Fluxo do Mapeamento de Riscos
O Fluxo do Mapeamento de Riscos, conforme a Política de Gestão de Riscos e Controles Internos do IFFluminense, está estabelecido pela Resolução 42, de 21 de dezembro de 2018:
“Art. 21. A metodologia de gestão de riscos do IFFluminense compreenderá as seguintes fases:
I – Estabelecimento do Contexto;
II - Identificação de Eventos;
III – Avaliação de Riscos;
IV - Resposta a Riscos;
V - Comunicação e Consulta; e
VI - Monitoramento.
§1º O Estabelecimento do Contexto é um processo de descrição dos parâmetros internos e externos da organização quanto à Gestão de Riscos, além da identificação dos objetivos estratégicos, táticos e operacionais dos processos de trabalho em conformidade com o PDI e com o Regimento Interno do IFFluminense.”
Nesta etapa, o Núcleo de Gestão de Riscos (NUGER) atualiza e adapta as metodologias e formas de condução dos trabalhos às ações e objetivos estratégicos; mudanças e exigências do ambiente externo; novos conceitos e melhorias percebidas em trabalhos passados; sempre alinhando às normativas dos órgãos de controle externo. Após essa análise são definidos os processos que terão seus riscos mapeados para o período, realizando em seguida a comunicação por meios específicos a todos os envolvidos e interessados na Gestão de Riscos para início dos trabalhos.
Imagem 1: Estabelecimento do Contexto
(clique na imagem para ampliar)
“§2º A Identificação de Riscos é o processo de identificação dos eventos que podem afetar negativamente os objetivos estratégicos, táticos e operacionais dos processos de trabalho.”
Após definida a etapa anterior, o NUGER se reúne com cada gestor do respectivo processo e realiza uma apresentação das definições e metodologias de trabalho aos Gestores dos Processos para que, juntamento com suas equipes, eles possam identificar os riscos, suas causas e consequências para os envolvidos e/ou IFF. Caso necessite, o gestor pode solicitar apoio ao Núcleo na condução desta etapa.
Imagem 2: Identificação de Eventos
(clique na imagem para ampliar)
“§3º A Avaliação de Riscos é o processo de mensuração dos riscos identificados em termos de impacto e probabilidade de ocorrência, resultando em uma classificação do nível de risco representada em uma matriz. Para a avaliação da relevância do impacto nos processos da instituição, foram adotados os subcritérios: reputação, conformidade, orçamento, integridade, estratégia e operacional.”
Esta etapa consiste em avaliar o (s) nível (eis) de impacto e probabilidade do (s) risco (s). O impacto é dividido em subcritérios (reputação, conformidade, orçamento, integridade, estratégico e operacional), já a probabilidade é única para o evento e ambos são pontuados em uma escala de 0 (sem impacto/probabilidade) a 5 (nível mais crítico considerado). Neste momento, toda análise é realizada desconsiderando qualquer controle existente, ou seja, verifica-se o nível de risco inerente. O NUGER participa deste momento apoiando e armazenando as informações coletadas.
Imagem 3: Avaliação de Riscos
(clique na imagem para ampliar)
“§ 4º A Resposta aos Riscos consiste em ações com objetivo de adequar os controles internos aos níveis de riscos previamente avaliados. Em atendimento ao inciso II do Art. 6º, o IFFluminense adotará como apetite a riscos àqueles que, após a etapa de avaliação, apresentarem nível de risco baixo ou moderado. Para os riscos de nível alto e crítico obrigatoriamente deverão ser implantados ou aprimorados controles para sua mitigação.”
Ao obter o nível de risco da etapa anterior, inicia-se a coleta de informações dos controles existentes para, em seguida, verificar sua eficácia. Esta análise baseia-se em verificar se o controle é corretivo (atuando nos efeitos do impacto - consequência) ou preventivo (atuando na probabilidade de ocorrência – causa). Ao realizar esta ponderação, a planilha indicará o novo nível de risco (residual), caso seja considerado Pequeno ou Moderado. Não há necessidade de novos controles, mas se mantiver em Alto ou Crítico, o Gestor do Processo deve definir novos controles ou aprimoramento dos existentes. Ao defini-los e informar os prazos para conclusão, o Núcleo registra para posterior monitoramento e recomeça esta etapa caso exista outro risco a ser analisado.
Imagem 4: Resposta a Riscos
(clique na imagem para ampliar)
“§7º A atividade de Comunicação e Consulta se refere ao fluxo de informações que deve abranger as partes interessadas, tanta interna quanto externamente, durante todas as fases do processo de gestão de riscos, de maneira a proporcionar a exata compreensão dos fundamentos das decisões e as razões pelas quais ações específicas são requeridas.”
Finalizada a etapa anterior, o NUGER consolida as informações e gera os documentos necessários para dar conhecimento aos interessados e envolvidos conforme a seguir:
- a Unidade Central de Gestão de Riscos e Integridade (UGRI) referente aos riscos a integridade identificados;
- ao Comitê Interno de Governança para ciência dos trabalhos realizados;
- aos Gestores de Riscos para garantir a implementação das ações propostas para controle dos riscos;
- aos Gestores e servidores vinculados aos processos mapeados, para ciência dos riscos e controles que devem ser executados;
- aos Gestores de Área para monitoramento das ações propostas; e
- a comunidade externa, garantindo transparência e conformidade das ações do IFF com as normativas e obrigações legais.
Imagem 5: Comunicação e Consulta
(clique na imagem para ampliar)
“§8º A atividade de Monitoramento consiste no acompanhamento regular de todas as atividades do processo de gestão de riscos e identificação de oportunidades de melhoria deste processo.”
Realizadas todas a etapas anteriores, os Gestores de Área no final de cada quadrimestre verificam na planilha de monitoramento se há alguma ação que estava prevista para o período. Caso não tenha nenhuma ação, ele registra na planilha que a análise foi realizada com informação dada. Havendo ação no período, ele deve notificar o respectivo Gestor de Risco para obter posicionamento quanto ao status da ação, que deverá retornar no prazo de 10 dias úteis com a informação da data de início da ação ou justificativa caso não tenha sido inciada.
Quando se tratar de risco avaliado como Crítico, a pendência sem justificativa aceitável será enviada diretamente ao Comitê Interno de Governança para ciência e providências cabíveis. Quando se tratar de risco avaliado como Alto, o Gestor de Risco receberá um notificação que será arquivada para posterior apresentação ao Comitê. No mês de outubro, o NUGER reunirá todas as informações geradas no decorrer do ano para prestação de contas ao Comitê em reunião. Todas as deliberações, melhorias e novas informações serão armazenadas para nortear os trabalhos futuros.
Imagem 6: Monitoramento
(clique na imagem para ampliar)