A ISO 31000 é a norma internacional de gestão de riscos, publicada pela Organização Internacional de Normalização (ISO). Ela fornece princípios, uma estrutura e um processo para identificar, analisar, avaliar e tratar riscos em qualquer tipo de organização, pública ou privada, de qualquer porte. No Brasil, é adotada pela ABNT como NBR ISO 31000; a versão em vigor, de 2018, substituiu a de 2009. A norma é uma diretriz, e não uma norma de requisitos: por isso, não é certificável, ou seja, uma organização não “obtém certificado ISO 31000”, embora possa alinhar seus processos a ela.
Os três pilares da norma
- Princípios: orientam o que torna a gestão de riscos eficaz, como integração às atividades da organização, estrutura baseada em melhores informações disponíveis, adaptação ao contexto, inclusão das partes interessadas, atenção ao fator humano e cultural e melhoria contínua. O propósito é a criação e a proteção de valor.
- Estrutura: descreve como a organização se prepara para gerir riscos: liderança e comprometimento, integração, concepção, implementação, avaliação e melhoria.
- Processo: o ciclo aplicado a cada atividade ou decisão: comunicação e consulta; escopo, contexto e critérios; avaliação de riscos (identificação, análise e avaliação); tratamento de riscos; monitoramento e análise crítica; e registro e relato.
Como usar na prefeitura
A norma pode servir de roteiro para elaborar a política de gestão de riscos, sem copiar sua terminologia à risca. Em um município, uma aplicação enxuta seguiria estes passos:
- A alta administração aprova a política e o apetite a risco.
- Define-se o escopo (por exemplo, o processo de contratações) e os critérios de avaliação (escalas de probabilidade e impacto).
- As equipes identificam, analisam e avaliam os riscos em oficinas, registrando-os em uma matriz de riscos.
- Definem-se as respostas, responsáveis e prazos.
- O monitoramento ocorre em ciclo regular, com relatórios para a liderança.
A norma não exige documentação extensa: o importante é que o processo exista, seja integrado à tomada de decisão e produza melhoria.
Um exemplo hipotético: uma secretaria de saúde usa o ciclo da ISO 31000 para tratar o risco de desabastecimento de medicamentos. Estabelece o contexto, identifica causas (atraso em compras, falhas de estoque), avalia, define respostas (calendário de compras, estoque de segurança, fornecedores alternativos), e monitora indicadores mensais.
ISO 31000 e COSO
Ambos são referenciais compatíveis. A COSO é mais ligada a controle interno e à integração com a estratégia, enquanto a ISO 31000 é genérica e aplicável a qualquer atividade. É comum que órgãos públicos usem a ISO 31000 como base do processo e o COSO como roteiro para avaliar os controles. Instrumentos federais de gestão de riscos, como orientações de órgãos de controle, costumam citar ambos como referências.
Erros comuns
- Tratar a norma como obrigação legal ou como certificação.
- Copiar a terminologia sem adequar à realidade do município, criando uma política que ninguém entende.
- Concentrar a gestão de riscos em um setor, sem integrar à rotina dos gestores.
- Fazer o mapeamento uma vez e não monitorar.
- Esquecer a comunicação e a consulta às partes interessadas.
