Uma instituição de ensino superior realizou um processo de avaliação dos riscos associados à administração do alojamento estudantil e concluiu que não possuía internamente os requisitos e as funcionalidades para administrar de forma adequada um serviço de alojamentos. Assim, a instituição de ensino terceirizou a administração do alojamento a uma empresa de gestão patrimonial, com vistas a reduzir o impacto e a probabilidade de riscos relacionados com a propriedade. A decisão tomada pela instituição de ensino após o processo de avaliação de riscos representa uma resposta ao risco, que implica:
- A)aceitar;
Errada, porque aceitar seria manter o risco sem adotar medida relevante de tratamento.
- B)compartilhar;
Certa, porque a terceirização transfere parte da exposição e da gestão do risco para outro ente.
- C)evitar;
Errada, porque evitar significaria não realizar a atividade ou abandonar o processo que gera o risco.
- D)moderar;
Errada, porque moderar é ideia de controle para diminuir o risco internamente, não de transferência a terceiro.
- E)reduzir.
Errada, porque reduzir descreve o efeito buscado, mas não traduz com precisão a resposta de terceirização adotada.
Gabarito: B
Em auditoria e gestão de riscos, depois de identificar um risco, a organização precisa decidir o que fazer com ele. As respostas clássicas costumam ser: aceitar, evitar, reduzir ou compartilhar. Quando a instituição percebe que não tem estrutura interna suficiente para gerir o alojamento e passa essa atividade a uma empresa especializada, ela não está “sumindo” com o risco nem apenas fazendo remendo interno: está transferindo parte relevante da exposição para um terceiro. É exatamente isso que a questão descreve. A terceirização da administração do alojamento, com a finalidade de diminuir a probabilidade e o impacto dos riscos ligados à propriedade, indica compartilhamento do risco, porque a responsabilidade operacional e parte da gestão do risco são assumidas por outra entidade. Em linguagem de prova, isso é resposta de compartilhamento, muito comum em contratação de terceiros, seguros e parcerias operacionais. Cuidado com a palavra “reduzir”, porque ela aparece no enunciado como objetivo, mas não nomeia corretamente a resposta. Reduzir é uma estratégia de controle interno para diminuir probabilidade ou impacto dentro da própria organização; aqui, porém, a medida adotada foi transferir a execução do serviço a outra empresa, o que caracteriza compartilhamento do risco. Na prática, a banca gosta dessa troca de rótulos: você lê “reduzir impacto e probabilidade” e pensa em mitigação, mas o ponto decisivo é a terceirização. Em auditoria, a classificação da resposta ao risco depende do mecanismo adotado, não apenas do efeito desejado.