Gestão de riscos

A governance de risco estabelece as fundações do framework: política de risco, apetite ao risco (quanto risco a organização aceita voluntariamente) e capacidade de risco (o máximo de risco que a organização consegue suportar). Estes limites orientam todas as decisões de tratamento. Em sectores regulados, como banca (Basileia III/IV) ou infraestruturas críticas (NIS2, DORA), a governance de risco tem requisitos formais de reporte ao regulador.

Categorias de risco a cobrir

• Estratégico: mudanças de mercado, concorrência, decisões de liderança erradas
• Operacional: falhas de processos, sistemas ou pessoas, fornecedores críticos
• Financeiro: liquidez, crédito, câmbio, requisitos de capital (Basileia III/IV)
• Conformidade: RGPD, NIS2, DORA, ISO 27001, legislação laboral
• Tecnológico: cibersegurança, obsolescência, dependências de cloud
• Reputacional: percepção de clientes, media, partes interessadas

A identificação sistemática de riscos utiliza múltiplas técnicas para garantir cobertura abrangente. Risco inclui tanto ameaças (impacto negativo) como oportunidades (incerteza com impacto positivo). O output é uma lista estruturada que alimenta o registo de riscos.

Técnicas de identificação

• Brainstorming: sessões com equipas multidisciplinares para levantamento livre
• Análise SWOT: forças, fraquezas, oportunidades e ameaças organizacionais
• Análise PESTLE: factores políticos, económicos, sociais, tecnológicos, legais e ambientais
• Checklists: listas de riscos típicos do sector ou tipo de projecto
• Análise de cenários: simulação de situações adversas plausíveis
• Entrevistas com especialistas: recolha de experiência de quem conhece o processo

A análise determina a probabilidade e o impacto de cada risco; a avaliação compara o nível de risco resultante com os critérios de aceitação definidos na política. Existem duas abordagens complementares que podem ser utilizadas em conjunto.

Análise qualitativa vs. quantitativa

• Qualitativa: escalas de 1-5 para probabilidade e impacto, matriz de risco, rápida e intuitiva, adequada para a maioria dos contextos
• Quantitativa: modelos probabilísticos, valor esperado, simulação Monte Carlo, VaR (Value at Risk) para riscos financeiros, adequada para decisões de elevado impacto
• ISO 31000: recomenda uma abordagem proporcional ao contexto; para riscos de segurança da informação, a ISO 27005 fornece metodologia específica
• Risco inerente vs. residual: avaliar primeiro sem controlos (inerente), depois com controlos existentes (residual)

O tratamento selecciona e implementa a resposta mais adequada para cada risco que excede o apetite da organização. A estratégia escolhida depende do custo do tratamento face ao impacto esperado do risco.

Estratégias de tratamento com exemplos

• Mitigar: reduzir probabilidade ou impacto — ex. implementar MFA para reduzir risco de acesso indevido; contratos de fornecedores alternativos para reduzir dependência
• Transferir: passar o risco a terceiros — ex. seguro cibernético, SLA contratual com penalizações, outsourcing de actividades de risco elevado
• Aceitar: decisão consciente de não agir — ex. riscos baixos abaixo do limiar de apetite; riscos cujo custo de mitigação excede o impacto esperado
• Evitar: eliminar a actividade que gera o risco — ex. descontinuar produto não conforme com RGPD; abandonar projecto com perfil de risco inaceitável

Os process owners e service owners executam as acções definidas no plano de tratamento. O risco residual — o risco que permanece após a aplicação dos controlos — deve ser documentado e aceite formalmente pela gestão. Quando o risco residual ainda excede o apetite, são necessários controlos adicionais ou escalação para decisão de gestão de topo.

Passos chave

• Implementar os controlos técnicos, processuais e organizacionais definidos
• Testar a eficácia dos controlos implementados
• Documentar o risco residual após aplicação dos controlos
• Obter aceitação formal do risco residual pelos responsáveis
• Actualizar o registo de riscos com o estado de implementação

Os Key Risk Indicators (KRIs) são métricas que sinalizam antecipadamente o aumento de exposição a um risco, permitindo agir antes que o risco se materialize. Diferem dos KPIs porque medem o potencial de um evento adverso, não o desempenho actual. Um bom KRI é mensurável, correlacionado com o risco que monitoriza e disponível com frequência suficiente para ser accionável.

Exemplos de KRIs por categoria

• Tecnológico: número de vulnerabilidades críticas não corrigidas, tempo médio de patching, incidentes de segurança por mês
• Operacional: taxa de erro em processos críticos, número de excepções de controlo, rotatividade de pessoal-chave
• Fornecedores: percentagem de fornecedores críticos sem avaliação de risco actualizada, SLA de fornecedores abaixo do limiar
• Conformidade: número de não conformidades em auditorias, prazo para resposta a pedidos RGPD, desvios a políticas internas
• Financeiro: rácio de liquidez, exposição a contraparte, concentração de receita por cliente

O registo de riscos deve ser revisto periodicamente para garantir que reflecte o contexto actual da organização. Riscos podem mudar de classificação, novos riscos emergem (ex. novas ameaças de cibersegurança, alterações regulamentares como a entrada em vigor da DORA em Janeiro 2025) e riscos tratados podem precisar de reavaliação. A revisão é também obrigatória após incidentes significativos.

Passos chave

• Rever todos os riscos no registo e actualizar probabilidade e impacto
• Identificar novos riscos emergentes desde a última revisão
• Verificar se os controlos implementados mantêm a eficácia
• Incorporar lições aprendidas de incidentes e quase-acidentes
• Validar alinhamento com alterações regulamentares (NIS2, DORA, RGPD, Basileia)

O reporting regular sobre o estado do risco é essencial para que a gestão de topo tome decisões informadas. Em organizações reguladas, o reporting ao regulador é obrigatório (ex. DORA exige reporte de incidentes de risco operacional ao regulador no prazo definido; NIS2 exige notificação de incidentes significativos).

Passos chave

• Consolidar o estado do registo de riscos para o período de reporte
• Destacar riscos novos, em escalada ou com violação do apetite
• Apresentar KRIs com tendência e comparação face a períodos anteriores
• Resumir o estado de implementação do plano de tratamento
• Submeter reporting regulatório dentro dos prazos aplicáveis (DORA, NIS2)

O framework de gestão de riscos é ele próprio sujeito a melhoria contínua. A ISO 31000 recomenda que a organização avalie periodicamente a adequação do framework ao contexto, incorpore aprendizagens e adapte metodologias. A maturidade do processo de gestão de riscos pode ser avaliada através de modelos de maturidade específicos.

Passos chave

• Avaliar a eficácia do framework com base em resultados e feedback
• Incorporar lições aprendidas de incidentes materializados
• Rever metodologias e ferramentas à luz de melhores práticas do sector
• Actualizar formação e consciencialização das equipas sobre gestão de riscos
• Alinhar o framework com novos requisitos regulamentares ou normativos