Gestão de Riscos no Setor Público Conceitos fundamentais Risco é o efeito da incerteza sobre os objetivos (ISO 31000:2018). Um efeito é um desvio em relação ao esperado — pode ser positivo (oportunidade) ou negativo (ameaça). Note que a definição não fala em "probabilidade de um evento ruim": o risco é sempre relativo a objetivos previamente definidos, e sem objetivo não há risco a ser gerido. Gestão de riscos é o conjunto coordenado de atividades para dirigir e controlar uma organização no que se refere a riscos. Não se trata de eliminar riscos — o que geralmente é impossível ou economicamente inviável — mas de conhecê-los, priorizá-los e responder a eles de forma compatível com os objetivos organizacionais. Dois conceitos correlatos, frequentemente confundidos entre si: Controles internos: conjunto de regras, procedimentos, diretrizes, protocolos e rotinas (inclusive de sistemas informatizados) que ajudam a garantir o cumprimento dos objetivos e a mitigação dos riscos. O controle interno é uma das possíveis respostas a um risco identificado. Governança: combinação de processos e estruturas implantados pela alta administração para informar, dirigir, administrar e monitorar as atividades da organização, com o intuito de alcançar seus objetivos. A gestão de riscos é um dos instrumentos que viabilizam a boa governança, mas não se confunde com ela — governança é o conceito mais amplo, que inclui liderança, estratégia e controle. Marcos normativos no Brasil Instrução Normativa Conjunta MP/CGU nº 1/2016 Editada em 10/5/2016 pelo então Ministério do Planejamento, Orçamento e Gestão (MP) em conjunto com a Controladoria-Geral da União (CGU), foi a primeira norma federal a exigir sistematicamente a implantação de controles internos, gestão de riscos e governança nos órgãos e entidades do Poder Executivo Federal. Está organizada em seis capítulos: Conceitos; Controles Internos da Gestão; Gestão de Riscos; Governança; Comitês de Governança, Riscos e Controle; e Disposições Finais. Pontos que costumam ser cobrados em prova: Define gerenciamento de riscos como o processo para identificar, avaliar, administrar e controlar potenciais eventos ou situações, de forma a fornecer razoável certeza quanto ao alcance dos objetivos da organização. Atribui ao dirigente máximo da organização a responsabilidade principal pelo estabelecimento da estratégia organizacional e da estrutura de gerenciamento de riscos. Determina a criação, em cada órgão ou entidade, do Comitê de Governança, Riscos e Controle, com atribuições como institucionalizar estruturas de governança e gestão de riscos e promover o desenvolvimento contínuo dos agentes públicos nessas práticas. Atribui à CGU competência para avaliar a política de gestão de riscos dos órgãos do Executivo federal e a eficácia dos controles internos implementados. Decreto nº 9.203/2017 — Política de Governança Pública Dispõe sobre a Política de Governança da Administração Pública Federal direta, autárquica e fundacional. Define, no art. 2º, conceitos-chave como governança pública, valor público, alta administração e gestão de riscos; no art. 3º, os princípios da governança pública; e, no art. 4º, suas diretrizes. Princípios da governança pública (art. 3º) — seis, no total: Capacidade de resposta; Integridade; Confiabilidade; Melhoria regulatória; Prestação de contas e responsabilidade (accountability); Transparência. Diretrizes da governança pública (art. 4º) — entre outras, destacam-se: Direcionar ações para a busca de resultados para a sociedade, com soluções tempestivas e inovadoras diante da limitação de recursos; Promover a simplificação administrativa, a modernização da gestão pública e a integração dos serviços públicos, sobretudo os eletrônicos; Monitorar o desempenho e avaliar a concepção, a implementação e os resultados das políticas e ações prioritárias; Articular instituições e coordenar processos para melhorar a integração entre níveis e esferas do setor público; Fazer incorporar padrões elevados de conduta pela alta administração; Implementar controles internos fundamentados na gestão de risco, que privilegiem ações estratégicas de prevenção antes de processos sancionadores; Avaliar propostas de criação, expansão ou aperfeiçoamento de políticas públicas e de concessão de incentivos fiscais, aferindo custos e benefícios sempre que possível; Manter processo decisório orientado por evidências, pela conformidade legal e pela qualidade regulatória. O decreto também define os mecanismos de governança (art. 5º): liderança, estratégia e controle. Liderança compreende práticas de natureza humana/comportamental exercidas nos principais cargos, para assegurar as condições mínimas ao exercício da boa governança. Estratégia compreende a definição de diretrizes, objetivos, planos e ações, além de critérios de priorização e alinhamento entre organizações e partes interessadas. Controle compreende processos estruturados para mitigar riscos e garantir o alcance dos objetivos institucionais. O decreto criou ainda o Comitê Interministerial de Governança (CIG), colegiado responsável por assessorar o Presidente da República na condução da política de governança pública federal, coordenado pelo Ministro de Estado Chefe da Casa Civil, com secretaria-executiva exercida pela própria Casa Civil e reuniões ordinárias trimestrais. O CIG segue em vigor e é tema recorrente em provas de concurso, inclusive já cobrado em simulados do Concurso Nacional Unificado. Alterações posteriores (como o Decreto nº 9.901/2019) incluíram a previsão de Comitês Internos de Governança em cada órgão, com competências como auxiliar a alta administração na incorporação dos princípios e diretrizes de governança e promover o acompanhamento de resultados institucionais. Decreto nº 11.529/2023 — Sitai Institui o Sistema de Integridade, Transparência e Acesso à Informação da Administração Pública Federal (Sitai) e a Política de Transparência e Acesso à Informação da Administração Pública Federal, no âmbito da administração pública federal direta, autárquica e fundacional. É comum a prova cobrar apenas "Sistema de Integridade" — atenção: o decreto ampliou o antigo Sistema de Integridade do Poder Executivo Federal (SIPEF), unificando-o com a agenda de transparência e acesso à informação, e não se limita à integridade isoladamente. Entre seus objetivos: coordenar e articular as atividades relativas à integridade, à transparência e ao acesso à informação; estabelecer padrões para as práticas e medidas de integridade, transparência e acesso à informação; e aumentar a simetria de informações entre a administração pública federal e a sociedade. A Política de Transparência e Acesso à Informação compreende a transparência passiva (resposta a pedidos com base na Lei nº 12.527/2011, a LAI), a transparência ativa (divulgação proativa em sítios oficiais) e a abertura de dados. Outros marcos relevantes TCU — Referencial Básico de Gestão de Riscos (RBGR): publicado pelo Tribunal de Contas da União, apresenta os principais modelos de gestão de riscos adotados no mercado (COSO, ISO 31000, entre outros), descreve o processo básico de gestão de risco, lista técnicas de identificação e análise de riscos (brainstorming, entrevistas, Delphi, Análise Preliminar de Perigos, listas de verificação, análise de causa raiz, técnica estruturada "E se" — SWIFT, análise Bow Tie, Análise de Decisão por Multicritério) e orienta a estruturação da governança de risco nas organizações públicas. CGU/antigo Ministério do Planejamento — Manual de Gestão de Integridade, Riscos e Controles Internos da Gestão: detalha a metodologia de gerenciamento de integridade, riscos e controles internos a ser seguida pelos órgãos, regulamentando o disposto na IN Conjunta MP/CGU nº 1/2016. Modelos internacionais de referência COSO — Controle Interno (1992/2013) O Committee of Sponsoring Organizations of the Treadway Commission (COSO), entidade privada sem fins lucrativos fundada em 1985, publicou originalmente em 1992 (atualizado em 2013) o Internal Control — Integrated Framework, estruturado em 5 componentes: Ambiente de controle; Avaliação de riscos; Atividades de controle; Informação e comunicação; Atividades de monitoramento. Esse é o COSO de controles internos — não deve ser confundido com o COSO ERM, apesar de ambos compartilharem a mesma entidade emissora e uma lógica de componentes/princípios. COSO ERM (2017) Em 2017, o COSO publicou a atualização Enterprise Risk Management — Integrating with Strategy and Performance, reformulando o antigo Enterprise Risk Management — Integrated Framework (de 2004) para enfatizar a integração entre risco, estratégia e desempenho. A estrutura de 2017 organiza a gestão de riscos corporativos (ERM) em 5 componentes e 20 princípios: Governança e cultura — estabelece o tom da organização, reforçando a importância e as responsabilidades de supervisão da gestão de riscos; a cultura perpassa valores éticos, comportamentos desejáveis e o entendimento do risco pela entidade; Estratégia e definição de objetivos — integra a gestão de riscos ao planejamento estratégico e à definição de objetivos, incluindo a análise do apetite a risco; Desempenho — identifica, avalia a severidade, prioriza riscos e implementa respostas, desenvolvendo um portfólio de riscos da organização; Análise crítica e revisão (também traduzido como revisão e monitoramento) — avalia o funcionamento dos componentes de gerenciamento de riscos ao longo do tempo e as revisões substanciais necessárias; Informação, comunicação e divulgação — obtém e compartilha informações de risco e estratégia de forma contínua, subindo e descendo na cadeia hierárquica e entre áreas. Esses 20 princípios permitem que a organização obtenha razoável certeza de que compreende e se esforça para gerenciar os riscos associados à sua estratégia e a seus objetivos de negócio, sendo aplicáveis de forma proporcional a organizações de diferentes tamanhos, tipos e setores. ISO 31000:2018 Norma técnica internacional (ABNT NBR ISO 31000:2018 no Brasil) sobre gestão de riscos, não certificável, mas amplamente adotada como referência conceitual. Estrutura-se em três blocos: Princípios (8) — a base para gerenciar riscos: Integrada; Estruturada e abrangente; Personalizada (customizada ao contexto); Inclusiva (envolvimento apropriado e oportuno das partes interessadas); Dinâmica; Melhor informação disponível; Fatores humanos e culturais; Melhoria contínua. *Estrutura (framework) — o arcabouço organizacional que sustenta a gestão de riscos, girando em torno da liderança e comprometimento da alta administração: integração, concepção (design), implementação, avaliação (evaluation) e melhoria. Processo de gestão de riscos — a aplicação sistemática de políticas, procedimentos e práticas às atividades de comunicação e consulta; estabelecimento do escopo, contexto e critérios; identificação, análise, avaliação e tratamento de riscos; monitoramento e análise crítica; e registro e relato. A comunicação e consulta, bem como o monitoramento e a análise crítica, permeiam todas as demais etapas do processo (não são fases isoladas no início e no fim). A analogia costuma ajudar na prova: se o processo é a água que flui pelo encanamento, a estrutura é o próprio sistema de encanamento que sustenta esse fluxo, e os princípios são o fundamento que justifica por que o encanamento foi projetado daquela forma. Processo de gestão de riscos (etapas) Identificação — listar eventos potencialmente impactantes para os objetivos. Técnicas comuns: brainstorming, análise SWOT/FOFA, listas de verificação, entrevistas, workshops, técnica Delphi, Análise Preliminar de Perigos (APP). Análise — compreender a natureza, as causas e as fontes do risco identificado, podendo ser qualitativa (escalas descritivas), quantitativa (dados numéricos e estatísticos) ou semiquantitativa (combinação das duas). Técnicas: análise de causa raiz, técnica estruturada "E se" (SWIFT), análise Bow Tie. Avaliação — combinar probabilidade e impacto (por exemplo, em uma matriz 5x5) para determinar o nível de risco e priorizar quais devem ser tratados primeiro. É nessa etapa que o nível de risco é comparado ao apetite a risco da organização. Tratamento — escolher a resposta ao risco. O modelo mais cobrado em prova é o dos 4T: - Tolerar (aceitar o risco sem ação adicional, geralmente quando está dentro do apetite a risco); - Tratar (mitigar, reduzindo probabilidade e/ou impacto por meio de controles); - Transferir (compartilhar o risco com terceiros, por exemplo via seguro ou terceirização); - Terminar (eliminar a atividade geradora do risco). Alguns autores e frameworks (como o próprio COSO) trabalham com categorias equivalentes, mas nomeadas de outra forma — evitar, reduzir, compartilhar e aceitar —, de modo que a prova pode exigir que o candidato reconheça a correspondência entre as duas nomenclaturas. Monitoramento e análise crítica — acompanhar a evolução dos riscos identificados e a eficácia dos controles e das respostas adotadas, retroalimentando o processo. Comunicação e consulta — atividade transversal que atravessa todas as etapas anteriores, garantindo que informações sobre risco cheguem às partes interessadas e que suas percepções sejam consideradas. Apetite, tolerância e capacidade de risco Apetite a risco: quantidade e tipo de risco que a organização está disposta a assumir, em termos amplos, para alcançar seus objetivos. É definido pela alta administração e orienta as decisões estratégicas. Tolerância a risco: variação aceitável em relação ao alcance de um objetivo específico — é o apetite "traduzido" em limites operacionais mais concretos. Capacidade de risco: quantidade máxima de risco que a organização é capaz de suportar, em termos de recursos, antes que sua viabilidade ou continuidade seja comprometida. Na prática, o TCU trabalha com faixas de risco relacionadas ao apetite: um risco "muito além do apetite a risco" exige resposta imediata e comunicação à alta administração; um risco "além do apetite a risco" exige ação em prazo determinado; e um risco "dentro do apetite a risco" costuma demandar apenas monitoramento de rotina. Tipologia de riscos Estratégicos — afetam objetivos de longo prazo e a posição da organização perante seu ambiente; Operacionais — decorrentes de falhas em processos, pessoas ou sistemas; Financeiros — orçamentários, de mercado, de crédito e de liquidez; De conformidade (compliance) — descumprimento de normas, leis ou regulamentos; De imagem/reputação; Fiscais e legais; De integridade — fraude, corrupção, conflito de interesses; Cibernéticos — relacionados à segurança da informação e a ativos de tecnologia. O Modelo das Três Linhas (antiga "Três Linhas de Defesa") O modelo desenvolvido pelo The Institute of Internal Auditors* (IIA) para organizar papéis e responsabilidades em governança, gestão de riscos e controles internos foi originalmente batizado, em 2013, de Modelo das Três Linhas de Defesa. Em julho de 2020, o IIA publicou uma atualização substancial e retirou a palavra "defesa" do nome, passando a chamá-lo apenas de Modelo das Três Linhas — mudança que reflete uma visão mais estratégica e colaborativa (voltada à criação de valor, e não apenas à proteção contra perdas) e que costuma ser um detalhe explorado em prova. Estrutura do modelo atualizado: Primeira linha — gestão operacional: gerentes e equipes finalísticas que identificam, avaliam e tratam riscos no dia a dia da execução dos processos; Segunda linha — funções de gerenciamento de riscos e conformidade: apoiam a gestão de riscos por meio de expertise complementar, monitoramento e desafio (controles internos, integridade, gestão de riscos corporativos); Terceira linha — auditoria interna: fornece avaliação e assessoria independentes sobre a eficácia da governança e do gerenciamento de riscos, com objetividade e competência. Acima das três linhas está o órgão de governança (alta administração/conselho), a quem cabe a supervisão geral; fora da estrutura interna, atua a auditoria externa (no caso brasileiro, órgãos como o TCU e a CGU). A atualização de 2020 reforça que independência da terceira linha não significa isolamento: deve haver interação regular entre auditoria interna, gestão e demais linhas. Matriz de risco e mapa de calor Ferramenta visual amplamente usada na etapa de avaliação: no eixo X, a probabilidade de ocorrência do risco; no eixo Y, o impacto caso ele se concretize. As células da matriz são coloridas (tipicamente verde, amarelo e vermelho) para indicar o nível de risco resultante da combinação dos dois fatores, permitindo à organização priorizar o tratamento dos riscos críticos — aqueles de alto impacto combinado com alta probabilidade. Riscos x oportunidades Tanto a ISO 31000 quanto o COSO ERM reforçam que risco não é sinônimo apenas de ameaça: por decorrer do "efeito da incerteza sobre os objetivos", o risco pode ser positivo. Nesses casos, o tratamento adequado não é mitigar, mas aproveitar ou buscar deliberadamente o risco positivo (a oportunidade), investindo recursos para que o efeito favorável se concretize. Esse aspecto costuma ser negligenciado no estudo, mas é frequentemente cobrado em questões que tentam induzir o candidato a tratar risco como algo exclusivamente negativo. Para a prova — quadro-resumo Risco = efeito da incerteza sobre objetivos (ISO 31000); pode ser positivo ou negativo. Marcos brasileiros: IN Conjunta MP/CGU nº 1/2016 (controles internos, gestão de riscos e governança no Executivo federal), Decreto nº 9.203/2017 (política de governança pública — 6 princípios, diretrizes e o CIG), Decreto nº 11.529/2023 (Sitai — integridade + transparência + acesso à informação, não apenas integridade). COSO Controle Interno (1992/2013): 5 componentes. COSO ERM (2017): 5 componentes, 20 princípios — não confundir os dois modelos. ISO 31000:2018: 8 princípios, estrutura (liderança, integração, concepção, implementação, avaliação, melhoria) e processo (comunicação e consulta; escopo/contexto/critérios; identificação; análise; avaliação; tratamento; monitoramento e análise crítica; registro e relato). 4T: Tolerar, Tratar, Transferir, Terminar — equivalente, em outras nomenclaturas, a aceitar, reduzir, compartilhar e evitar. Modelo das Três Linhas (não mais "Três Linhas de Defesa" desde a atualização do IIA em 2020): gestão operacional → funções de risco/conformidade → auditoria interna, sob supervisão do órgão de governança. Apetite (quanto a organização topa arriscar) ≠ tolerância (variação aceitável por objetivo) ≠ capacidade (limite máximo suportável) de risco. Risco pode ser oportunidade: tratamento nem sempre é mitigação — pode ser aproveitamento deliberado do risco positivo. Exercícios: [COMPERVE 2025] Emily, gestora de qualidade de uma organização, utilizou o FMEA para a melhoria de um processo organizacional, cujo objetivo é minimizar as chances de ocorrência de uma falha. Para definir o “número de prioridade de risco” (RPN), Emily teve acesso às informações relativas [Avança SP 2025] Alguns métodos podem ser usados para incorporar à avaliação o risco associado à projeção dos valores. Assinale a alternativa que completa corretamente as lacunas do texto abaixo, que consiste na definição de um desses métodos. “A análise de _____________ consiste em avaliar as alterações nos resultados calculados, após alterações em uma determinada variável. Os resultados podem ser os gerados pelos métodos de avaliação (VPL, TIR, VUE etc.) e, normalmente, escolhe-se uma variável cujo comportamento seja incerto, podendo variar em relação ao valor esperado. Portanto, esse método quantifica a/o _____________ dos resultados do projeto em relação às mudanças em uma variável, mantendo as demais variáveis inalteradas.” De acordo com a ISO 31000, risco é definido como o efeito da incerteza sobre os objetivos. Qual das alternativas abaixo melhor caracteriza o conceito de risco? Qual das seguintes normativas brasileiras estabeleceu a primeira exigência formal de gestão de riscos nos órgãos do Poder Executivo Federal? No modelo COSO ERM (2017), quantos componentes e princípios são organizados para a gestão de riscos? No processo de gestão de riscos, qual das seguintes etapas é responsável por entender a natureza, causas e fontes do risco? Qual é a principal diferença entre apetite ao risco e tolerância ao risco, conforme definido no conteúdo da aula? No modelo das Três Linhas de Defesa, qual é a função da 2ª linha? O risco, sob a ótica do referencial normativo ISO 31000:2018, é conceituado como o efeito da incerteza sobre os objetivos, compreendendo o efeito como qualquer desvio em relação ao esperado, o qual pode se traduzir tanto em ameaças de natureza negativa quanto em oportunidades de natureza positiva. O Decreto nº 9.203/2017 estabelece formalmente que são princípios da governança pública a capacidade de resposta, a integridade, a confiabilidade, a melhoria regulatória, a prestação de contas e responsabilidade (accountability) e a tempestividade. Nos termos da Instrução Normativa Conjunta MP/CGU nº 1/2016, cabe ao dirigente máximo da organização a responsabilidade principal pelo estabelecimento da estratégia organizacional e da estrutura de gerenciamento de riscos, competindo à Controladoria-Geral da União (CGU) avaliar a política de gestão de riscos e a eficácia dos controles internos implementados. Na atualização efetuada em 2020 pelo Institute of Internal Auditors (IIA) no Modelo das Três Linhas, o termo 'defesa' foi intencionalmente removido para enfatizar uma abordagem focada na criação de valor e no alinhamento estratégico, mantendo-se a terceira linha como responsável por fornecer avaliação e assessoria independentes sobre a governança e a gestão de riscos. O Sistema de Integridade, Transparência e Acesso à Informação da Administração Pública Federal (Sitai), instituído pelo Decreto nº 11.529/2023, limitou-se a alterar a denominação do antigo Sistema de Integridade (SIPEF), mantendo sua atuação focada estritamente no monitoramento e prevenção de atos de corrupção e desvios éticos. O modelo COSO ERM (2017) estrutura a gestão de riscos corporativos em 5 componentes e 20 princípios focados na integração com a estratégia e o desempenho, diferindo da estrutura COSO de Controles Internos (1992/2013), que se organiza nos componentes de Ambiente de Controle, Avaliação de Riscos, Atividades de Controle, Informação e Comunicação, e Atividades de Monitoramento. No processo de gestão de riscos conforme a norma ABNT NBR ISO 31000:2018, as atividades de comunicação e consulta configuram uma etapa prévia e isolada que deve ser inteiramente concluída antes do início da fase de identificação dos riscos. No âmbito da governança e gestão de riscos, a tolerância a risco corresponde à quantidade máxima absoluta de risco que a organização consegue suportar antes do colapso de suas operações, ao passo que a capacidade de risco refere-se à variação aceitável na busca por objetivos específicos. O Decreto nº 9.203/2017 prevê expressamente que são mecanismos para o exercício da governança pública a liderança, a estratégia e o controle, definindo liderança como o conjunto de práticas de natureza humana ou comportamental exercidas nos principais cargos das organizações. Na etapa de tratamento de riscos, quando a análise identifica a presença de um risco, a única resposta tecnicamente válida consiste na mitigação de suas causas ou na eliminação da atividade, sendo incabível a adoção de estratégias de aceitação ou busca deliberada pelo risco, já que a gestão de riscos lida exclusivamente com ameaças.