DOE 09/02/2021 - Diário Oficial do Estado do Ceará

                            requerido ou esperado para determinar a adequação, suficiência e eficácia da gestão de riscos; e
VIII – registro e relato: atividades referentes ao registro documental e relato das atividades por meio de mecanismos apropriados para fornecer 
informações para tomada de decisão.
Esta metodologia é orientada a processo organizacional e obedece a um modelo de aplicação descentralizado. Com isso, as áreas de atuação operacional 
podem executar o gerenciamento de riscos em processos sob sua responsabilidade, desde que obedecidas as diretrizes e orientações apresentadas neste 
documento. O resultado desse processo deve ser informado à área de atuação tática do órgão ou entidade, que o reportará à área de atuação estratégica. 
1. SELEÇÃO DO PROCESSO ORGANIZACIONAL
Nesta primeira etapa, os gestores das áreas dos órgãos e entidades deverão:
• Selecionar os processos organizacionais que serão objeto do processo de gerenciamento de riscos, de acordo com o estabelecido no §2º, do art. 6º, do 
Decreto nº 33.805, de 09 de novembro de 2020, que estabelece a Política de Gestão de Riscos - PGR (preferencialmente os processos organizacionais mais 
críticos); e
• Identificar os responsáveis por cada processo organizacional selecionado, com auxílio da área de atuação tática. 
O responsável pelo processo organizacional será responsável pelo seu gerenciamento de riscos e implementará as respostas aos riscos e as medidas de 
tratamento e controle definidas para o processo organizacional sob sua responsabilidade.
2. ENTENDIMENTO DO CONTEXTO
O processo organizacional e seus objetivos são analisados à luz de seus ambientes interno e externo.
Nesta etapa, a área de atuação operacional, auxiliada pela área de atuação tática, deverá identificar, pelo menos:
• Descrição resumida do processo organizacional. A descrição é um breve relato sobre o processo que permite compreender o seu fluxo, a relação entre os 
atores envolvidos e os resultados esperados;
• Área responsável pelo processo organizacional;
• Ciclo médio do processo organizacional (em dias);
• Sistemas tecnológicos que apóiam o processo organizacional;
• Partes interessadas no processo organizacional, podendo ser internas ou externas;
• Fluxo (mapa) do processo organizacional;
• Objetivos do processo organizacional. É importante apontar quais objetivos são alcançados pelo processo organizacional. Se possível, devem ser indi-
cados o objetivo geral e os objetivos específicos do processo, considerando perspectivas estratégicas, temporais, relacionais, financeiras, orçamentárias, 
metas, entre outras. Para identificação dos objetivos, pode-se buscar responder à questão “O que deve ser atingido nas diversas dimensões para se concluir 
que o processo ocorreu com sucesso?”;
• Relação de objetivos estratégicos da organização alcançados pelo processo;
• Justificativa para o gerenciamento de riscos no processo organizacional. Apresentar os motivos que levaram a implementar o gerenciamento de riscos 
no processo organizacional. A criticidade do processo organizacional que impacta diretamente no atingimento dos objetivos estratégicos pode ser uma das 
justificativas para gerenciá-lo;
• Leis e regulamentos relacionados ao processo organizacional;
• Informações sobre o contexto externo do processo organizacional, considerando cenário atual ou futuro, oportunidades e ameaças relacionadas, percep-
ções das partes interessadas externas e outros fatos relevantes;
• Informações sobre o contexto interno do processo organizacional, considerando políticas, objetivos, diretrizes e estratégias que o impactam, forças e 
fraquezas relacionadas, percepções das partes interessadas internas, principais ocorrências de problemas e outros fatos relevantes;
• Periodicidade máxima do ciclo do processo de gerenciamento de riscos (inciso V do art. 10, do Decreto nº 33.805, de 09 de novembro de 2020, que esta-
belece a Política de Gestão de Riscos - PGR). A área deve propor qual o prazo necessário para a realização de novo processo de gerenciamento de riscos 
no processo organizacional. O ciclo de revisão do processo de gerenciamento de riscos de processos organizacionais deve ocorrer entre 1 e 2 anos;
• Apetite a risco da área para o processo organizacional, caso seja diferente do proposto neste documento (quadro 6). O apetite a risco é o nível de risco 
que uma organização está disposta a aceitar.
3. IDENTIFICAÇÃO DE RISCOS
Considerando o resultado da etapa de Entendimento do Contexto, o fluxo do processo organizacional, e a partir de sua experiência, a área de atuação 
operacional, com auxílio da área de atuação tática, deve construir uma lista abrangente de eventos que podem evitar, atrasar, prejudicar ou impedir o 
cumprimento dos objetivos do processo organizacional ou das suas etapas críticas (eventos de risco ou riscos). 
Os riscos podem ser identificados a partir de perguntas, como:
• Quais eventos podem EVITAR o atingimento de um ou mais objetivos do processo organizacional?
• Quais eventos podem ATRASAR o atingimento de um ou mais objetivos do processo organizacional?
• Quais eventos podem PREJUDICAR o atingimento de um ou mais objetivos do processo organizacional?
• Quais eventos podem IMPEDIR o atingimento de um ou mais objetivos do processo organizacional?
Os eventos identificados inicialmente podem ser analisados e revisados, reorganizados, reformulados e até eliminados nesta etapa, e, para tanto, podem ser 
utilizadas as seguintes questões:
• O evento é um risco que pode comprometer claramente um objetivo do processo organizacional?
• O evento é um risco ou uma falha no desenho do processo organizacional?
• À luz dos objetivos do processo organizacional, o evento identificado é um risco ou uma causa para um risco?
• O evento é um risco ou uma fragilidade em um controle para tratar um risco do processo organizacional?
4. ANÁLISE DE RISCOS 
A análise de riscos visa a promover o entendimento do nível de risco e de sua natureza, identificar suas possíveis causas e consequências e os controles 
existentes para prevenir sua ocorrência e diminuir o impacto de suas consequências. 
Para eventos identificados como riscos do processo organizacional (tópico 3), a área de atuação operacional, com auxílio da área de atuação tática, deve 
indicar:
• Etapa e objetivo do processo organizacional que são impactados pelo risco;
• Categoria do risco, dentre as definidas para o órgão ou entidade: 
• Operacional: eventos que podem comprometer as atividades do órgão ou entidade, normalmente associados a falhas, deficiências ou inadequação de 
processos internos, pessoas, infraestrutura e sistemas;
• Legal: eventos derivados de alterações legislativas ou normativas que podem comprometer as atividades do órgão ou entidade;
• Financeiro/orçamentário: eventos que podem comprometer a capacidade do órgão ou entidade de contar com os recursos orçamentários e financeiros 
necessários à realização de suas atividades, ou eventos que possam comprometer a própria execução orçamentária, como atrasos no cronograma de licita-
ções;
• Integridade: eventos relacionados à corrupção, fraudes, irregularidades e/ou desvios éticos e de conduta que podem comprometer os valores e padrões 
preconizados pelo órgão ou entidade e a realização de seus objetivos.
• Causas do risco: motivos que podem promover a ocorrência do risco;
• Consequências do risco: resultados provocados pelo risco que afetam os objetivos do processo organizacional;
• Controles preventivos: controles existentes e que atuam sobre as possíveis causas do risco, com o objetivo de prevenir a sua ocorrência. Exemplos de 
controles preventivos: requisitos/checklist definidos para o processo e capacitação dos servidores envolvidos no processo organizacional;
• Controles de atenuação e recuperação: controles existentes executados após a ocorrência do risco com o intuito de diminuir o impacto de suas consequ-
ências. Exemplos de controles de atenuação e recuperação: plano de contingência; tomada de contas especial; procedimento apuratório.
NOTA 01: Análise de riscos
A análise de riscos pode ser realizada em diversos momentos, tais como no início de um novo projeto como parte da gestão contínua, ou como um estudo 
do que pode ocorrer após os riscos terem sido tratados. Normalmente, a análise verifica e compara o nível atual de riscos com os controles existentes.
O Apêndice I deste documento traz o modelo de planilha para o registro de informações produzidas na etapa de Identificação e Análise do Risco (colunas 
1 a 8).
5. AVALIAÇÃO DE RISCOS
Nesta etapa, a área de atuação operacional, com auxílio da área de atuação tática, e a área de atuação estratégica deverão:
64
DIÁRIO OFICIAL DO ESTADO  |  SÉRIE 3  |  ANO XIII Nº033  | FORTALEZA, 09 DE FEVEREIRO DE 2021