RESOLUÇÃO FCP N° 18, DE 22 DE DEZEMBRO DE 2023 (*) (parte 3 de 3)

. Evitar Um risco normalmente é evitado quando é classificado como "Alto" ou "Crítico", e a implementação de controles apresenta um custo muito elevado, inviabilizando sua mitigação, ou não há
entidades dispostas a compartilhar o risco com a FCP. Evitar o risco pode significar encerrar ou deixar de implementar o processo organizacional.
Nesse caso, essa opção deve ser aprovada pelo Comitê Interno de Governança - CIG/FCP.
Selecionada a resposta mais adequada ao tratamento de cada risco, a fase seguinte consistirá na elaboração dos planos de ação, e estabelecer os prazos para a implementação
das iniciativas deles constantes. Os planos de ação podem implicar a adoção de novos controles ou a modificação de controles já existentes e deverão considerar:
¸A eficácia das ações já existentes;
¸As restrições organizacionais, técnicas e estruturais;
¸Os requisitos legais;
¸A análise custo/benefício;
¸As ações a serem realizadas;
¸As prioridades; e
¸O cronograma de execução. O Plano de Tratamento de Riscos contemplará todos os planos de ação propostos, de acordo com os riscos identificados.
Os planos de ação conterão, pelo menos os seguintes itens (Figura 20) (e devem ser preenchidos em aba própria da Planilha Documentadora de Riscos (Aba 6. Plano de Ação)
conforme ilustrado abaixo:
¸Objetivos/benefícios esperados;
¸Unidade organizacional responsável pela implementação dos planos de ação e unidade(s) interveniente(s);
¸Gestor de Riscos responsável;
¸Breve descrição sobre a implementação;
¸Data prevista para início da implementação;
¸Data prevista para o término, se for o caso; e
¸Status dos planos de ação.
Figura 20 - Apresentação do Plano de Ação na Planilha Documentadora de Riscos
Cabe ao Gestor de Risco submeter ao Comitê Interno de Governança da FCP - CIG/FCP o Plano de Ação para os riscos considerados inaceitáveis, isto é, os riscos residuais com
classificação de magnitude Crítico ou Alta (³10) conforme matriz de risco (Figura 10). Todos os riscos (pequenos, moderados, altos e críticos) devem ter uma resposta preenchida na aba
correspondente (Aba 6. Plano de Ação), no entanto apenas os Riscos classificados como inaceitáveis devem ter um Plano de Ação submetido ao CIG/FCP para avaliação e decisão quanto
ao tratamento a ser dado.
Se as iniciativas do Plano de Ação envolverem mais de uma unidade, o Gestor de Riscos responsável deve encaminhar a proposta do Plano para os Gestores de Riscos das
unidades envolvidas, para que estes validem as iniciativas das quais fizerem parte. É importante ressaltar que o tratamento a ser implementado pode ser uma nova fonte de risco e deve
ser tratado em conjunto com sua implementação.
O Gestor de Risco formaliza, o CIG/FCP aprova, e a CGE monitora os planos de ação, confirmando o responsável para cada iniciativa de tratamento e prazos acordados, que
é de 6 meses para os riscos considerados inaceitáveis. A CGE, juntamente com os Gestores de Riscos, deve verificar se as medidas adotadas estão sendo eficazes, bem como atualizar
o CIG/FCP da execução do Plano para os riscos considerados inaceitáveis.
Cabe ao Gestor de Risco, responsável pelo tratamento, atualizar o progresso das iniciativas do Plano de Ação e comunicar à CGE.
Após a execução da iniciativa de tratamento, é possível que permaneça algum risco residual. Este deve ser confrontado com o apetite a riscos definido, a fim de verificar se
está compreendido no nível "Aceitável". Caso negativo, deverá ser adotado um Plano de Ação para tratamento do risco residual.
É necessário avaliar a necessidade de melhorar ou extinguir controles já existentes. Somente após essa avaliação podem ser propostos novos controles, caso ainda haja
necessidade de redução do nível de risco.
O próximo quadro mostra a atitude a ser tomada, de acordo com o Nível de Risco residual (Quadro 3) encontrado:
Quadro 3 - Atitude perante o risco para cada Nível de Risco Residual. Fonte: Metodologia de Gestão de Riscos (CGU, 2018, adaptado)
. Classificação Ação necessária Exceção
. Risco pequeno Nível de risco dentro do apetite a risco, mas é possível que existam oportunidades de maior retorno que podem ser exploradas
assumindo-se mais riscos, avaliando a relação custo x benefício, como diminuir o nível de controles.
Indica que o risco inerente já está dentro da tolerância a risco.
Caso o risco seja priorizado para implementação de medidas de tratamento, essa
priorização deve ser justificada pelo Gestor de Riscos e aprovada pelo CIG/FCP.
. Risco Moderado Nível de risco dentro do apetite a risco.
Geralmente nenhuma medida especial é necessária, porém requer atividades de monitoramento específicas e atenção da unidade
na manutenção de respostas e controles para manter o risco nesse nível, ou reduzi-lo sem custos adicionais.
Indica que o risco residual já está dentro da tolerância a risco, mas deve se buscar reduzi-lo.
Caso o risco seja priorizado para implementação de medidas de tratamento, essa
priorização deve ser justificada pelo Gestor de Riscos e aprovada pelo CIG/FCP.
. Risco Alto Risco Alto Nível de risco além do apetite a risco.
Qualquer risco nesse nível deve ser comunicado ao Núcleo de Gestão de Riscos e ter uma ação tomada em período determinado.
Postergação de medidas só com autorização do CIG/FCP.
Indica que o risco residual será reduzido a um nível compatível com a tolerância a riscos.
Caso o risco não seja priorizado para implementação de medidas de tratamento, a não
priorização deve ser justificada pelo Gestor de Riscos e aprovada pelo CIG/FCP.
. Risco Crítico Nível de risco muito além do apetite a risco.
Qualquer risco nesse nível deve ser comunicado ao Comitê Interno de Governança e ter uma resposta imediata, construção de
Plano de Ação e tratamento em até 6 meses.
Postergação de medidas só com autorização do CIG/FCP.
Indica que nenhuma opção de resposta foi identificada para reduzir a probabilidade e o impacto a nível aceitável. Para
identificação do tipo de resposta, isto é se deve evitar o processo ou prosseguir com o processo adicionando-se mais
controles,
Caso o risco não seja priorizado para implementação de medidas de tratamento, a não
priorização deve ser justificada pelo Gestor de Riscos e aprovada pelo CIG/FCP.
. deve-se avaliar se o custo do processo que gera o risco é desproporcional ou se a capacidade de lidar com o risco é muito
limitada.
8.7. Comunicação e Consulta
8.7.1. Comunicação dos Riscos Identificados
A comunicação consiste em um processo interativo de troca de informações e opiniões, envolvendo a organização e seus participantes, e as partes interessadas externas. Por
sua vez, a consulta constitui-se em um processo de comunicação informativa entre a organização e as partes interessadas, antes de se tomar uma decisão ou definir um posicionamento
em relação a uma determinada questão.
Muito do envolvimento das pessoas e unidades na gestão de riscos é influenciado por ações de comunicação e consulta eficazes. Consequentemente, essas devem ser mantidas
durante todas as fases do processo de gerenciamento de riscos.
A comunicação e a consulta têm como objetivo principal facilitar a troca de informações, levando em consideração os aspectos de confidencialidade, integridade e confiabilidade
e deve ser realizada contando, minimamente, com os seguintes instrumentos:
Plano de comunicação - No início de um novo ciclo de execução do processo de gerenciamento de riscos, é necessária a definição, em um documento estruturado, dos
elementos-chave concernentes à comunicação como finalidade, destinatários, responsáveis, tipo e periodicidade das ações de comunicação que serão promovidas.
Registro das ocorrências de riscos - caso um evento de risco venha a ocorrer, devem ser registradas informações relativas ao fato, tais como descrição do evento ocorrido,
impactos e prejuízos causados aos objetivos estratégicos e ao alcance das metas que permitam a construção de uma base histórica para avaliação da maturidade da instituição com relação
à sua gestão de riscos.
Os relatórios gerenciais de riscos de cada unidade serão submetidos ao CIG/FCP a cada ciclo de monitoramento que é anual e também comporão os planos bianuais de Gestão
de Risco como produto da fase de monitoramento e controle e auxílio à tomada de decisão para o Planejamento Estratégico.
Os planos serão aprovados por meio de Resolução, a serem publicados no Boletim de serviço Eletrônico, cuja matéria deve ser encaminhada à Procuradoria Federal junto à
Fundação Cultural Palmares para exame e parecer.
8.8. Monitoramento e Análise Crítica
8.8.1. Análise crítica dos riscos monitorados
A etapa de monitoramento e análise crítica constitui-se em um processo contínuo ao longo do ciclo de gestão de riscos, e sua execução tem como objetivos:
a) possibilitar a identificação de mudanças na classificação do risco e ajustar o tratamento, bem como a prioridade e os planos de ação adotados, com base na reavaliação
dos contextos interno e externo;
b) assegurar o acompanhamento dos eventos de risco e seus desdobramentos;
c) acompanhar e garantir a eficácia e eficiência dos controles internos adotados;
d) possibilitar a identificação de novos riscos ou riscos residuais que não haviam sido considerados, subsidiando o ciclo de Gestão de Riscos subsequente; e
e) possibilitar a atualização e melhoria contínua do Processo de Gestão de Riscos, e de sua estrutura.
O monitoramento e análise crítica ocorrerá anualmente e definirá as necessidades, podendo inclusive, determinar a realização de novo processo de avaliação de riscos ainda
durante a vigência de determinado Plano de Ação, caso verifique mudanças relevantes que ensejem tal medida.
As competências para a execução dessa etapa são as seguintes:
a) Gestores de Risco: são responsáveis por monitorar os riscos levantados nos processos, subprocessos e projetos sob sua responsabilidade e o tratamento atribuído a
eles;
b) CGE: Responsável por monitorar a execução dos planos de ação definidos para tratamento dos riscos identificados pelos Gestores de Risco e suas equipes. Mudanças
identificadas durante o monitoramento devem ser encaminhadas à CGE, a quem compete monitorar os resultados de todas as iniciativas de gestão de riscos da FCP. Tais alterações serão
objeto de aprovação pelo CIG/FCP;
c) Comitê Interno de Governança: realiza a análise crítica do processo de gestão de riscos e é instância competente para aprovação dos planos de ação e de suas eventuais
alterações.
A análise crítica deve ser realizada de maneira periódica, concretizada por intermédio de reuniões, feedbacks e análises que permitam a reavaliação contínua do processo de
Gestão de Riscos, em busca de seu constante aperfeiçoamento. Aqui cabe registrar a recomendação da Organização para a Cooperação e Desenvolvimento Econômico OCDE (2022) que
sugere para cada unidade:
a) traduzir um repertório de riscos em questões orientadoras para apoiar os gestores no processo de identificação de riscos;
b) desenvolver e sistematizar um repertório de riscos transversais e sinais de alerta correspondentes;
c) identificar pontos de decisão ao longo do processo para lembrar os gestores de vieses típicos; e
d) oportunidade para explicar o que é risco, o que é integridade e por que a gestão de riscos é necessária.
8.9. Registro e Relato
O processo de Gestão de Riscos e seus resultados devem ser documentados e relatados por meio de mecanismos apropriados, a serem disponibilizados pela Coordenação de
Gestão Estratégica. O registro e o relato visam a:
a) comunicar atividades e resultados de gestão de riscos em toda a organização;
b) fornecer informações para a tomada de decisão;
c) melhorar as atividades de gestão de riscos; e
f) Auxiliar a interação com as partes interessadas, incluindo aquelas com responsabilidade e com responsabilização por atividades de gestão de riscos.
Um calendário de reuniões com as diversas instâncias deve ser mantido, associado a uma produção regular de relatórios de monitoramento, a fim de estabelecer um fluxo
constante de informações e monitoramento da Gestão de Riscos. Os Gestores de Riscos deverão implementar o acompanhamento da gestão de riscos em suas esferas de competência,
de maneira a subsidiar, minimamente a seguinte estrutura:
a) relatório anual, produzido por CGE e Gestores de Riscos e aprovado pelo CIG/FCP acerca do monitoramento dos riscos mencionados no Plano;
b) Plano de Gestão de Riscos, que é um novo plano, elaborado quadrienalmente, contendo avaliação do resultado do ciclo que se encerra e abertura do seguinte com todos
os riscos identificados, controles, e planos de ação para tratamento de todos os riscos identificados; e
c) o Plano de Ação para tratamento de riscos deve ser submetido à CGE para análise e ao CIG/FCP para avaliação e aprovação quando houver mudanças na magnitude de um
risco e estes passarem a ser considerados inaceitáveis, isto é, com magnitude maior que 10. Caso um risco inaceitável seja detectado em qualquer momento do ano deve se produzir
um Plano de Ação para tratamento com prazo de imediato.
O processo de gestão de riscos contará com diferentes mecanismos de documentação e comunicação que incluem, mas não estão limitados a: página da intranet da FCP,
registros de pautas e atas de reuniões da CGE e CIG/FCP, informes periódicos no Sistema Eletrônico de Informações - SEI.
9. REFERÊNCIAS
ABNT. ISO 31000:2009. Gestão de Riscos: Princípios e diretrizes. [Norma]. Rio de Janeiro, RJ. 2009
ABNT. ISO 31000:2018. Gestão de Riscos: Diretrizes. [Norma]. Rio de Janeiro, RJ. 2009
ABNT. ISO/IEC 31010:2012. Gestão de Riscos: Técnicas para o processo de avaliação de riscos. [Norma]. Rio de Janeiro, RJ. 2012.
ENAP. Implementando a Gestão de Riscos no Setor Público. Mod. 3 Ciclo de Gerenciamento de Riscos Corporativos. [Cartilha]. 2018.
CAIXA ECONOMICA FEDERAL. Guia prático de linhas de defesa. Ciclo anual de gerenciamento de riscos. [Manual]. Brasília, DF 2022.
CGU 2018. Metodologia de Gestão de Riscos. [Manual]. Brasília, DF jun/2018.
IIA 2020. O modelo das três linhas do IIA: uma atualização das 3 linhas de defesa. Disponível em: https://iiabrasil.org.br/noticia/novo-modelo-das-tres-linhas-do-iia-2020 Acesso
10 ago. de 2023.
PURDY, G. ISO 31000 2009: Setting a new standard for risk management. Risk Analysis. Vol. 30, n. 6, p. 881- 886, 2010.
OCDE. Modernizando a avaliação dos riscos para a integridade no Brasil: Rumo a uma abordagem comportamental e orientada por dados. OECD Publishing. Paris, 2022, 36 p.
Disponível em: https://doi.org/10.1787/61d7fc60-pt . Acesso em: 14 out. 2022.