Aparência
Gestão de riscos e International Organization for Standardization (ISO) 31000
Matéria: Governança, Riscos e Auditoria
Voltar ao índice da matéria.
Risco e objetivos
ISO 31000 trata risco como efeito da incerteza nos objetivos. Efeito pode ser negativo ou positivo e é desvio do esperado. Sem objetivo, contexto e horizonte, “risco de sistema” é vago. Uma formulação útil combina causa, evento incerto e consequência: “devido à fonte única, pode ocorrer atraso do componente, interrompendo produção”.
Risco inerente é exposição antes de respostas; residual permanece depois. Risco emergente está se formando; problema já ocorrido é issue e requer resposta, embora gere riscos secundários.
Princípios e estrutura
A gestão deve ser integrada, estruturada, personalizada, inclusiva, dinâmica, baseada na melhor informação e considerar fatores humanos/culturais, promovendo melhoria. Liderança integra riscos à governança, estratégia, recursos e decisão.
A estrutura articula liderança e comprometimento, integração, concepção, implementação, avaliação e melhoria. Uma área central facilita o método; responsáveis pelos objetivos e riscos participam das decisões e do tratamento. Criar um comitê não transfere automaticamente a responsabilidade de quem conduz a atividade.
Processo
Comunicação e consulta percorrem todo o processo. Escopo, contexto e critérios definem a unidade analisada, as partes envolvidas, as tolerâncias e as escalas. A identificação pergunta o que pode ocorrer e por quê; a análise estima consequências, probabilidade, velocidade, duração, interdependência e efetividade dos controles; a avaliação compara essa exposição com os critérios para decidir prioridades. Assim, identificar, analisar e avaliar são etapas relacionadas, mas não equivalentes.
O tratamento pode evitar o risco, assumir ou aumentar a exposição para aproveitar oportunidade, remover uma causa, alterar probabilidade ou consequência, compartilhar ou reter. Se um serviço crítico depende de uma única conexão, alternativas incluem segundo fornecedor com rota independente, contrato de recuperação, procedimento manual e testes periódicos. Cada ação precisa de responsável, recurso, prazo e indicador. O risco que permanece depois dessas respostas é o residual e deve ser comparado ao apetite aprovado.
Apetite e tolerância
Apetite é o tipo e a quantidade de risco que a organização aceita perseguir ou reter; tolerância traduz essa orientação em limites de variação aceitável de um objetivo. Uma meta de disponibilidade mensal de 99,9% não define, sozinha, todo o apetite: também são necessários critérios sobre interrupções, segurança, obrigações e impactos.
Em um mês de 30 dias, considerado serviço contínuo e sem exclusões, há 30 × 24 × 60 = 43.200 minutos. Indisponibilidade de 0,1% corresponde a 43,2 minutos. Uma única interrupção dessa duração e várias interrupções curtas podem afetar usuários de maneiras diferentes. A decisão sobre uma segunda conexão compara essas consequências e a independência das rotas, além do custo. Aceitar risco exige autoridade e registro e não autoriza descumprir obrigações legais ou limites de segurança.
Limitações
Escalas qualitativas não são probabilidades precisas. Multiplicar categorias ordinais pode criar falsa matemática. Riscos correlacionados não devem ser somados como independentes. O objetivo não é preencher registro, mas melhorar escolha, alocação e resiliência.
O monitoramento observa mudanças nas causas, falhas reais, indicadores e efetividade dos controles. Registrar uma cor na matriz não encerra o processo: a informação de risco precisa alterar prioridade, investimento, contingência ou aceitação. A ISO 31000 orienta princípios, estrutura e processo, mas não é uma norma de certificação de sistema de gestão.