A gestão de riscos na Administração Pública é um processo que busca contribuir para a eficiência organizacional no cumprimento da missão institucional. É, assim, uma ferramenta para assegurar a produção de valor público. São passos fundamentais para o sucesso deste processo, entre outros, a identificação, a análise e a avaliação dos riscos aos quais a organização está submetida. O cumprimento dessas etapas permite identificar alternativas de tratamento dos riscos e o seu monitoramento contínuo. Uma Universidade Pública brasileira identificou, como evento de risco, a possível invasão de seus sistemas corporativos seguida da alteração dos registros acadêmicos de seus estudantes. Com base em uma escala linear definida na Política de Gestão de Riscos da Universidade, a probabilidade de ocorrência deste evento sem a adoção de medidas de controle foi definida como alta (8, em uma escala de 1 a 10) e o impacto da sua ocorrência como muito alto (10, também em uma escala de 1 a 10). Podemos ver, a seguir, os níveis de risco definidos pela Universidade inspirada em orientações do Tribunal de Contas da União. Risco Baixo Risco Médio Risco Alto Risco Extremo 0 a 9,99 10 a 39,99 40 a 79,99 80 a 100 Feita a análise do nível de risco inerente à ocorrência deste evento, a Universidade passou a adotar medidas de controle muito rigorosas a partir de um benchmarking com algumas de suas congêneres. Tais medidas foram avaliadas e consideradas de um nível de confiança satisfatório (60%) após nova análise de especialistas. Com base nestas informações, podemos afirmar que o nível de risco inerente e o nível de risco residual de ocorrência deste evento na Universidade são, respectivamente,
- A)Extremo e Alto.
Errada, porque o risco residual não permanece alto: com controles de 60% de confiança, ele cai para a faixa média.
- B)Alto e Médio.
Errada, porque o risco inerente é extremo, não alto, já que 8 x 10 resulta em 80.
- C)Extremo e Médio.
Certa, porque o risco inerente é 80, classificado como extremo, e o residual fica em 32, classificado como médio.
- D)Alto e Alto.
Errada, porque embora o risco inerente pudesse ser confundido com alto, ele é extremo, e o residual não fica alto após a mitigação.
- E)Extremo e Extremo.
Errada, porque os controles reduziram o risco, então ele não pode continuar extremo no estágio residual.
Gabarito: C
Em gestão de riscos, a lógica é simples: primeiro você estima o risco inerente, que é o risco “cru”, sem controle nenhum. Em muitos modelos inspirados no TCU, ele é calculado pela combinação entre probabilidade e impacto. Aqui, 8 x 10 = 80, então o risco inerente cai na faixa de risco extremo, porque a tabela da universidade define extremo de 80 a 100. Depois entra o mundo real, com controles internos, barreiras e medidas de mitigação. O risco residual é o que sobra após esses controles funcionarem. Se as medidas foram consideradas com nível de confiança de 60%, isso indica redução de 60% do risco inicial. Logo, sobra 40% de 80, isto é, 32. Pela própria escala dada no enunciado, 32 está na faixa de 10 a 39,99, ou seja, risco médio. Por isso o gabarito é a alternativa C: risco inerente extremo e risco residual médio. Esse raciocínio está alinhado com a visão de gestão de riscos adotada em orientações do TCU e também com a lógica da ABNT ISO 31000, em que risco é tratado a partir da combinação de probabilidade e impacto, e os controles servem para reduzir o nível final de exposição.