A gestão de riscos é um elemento-chave da governança nas organizações do setor público em termos de suas estruturas, seus processos, seus valores corporativos, sua cultura e seu comportamento. Nessa linha, avalie as afirmativas a seguir relativas à gestão de risco. I. Para falarmos de riscos, uma palavra é fundamental: objetivo. Se não temos um objetivo, não há que se falar em eventos que podem atrapalhar ou ajudar a atingi-lo. II. Os benefícios gerados por um gerenciamento de riscos compensam os eventuais custos incorridos com sua implementação. Dessa forma, não precisam ser estabelecidos procedimentos de controle interno proporcionais ao risco. III. Análise de riscos, para prevenir a ocorrência de riscos e diminuir o impacto de suas consequências, busca identificar as possíveis causas, as consequências e os controles existentes. IV. O objetivo da gestão de riscos é promover meios para que as incertezas não desviem os esforços da organização de seus objetivos. Estão corretas as afirmativas
- A)I e II, apenas.
Essa alternativa sustenta que apenas as afirmativas I e II estariam corretas. A I está certa porque, na gestão de riscos, o risco é sempre relacionado a objetivos: sem objetivo definido, não há evento incerto capaz de afetar a sua consecução, como ensina a lógica da ISO 31000. Já a II erra ao dizer que, por haver benefício no gerenciamento de riscos, não seria preciso adotar controles internos proporcionais ao risco; pelo contrário, a proporcionalidade é um critério central do controle interno e da própria governança.
- B)I e III, apenas.
Aqui se afirma que somente as afirmativas I e III seriam verdadeiras. A I realmente procede, pois risco pressupõe objetivo a ser atingido e incerteza que possa afetá-lo positiva ou negativamente. A III também está correta ao descrever a análise de riscos como atividade que identifica causas, consequências e controles existentes, mas a alternativa falha porque deixa de incluir a IV, que também traduz corretamente a finalidade da gestão de riscos.
- C)II e III, apenas.
Essa opção reúne as afirmativas II e III como se ambas estivessem corretas. A III está adequada, pois a análise de riscos envolve identificar causas, impactos e controles já existentes para apoiar a prevenção e a mitigação. O problema está na II, que contraria a lógica da gestão de riscos ao dispensar controles internos proporcionais ao risco; a implementação deve considerar materialidade, relevância e custo-benefício, mas não elimina a necessidade de controles adequados.
- D)I, III e IV, apenas.
A alternativa indica exatamente o conjunto correto: I, III e IV. A I está alinhada ao conceito técnico de risco como efeito da incerteza sobre objetivos; a III descreve corretamente a análise de riscos ao considerar causas, consequências e controles existentes; e a IV traduz a finalidade da gestão de riscos, que é manter os esforços organizacionais orientados aos objetivos apesar das incertezas. A II é a única incorreta, porque a existência de benefícios não autoriza dispensar controles internos proporcionais ao risco.
- E)II, III e IV, apenas.
Essa alternativa inclui II, III e IV como corretas. A III e a IV de fato estão certas, porque a análise de riscos examina causas, consequências e controles, e a gestão de riscos busca evitar que a incerteza desvie a organização de seus objetivos. Contudo, a II está errada ao afirmar que, por haver retorno do gerenciamento de riscos, não seriam necessários controles internos proporcionais ao risco, o que contraria a abordagem de governança e controle baseada em risco.
Gabarito: D
Gestão de riscos, no setor público, não é um ritual burocrático para preencher planilhas. Ela serve para identificar o que pode atrapalhar ou favorecer o alcance dos objetivos da organização, tratando incertezas de forma organizada. Por isso, a ideia de "objetivo" é central: sem objetivo definido, não existe risco a ser avaliado, porque risco sempre é algo que pode impactar uma meta. A lógica da gestão de riscos também conversa com a governança e com o controle interno. O Decreto 9.203/2017, ao tratar de governança pública, e referências como o COSO e a ABNT ISO 31000, reforçam que risco deve ser identificado, analisado, tratado e monitorado com controles proporcionais ao nível de exposição. Não é verdade que, porque o gerenciamento de riscos traz benefícios, controles proporcionais deixam de ser necessários. É justamente o contrário: o controle precisa ser calibrado ao risco. Na análise de riscos, você olha para causas, consequências e controles já existentes. Isso ajuda a entender a probabilidade e o impacto do evento e a planejar respostas para reduzir a chance de ocorrência ou minimizar seus efeitos. Em linguagem de prova, análise de risco não é adivinhação de vidente, é exame estruturado do problema. Por isso, o gabarito é a letra D. As afirmativas I, III e IV estão corretas: risco exige objetivo, a análise de riscos considera causas, consequências e controles, e a gestão de riscos busca evitar que as incertezas desviem a organização de seus objetivos. A afirmativa II está errada porque controles internos proporcionais ao risco continuam sendo indispensáveis.