Segundo a metodologia COSO-ERM – Gerenciamento de riscos corporativos – Estrutura Integrada, risco é representado pela possibilidade de que um evento ocorrerá e afetará negativamente a realização dos objetivos. Nesse sentido, o Comitê de Governança de um órgão da administração pública federal, durante o processo de mapeamento e avaliação dos riscos a nível estratégico institucional, se depara com duas situações. Na primeira constata o risco que a organização terá de enfrentar na falta de medidas que a administração possa adotar para alterar a probabilidade ou o impacto dos eventos. Na segunda situação identifica o risco que ainda permanece após a resposta da administração. Na situação hipotética descrita, as duas espécies de risco identificadas pelo comitê são denominadas pelo COSO-ERM, respectivamente, como (assinale a alternativa correta):
- A)risco administrativo e risco administrado.
Errada, porque “risco administrativo” e “risco administrado” não são categorias do COSO-ERM.
- B)risco do negócio e risco gerido.
Errada, pois “risco do negócio” e “risco gerido” não correspondem à nomenclatura técnica pedida pela metodologia.
- C)risco de mercado e risco gerido.
Errada, já que risco de mercado é um tipo específico de risco financeiro, não a classificação tratada no enunciado.
- D)risco de natural e risco processado.
Errada, porque “risco natural” e “risco processado” não são expressões do COSO-ERM para essa distinção.
- E)risco inerente e risco residual.
Certa, pois risco inerente é o risco antes das respostas da administração e risco residual é o que permanece após os controles.
Gabarito: E
No COSO-ERM, risco é a chance de um evento afetar os objetivos da organização, e isso pode ser analisado em camadas. Primeiro aparece o risco inerente, que é o risco “bruto”, aquele que existe antes de qualquer ação de controle ou resposta da administração. É como olhar para o problema em estado puro, sem filtro e sem maquiagem. Depois que a administração adota medidas para tratar o risco, sobra o risco residual. Esse é o risco que continua existindo mesmo após controles, respostas e procedimentos de mitigação. Em outras palavras: a organização fez alguma coisa para reduzir o problema, mas não conseguiu zerá-lo. Risco não gosta muito de ser eliminado, só de ser administrado. Por isso, a descrição da questão encaixa exatamente nessa sequência: a primeira situação fala do risco que a organização enfrentaria na ausência de medidas para alterar probabilidade ou impacto, ou seja, o risco inerente. A segunda situação trata do risco que permanece depois da resposta da administração, ou seja, o risco residual. Esse é um conceito clássico na doutrina de gestão de riscos e aparece de forma compatível com a lógica do COSO-ERM, amplamente usada em auditoria e controle interno no setor público.