PORTARIA MRE Nº 637, DE 9 DE DEZEMBRO DE 2025

PORTARIA MRE Nº 637, DE 9 DE DEZEMBRO DE 2025
Dispõe sobre a Metodologia de Gestão de Riscos do
Ministério das Relações Exteriores.
O MINISTRO DE ESTADO DAS RELAÇÕES EXTERIORES, no uso das atribuições que
lhe confere o art. 87, incisos II e IV, da Constituição da República, e tendo em conta o disposto
no art. 13 da Portaria nº 376, de 2 de maio de 2018, resolve:
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Art. 1º Fica aprovada, na forma desta Portaria, a Metodologia de Gestão de Riscos
a ser implementada no âmbito do Ministério das Relações Exteriores.
Parágrafo único. As diretrizes, os princípios e os objetivos da Política de Gestão de Riscos do
Ministério das Relações Exteriores são aqueles que constam da Portaria nº 376, de 2 de maio de 2018.
Art. 2º Para os efeitos do disposto nesta Portaria, considera-se:
I - risco: possibilidade de ocorrência de um evento que venha a ter consequências
negativas no cumprimento dos objetivos do ministério, medido em termos de impacto e
probabilidade;
II - apetite a risco: nível de risco que o ministério está disposto a aceitar;
III - gestão de riscos: processo para identificar, avaliar, administrar e controlar
potenciais situações de risco; e
IV - controles internos: conjunto de regras, procedimentos, diretrizes, protocolos,
rotinas de sistemas informatizados, conferências e trâmites de documentos e informações,
entre outros, destinados a enfrentar os riscos e a fornecer segurança razoável de que os
objetivos do ministério serão alcançados.
CAPÍTULO II
ETAPAS DA GESTÃO DE RISCOS
Art. 3º A Metodologia de Gestão de Riscos a ser implementada no âmbito do
Ministério das Relações Exteriores deve seguir as etapas descritas a seguir:
I - entendimento do contexto;
II - identificação de riscos;
III - cálculo do nível de riscos;
IV - tratamento de riscos;
V - monitoramento e análise crítica, incluindo a avaliação de controles internos; e
VI - comunicação e consulta.
Art. 4º O entendimento do contexto refere-se à caracterização dos ambientes
interno e externo nos quais o ministério se insere e busca alcançar resultados planejados.
§ 1º O entendimento do contexto compreende o reconhecimento de elementos
positivos, como oportunidades e pontos fortes, e negativos, como ameaças e pontos fracos.
§ 2º O entendimento do contexto deve facilitar a identificação de eventos de risco,
bem como a definição da resposta adequada aos riscos identificados.
Art. 5º A identificação de riscos consiste em atividade contínua de reconhecimento
e descrição de eventos com potencial de afetar negativamente os objetivos do ministério.
Parágrafo único. A identificação de riscos inclui a identificação das causas e
possíveis consequências dos eventos examinados e é feita por meio de análise qualitativa e,
sempre que possível, quantitativa dos riscos.
Art. 6º O cálculo do nível de riscos é a ação de estimar a probabilidade e o impacto
dos eventos de risco identificados.
§ 1º A probabilidade pode ser classificada em cinco níveis, com base na percepção
subjetiva do responsável pela análise, fundamentada em experiências vivenciadas e
conhecimentos técnicos sobre o tema, da seguinte forma:
I - nível 1: muito baixa (caso se espere que o evento de risco ocorra em
circunstâncias excepcionais);
II - nível 2: baixa (caso se espere que o evento de risco ocorra de forma inesperada
ou casual);
III - nível 3: média (caso se espere que o evento de risco possivelmente ocorra);
IV - nível 4: alta (caso se espere que o evento de risco provavelmente ocorra); e
V - nível 5: muito alta (caso se espere que o evento de risco muito provavelmente
ocorra).
§ 2º O impacto pode ser classificado em cinco níveis, com base na percepção do
responsável pela análise, fundamentada em experiências vivenciadas e conhecimentos
técnicos sobre o tema, da seguinte forma:
I - nível 1: muito baixo (caso se espere que o evento de risco afete marginalmente
o processo ou projeto correspondente);
II - nível 2: baixo (caso se espere que o evento de risco afete razoavelmente o
processo ou projeto correspondente);
III - nível 3: médio (caso se espere que o evento de risco afete consideravelmente o
processo ou projeto correspondente);
IV - nível 4: alto (caso se espere que o evento de risco afete severamente o
processo ou projeto correspondente); e
V - nível 5: muito alto (caso se espere que o evento de risco inviabilize o processo
ou projeto correspondente).
§ 3º Após a avaliação da probabilidade e do impacto, calcula-se o nível do risco do
evento mapeado, que pode ser classificado como baixo, moderado, elevado ou crítico,
conforme a combinação dos níveis de probabilidade e impacto:
I - o nível de risco será considerado baixo se o número resultante da multiplicação
dos níveis de probabilidade e impacto for de até 3;
II - o nível de risco será considerado moderado se o número resultante da
multiplicação dos níveis de probabilidade e impacto situar-se entre 4 e 6;
III - o nível de risco será considerado elevado se o número resultante da
multiplicação dos níveis de probabilidade e impacto situar-se entre 8 e 12; e
IV - o nível de risco será considerado crítico se o número resultante da
multiplicação dos níveis de probabilidade e impacto situar-se entre 15 e 25.
Art. 7º O tratamento de riscos corresponde às providências adequadas de resposta
ao evento de risco identificado.
§ 1º As ações de resposta possíveis são mitigar, compartilhar, aceitar ou evitar o
evento de risco.
§ 2º A ação de mitigar caracteriza-se pelo esforço em reduzir as causas ou as
consequências dos riscos identificados, por meio da implementação de:
I - controles preventivos: aqueles que atuam sobre as possíveis causas do evento de
risco, reduzindo a possibilidade de sua ocorrência; e
II - controles de atenuação: aqueles implementados após o evento de risco
materializar-se, reduzindo o impacto de suas ocorrências.
§ 3º A ação de compartilhar consiste na transferência a terceiros de parte do
impacto da materialização do evento de risco e é geralmente empregada:
I - para tratar riscos de nível elevado ou crítico; ou
II - quando a implementação de controles preventivos e de atenuação não
apresenta adequada relação de custo e benefício.
§ 4º A ação de aceitar o risco caracteriza-se pela não adoção de controles internos
adicionais para tratar o evento de risco.
§ 5º A ação de aceitar exige que o nível de risco de ocorrência do evento seja
inferior ao apetite a risco do ministério.
§ 6º A aceitação pode ocorrer quando o evento de risco:
I - demandar medidas de controle que tenham custo desproporcional ao benefício
esperado; ou
II - não dispor de resposta considerada eficaz para reduzir sua probabilidade ou
impacto.
§ 7º A ação de evitar o evento de risco corresponde à decisão de não iniciar ou de
descontinuar determinado projeto ou processo cujo risco estimado seja superior ao apetite de
risco do ministério.
§ 8º A unidade responsável pela análise de riscos deverá listar as ações mitigadoras
dos riscos mapeados.
Art. 8º O processo de gestão de riscos incluirá etapas de monitoramento e
avaliação, inclusive no tocante aos controles internos mapeados.
§ 1º Os processos de monitoramento e avaliação buscarão assegurar o alcance dos
objetivos institucionais.
§ 2º No contexto de processos de gestão de risco, deve-se evitar o estabelecimento
de controles internos puramente formais ou cujo custo supere o correspondente risco.
§ 3º Os controles internos estabelecidos no contexto dos processos de gestão de
riscos devem priorizar a essência sobre a forma, evitando-se adotar controles que se
evidenciarem como puramente formais ou cujo custo seja superior ao risco.
Art. 9º A comunicação e consulta consiste no fluxo informacional entre as partes
envolvidas no processo de gestão de riscos, a fim de assegurar a compreensão necessária à
tomada de decisão envolvendo os riscos.
Art. 10. Informações sobre a gestão de riscos na Administração Pública Federal e
orientações sobre sua aplicação no MRE serão divulgadas na rede interna do ministério em
página eletrônica sobre o tema.
Parágrafo único. A página objeto do caput disponibilizará modelo de mapa de riscos,
o qual deverá ser utilizado para mapear e monitorar as etapas descritas nos artigos 3º a 9º.
CAPÍTULO III
DISPOSIÇÕES FINAIS
Art. 11 Na operacionalização do processo de gerenciamento de riscos devem ser
priorizados:
I - os eventos cujos níveis de risco tenham sido classificados como elevados ou
críticos; e
II - os processos e projetos que impactam diretamente o atingimento dos objetivos
estratégicos definidos no Plano Plurianual (PPA) e no Planejamento Estratégico Institucional
(PEI-MRE) do ministério.
Art. 12. A metodologia de gestão de riscos poderá ser revisada periodicamente.
Art. 13. Esta Portaria entra em vigor trinta dias após sua publicação.
MAURO VIEIRA