PORTARIA NORMATIVA CGU Nº 261, DE 12 DE MAIO DE 2026

PORTARIA NORMATIVA CGU Nº 261, DE 12 DE MAIO DE 2026
Institui a Política de Gestão de Riscos da Controladoria-
Geral da União.
O MINISTRO DE ESTADO DA CONTROLADORIA-GERAL DA UNIÃO, no uso das
atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição, e tendo em
vista o disposto no art. 17 do Decreto nº 9.203, de 22 de novembro de 2017, e no art. 17 da
Instrução Normativa Conjunta MP/CGU nº 01, de 10 de maio de 2016, e com base no Processo
Administrativo nº 00190.110989/2025-35, resolve :
CAPÍTULO I
DISPOSIÇÕES GERAIS
Art. 1º Fica instituída a Política de Gestão de Riscos da Controladoria-Geral da
União, com o objetivo de estabelecer diretrizes e responsabilidades para o tratamento
sistemático dos riscos que possam impactar o cumprimento de seus objetivos institucionais,
devendo alinhar-se:
I - aos modelos de governança corporativa e de gestão e ao planejamento
estratégico institucionalizados no âmbito da Controladoria-Geral da União;
II - às diretrizes de inovação, de modernização e desenvolvimento institucionais;
e
III - às competências e atribuições regimentais.
Art. 2º Os riscos institucionais da Controladoria-Geral da União serão
acompanhados pelo Comitê Gerencial de Riscos.
§ 1º Os demais riscos não categorizados como institucionais, ou aqueles cuja gestão
de risco já esteja incorporada à governança setorial, são de responsabilidade das instâncias
previstas no art. 5º, inciso III, desta Portaria Normativa.
§ 2º Consideram-se riscos institucionais aqueles que se enquadram na definição de
risco da norma ABNT ISO 31000:2018, Gestão de Riscos - Diretrizes, da Associação Brasileira de
Normas Técnicas, entendidos, no âmbito da instituição, como os riscos que possam
comprometer o alcance dos objetivos estratégicos ou que possam afetar a missão, a visão, a
governança, a imagem, a reputação e a sustentabilidade organizacional.
§ 3º Em razão de seu caráter estratégico e transversal, os riscos institucionais
exigem monitoramento em nível elevado de governança, com acompanhamento sistemático e
contínuo pela alta administração.
§ 4º Para fins de priorização e tratamento em nível de alta administração, é
caracterizado como um risco institucional aquele que atender a pelo menos dos itens abaixo:
I - possuir impacto em nível estratégico, com repercussões sobre a organização
como um todo;
II - comprometer o alcance da missão, visão ou objetivos estratégicos;
III - apresentar abrangência transversal, afetando múltiplas áreas;
IV - afetar a imagem pública, a reputação, a credibilidade ou a confiança na
instituição;
V - envolver aspectos de governança, integridade, conformidade ou decisões de
alto nível; ou
VI - comprometer a continuidade e a perenidade da instituição.
Art. 3º Para fins desta Portaria Normativa, considera-se:
I - evento: um incidente ou ocorrência de fontes internas ou externas à
organização, que podem impactar a realização de objetivos de modo negativo, positivo ou
ambos;
II - risco: possibilidade de ocorrência de um evento que tenha impacto no
atingimento dos objetivos da organização;
III - risco inerente: risco a que uma organização está exposta sem considerar
quaisquer medidas de controle que possam reduzir a probabilidade de sua ocorrência ou seu
impacto;
IV - risco residual: risco a que uma organização está exposta após a implementação
de medidas de controle para o tratamento do risco;
V - gestão de riscos: arquitetura necessária para se gerenciar riscos eficazmente,
compreendendo princípios, objetivos, estrutura, competências e processo;
VI - gerenciamento de risco: processo sistemático e contínuo de comunicação,
consulta, identificação, análise, avaliação, tratamento, monitoramento e revisão de riscos que
possam afetar os objetivos organizacionais, com o propósito de fornecer segurança razoável
quanto ao alcance desses objetivos;
VII - apetite a risco: nível de risco que uma organização está disposta a aceitar;
VIII - tolerância ao risco: nível de desvio ou variação em relação ao apetite a risco
ou aos objetivos, aceitável pela organização;
IX - controle: medida que mantém ou modifica o risco;
X - nível de risco: medida da importância ou significância do risco, considerando o
produto resultante entre a probabilidade e impacto nos objetivos;
1143
XI - unidades setoriais: aquelas que possuam atribuições na Controladoria-Geral da
União relacionadas à gestão de riscos em suas respectivas áreas de atuação; e
XII - gestor do risco: agente que tem a responsabilidade e a autoridade para
gerenciar determinado risco.
CAPÍTULO II
DA OPERACIONALIZAÇÃO
Art. 4º A Gestão de Riscos da Controladoria-Geral da União deverá contemplar, no
mínimo, as seguintes etapas:
I - identificação dos riscos: busca, reconhecimento e descrição dos riscos, mediante
a identificação das fontes de risco, eventos, suas causas e suas consequências potenciais;
II - análise dos riscos: compreensão da natureza do risco e de seus controles e a
determinação do seu respectivo nível mediante a combinação da probabilidade de sua
ocorrência e dos impactos possíveis;
III - avaliação dos riscos: processo de comparação dos resultados da análise de risco
com os critérios do risco para determinar se o risco ou sua respectiva magnitude é aceitável ou
tolerável;
IV - tratamento dos riscos: processo para modificar o risco ou seus controles de
modo a evitar, transferir, mitigar ou aceitar;
V - monitoramento dos riscos: verificação, supervisão, observação crítica ou
identificação da situação, executadas de forma contínua, a fim de identificar mudanças no nível
de desempenho requerido ou esperado; e
VI - comunicação e consulta: fornecer, compartilhar ou obter informações relativas
ao risco e ao seu tratamento com todos aqueles que possam influenciar ou ser influenciados
por esse risco.
CAPÍTULO III
DAS COMPETÊNCIAS
Art. 5º Para efeitos desta Política, são consideradas instâncias de Governança da
Gestão de Riscos da Controladoria-Geral da União:
I - Comitê de Governança Interna, previsto no art. 10 da Portaria Normativa nº 63,
de 31 de março de 2023;
II - Comitê Gerencial de Riscos;
III - unidades setoriais da Controladoria-Geral da União com atribuições
relacionadas à gestão de riscos em suas áreas de atuação; e
IV - Diretoria de Planejamento, Inovação e Sustentabilidade da Secretaria-
Executiva, na qualidade de secretaria-executiva do Comitê Gerencial de Riscos.
§ 1º A instância prevista no inciso I do caput é responsável por decisões estratégicas
e diretrizes no âmbito da gestão de riscos institucionais na Controladoria-Geral da União.
§ 2º A instância prevista no inciso II do caput é responsável por apoiar o Comitê de
Governança Interna da Controladoria-Geral da União nos aspectos técnicos relativos à
definição de metodologias e seus artefatos e ao processo de implementação, disseminação,
padronização e monitoramento das ações de gestão de riscos institucionais na Controladoria-
Geral da União.
§ 3º As instâncias previstas no inciso III do caput são responsáveis pela
identificação, pela avaliação, pelo tratamento e pelo monitoramento dos riscos inerentes às
suas atividades, bem como pela definição dos níveis de apetite a risco e pelo acompanhamento
contínuo de sua efetiva gestão.
§ 4º No caso de conflito de competências envolvendo mais de uma área que trate
da gestão de riscos, o assunto será decidido pelo Comitê Gerencial de Riscos.
Art. 6º Compete ao Comitê de Governança Interna:
I - patrocinar as estratégias de implementação da Gestão de Riscos na
Controladoria-Geral da União;
II - definir os níveis de apetite a riscos institucionais dos processos organizacionais;
e
III - garantir o apoio institucional para promover a gestão de riscos, em especial os
seus recursos, o relacionamento entre as partes interessadas e o desenvolvimento contínuo
dos servidores.
Art. 7º Compete ao Comitê Gerencial de Riscos propor e revisar a política, as
diretrizes, os objetivos, os indicadores, os sistemas e as ferramentas relativos à gestão de riscos
institucionais da Controladoria-Geral da União e auxiliar o Comitê de Governança Interna na
execução de suas competências.
Parágrafo único. Competirá à Secretária-Executiva da Controladoria-Geral da União
dispor sobre o Comitê Gerencial de Risco, notadamente em relação a:
I - definição dos representantes; e
II - atribuição de competências, observadas as diretrizes desta Portaria Normativa.
Art. 8º As funções de secretaria-executiva do Comitê Gerencial de Riscos serão
desempenhadas pela Diretoria de Planejamento, Inovação e Sustentabilidade da Secretaria-
Executiva, a quem compete:
I - assegurar que as diretrizes do planejamento estratégico da Controladoria-Geral
da União estejam alinhadas com a Política de Gestão de Riscos;
II - desenvolver, implementar e divulgar a metodologia de gestão de riscos institucionais,
assegurando sua aplicação de forma padronizada em toda a Controladoria-Geral da União;
III - coordenar a gestão dos riscos institucionais, apoiando as unidades da
Controladoria-Geral da União;
IV - monitorar os riscos institucionais e os planos de tratamento de riscos implementados;
V - estimular a capacitação na temática de gerenciamento de riscos;
VI - propor ferramentas e instrumentos voltados ao aprimoramento, à
implementação e ao monitoramento da gestão de riscos institucionais; e
VII - promover a cultura de gestão de riscos na organização, em alinhamento com
os valores institucionais.
Parágrafo único. A secretaria-executiva do Comitê Gerencial de Riscos é dotada de
autonomia para solicitar às unidades da Controladoria-Geral da União documentos e
informações necessárias à execução de suas atividades.
Art. 9º Compete ao gestor de risco:
I - identificar, analisar e avaliar os riscos dos processos sob sua responsabilidade,
em conformidade ao que define esta Política de Gestão de Riscos;
II - propor:
a) respostas e respectivas medidas de controle a serem implementadas nos
processos organizacionais sob sua responsabilidade; e
b) os instrumentos de controle e gestão de riscos institucionais para deliberação do
Comitê Gerencial de Riscos;
III - monitorar e reportar os riscos institucionais sob sua responsabilidade à
Diretoria de Planejamento, Inovação e Sustentabilidade; e
IV - a gestão de risco da sua unidade.
Parágrafo único. Cada dirigente irá designar um gestor de risco para a gestão dos
riscos de sua unidade.
CAPÍTULO IV
DAS DISPOSIÇÕES FINAIS
Art. 10. A responsabilidade pela gestão de riscos é compartilhada entre todos os
agentes públicos em exercício na Controladoria-Geral da União, devendo cada um atuar de
forma preventiva e colaborativa na identificação e mitigação de riscos.
Parágrafo único. Caso identifique algum tipo de risco ou ameaça, o agente público
deverá comunicar imediatamente à sua chefia imediata ou à secretaria-executiva do Comitê
Gerencial de Riscos.
Art. 11. A política deverá ser revisada no máximo a cada dois anos para se manter
relevante e atualizada.
Parágrafo único. A proposta de revisão de que trata o caput deverá ser apresentada
pela secretaria-executiva do Comitê Gerencial de Riscos para apreciação e aprovação do
Comitê de Governança Interna.
Art. 12. As unidades da Controladoria-Geral da União poderão complementar e
detalhar a aplicação da gestão de riscos em suas competências, por meio de normas ou
políticas específicas, desde que estas estejam em estrita consonância com os princípios e
diretrizes estabelecidos nesta Portaria Normativa.
§ 1º As unidades poderão definir o objeto de gerenciamento de seus riscos para
além de processos, como projetos ou outras iniciativas de suas áreas.
§ 2º A metodologia de gestão de processos da Controladoria-Geral da União
anterior a esta Portaria Normativa poderá ser utilizada como método facilitador à
implementação do gerenciamento de riscos.
Art. 13. Os instrumentos, formulários e manuais necessários à execução desta
Portaria Normativa serão aprovados pelo Comitê Gerencial de Riscos e divulgados no sítio
eletrônico da Controladoria-Geral da União.
Art. 14. Os casos omissos e as excepcionalidades serão resolvidos pelo Comitê
Gerencial de Riscos.
Art. 15. Fica revogada a Portaria CGU nº 915, de 12 de abril de 2017.
Art. 16. Esta Portaria Normativa entra em vigor na data de sua publicação.
VINÍCIUS MARQUES DE CARVALHO