RESOLUÇÃO FCP Nº 18, DE 22 DE DEZEMBRO DE 2023 (parte 3 de 4)

8.1.3.1. Matriz de Apetite a Riscos
Define o nível de risco que a organização está preparada para buscar, manter
ou assumir. No caso da FCP, riscos com níveis de significância menor que 10 (pequeno,
moderado e parte dos altos) serão aceitáveis (Figura 10). Já os riscos com níveis de
significância maior ou igual à 10, que são parte dos níveis alto e crítico, serão considerados
inaceitáveis e um plano de ação deverá ser proposto ao CGIFCP e o tratamento do risco
deve ocorrer imediatamente. Abaixo apresenta-se a matriz de risco com impacto e
probabilidade e níveis de risco:
Figura 10 - Matriz de risco com impacto e probabilidade e níveis de risco
aceitáveis e não aceitáveis (³10, em destaque)
8.2. Identificação de Riscos
Esta etapa tem como finalidade desenvolver uma lista abrangente de eventos
de risco que podem ter impacto no alcance dos objetivos, categorizando-os e identificando
causas e potenciais consequências.
Recomenda-se que todos os riscos sejam incluídos no processo de identificação,
mesmo aqueles provenientes de ambientes não controlados pela FCP (ou seja, potenciais
ameaças externas), uma vez que, quando um risco não é identificado, ele não pode ser
analisado ou tratado.
Identificar o risco implica em reconhecer os eventos que podem impedir o
alcance dos objetivos e também identificar os efeitos de ocorrência do risco e as causas
(Figura 11), isto é, as condições potenciais que podem originar o risco ou que viabilizem
sua concretização.
(Fonte: CAIXA - Guia prático de linhas de defesa. Ciclo anual de gerenciamento
de riscos)
Os riscos, bem como causas, efeitos e controles serão inseridos na aba 3 da
Planilha Documentadora de Riscos, a qual tem a seguinte aparência (Figura 12):
Figura 12 - Planilha Documentadora de Riscos. Aba 3. Mapa de Riscos
8.2.1. Definição das Técnicas para levantamento do risco com as equipes
Há várias técnicas disponíveis para identificação de riscos e essas podem ser
combinadas. Para escolha das técnicas leva-se em consideração o grau de maturidade da
organização; as especificidades do setor; a natureza do processo; e o nível de
aprofundamento desejado.
Algumas das técnicas mais conhecidas que podem ser sugeridas para a
realização do levantamento desses componentes são: Brainstorming, questionários,
entrevistas, checklist, análise SWOT (forças, fraquezas, oportunidades e ameaças), análise
de dados históricos, análise de premissas, opiniões especializadas, necessidades das partes
interessadas e diagramas de causa e efeito. Essas técnicas estão descritas em ABNT.
ISO/IEC 31010:2012.
Neste primeiro ciclo de levantamento de riscos serão realizadas entrevistas com
gestores (com ou sem equipe), onde será utilizado brainstorming motivados pelas
perguntas descritas no diagrama abaixo (Figura 13), na ordem indicada em cada quadro.
Durante a entrevista é essencial que todos os participantes possam visualizar todo o
diagrama durante o encontro.
Figura 13 - Diagrama utilizado durante as entrevistas para visualização das
perguntas e para registro dos riscos, causas, efeitos e controles. (Fonte: Autoria própria)
O encontro inicia-se com a pergunta: 1) que eventos impedem ou prejudicam
o alcance das saídas? Após registros das respostas dos eventos de riscos realiza-se 2) um
momento de reflexão e realocação dos eventos que são causas no quadro correspondente,
pois neste primeiro momento é comum que parte dos eventos mencionados se mostrem
como causas dos demais. Prossegue-se com 3) a solicitação e registro dos efeitos e então
4) verifica-se se todas os eventos de risco têm causas relacionadas já registradas, caso não
tenham, registra-se as causas faltantes. 4)Passa-se a etapa de registros dos controles
atualmente realizados e por último 5) Registra-se as ações de tratamento que devem ser
tomadas caso o risco ocorra e também as ações de controle que ainda não são
tomadas.
8.2.2. Categorização dos Riscos
Quanto à categorização dos riscos, os eventos podem se enquadrar em alguma
das classificações abaixo:
¸Estratégico: eventos que possam impactar o cumprimento da missão da FCP,
das metas ou dos objetivos estratégicos, caso venham a ocorrer. Incluem riscos legais, isto
é, eventos derivados de alterações legislativas ou normativas que podem comprometer as
atividades do órgão ou entidade.
¸ Operacional: eventos que podem comprometer as atividades da unidade.
Normalmente estão associados a falhas, deficiência ou inadequação de processos, pessoas,
infraestrutura e sistemas, afetando a gestão eficaz e eficiente dos processos
organizacionais;
¸ Orçamentário: eventos que podem comprometer a capacidade da FCP de
contar com recursos orçamentários e financeiros necessários à realização de suas
atividades, ou eventos que possam comprometer a execução orçamentária, como atrasos
no cronograma de licitações;
¸ Reputação: eventos que podem comprometer a confiança das partes
interessadas em relação à capacidade da FCP em cumprir sua missão institucional,
interferindo diretamente na reputação da agência;
¸Integridade: eventos que podem afetar a probidade da gestão dos recursos
públicos e das atividades da organização, causados pela falta de honestidade e desvios
éticos.
¸ Fiscal: eventos que podem afetar negativamente o equilíbrio das contas
públicas.
¸ Conformidade: eventos que podem afetar o cumprimento de leis,
regulamentos e contratos aplicáveis;
8.3. Análise de Riscos
Alcançada a identificação dos riscos bem como suas causas, efeitos e controles,
passa-se a etapa de análise dos riscos em impacto e probabilidade.
O resultado final dessa etapa atribuirá a cada risco identificado uma
classificação, tanto para a probabilidade como para o impacto do evento, cuja combinação
determinará o nível do risco e consiste na conjunção dos pesos do impacto, analisado em
5 categorias, e da probabilidade, também avaliada em 5 categorias (Figura 10), acima
apresentado.
A análise de riscos é feita duas vezes, uma primeira vez examina-se os
parâmetros de Impacto e Probabilidade sem considerar os controles existentes (Risco
Inerente ou potencial) e uma segunda vez, na segunda vez, examina-se os mesmos
parâmetros de Impacto e Probabilidade considerando-se os controles já existentes (Risco
residual).
O Nível de Risco Inerente: É o nível do risco sem considerar quaisquer controles
que podem reduzir a probabilidade da sua ocorrência ou o seu impacto. Nível de Risco Residual
- RR é o nível de risco remanescente, após se analisarem os possíveis controles existentes que
podem reduzir a probabilidade da sua ocorrência ou o seu impacto (Figura 14).
O nível de RI é obtido por meio do produto aritmético entre a Probabilidade (P)
e o Impacto (I).
Figura 14 - Diagrama de riscos
Os registros serão realizados nas Abas 4 e 5 da Planilha Documentadora de
Riscos, a qual tem a seguinte aparência (Figura 15):
Figura 15 - Planilha Documentadora de Riscos. Aba 4. Cálculo de Risco Inerente
e Aba 5. Cálculo de Risco Residual
8.3.1. Análise dos riscos inerentes em impacto e probabilidade
Para análise do impacto são examinados 6 parâmetros (Figura 16), conforme as
5 categorias já mencionadas: 1) esforço da gestão para gerenciamento do risco identificado
(Peso 15%); 2) nível de ação para regularização do processo caso o risco ocorra (Peso 17%);
3)amplitude de disseminação na mídia caso o risco ocorra (Peso 12%); 4) nível de
interferência nos objetivos estratégicos (Peso 18%); 5) Nível de intervenção hierárquica
para lidar com as consequências do risco (Peso 13%) e 6) impacto financeiro-orçamentário
do risco caso ocorra quando for possível reconhecer o impacto financeiro-orçamentário.
Figura 16 - Aspectos analisados para compreender o Impacto do Risco na
organização conforme Planilha Documentadora de Riscos (TCU):
Na análise da probabilidade do risco serão consideradas as seguintes
frequências e pesos (Figura 17): 1) Muito baixa para eventos de risco que podem ocorrer
apenas em circunstâncias excepcionais, isto é em menos de 10% das vezes em que o
processo associado ocorre; 2) Baixo para eventos que podem ocorrer em algum momento,
isto é, de 10 a 30 % das vezes; 3) Média para eventos que devem ocorrer em algum
momento, isto é de 30% a 50% das vezes; 4) Alta para evento que provavelmente ocorra
na maioria das circunstâncias, isto é entre 50% e 90% das vezes; Muito alta para eventos
esperados que ocorram na maioria das circunstâncias, ou seja em mais de 90% das vezes
em que o processo associado acontece.
Figura 17 - Frequências e classificação analisados para o Probabilidade do Risco
conforme Planilha documentadora de Riscos (TCU).
8.3.2 Análise dos riscos residuais em impacto e probabilidade
Nesta etapa analisa-se os riscos segundo os mesmos parâmetros utilizados para
análise de riscos inerentes, mas agora ao refletir sobre Impacto e Probabilidade deve
considerar os controles já existente. Esta última análise corresponde ao risco residual.
Ao analisar Impacto e Probabilidade é necessário registrar as etapas nas duas
abas correspondentes da Planilha Documentadora de Riscos para que o cálculo do nível de
risco seja feito ao multiplicar a nota do impacto pela nota da probabilidade levantadas nas
duas etapas anteriores, isto é de análise do risco inerente e do risco residual.
8.4. Avaliação de Riscos
8.4.1. Classificação do risco em 4 classes de acordo com a magnitude
A avaliação de riscos visa comparar o nível de risco encontrado durante a etapa
de análise com os critérios de risco definidos, utilizando os resultados como subsídio para
a tomada de decisões sobre quais riscos necessitam ser tratados ou não, e com que
prioridade.
O resultado de Risco Inerente, bem como o resultado do Risco Residual, obtidos
pelo produto de cada valor de probabilidade e impacto, pode então, ser classificado em
termos de magnitude em 4 classes (Figura 18).
Figura 18 - Classes de avaliação do risco
A matriz de risco (Figura 19) é gerada quando são combinados o impacto e a
probabilidade. Esta classificação é obtida quando preenchemos a Planilha Documentadora
de Riscos (Arquivo em excel apensado a este documento).
Figura 19 - Matriz de riscos com categorias por nível de magnitude: Pequeno
(verde); Moderado (amarelo), Alto (vermelho) e Crítico (preto).
8.5. Avaliação dos controles existentes
Os controles são essenciais para redução do impacto e da probabilidade de
ocorrência do risco. Por isso, a definição de controles preventivos, corretivos e/ou
compensatórios é de grande importância para aumentar as chances de alcance dos
objetivos estratégicos e operacionais.
Uma vez identificados conjuntamente com os Riscos na primeira etapa, cabe
agora indicar o nível de maturidade dos controles conforme segunda as classes
predefinidas na Planilha Documentadora de Riscos.
Os Controles podem ser classificados quanto ao desenho em: (1) Não há
sistema de Controle; (2) Há procedimento de controle para algumas atividades, porém
informais; (3) Controles não foram planejados formalmente, mas são executados de acordo
com a experiência dos servidores; (4) É desenhado um sistema de controle integrado
adequadamente planejado, discutido e documentado. O sistema de controle vigente é
eficaz, mas não prevê revisões periódicas; (5) O sistema de controle é eficaz na gestão de
riscos (adequadamente planejado, discutido, testado e documentado com correções ou
aperfeiçoamentos planejados de forma tempestiva).
Realiza-se também a classificação dos controles quanto a operação dos
controles em: (1) Controle não executado; (2) Controle parcialmente executado e com
deficiências; (3) Controle parcialmente executado; (4) Controle implantado e executado de
maneira periódica e quase sempre uniforme. Avaliação dos controles é feita com alguma
periodicidade; (5) Controle implantado e executado de maneira uniforme pela equipe e na
frequência desejada. Periodicamente os controles são testados e aperfeiçoados.
8.6. Tratamento de Riscos
8.6.1. Preenchimento do Plano de ação para tratamento dos Riscos
Inaceitáveis
Esta etapa tem como finalidade selecionar a resposta (tratamento) a ser adotada,
para cada risco avaliado, de acordo com o Nível de Risco Residual, com o apetite a riscos,
com o contexto da FCP ou custo do controle, conforme o quadro a seguir (Quadro 2).
Quadro 2 - Estratégia de Resposta ao Risco. Fonte: Metodologia de Gestão de
Riscos (CGU, 2018, adaptado)
. Opções de
tratamento
Descrição
. Aceitar Um risco normalmente é aceito quando seu nível está nas faixas de
apetite a risco. Nessa situação, nenhum novo controle precisa ser
implementado para mitigar o risco.
. Reduzir Essa estratégia normalmente é escolhida quando é classificado como
"Alto" ou "Crítico".
A implementação de controles deve apresentar um custo/benefício
adequado. Reduzir o risco significa implementar controles que possam
minimizar as causas ou as consequências dos riscos, identificadas
anteriormente
. Compartilhar Um risco normalmente é compartilhado quando é classificado como
"Alto" ou "Crítico", mas a implementação de controles não apresenta
um custo/benefício adequado.
Pode-se compartilhar o risco por meio de terceirização ou apólice de
seguro, por exemplo.
. Evitar Um risco normalmente é evitado quando é classificado como "Alto" ou
"Crítico", e a implementação de controles apresenta um custo muito
elevado, inviabilizando sua mitigação, ou não há entidades dispostas a
compartilhar o risco com a FCP. Evitar o risco pode significar encerrar
ou deixar de implementar o processo organizacional.
Nesse caso, essa opção deve ser aprovada pelo Comitê Interno de
Governança - CIGFCP.
Selecionada a resposta mais adequada ao tratamento de cada risco, a fase
seguinte consistirá na elaboração dos planos de ação, e estabelecer os prazos para a
implementação das iniciativas deles constantes. Os planos de ação podem implicar a
adoção de novos controles ou a modificação de controles já existentes e deverão
considerar:
¸A eficácia das ações já existentes;
¸As restrições organizacionais, técnicas e estruturais;
¸Os requisitos legais;
¸A análise custo/benefício;
¸As ações a serem realizadas;
¸As prioridades; e
¸ O cronograma de execução. O Plano de Tratamento de Riscos contemplará
todos os planos de ação propostos, de acordo com os riscos identificados.
Os Planos de Ação conterão, pelo menos os seguintes itens (Figura 20) (e
devem ser preenchidos em aba própria da Planilha Documentadora de Riscos (Aba 6. Plano
de Ação) conforme ilustrado abaixo:
¸Objetivos/benefícios esperados;
¸Unidade organizacional responsável pela implementação dos planos de ação e
unidade(s) interveniente(s);
¸Gestor de Riscos responsável;
¸Breve descrição sobre a implementação;
¸Data prevista para início da implementação;
¸Data prevista para o término, se for o caso; e
¸Status dos planos de ação.
Figura 20 - Apresentação do Plano de Ação na Planilha Documentadora de
Riscos
Cabe ao Gestor de Risco a submissão ao Comitê interno de governança da FCP
- CIGFCP, o plano de ação para os riscos considerados inaceitáveis, isto é, os riscos
residuais com classificação de magnitude Crítico ou Alta (³10) conforme matriz de risco
(Figura 10). Todos os riscos (pequenos, moderados, altos e críticos) devem ter uma
resposta preenchida na aba correspondente (Aba 6. Plano de Ação), no entanto apenas os
Riscos classificados como inaceitáveis devem ter um plano de ação submetido ao CIGFCP
para avaliação e decisão quanto ao tratamento a ser dado.
Se as iniciativas do plano de ação envolverem mais de uma unidade, o Gestor
de Riscos responsável deve encaminhar a proposta do plano para os Gestores de Riscos
das unidades envolvidas, para que estes validem as iniciativas das quais fizerem parte. É
importante ressaltar que o tratamento a ser implementado pode ser uma nova fonte de
risco e deve ser tratado em conjunto com sua implementação.
O Gestor de Risco formaliza, o CIGFCP aprova, e a CGE monitora os planos de
ação, confirmando o responsável para cada iniciativa de tratamento e prazos acordados,
que é de 6 meses para os riscos considerados inaceitáveis. A CGE, juntamente com os
Gestores de Riscos, deve verificar se as medidas adotadas estão sendo eficazes, bem como
atualizar o CIGFCP da execução do plano para os riscos considerados inaceitáveis.
Cabe ao Gestor de Risco, responsável pelo tratamento, atualizar o progresso
das iniciativas do plano de ação e comunicar à CGE.
Após a execução da iniciativa de tratamento, é possível que permaneça algum
risco residual. Este deve ser confrontado com o apetite a riscos definido, a fim de verificar
se está compreendido no nível "Aceitável". Caso negativo, deverá ser adotado um plano de
ação para tratamento do risco residual.
É necessário avaliar a necessidade de melhorar ou extinguir controles já
existentes. Somente após essa avaliação podem ser propostos novos controles, caso ainda
haja necessidade de redução do nível de risco.
O próximo quadro mostra a atitude a ser tomada, de acordo com o Nível de
Risco residual (Quadro 3) encontrado:
Quadro 3 - Atitude perante o risco para cada Nível de Risco Residual. Fonte:
Metodologia de Gestão de Riscos (CGU, 2018, adaptado)
. Classificação Ação necessária Exceção
. Risco
pequeno
Nível de risco dentro do apetite a risco, mas é
possível que existam oportunidades de maior
retorno que podem ser exploradas assumindo-se
mais riscos, avaliando a relação custo x benefício,
como diminuir o nível de controles.
Indica que o risco inerente já está dentro da
tolerância a risco.
Caso o risco seja
priorizado para
implementação de
medidas de
tratamento, essa
priorização deve ser
justificada pelo
Gestor de Riscos e
aprovada pelo
CIGFCP.
. Risco
Moderado
Nível de risco dentro do apetite a risco.
Geralmente nenhuma medida especial é necessária,
porém requer atividades de monitoramento
específicas e atenção da unidade na manutenção de
respostas e controles para manter o risco nesse nível,
ou reduzi-lo sem custos adicionais.
Indica que o risco residual já está dentro da
tolerância a risco, mas deve se buscar reduzi-lo.
Caso o risco seja
priorizado para
implementação de
medidas de
tratamento, essa
priorização deve ser
justificada pelo
Gestor de Riscos e
aprovada pelo
CIGFCP.
. Risco Alto Risco Alto Nível de risco além do apetite a risco.
Qualquer risco nesse nível deve ser comunicado ao
Núcleo de Gestão de Riscos e ter uma ação tomada
em período determinado. Postergação de medidas só
com autorização do CIGFCP.
Indica que o risco residual será reduzido a um nível
compatível com a tolerância a riscos.
Caso o risco não seja
priorizado para
implementação de
medidas de
tratamento, a não
priorização deve ser
justificada pelo
Gestor de Riscos e
aprovada pelo
CIGFCP.
. Risco Crítico Nível de risco muito além do apetite a risco.
Qualquer risco nesse nível deve ser comunicado ao
Comitê Interno de Governança e ter uma resposta
imediata, construção de Plano de ação e tratamento
em até 6 meses.
Postergação de medidas só com autorização do
CIGFCP.
Indica que nenhuma opção de resposta foi
identificada para reduzir a probabilidade e o impacto
a nível aceitável. Para identificação do tipo de
resposta, isto é se deve evitar o processo ou
prosseguir com o processo adicionando-se mais
controles, deve-se avaliar se o custo do processo que
gera o risco é desproporcional ou se a capacidade de
lidar com o risco é muito limitada.
Caso o risco não seja
priorizado para
implementação de
medidas de
tratamento, a não
priorização deve ser
justificada pelo
Gestor de Riscos e
aprovada pelo
CIGFCP.
8.7. Comunicação e Consulta
8.7.1. Comunicação dos Riscos Identificados
A comunicação consiste em um processo interativo de troca de informações e
opiniões, envolvendo a organização e seus participantes, e as partes interessadas externas.
Por sua vez, a consulta constitui-se em um processo de comunicação informativa entre a
organização e as partes interessadas, antes de se tomar uma decisão ou definir um
posicionamento em relação a uma determinada questão.
Muito do envolvimento das pessoas e unidades na gestão de riscos é
influenciado por ações de comunicação e consulta eficazes. Consequentemente, essas
devem ser mantidas durante todas as fases do processo de gerenciamento de riscos.
A comunicação e a consulta têm como objetivo principal facilitar a troca de
informações, levando em consideração os aspectos de confidencialidade, integridade e
confiabilidade e deve ser realizada contando, minimamente, com os seguintes
instrumentos:
Plano de comunicação - No início de um novo ciclo de execução do processo de
gerenciamento de riscos, é necessária a definição, em um documento estruturado, dos
elementos-chave concernentes à comunicação como finalidade, destinatários, responsáveis,
tipo e periodicidade das ações de comunicação que serão promovidas.
Registro das ocorrências de riscos - caso um evento de risco venha a ocorrer,
devem ser registradas informações relativas ao fato, tais como descrição do evento
ocorrido, impactos e prejuízos causados aos objetivos estratégicos e ao alcance das metas
que permitam a construção de uma base histórica para avaliação da maturidade da
instituição com relação à sua gestão de riscos.
Os relatórios gerenciais de riscos de cada unidade serão submetidos ao CIGFCP
a cada ciclo de monitoramento que é anual e também comporão os Planos Bianual de
Gestão de Risco como produto da fase de monitoramento e controle e auxílio à tomada de
decisão para o Planejamento Estratégico.
Os Planos serão aprovados por meio de Resolução, a serem publicados no
Boletim de serviço Eletrônico, cuja matéria de ser encaminhada à Procuradoria Federal
junto à Fundação Cultural Palmares para exame e parecer.
8.8. Monitoramento e Análise Crítica
8.8.1. Análise crítica dos riscos monitorados
A etapa de monitoramento e análise crítica constitui-se em um processo
contínuo ao longo do ciclo de gestão de riscos, e sua execução tem como objetivos:
¸Possibilitar a identificação de mudanças na classificação do risco e ajustar o
tratamento, bem como a prioridade e os planos de ação adotados, com base na
reavaliação dos contextos interno e externo;
¸Assegurar o acompanhamento dos eventos de risco e seus desdobramentos;
¸ Acompanhar e garantir a eficácia e eficiência dos controles internos
adotados;
¸Possibilitar a identificação de novos riscos ou riscos residuais que não haviam
sido considerados, subsidiando o ciclo de Gestão de Riscos subsequente; e
¸Possibilitar a atualização e melhoria contínua do Processo de Gestão de Riscos,
e de sua estrutura.
O monitoramento e análise crítica ocorrerá anualmente e definirá as
necessidades, podendo inclusive, determinar a realização de novo processo de avaliação de
riscos ainda durante a vigência de determinado plano de ação, caso verifique mudanças
relevantes que ensejem tal medida.
As competências para a execução dessa etapa são as seguintes:
¸Gestores de Risco: são responsáveis por monitorar os riscos levantados nos
processos, subprocessos e projetos sob sua responsabilidade e o tratamento atribuído a
eles;
¸CGE: Responsável por monitorar a execução dos planos de ação definidos para
tratamento dos riscos identificados pelos Gestores de Risco e suas equipes. Mudanças
identificadas durante o monitoramento devem ser encaminhadas à CGE, a quem compete
monitorar os resultados de todas as iniciativas de gestão de riscos da FCP. Tais alterações
serão objeto de aprovação pelo CIGFCP;
¸Comitê Interno de Governança: realiza a análise crítica do processo de gestão
de riscos e é instância competente para aprovação dos planos de ação e de suas eventuais
alterações.