Gestão de riscos: o que é

A gestão de riscos é o processo contínuo de identificar, avaliar e tratar eventos incertos que possam afetar o alcance dos objetivos de uma organização, para dar segurança razoável de que as metas serão cumpridas. Risco, nesse contexto, não é apenas ameaça: é a possibilidade de um evento afetar os objetivos, e é medido pela combinação de probabilidade e impacto. Gerir riscos é antecipar o problema, decidir o que fazer a respeito e acompanhar o resultado.

Base normativa

O Decreto nº 9.203/2017 define gestão de riscos como processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar e gerenciar potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos, e determina que a alta administração mantenha e aprimore sistema de gestão de riscos e controles internos. A Lei nº 14.133/2021 coloca a gestão de riscos no centro das contratações: o parágrafo único do art. 11 atribui à alta administração a responsabilidade pela governança das contratações, com processos e estruturas de gestão de riscos e controles internos, e o art. 169 estabelece que as contratações públicas se submetam a práticas contínuas e permanentes de gestão de riscos e de controle preventivo, inclusive com recursos de tecnologia da informação, e organiza o controle em três linhas de defesa (veja Modelo das Três Linhas). Municípios aplicam a lei federal de licitações e podem, além disso, instituir sua política por decreto.

Para que serve

Antecipar problemas e evitar surpresas e prejuízos.
Priorizar o uso de recursos limitados de controle nas áreas de maior exposição.
Apoiar o planejamento das contratações e a elaboração da matriz de alocação de riscos.
Melhorar a tomada de decisão, ao tornar explícitas as incertezas.
Demonstrar aos órgãos de controle que a administração age de forma preventiva.

Etapas do processo

Definir o contexto e os objetivos. Só é possível falar em risco em relação a um objetivo, como entregar um serviço no prazo ou executar uma obra no orçamento.
Identificar os riscos. Em oficinas com as equipes, listar eventos que podem impedir o objetivo, com suas causas e consequências.
Analisar e avaliar. Estimar probabilidade e impacto de cada risco e classificá-lo, em geral em uma matriz de riscos.
Comparar com o apetite. Verificar se o nível do risco está dentro do apetite a risco definido pela liderança.
Tratar. Escolher a resposta: evitar a atividade, reduzir (com controles), compartilhar (por seguro, contrato ou parceria) ou aceitar o risco, com justificativa.
Monitorar e comunicar. Acompanhar indicadores, revisar o mapa periodicamente e reportar à alta administração.

Um exemplo hipotético: uma secretaria de obras identifica o risco de paralisação de uma obra por falta de fiscalização adequada. Probabilidade e impacto são classificados como altos. A resposta é reduzir o risco, designando fiscais capacitados, criando checklist de medição e definindo reunião quinzenal de acompanhamento. O responsável pelo risco informa mensalmente se os controles estão funcionando.

Padrões e referências

Normas como a ISO 31000 e o referencial COSO ERM (veja ISO 31000 e COSO) oferecem princípios e processos que podem ser adaptados ao tamanho da prefeitura. O TCU também publica material de orientação sobre gestão de riscos. A metodologia deve ser proporcional: um município pequeno pode começar com uma planilha e dois ou três processos críticos.

Gestão de riscos e controles internos

Os riscos identificados geram a necessidade de controles; os controles, por sua vez, reduzem a probabilidade ou o impacto. Por isso, as duas atividades são complementares (veja controles internos). A gestão de riscos responde à pergunta “o que pode dar errado?”, e os controles, à pergunta “o que fazemos para evitar ou detectar?”.

Erros comuns

Tratar a gestão de riscos como planilha preenchida uma única vez.
Listar riscos genéricos, sem relação com objetivos.
Não nomear responsável por cada risco e por cada ação de tratamento.
Ignorar o apetite a risco definido pela liderança.
Confundir risco (algo que pode acontecer) com problema (algo que já aconteceu).
Não envolver a alta administração, o que enfraquece a priorização.

Papéis na gestão de riscos

Para que a gestão de riscos funcione, os papéis precisam estar claros. A alta administração define a política e o apetite, e cobra resultados. Os gestores dos processos são donos dos riscos: identificam, avaliam e tratam os riscos de suas áreas. A unidade de controle interno ou de riscos oferece método, consolida os mapas e monitora. A auditoria interna avalia de forma independente se o sistema funciona. Essa divisão se inspira no Modelo das Três Linhas, e a Lei nº 14.133/2021 adotou, para as contratações, organização semelhante em linhas de defesa (art. 169).

Indicadores de maturidade

Algumas perguntas ajudam a medir a maturidade: existe política aprovada e conhecida? Os riscos dos processos críticos estão mapeados e atualizados? Cada risco tem dono, resposta e prazo? A alta administração recebe relatórios periódicos? Os riscos efetivamente ocorridos são analisados para aprender e corrigir o mapa? Quanto mais respostas positivas, mais madura a gestão de riscos. O avanço deve ser gradual: é melhor ter dois processos bem gerenciados que vinte mapas abandonados.

Perguntas frequentes sobre Gestão de riscos

O que é gestão de riscos?

É o processo contínuo de identificar, avaliar e tratar eventos que possam afetar o alcance dos objetivos da organização, para dar segurança razoável de que as metas serão cumpridas. É conduzido sob direção da alta administração e envolve probabilidade, impacto, resposta e monitoramento.

A gestão de riscos é obrigatória nas contratações?

A Lei nº 14.133/2021 determina, no art. 169, que as contratações públicas se submetam a práticas contínuas e permanentes de gestão de riscos e controle preventivo, e o art. 11, parágrafo único, atribui à alta administração a governança das contratações, com processos de gestão de riscos e controles internos.

Quais são as respostas possíveis a um risco?

As quatro mais usadas são evitar o risco, deixando de realizar a atividade; reduzir, com controles que diminuam probabilidade ou impacto; compartilhar, por meio de seguro, contrato ou parceria; e aceitar, quando o risco está dentro do apetite da organização, com justificativa registrada.

Qual a diferença entre risco e problema?

Risco é um evento incerto que pode afetar os objetivos no futuro, medido por probabilidade e impacto. Problema é algo que já aconteceu e precisa ser resolvido. A gestão de riscos busca justamente tratar a possibilidade antes que ela se torne problema.

Como um município pequeno começa a gerir riscos?

Escolhendo um processo crítico, como as contratações, e fazendo uma oficina com as equipes para listar riscos e classificá-los em uma matriz simples. Em seguida, define respostas, responsáveis e prazos, e revisa o mapa periodicamente. A metodologia pode crescer aos poucos.