Uma entidade pública definiu que uma das suas metas para um determinado exercício era promover a implantação da gestão de riscos e para isso nomeou um grupo de trabalho (GT), com servidores da estrutura de apoio administrativo da entidade. A primeira atividade do GT foi formular uma proposta de Política de Gestão de Riscos. Nessa proposta foram definidas diretrizes para cada etapa do processo de gestão de riscos. No processo de gestão de riscos, a definição da matriz de riscos, das escalas de probabilidade e impacto e das escalas de avaliação de controles se encaixam na etapa de:
- A)avaliação de riscos;
Correta, porque matriz de riscos, probabilidade, impacto e avaliação de controles são instrumentos típicos da etapa de avaliação de riscos.
- B)identificação de riscos;
Errada, porque identificação de riscos é o momento de levantar e descrever os riscos, não de classificá-los por probabilidade e impacto.
- C)monitoramento de riscos;
Errada, porque monitoramento ocorre depois, para acompanhar a evolução dos riscos e a eficácia das respostas e controles.
- D)comunicação de riscos;
Errada, porque comunicação de riscos trata do compartilhamento de informações e resultados, não da mensuração do risco.
- E)tratamento de riscos.
Errada, porque tratamento de riscos vem após a avaliação, quando se decide como responder ao risco já analisado.
Gabarito: A
Na gestão de riscos, nem tudo acontece de uma vez: primeiro você entende o risco, depois mede e organiza esse risco para decidir o que fazer. A etapa em que se definem a matriz de riscos, as escalas de probabilidade e impacto e os critérios para avaliar controles é justamente a fase de avaliação de riscos, porque é nela que o risco é analisado em termos de relevância e prioridade. Pense assim: identificar risco é dar nome ao “bicho”, mas avaliar risco é medir o tamanho, a força e o perigo dele. A matriz de riscos serve para cruzar probabilidade e impacto, enquanto as escalas ajudam a padronizar essa análise. Já a avaliação dos controles verifica se os controles existentes reduzem o risco de forma adequada. Isso está bem alinhado com a lógica usada em modelos de governança e gestão de riscos adotados no setor público, como os referenciais do TCU e as práticas inspiradas na ISO 31000, que tratam a avaliação como a etapa em que se analisa o risco para apoiar a decisão. Em prova, quando aparecer probabilidade, impacto, matriz e nível de controle, acenda o alerta: é avaliação, não confunda com identificação nem com tratamento. Por isso o gabarito é a alternativa A. A proposta da política está estruturando o método para julgar os riscos antes de escolher respostas, monitorá-los ou comunicar resultados.