DOMRO 14/09/2026 - Diario Oficial dos Municipios de Rondonia

TEXTO OFICIAL · ÍNTEGRA

objetivos estratégicos ou a execução dos macroprocessos e processos organizacionais.

§ 1º Consideram-se riscos estratégicos aqueles que impactam os objetivos institucionais e riscos de processos aqueles que impactam a execução das atividades organizacionais.

§ 2º A identificação dos riscos deverá observar as diretrizes da ABNT NBR ISO 31000:2018, contemplando a identificação das fontes de risco, áreas de impacto, eventos, causas e consequências potenciais, com a finalidade de gerar uma lista abrangente de riscos. Art. 9º A identificação dos riscos deverá ser estruturada com base no trinômio causa, evento e consequência. § 1º A causa corresponde à origem ou vulnerabilidade que possibilita a ocorrência do evento.

§ 2º O evento corresponde à ocorrência ou mudança em um conjunto de circunstâncias.

§ 3º A consequência corresponde ao efeito do evento sobre o alcance dos objetivos. Seção IV

Da Análise e Avaliação dos Riscos

Art. 10. A etapa de análise de riscos consiste no processo de compreensão da natureza dos riscos identificados e na determinação de seu nível, de modo a subsidiar sua avaliação e eventual tratamento. § 1º A análise de riscos será realizada com base na combinação entre a probabilidade de ocorrência do evento e o impacto de suas consequências sobre os objetivos da organização.

§ 2º O nível de risco será expresso pelo resultado da multiplicação entre a probabilidade e o impacto, sendo o risco igual à probabilidade multiplicada pelo impacto, em que o risco corresponde ao resultado obtido.

§ 3º O resultado da análise consistirá na atribuição de classificação a cada risco identificado, considerando separadamente os critérios de probabilidade e impacto.

Art. 11. A probabilidade do risco deverá ser mensurada com base na frequência observada ou esperada de ocorrência do evento, conforme os seguintes parâmetros:

I – peso 5: quando o evento for esperado na maioria das circunstâncias (≥ 90%);

II – peso 4: quando o evento provavelmente ocorrer na maioria das circunstâncias (≥ 50% e < 90%);

III – peso 3: quando o evento puder ocorrer em algum momento (≥ 30% e < 50%);

IV – peso 2: quando o evento puder ocorrer em circunstâncias eventuais (≥ 10% e < 30%); ou

V – peso 1: quando o evento puder ocorrer apenas em circunstâncias excepcionais (< 10%).

Art. 12. O impacto do risco corresponde à medida das consequências decorrentes da materialização do evento, devendo ser mensurado de acordo com o grau de efeito sobre o atingimento dos objetivos estratégicos ou sobre as ações de gestão da organização.

§ 1º A mensuração do impacto será realizada por meio da atribuição de pesos, conforme a intensidade dos efeitos produzidos pelo risco. § 2º Para os riscos estratégicos, os pesos de impacto serão definidos da seguinte forma:

I – peso 10: quando prejudicar totalmente o alcance dos objetivos estratégicos;

II – peso 7: quando prejudicar em mais de cinquenta por cento o alcance dos objetivos estratégicos;

III – peso 5: quando prejudicar parcialmente o alcance dos objetivos estratégicos;

IV – peso 3: quando não houver prejuízo imediato ao alcance dos objetivos estratégicos, mas a situação demandar ação gerencial para prevenir impactos negativos; ou

V – peso 1: quando não prejudicar o alcance dos objetivos estratégicos.

§ 3º Para os riscos de processos, os pesos de impacto serão definidos da seguinte forma:

I – peso 10: quando comprometer acentuadamente os objetivos do macroprocesso ou processo, afetando aspectos financeiros, prazos, imagem ou integridade;

II – peso 7: quando comprometer os objetivos do macroprocesso ou processo, afetando aspectos financeiros, prazos ou imagem;

III – peso 5: quando puder comprometer os objetivos do macroprocesso ou processo, afetando aspectos financeiros ou prazos;

IV – peso 3: quando apresentar baixo impacto sobre os objetivos do macroprocesso ou processo; ou

V – peso 1: quando o impacto for mínimo.

§ 4º No caso dos riscos de processos, deverá ser considerada a categoria predominante do impacto, podendo abranger, entre outros, os aspectos de integridade, operacional, imagem ou reputação, orçamentário ou financeiro, comunicação e conformidade legal. Art. 13. Para cada risco identificado, deverão ser atribuídos os pesos de probabilidade e impacto, com vistas à apuração do risco, entendido como o resultado da combinação entre a probabilidade de ocorrência do evento e o impacto de suas consequências.

§ 1º Após a determinação do valor do risco, deverá ser utilizada matriz de riscos para sua classificação qualitativa, com base nos níveis de severidade.

§ 2º Os riscos serão classificados quanto ao nível de severidade da seguinte forma:

I – extremo: quando o valor do risco for maior ou igual a 28; II – alto: quando o valor do risco for maior ou igual a 10 e menor que 28;

III – médio: quando o valor do risco for maior ou igual a 5 e menor que 10; ou

IV – baixo: quando o valor do risco for menor que 5.

§ 3º O nível de severidade poderá ser influenciado pelo percentual de tolerância ou pelo apetite a risco definido pela organização.

Art. 14. Os controles internos correspondem ao conjunto de políticas, normas, procedimentos e práticas adotados para mitigar riscos e assegurar o alcance dos objetivos organizacionais.

§ 1º Os controles classificam-se em:

I – preventivos, quando destinados a evitar a ocorrência de falhas, erros ou fraudes; ou

II – contingenciais, quando destinados a responder a eventos de risco ocorridos, visando minimizar impactos.

§ 2º A avaliação dos controles subsidiará a análise dos riscos, especialmente na definição de sua probabilidade e impacto.

§ 3º Os controles serão classificados nos níveis forte, satisfatório, mediano, fraco e inexistente.

Art. 15. A metodologia adotada considerará exclusivamente o risco residual, não sendo utilizado o conceito de risco inerente, entendido como aquele próprio da atividade ou do processo, independentemente da existência de controles.

Parágrafo único. A classificação dos riscos será realizada mediante a atribuição de pesos de probabilidade e impacto para todos os riscos identificados, por meio de reuniões periódicas com a Alta Administração, no caso de riscos estratégicos, e com os gestores dos macroprocessos ou processos, no caso de riscos de processos.

Art. 16. Com base no apetite a riscos previamente definido, a organização deverá identificar os riscos que poderão ser aceitos e aqueles que deverão ser tratados ou minimizados. Seção V

Do Tratamento dos Riscos

Art. 17. O tratamento de riscos consiste na seleção e implementação de medidas destinadas a modificar o nível de risco, mediante a redução de sua probabilidade ou impacto, bem como na elaboração de planos de ação que impliquem a criação, aprimoramento ou revisão de controles internos.

§ 1º O tratamento de riscos poderá adotar as seguintes estratégias: I – evitar o risco, decisão de não realizar determinada atividade, eliminando o risco;

II – aceitar o risco, assunção consciente do risco, sem adoção de medidas adicionais;

III – reduzir ou mitigar o risco, adoção de medidas para diminuir a probabilidade ou o impacto do risco; ou

IV– transferir o risco, compartilhamento do risco com terceiros.

§ 2º A escolha da estratégia deverá considerar o equilíbrio entre custos e benefícios, os esforços de implementação, a possibilidade de geração de novos riscos e a viabilidade econômica das medidas adotadas.

§ 3º Compete ao gestor identificar e selecionar as respostas aos riscos, de modo a reduzi-los a níveis aceitáveis, em conformidade com o apetite a riscos da organização.

Art. 18. O apetite a riscos orientará a definição das respostas e dos controles a serem adotados, sendo classificado nos seguintes níveis: I – baixo (conservador), quando se admitem apenas riscos de baixa magnitude;

www.diariomunicipal.com.br/arom 127