RESOLUÇÃO FCP N° 18, DE 22 DE DEZEMBRO DE 2023 (*) (parte 2 de 3)

ANEXO
METODOLOGIA DE GESTÃO DE RISCOS DA FUNDAÇÃO CULTURAL PALMARES
1. INTRODUÇÃO
Este documento apresenta a metodologia de gestão de riscos da Fundação Cultural Palmares - FCP, em conformidade com a Portaria nº 64, de 24 de março de 2020, que cria
o Comitê Interno de Governança da entidade, pautada com as diretrizes dispostas na Resolução CIG/FCP nº 07, de 12 de agosto de 2021, que aprova a Política de Gestão de Riscos, e
em observância com as demais normas que regem a matéria.
A metodologia abrange a definição de conceitos, diretrizes, atribuição de papéis e responsabilidades dos gestores, o detalhamento do processo de gerenciamento de riscos, a
definição da Matriz de Riscos e o apetite a risco da FCP. Também, tem por parâmetro a ABNT NBR ISO 31000:2018, por se tratar de um normativo padrão internacional que fornece
princípios e diretrizes genéricas, contudo, possibilita que seja adaptado à especificidade de cada organização.
A metodologia implementada pela FCP permitirá gerar um fluxo ordenado de ações de modo a avaliar, identificar, analisar, tratar, monitorar e comunicar os riscos da entidade.
Quando efetivada e mantida de acordo com as diretrizes estabelecidas nesta norma será mais um mecanismo de controle de prevenção e proteção para o alcance dos objetivos da
entidade.
O processo de gerenciamento de riscos de maneira estrita, consiste nas seguintes etapas (ISO 31000:2018):
a) estabelecimento do contexto;
b) identificação de riscos;
c) análise de riscos em impacto e probabilidade;
d) avaliação de riscos em categorias (pequeno, moderado, alto e crítico);
e) tratamento de riscos;
f) comunicação e consulta;
g) monitoramento e análise crítica; e
h) registro e relato.
Em que pese se tenham essas fases, na prática o processo é iterativo e incremental, isto é, realizado em fases de revisão onde agrega-se e refina-se as informações de forma
contínua a cada ciclo.
Em que pese se tenham essas fases, na prática o processo é iterativo e incremental, isto é, realizado em fases de revisão onde agrega-se e refina-se as informações de forma
contínua a cada ciclo.
Para o gerenciamento dos riscos é necessário o mapeamento dos processos como etapa prévia, uma vez que é nessa etapa que são estudadas as entradas, as saídas, os
fornecedores e os clientes do processo (Análise SIPOC), bem como o fluxograma do processo.
A metodologia foi elaborada pela equipe da Coordenação-Geral de Gestão Estratégica e posteriormente foi aprovada no âmbito do Comitê Interno de Governança da Fundação
Cultural Palmares, deliberado na 3ª Reunião Extraordinária, do dia 20 de dezembro de 2023.
O gerenciamento de riscos será executado pelas unidades administrativas da FCP, de forma integrada aos processos oriundos das competências regimentais e do planejamento
estratégico, levando em consideração a cultura organizacional da entidade, abrangendo os níveis estratégico, tático e operacional.
2. FUNDAMENTO LEGAL
a) Lei n º 7.668, de 22 de agosto de 1988, que autoriza o Poder Executivo a constituir a Fundação Cultural Palmares - FCP e dá outras providências.
b) Decreto nº 11.203, de 21 de setembro de 2022, que aprova o Estatuto e o Quadro Demonstrativo dos Cargos em Comissão e das Funções de Confiança da Fundação Cultural
Palmares e remaneja e transforma cargos em comissão e funções de confiança.
c) Instrução Normativa Conjunta MPOG e CGU nº 1, de 10 de maio de 2016 - Dispõe sobre controles internos, gestão de riscos e governança no âmbito do Poder Executivo
Federal;
d) Decreto nº 9.203, de 22 de novembro de 2017 - Dispõe sobre a política de governança da administração pública federal direta, autárquica e fundacional;
e) Portaria FCP nº 64, 24 de março de 2020 - Institui o Comitê Interno de Governança da FCP, alterada pela Portarias nº 104, de 29 de maio de 2020 e nº 71, de 09 de março
de 2021; e
f) Resolução CIGFCP º 07, de 12 de agosto de 2021, aprova a Política de Gestão de Riscos da Fundação Cultural Palmares.
3. CONCEITOS
Para fins deste documento, consideram-se os seguintes conceitos:
Accountability: conjunto de procedimentos adotados pelas organizações públicas e pelos indivíduos que as integram, os quais evidenciam sua responsabilidade por decisões
tomadas e ações implementadas, incluindo a salvaguarda de recursos públicos, a imparcialidade e o desempenho das organizações;
Apetite ao Risco: nível de risco que a instituição está disposta a aceitar;
Agente Responsável pela Gestão de Riscos: servidor, funcionário, empregado ou colaborador em exercício na FCP que atue na Gestão de Risco dos processos organizacionais
sob sua responsabilidade;
Coordenação-Geral de Gestão Estratégica - CGE: unidade que tem a finalidade de orientar, sistematizar e padronizar a identificação, a avaliação e a adoção de controles
(respostas aos eventos de riscos) dos processos das unidades administrativas da FCP. Também tem a responsabilidade de acompanhar a evolução e melhorias do Programa de Integridade
da Fundação;
Controles Internos da Gestão: conjunto de regras, procedimentos, diretrizes, protocolos, rotinas de sistemas informatizados, conferências e trâmites de documentos e
informações, entre outros, operacionalizados de forma integrada pela direção e pelo corpo de servidores das organizações, destinados a enfrentar os riscos e fornecer segurança razoável
e suficiente para o alcance dos objetivos estratégicos. Também visa:
a) execução ordenada, ética, econômica, eficiente e eficaz das operações;
b) cumprimento das obrigações de accountability;
c) cumprimento das leis e regulamentos aplicáveis; e
d) salvaguarda dos recursos para evitar perdas, mau uso e danos.
Evento: um ou mais incidentes ou ocorrências, provenientes dos ambientes interno ou externo, ou mudança em um conjunto específico de circunstâncias, podendo também
consistir em algo não acontecer;
Gestão de Riscos: processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar e
gerenciar potenciais eventos que possam afetar a entidade, destinado a fornecer segurança razoável quanto à realização de seus objetivos;
Gestor de Risco e Controle: agente responsável pelo gerenciamento do risco no âmbito de suas unidades organizacionais, quer seja o coordenador geral, diretor ou cargo
equivalente, quer seja o agente operacional a frente da execução do processo;
Governança Pública: conjunto de mecanismos de liderança, estratégia e controle postos em prática para avaliar, direcionar e monitorar a atuação da gestão, com vistas à
condução de políticas públicas e à prestação de serviços de interesse da sociedade;
Matriz de Risco: ferramenta para classificar e apresentar riscos definindo faixas para impacto e probabilidade;
Medida de Controle: medida aplicada, no âmbito da FCP, para mitigar ou eliminar os riscos e aumentar a probabilidade de que os objetivos e as metas organizacionais sejam
alcançados;
Nível do Risco: medida da importância ou significância do risco, considerando a probabilidade de ocorrência do evento e o seu impacto;
Objeto de Gestão de Riscos: qualquer processo de trabalho, atividade, projeto ou ação de plano institucional, assim como os recursos que dão suporte para a efetivação dessas
iniciativas e para o alcance dos objetivos estratégicos da FCP;
Planejamento Estratégico: O planejamento estratégico consiste em um processo de reflexão, análise e tomada de decisão acerca dos grandes objetivos de uma organização e
dos meios que serão utilizados para alcançá-los. Por meio dele, a instituição desenvolve autoconhecimento e promove uma orientação estratégica comum para todos os seus colaboradores,
com a definição da sua Missão (razão de existir), sua Visão (projeção bem-sucedida da organização no futuro) e seus Valores (princípios mais relevantes que devem permear sua
atuação).
Política de Gestão de Riscos: declaração das intenções e diretrizes gerais de uma organização relacionadas à Gestão de Riscos;
Processo: conjunto de ações e atividades interrelacionadas, que são executadas para alcançar produto, resultado ou serviço predefinido;
Risco: possibilidade de que um evento afete o alcance de objetivos estratégicos;
Riscos Institucionais: riscos priorizados e elencados para serem monitorados pela alta administração;
Risco Inerente: risco a que a entidade está exposta sem considerar quaisquer ações de controle que possam reduzir a probabilidade de sua ocorrência ou seu impacto;
Risco Residual: risco a que a entidade está exposta após a implementação de controles para o tratamento do risco; e
Tolerância ao Risco: disposição da organização ou parte interessada em suportar o risco após o tratamento do risco a fim de atingir seus objetivos. Pode ser influenciada por
requisitos legais ou regulatórios.
Tratamento dos Riscos: permitir a construção do Plano de Implantação das Ações de Controle dos Riscos (ou Plano de Ação). Trata-se de um documento que organiza as
atividades a serem realizadas para a adequada implantação dos controles previstos na Matriz de Riscos. Busca-se estabelecer o tratamento dos riscos, por meio de ações de caráter
imediato, curto, médio ou longo prazo, ou de aperfeiçoamento contínuo.
4. PRINCÍPIOS
Em conformidade com a Política de Gestão de Riscos da FCP e de acordo com a norma ABNT NBR ISO 31.000: 2018, constituem princípios da gestão de riscos:
I - proteção do ambiente organizacional;
II - melhoria contínua dos processos da organização;
III - visão sistêmica, estruturada e oportuna, subordinada ao interesse público;
IV - qualidade e tempestividade das informações;
V - transparência;
VI - uniformidade de procedimentos;
VII - dinamismo e interatividade;
VIII -alinhamento à gestão estratégica;
IX - estabelecimento de procedimentos de controle interno proporcionais ao risco observada a relação custo-benefício, e destinados a agregar valor à organização;
X -estabelecimento de níveis de exposição a riscos adequados; e
XI - utilização do mapeamento de riscos para o apoio à tomada de decisão e à elaboração do planejamento estratégico.
5. OBJETIVOS
A Metodologia é uma ferramenta capaz de auxiliar os gestores públicos no processo de tomada de decisão, a fim de assegurar a devida aplicação dos recursos públicos e,
consequentemente, a efetividade das políticas públicas. Seus objetivos são:
a) aumentar a probabilidade de alcance dos objetivos institucionais, reduzindo riscos a níveis
aceitáveis;
b) apoiar a tomada de decisão dos gestores com informações tempestivas e suficientes a
respeito dos riscos a que a organização está exposta;
c) promover uma gestão proativa;
d) melhorar a eficácia e a eficiência operacional;
e) melhorar a governança; e
f) agregar valor à organização por meio da melhoria dos processos de tomada de decisão e
do tratamento adequado dos riscos dos impactos negativos decorrentes de sua materialização.
6. RESPONSABILIDADE
Para melhor compreensão das responsabilidades em gestão de riscos da FCP, propõe-se o Modelo de Três Linhas de Defesa do IIA - The Institute of Internal Auditors (2020)
(Figura 1), o qual apresenta de forma simples e eficaz papéis e responsabilidades essenciais e suas competências. No entanto, competências específicas estão discriminadas na Resolução
nº 7, de 2021, que aprova a Política de Gestão de Riscos da Fundação Cultural Palmares.
Figura 1 - Modelo das três linhas do IIA, 2020 aplicado à Fundação Cultural Palmares/Min. da Cultura
Nessa estrutura em que todos têm alguma responsabilidade, atuam como elementos centrais: (i)os gestores dos riscos, (ii) os especialistas em controles internos, gestão de
riscos e conformidade, (iii) os auditores internos e os órgãos de governança.
O modelo envolve pessoas e setores diversos, formando uma estrutura clara, com transparência na comunicação e na distribuição de funções, conforme detalhamento a
seguir:
a) Primeira Linha: são os gestores em seus respectivos âmbitos e escopos de atuação, os responsáveis pelos processos de trabalho, projetos, atividades e ações desenvolvidas
nos níveis estratégicos, táticos ou operacionais. Compete aos gestores como Primeira Linha:
I - Escolher os processos, projetos, atividades e ações que terão seus riscos gerenciados e tratados, observada a Política de Gestão de Riscos;
II - Definir os níveis de risco aceitáveis e elaborar os planos de ação para o tratamento dos riscos, considerando a declaração de apetite a riscos do órgão;
III - Realizar o acompanhamento da evolução dos níveis de risco e da efetividade dos planos de ação;
b) Segunda Linha: composta pelos responsáveis pelo controle interno, gestão de riscos e conformidade da organização, que têm como objetivo apoiar os gestores dos riscos
para que cumpram com suas responsabilidades de Primeira Linha, fornecendo conhecimento e ferramentas adequadas. Compete aos responsáveis pelo controle interno, gestão de riscos
e conformidade da organização, como Segunda Linha:
I - Apoiar a Primeira Linha na implantação, monitoramento e melhoria dos controles internos estabelecidos na gestão de riscos;
II - Monitorar os riscos que impactam o alcance dos objetivos estratégicos;
III - Avaliar a adequação, a suficiência e a eficácia do processo de gestão de riscos, revisando a política e a metodologia de gestão de riscos sempre que necessário;
IV - Assessorar os órgãos de governança nos temas técnicos acerca da gestão de riscos.
c) Terceira Linha: composta pela Auditoria Interna, que tem o papel de fazer uma avaliação objetiva e independente dos controles e da gestão de riscos. Compete à Auditoria
Interna, como Terceira Linha:
I - Avaliar as atividades da Primeira e Segunda Linhas no que tange à eficácia dos controles internos e da gestão de riscos, assessorando-os quanto às melhores práticas;
II - Verificar a conformidade das atividades executadas com a Política de Gestão de Riscos;
III - Avaliar o desempenho da gestão de riscos, com o objetivo de promover a melhoria contínua dos processos.
6.1 Método aplicado para definição de responsabilidade
As competências específicas dos atores da gestão de risco estão discriminadas na Resolução nº 7, de 2021, que aprova a Política de Gestão de Riscos da Fundação Cultural
Palmares e estão disponíveis na Matriz RACI (Quadro 1).
A Matriz RACI é um método de discernimento dos atores da Gestão de Riscos, ou seja, ela tem a função de avaliar a distinção entre os diferentes papéis por meio do
reconhecimento dos seguintes atores:
R: quem executa a atividade;
A: quem aprova a tarefa ou produto. Pode delegar a função, mas mantém a responsabilidade;
C: quem pode agregar valor ou é essencial para a implementação; e
I: quem faz o controle, mas não precisa necessariamente se envolver na decisão.
Quadro 1 - Matriz RACI da Gestão de Riscos na FCP.
. Atividades Atores do processo
. CIG/FCP CGE GRs Auditoria
. Definir a matriz de risco A R C I
. Definir o apetite ao risco A R C I
. Definir diretrizes para priorização e tratamento dos riscos A R C I
. Priorização de projetos/processos de trabalhos/serviços A C R I
. Estabelecer o contexto geral A C R I
. Identificar os riscos A C R I
. Analisar os riscos A C R I
. Avaliar os riscos A R C I
. Tratar os riscos A C R I
. Monitorar e realizar análise A R C R
7. MAPEAMENTO DOS PROCESSOS ORGANIZACIONAIS PARA DEFINIÇÃO DO OBJETO DA GESTÃO DE RISCO
7.1. Análise do Escopo do Processo
De forma a possibilitar a integração da Gestão de Riscos à Gestão de Processos, primeiro foi necessário compreender de forma detalhada os processos, uma vez que os
processos serão o objeto de gerenciamento dos riscos.
Esse trabalho trará melhorias substanciais para ambas as atividades, gestão de processos e gestão de riscos, como por exemplo, melhor entendimento das etapas e dos fluxos
dos processos e assim melhor controle de riscos nos pontos críticos; melhor entendimento do papel dos atores e das suas responsabilidades e ainda, visualização adequada das etapas
para melhor dimensionamento do custo operacional e temporal dos processos.
Além desses benefícios, tanto a gestão de processos como a gestão de riscos colaboram para a mesma finalidade, isto é, o alcance dos objetivos estratégicos por meio de planos
de ação com focos distintos, melhoria do processo e tratamento de riscos. Dessa forma, optou-se por integrar ambos os processos, buscando uma otimização do tempo, custo operacional
e redução no impacto para as áreas executoras.
A estratégia adotada foi entrevistar cada área da entidade para levantamento de todas as atividades realizadas e identificação dos conjuntos de atividades que correspondem
aos processos. Dentre os critérios para identificação dos processos estão: (i)a identificação de conjuntos de atividades que tenham interface com outras unidades da entidade ou público-
alvo, (ii)normas reguladoras próprias e (iii) procedimentos específicos.
Nessa etapa é necessário que se avalie e confirme os processos para realizarmos um mapeamento dos processos da entidade, que consiste em descrever o fluxo de trabalho,
objetivos, etapas, procedimentos, atividades, recursos humanos, equipamentos, sistemas de informação e materiais requeridos, entradas e saídas. Esses dados serão descritos na Planilha
Diagrama de Escopo e Interface do Processo - DEIP (Figura 3).
Figura 3 - Diagrama de Escopo e Interface do Processo
Cabe ressaltar que esse passo fornece as saídas dos processos, o que é essencial para definir os eventos de riscos que podem afetar seus objetivos, uma vez que a ocorrência
do risco acarreta na impossibilidade de obtenção da saída do processo (Figura 4).
Figura 4 - Representação do Risco sobre o Processo/Projeto/Programa/Objetivo
7.2. Modelagem do Processo
A modelagem do processo é representada por um fluxograma (Figura 5). O fluxograma uma representação gráfica de como o trabalho acontece e tem a função de simplificar
ao entendimento sobre as tarefas. Ele é elaborado com o auxílio da ferramenta Bizagi.
Figura 5 - Exemplo de Fluxograma do Processo
Para facilitar a elaboração do fluxograma será solicitado inicialmente o preenchimento da planilha Lista de Tarefas do Processo (Figura 6).
Figura 6 - Lista de Tarefas do Processo para elaboração do fluxograma.
Assim que concluído os passos descritos acima, análise do escopo e fluxograma, será possível visualizar a carteira de processos de toda a entidade, bem como todas as tarefas
e interfaces entre as diferentes áreas da entidade. Esses dados auxiliam o levantamento de riscos por permitirem a fácil identificação de pontos críticos e a reflexão mais objetiva sobre
os riscos que prejudicam ou impedem a obtenção das saídas dos processos.
8. ETAPAS DA METODOLOGIA DE GESTÃO DE RISCO
O processo de gerenciamento de riscos, segundo a ISO 31000:2018 (Figura 7) contém as seguintes etapas:
Figura 7 - Diagrama do processo de gestão de riscos da norma ABNT NBR ISO 31000:2018 - Diretrizes
a) Escopo, Critério e Contexto - conhecer os objetivos organizacionais e os processos a eles relacionados, assim como definir os contextos internos e externos a serem levados
em consideração ao gerenciar os riscos;
b) Identificação do risco - corresponde à aplicação do processo sistemático para compreender o que pode acontecer, como, quando e por quê;
c) Análise do risco - se relaciona com a compreensão de cada risco, suas consequências e probabilidades;
d) Avaliação do risco - envolve tomada de decisão sobre o nível do risco e prioridade de atenção através da aplicação do critério desenvolvido na ocasião em que o contexto foi estabelecido.
e) Tratamento do risco - se refere ao processo pelo qual os controles existentes são aperfeiçoados ou novos controles são desenvolvidos e implementados. Compreende a
avaliação e seleção de opções, o que inclui análise de custos e benefícios e avaliação de novos riscos que podem ser gerados a partir de cada opção e, desse modo, priorizando e
implementando o tratamento selecionado segundo o processo planejado.
f) Os elementos "Comunicação e Consulta", "Monitoramento e Análise Crítica" e "Registro e Relato" são considerados agentes de ação contínua do processo de gestão de riscos.
A comunicação e consulta implica no envolvimento das partes interessadas internas e externas a organização, objetivando considerar seus pontos de vista, conhecendo seus objetivos por
meio de envolvimento planejado. O "Monitoramento e a Análise Crítica" preveem a tomada de ação no momento em que surgirem novos riscos que mudem os riscos existentes, como
produto de mudança nos objetivos organizacionais ou nos ambientes interno e externo. O "Registro e Relato" são os mecanismos apropriados para relatar e documentar os fatos
apropriadamente.
Para registro dos riscos levantados será utilizada a "Planilha documentadora de Riscos", que é um documento em formato "xls" apensado a este manual. Este arquivo contém
diversas abas as quais deverão ser preenchidas e impressas em pdf. A citada planilha é de autoria do TCU, na qual estão inseridos critérios para análise do impacto e probabilidade do
risco, bem como fórmulas para ponderação dos fatores de impacto e probabilidade.
A execução do processo de gerenciamento de riscos, na FCP, acompanhará, o ciclo do planejamento estratégico. O processo de gerenciamento de riscos deverá ser executado
integralmente, após à definição do planejamento estratégico para o período.
Ao alinhar o calendário de ambas as iniciativas estimula-se a sinergia entre os instrumentos, visto que há fases que se retroalimentam nesses processos. Por exemplo, a
formulação da estratégia prevê a realização de diagnóstico organizacional e priorização de iniciativas e processos que devem direcionar a fase de escopo, contexto e critério, do
gerenciamento de riscos.
A reunião de análise estratégica, de periocidade anual, que revisita iniciativas, processos, planos táticos e indicadores, também fornece subsídios para o monitoramento e
controle do processo de gerenciamento de riscos, podendo redundar, inclusive, em novas iterações do processo.
Nesse sentido, será elaborado relatório anual acerca do monitoramento dos riscos mencionados e o Plano de Gestão de Riscos será quadrienal e em consonância ao Plano
Estratégico Institucional.
8.1. Escopo, Contexto e Critérios
Segundo a ISO 31000:2018, o propósito do estabelecimento do escopo, contexto e critérios é personalizar a gestão de riscos, permitindo um processo de avaliação de riscos
eficaz e um tratamento de riscos apropriado.
8.1.1. Escopo
Definir o escopo significa circunscrever os elementos básicos que nortearão a execução do processo de gerenciamento de riscos, como por exemplo: (i)Objetivos e decisões que
precisam ser tomadas; (ii) Resultados esperados das etapas a serem realizadas no processo; (iii)Tempo, localização, inclusões e exclusões específicas; (iv) Ferramentas e técnicas apropriadas
para o processo de avaliação de riscos; (v) Recursos requeridos, responsabilidades e registros a serem mantidos; (vi) Relacionamentos com outros projetos, processos e subprocessos.
Será priorizada a aplicação do gerenciamento de riscos no nível estratégico, por isso serão avaliados os processos que contribuem diretamente para o alcance dos objetivos
estratégicos. Nos próximos ciclos poderão ser levantados os riscos a nível operacional, de programa, de projeto e ou de atividades.
Para tratamento serão priorizados os riscos que ameaçam os objetivos estratégicos. Em ordem de prioridade serão avaliados processos e riscos segundo as seguintes condições:
a) se possui recomendações e/ou determinações de órgãos como, Ministério Público, Tribunais, Controladoria Geral da União, Tribunal de Contas da União, Procuradoria Federal
junto a FCP e Auditoria Interna;
b) se integra serviço prestado pela FCP;
c) se requer qualificação técnica específica;
d) se é dependente de recursos tecnológicos específicos;
f) se possui reclamações registradas na Ouvidoria; e
g) se possui denúncias registradas e associadas à sua execução.
A análise desses critérios definirá os processos prioritários para tratamento imediato.
8.1.2. Contexto
O contexto consiste no levantamento dos aspectos externos e internos do ambiente no intuito de compreender os fatores que podem interferir no alcance dos objetivos
estratégicos da entidade.
O ambiente interno envolve aspectos como governança, estrutura organizacional, funções, alçadas e responsabilidades, políticas, estratégias, capacidades, competência, sistemas
de informação, processos decisórios e cultura organizacional.
O ambiente externo envolve aspecto social, político, econômico, legal, regulatório, financeiro, tecnológico, econômico, ambiental, relações com partes interessadas externas e
suas percepções e valores.
Para avaliação e registro do Contexto utilizar-se-á a ferramenta Análise SWOT - Strengths (pontos fortes), Weaknesses (pontos fracos), Opportunities (oportunidades para o seu
negócio) e Threats (Ameaças). No português é conhecida como análise FOFA (Forças, Oportunidades, Fraquezas e Ameaças - Figura 8). A análise SWOT é feita de modo específico para cada
processo e ciclo, uma vez que a mudança de ambiente/contexto pode mudar os riscos, ou seja, em determinados contextos pouco hostis, um risco potencial pode deixar de sê-lo.
Figura 8 - Esquema e definições da Ferramenta Análise SWOT para avaliação do contexto. Fonte: ENAP, 2018.
A avaliação do contexto será registrada na Planilha Documentadora de Riscos (Arquivo em excel apensado a este documento), Aba 2 - Ambiente e Fixação de Objetivos (Figura
9 ), conforme modelo abaixo:
Figura 9 - Ambiente e Fixação de Objetivos
8.1.3. Critérios
No processo de gerenciamento de riscos os critérios são termos de referência contra os quais a significância de um risco é avaliada para dizer se um risco é tolerável ou
aceitável (ABNT, 2009). Os critérios são baseados nos objetivos organizacionais, no contexto externo e interno e ainda podem ser derivados de normas e políticas.
Definir os critérios ajuda a apoiar a tomada de decisão, e significa especificar a quantidade, o tipo de risco e a significância do risco que a organização pode assumir em relação aos objetivos.
8.1.3.1. Matriz de Apetite a Riscos
Define o nível de risco que a organização está preparada para buscar, manter ou assumir. No caso da FCP, riscos com níveis de significância menor que 10 (pequeno, moderado
e parte dos altos) serão aceitáveis (Figura 10). Já os riscos com níveis de significância maior ou igual a 10, que são parte dos níveis alto e crítico, serão considerados inaceitáveis e um
Plano de Ação deverá ser proposto ao CGIFCP e o tratamento do risco deve ocorrer imediatamente. Abaixo apresenta-se a matriz de risco com impacto e probabilidade e níveis de
risco:
Figura 10 - Matriz de risco com impacto e probabilidade e níveis de risco aceitáveis e não aceitáveis (³10, em destaque)
.
8.2. Identificação de Riscos
Esta etapa tem como finalidade desenvolver uma lista abrangente de eventos de risco que pode ter impacto no alcance dos objetivos, categorizando-os e identificando causas
e potenciais consequências.
Recomenda-se que todos os riscos sejam incluídos no processo de identificação, mesmo aqueles provenientes de ambientes não controlados pela FCP, ou seja, potenciais
ameaças externas, uma vez que, quando um risco não é identificado, ele não pode ser analisado ou tratado.
Identificar o risco implica em reconhecer os eventos que podem impedir o alcance dos objetivos e também identificar os efeitos de ocorrência do risco e as causas (Figura 11),
isto é, as condições potenciais que podem originar o risco ou que viabilizem sua concretização.
Figura 11 - Relação Risco x causa x efeito e suas definições.
(Fonte: CAIXA - Guia prático de linhas de defesa. Ciclo anual de gerenciamento de riscos)
Os riscos, bem como causas, efeitos e controles serão inseridos na aba 3 da Planilha Documentadora de Riscos, a qual tem a seguinte aparência (Figura 12):
Figura 12 - Planilha Documentadora de Riscos. Aba 3. Mapa de Riscos
8.2.1. Definição das Técnicas para levantamento do risco com as equipes
Há várias técnicas disponíveis para identificação de riscos e essas podem ser combinadas. Para escolha das técnicas leva-se em consideração o grau de maturidade da
organização; as especificidades do setor; a natureza do processo; e o nível de aprofundamento desejado.
Algumas das técnicas mais conhecidas que podem ser sugeridas para a realização do levantamento desses componentes são: Brainstorming, questionários, entrevistas, checklist,
análise SWOT (forças, fraquezas, oportunidades e ameaças), análise de dados históricos, análise de premissas, opiniões especializadas, necessidades das partes interessadas e diagramas
de causa e efeito. Essas técnicas estão descritas em ABNT. ISO/IEC 31010:2012.
Neste primeiro ciclo de levantamento de riscos serão realizadas entrevistas com gestores (com ou sem equipe), onde será utilizado brainstorming motivados pelas perguntas
descritas no diagrama abaixo (Figura 13), na ordem indicada em cada quadro. Durante a entrevista é essencial que todos os participantes possam visualizar todo o diagrama durante o
encontro.
Figura 13 - Diagrama utilizado durante as entrevistas para visualização das perguntas e para registro dos riscos, causas, efeitos e controles. (Fonte: Autoria própria)
Etapas do Ciclo de Levantamento:
a) O encontro inicia-se com a seguinte pergunta: Que eventos impedem ou prejudicam o alcance das saídas?
b) Após registros das respostas dos eventos de riscos realiza-se um momento de reflexão e realocação dos eventos que são causas no quadro correspondente, pois neste
primeiro momento é comum que parte dos eventos mencionados se mostrem como causas dos demais.
c) Prossegue-se com a solicitação e registro dos efeitos e, então, verifica-se se todos os eventos de risco têm causas relacionadas já registradas, caso não tenham, registra-
se as causas faltantes.
d) Passa-se a etapa de registros dos controles atualmente realizados.
e) Por último, registra-se as ações de tratamento que devem ser tomadas caso o risco ocorra e também as ações de controle que ainda não são tomadas.
8.2.2. Categorização dos Riscos
Quanto à categorização dos riscos, os eventos podem se enquadrar em algumas das classificações abaixo:
a) Estratégico: eventos que possam impactar o cumprimento da missão da FCP, das metas ou dos objetivos estratégicos, caso venham a ocorrer. Incluem riscos legais, isto é,
eventos derivados de alterações legislativas ou normativas que podem comprometer as atividades do órgão ou entidade.
b) Operacional: eventos que podem comprometer as atividades da unidade. Normalmente estão associados a falhas, deficiência ou inadequação de processos, pessoas,
infraestrutura e sistemas, afetando a gestão eficaz e eficiente dos processos organizacionais.
c) Orçamentário: eventos que podem comprometer a capacidade da FCP de contar com recursos orçamentários e financeiros necessários à realização de suas atividades, ou
eventos que possam comprometer a execução orçamentária, como atrasos no cronograma de licitações.
d) Reputação: eventos que podem comprometer a confiança das partes interessadas em relação à capacidade da FCP em cumprir sua missão institucional, interferindo
diretamente na reputação da agência.
e)Integridade: eventos que podem afetar a probidade da gestão dos recursos públicos e das atividades da organização, causados pela falta de honestidade e desvios éticos.
f) Fiscal: eventos que podem afetar negativamente o equilíbrio das contas públicas.
g) Conformidade: eventos que podem afetar o cumprimento de leis, regulamentos e contratos aplicáveis.
8.3. Análise de Riscos
Alcançada a identificação dos riscos bem como suas causas, efeitos e controles, passa-se à etapa de análise dos riscos em impacto e probabilidade.
O resultado final dessa etapa atribuirá a cada risco identificado uma classificação, tanto para a probabilidade como para o impacto do evento, cuja combinação determinará
o nível do risco e consiste na conjunção dos pesos do impacto, analisado em 5 categorias, e da probabilidade, também avaliada em 5 categorias (Figura 10), acima apresentado.
A análise de riscos é feita duas vezes: a) na primeira vez examina-se os parâmetros de Impacto e Probabilidade sem considerar os controles existentes (Risco Inerente ou
potencial) e b) na segunda vez examina-se os mesmos parâmetros de Impacto e Probabilidade considerando-se os controles já existentes (Risco residual).
O Nível de Risco Inerente: É o nível do risco sem considerar quaisquer controles que podem reduzir a probabilidade da sua ocorrência ou o seu impacto. Nível de Risco Residual
- RR é o nível de risco remanescente, após se analisarem os possíveis controles existentes que podem reduzir a probabilidade da sua ocorrência ou o seu impacto (Figura 14).
O nível de RI é obtido por meio do produto aritmético entre a Probabilidade (P) e o Impacto (I).
Figura 14 - Diagrama de riscos
Os registros serão realizados nas Abas 4 e 5 da Planilha Documentadora de Riscos, a qual tem a seguinte aparência (Figura 15):
Figura 15 - Planilha Documentadora de Riscos. Aba 4. Cálculo de Risco Inerente e Aba 5. Cálculo de Risco Residual
8.3.1. Análise dos riscos inerentes em impacto e probabilidade
Para análise do impacto são examinados 6 parâmetros (Figura 16), conforme as 5 categorias já mencionadas (Figura 10):
a) esforço da gestão para gerenciamento do risco identificado (Peso 15%);
b) nível de ação para regularização do processo caso o risco ocorra (Peso 17%);
c) amplitude de disseminação na mídia caso o risco ocorra (Peso 12%);
d) nível de interferência nos objetivos estratégicos (Peso 18%);
e) nível de intervenção hierárquica para lidar com as consequências do risco (Peso 13%); e
g) impacto financeiro-orçamentário do risco caso ocorra quando for possível reconhecer o impacto financeiro-orçamentário.
Figura 16 - Aspectos analisados para compreender o Impacto do Risco na organização conforme Planilha Documentadora de Riscos (TCU):
Na análise da probabilidade do risco serão consideradas as seguintes frequências e pesos (Figura 17): 1) Muito baixa para eventos de risco que podem ocorrer apenas em
circunstâncias excepcionais, isto é em menos de 10% das vezes em que o processo associado ocorre; 2) Baixo para eventos que podem ocorrer em algum momento, isto é, de 10 a 30 %
das vezes; 3) Média para eventos que devem ocorrer em algum momento, isto é de 30% a 50% das vezes; 4) Alta para evento que provavelmente ocorra na maioria das circunstâncias, isto
é entre 50% e 90% das vezes; Muito alta para eventos esperados que ocorram na maioria das circunstâncias, ou seja em mais de 90% das vezes em que o processo associado acontece.
Figura 17 - Frequências e classificação analisados para o Probabilidade do Risco conforme Planilha documentadora de Riscos (TCU).
8.3.2 Análise dos riscos residuais em impacto e probabilidade
Nesta etapa analisa-se os riscos segundo os mesmos parâmetros utilizados para análise de riscos inerentes, mas agora ao refletir sobre Impacto e Probabilidade deve considerar
os controles já existente. Esta última análise corresponde ao risco residual.
Ao analisar Impacto e Probabilidade é necessário registrar as etapas nas duas abas correspondentes da Planilha Documentadora de Riscos para que o cálculo do nível de risco
seja feito ao multiplicar a nota do impacto pela nota da probabilidade levantada nas duas etapas anteriores, isto é de análise do risco inerente e do risco residual.
8.4. Avaliação de Riscos
8.4.1. Classificação do risco em 4 classes de acordo com a magnitude
A avaliação de riscos visa comparar o nível de risco encontrado durante a etapa de análise com os critérios de risco definidos, utilizando os resultados como subsídio para a
tomada de decisões sobre quais riscos necessitam ser tratados ou não, e com que prioridade.
O resultado de Risco Inerente, bem como o resultado do Risco Residual, obtidos pelo produto de cada valor de probabilidade e impacto, pode então, ser classificado em termos
de magnitude em 4 classes (Figura 18).
Figura 18 - Classes de avaliação do risco
. Risco Pequeno Risco Moderado Risco Alto Risco Crítico
. R< 4 4 £ R < 7 R £ R < 15 R ³ 15
. Verde Amarelo Vermelho Preto
A matriz de risco (Figura 19) é gerada quando são combinados o impacto e a probabilidade. Esta classificação é obtida quando preenchemos a Planilha Documentadora de Riscos
(Arquivo em excel apensado a este documento).
Figura 19 - Matriz de riscos com categorias por nível de magnitude: Pequeno (verde); Moderado (amarelo), Alto (vermelho) e Crítico (preto).
Probabilidade
Muito Baixa
1
Baixa
2
Média
3
Alta
4
Muito Alta
5
. Impacto Catastrófico
5
. 5 10 15 20 25
. Grande
. 4 4 8 12 16 20
. Moderado
. 3 3 6 9 12 15
. Pequeno
. 2 2 4 6 8 10
. Insignificante
. 1 1 2 3 4 5
8.5. Avaliação dos controles existentes
Os controles são essenciais para redução do impacto e da probabilidade de ocorrência do risco. Por isso, a definição de controles preventivos, corretivos e/ou compensatórios
é de grande importância para aumentar as chances de alcance dos objetivos estratégicos e operacionais.
Uma vez identificados conjuntamente com os riscos na primeira etapa, cabe agora indicar o nível de maturidade dos controles, conforme segunda as classes predefinidas na
Planilha Documentadora de Riscos.
Os Controles podem ser classificados quanto ao desenho em:
(1) não há sistema de Controle;
(2) há procedimento de controle para algumas atividades, porém informais;
(3) controles não foram planejados formalmente, mas são executados de acordo com a experiência dos servidores;
(4) é desenhado um sistema de controle integrado adequadamente planejado, discutido e documentado. O sistema de controle vigente é eficaz, mas não prevê revisões
periódicas;
(5) o sistema de controle é eficaz na gestão de riscos (adequadamente planejado, discutido, testado e documentado com correções ou aperfeiçoamentos planejados de forma
tempestiva).
Realiza-se também a classificação dos controles quanto a operação dos controles em:
(1) controle não executado;
(2) controle parcialmente executado e com deficiências;
(3) controle parcialmente executado;
(4) controle implantado e executado de maneira periódica e quase sempre uniforme. Avaliação dos controles é feita com alguma periodicidade;
(5) controle implantado e executado de maneira uniforme pela equipe e na frequência desejada. Periodicamente os controles são testados e aperfeiçoados.
8.6. Tratamento de Riscos
8.6.1. Preenchimento do Plano de Ação para tratamento dos Riscos Inaceitáveis
Esta etapa tem como finalidade selecionar a resposta (tratamento) a ser adotada, para cada risco avaliado, de acordo com o Nível de Risco Residual, com o apetite a riscos,
com o contexto da FCP ou custo do controle, conforme o quadro a seguir (Quadro 2).
Quadro 2 - Estratégia de Resposta ao Risco. Fonte: Metodologia de Gestão de Riscos (CGU, 2018, adaptado)
. Opções de tratamento Descrição
. Aceitar Um risco normalmente é aceito quando seu nível está nas faixas de apetite a risco. Nessa situação, nenhum novo controle precisa ser implementado para mitigar o risco.
. Reduzir Essa estratégia normalmente é escolhida quando é classificado como "Alto" ou "Crítico".
A implementação de controles deve apresentar um custo/benefício adequado. Reduzir o risco significa implementar controles que possam minimizar as causas ou as consequências dos riscos,
identificadas anteriormente
. Compartilhar Um risco normalmente é compartilhado quando é classificado como "Alto" ou "Crítico", mas a implementação de controles não apresenta um custo/benefício adequado.
Pode-se compartilhar o risco por meio de terceirização ou apólice de seguro, por exemplo.