
estratégicos. Nos próximos ciclos poderão ser levantados os riscos à nível operacional, de
programa, de projeto e ou de atividades.
Para tratamento serão priorizados os riscos que ameaçam os objetivos
estratégicos. Em ordem de prioridade serão avaliados processos e riscos segundo as
seguintes condições:
1. Se possui recomendações e/ou determinações de órgãos como, Ministério
Público, Tribunais, Controladoria Geral da União, Tribunal de Contas da União, Procuradoria
Federal junto a FCP e Auditoria Interna;
2. Se integra serviço prestado pela FCP;
3. Se requer qualificação técnica específica;
4. Se é dependente de recursos tecnológicos específicos;
5. Se possui reclamações registradas na Ouvidoria; e
6. Se possui denúncias registradas e associadas à sua execução.
A análise desses critérios definirá os processos prioritários para tratamento
imediato.
8.1.2. Contexto
O contexto consiste no levantamento dos aspectos externos e internos do
ambiente no intuito de compreender os fatores que podem interferir no alcance dos
objetivos estratégicos da entidade.
O ambiente interno envolve aspectos como governança, estrutura
organizacional, funções, alçadas e responsabilidades, políticas, estratégias, capacidades,
competência, sistemas de informação, processos decisórios e cultura organizacional.
O ambiente externo envolve aspecto social, político, econômico, legal,
regulatório, financeiro, tecnológico, econômico, ambiental, relações com partes
interessadas externas e suas percepções e valores.
Para avaliação e registro do Contexto utilizar-se-á a ferramenta Análise SWOT -
Strengths (pontos fortes), Weaknesses (pontos fracos), Opportunities (oportunidades para
o seu negócio) e Threats (Ameaças). No português é conhecida como análise FOFA (Forças,
Oportunidades, Fraquezas e Ameaças - Figura 8). A análise SWOT é feita de modo
específico para cada processo e ciclo, uma vez que a mudança de ambiente/contexto pode
mudar os riscos, ou seja, em determinados contextos pouco hostis, um risco potencial
pode deixar de sê-lo.
Figura 8 - Esquema e definições da Ferramenta Análise SWOT para avaliação do
contexto. Fonte: ENAP, 2018.
A avaliação do contexto será registrada na Planilha Documentadora de Riscos
(Arquivo em excel apensado a este documento), Aba 2 - Ambiente e Fixação de Objetivos
(Figura 9 ), conforme modelo abaixo:
Figura 9 - Ambiente e Fixação de Objetivos
8.1.3. Critérios
No processo de gerenciamento de riscos os critérios são termos de referência
contra os quais a significância de um risco é avaliada para dizer se um risco é tolerável ou
aceitável (ABNT, 2009). Os critérios são baseados nos objetivos organizacionais, no
contexto externo e interno e ainda podem ser derivados de normas e políticas.
Definir os critérios ajuda a apoiar a tomada de decisão, e significa especificar a
quantidade, o tipo de risco e a significância do risco que a organização pode assumir em
relação aos objetivos.