Norma ISO 31000-2018 ― Gestão de riscos
Livro de Sistema de Normalização ISO, do curso de Engenharia Química no Instituto Superior Politécnico de Tecnologias e Ciências (ISPTEC), .
Norma ISO 31000-2018 - Gestão de riscos ― Diretrizes
Primeiras linhas de Norma ISO 31000-2018 ― Gestão de riscos
NORMA ABNT NBR BRASILEIRA ISO 31000 ediçãoSegunda 28.03.2018 Gestão de riscos ― Diretrizes Risk management ― Guidelines ICS 03.100.01 ISBN 978-85-07-07470-0 Número de referência ABNT NBR ISO 31000:2018 17 páginas Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018) © ABNT 2018© ISO 2018 - Veteraano ABNT NBR ISO 31000:2018 © ISO 2018 Todos os direitos reservados. A…
Texto lido do PDF (23 páginas, cerca de 6662 palavras). O ficheiro completo, com as imagens e a formatação original, lê-se no site depois de desbloquear.
- Tipo
- Livro
- Cadeira
- Sistema de Normalização ISO
- Curso
- Engenharia Química
- Universidade
- Instituto Superior Politécnico de Tecnologias e Ciências
- Ficheiro
- PDF, 23 páginas
- Desbloqueado
- 0 vezes
Cria conta grátis para desbloquear este material e ler todas as páginas.
ABNT NBR ISO 31000:2018PáginaSumárioPrefácio Nacional................................................................................................................................vIntrodução...........................................................................................................................................vi1 Escopo................................................................................................................................12 Referências normativas.....................................................................................................13 Termos e definições...........................................................................................................14 Princípios............................................................................................................................25 Estrutura.............................................................................................................................45.1 Generalidades.....................................................................................................................45.2 Liderança e comprometimento.........................................................................................55.3 Integração...........................................................................................................................65.4 Concepção..........................................................................................................................65.4.1 Entendendo a organização e seu contexto.....................................................................65.4.2 Articulando o comprometimento com a gestão de riscos.............................................75.4.3 Atribuindo papéis organizacionais, autoridades, responsabilidades eresponsabilizações............................................................................................................75.4.4 Alocando recursos.............................................................................................................75.4.5 Estabelecendo comunicação e consulta.........................................................................85.5 Implementação...................................................................................................................85.6 Avaliação.............................................................................................................................85.7 Melhoria...............................................................................................................................95.7.1 Adaptação...........................................................................................................................95.7.2 Melhoria contínua...............................................................................................................96 Processo.............................................................................................................................96.1 Generalidades.....................................................................................................................96.2 Comunicação e consulta.................................................................................................106.3 Escopo, contexto e critérios...........................................................................................106.3.1 Generalidades...................................................................................................................106.3.2 Definindo o escopo..........................................................................................................106.3.3 Contextos externo e interno............................................................................................116.3.4 Definindo critérios de risco.............................................................................................116.4 Processo de avaliação de riscos....................................................................................126.4.1 Generalidades...................................................................................................................126.4.2 Identificação de riscos.....................................................................................................126.4.3 Análise de riscos..............................................................................................................136.4.4 Avaliação de riscos..........................................................................................................136.5 Tratamento de riscos.......................................................................................................146.5.1 Generalidades...................................................................................................................146.5.2 Seleção de opções de tratamento de riscos.................................................................146.5.3 Preparando e implementando planos de tratamento de riscos...................................156.6 Monitoramento e análise crítica......................................................................................166.7 Registro e relato...............................................................................................................16Bibliografia.........................................................................................................................................17Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados iiiVeteraano
ABNT NBR ISO 31000:2018FigurasFigura 1 – Princípios, estrutura e processo.....................................................................................vi...........................................................................................................................3Figura 2 – PrincípiosFigura 3 – Estrutura.............................................................................................................................4............................................................................................................................9Figura 4 – ProcessoExemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservadosivVeteraano
ABNT NBR ISO 31000:2018Prefácio NacionalA Associação Brasileira de Normas Técnicas (ABNT) é o Foro Nacional de Normalização.As Normas Brasileiras, cujo conteúdo é de responsabilidade dos Comitês Brasileiros (ABNT/CB),dos Organismos de Normalização Setorial (ABNT/ONS) e das Comissões de Estudo Especiais(ABNT/CEE), são elaboradas por Comissões de Estudo (CE), formadas pelas partes interessadasno tema objeto da normalização.Os Documentos Técnicos Internacionais são adotados conforme as regras da ABNT Diretiva 3.A ABNT chama a atenção para que, apesar de ter sido solicitada manifestação sobre eventuaisdireitos de patentes durante a Consulta Nacional, estes podem ocorrer e devem ser comunicadosà ABNT a qualquer momento (Lei nº 9.279, de 14 de maio de 1996).Ressalta-se que Normas Brasileiras podem ser objeto de citação em Regulamentos Técnicos.Nestes casos, os órgãos responsáveis pelos Regulamentos Técnicos podem determinar outras dataspara exigência dos requisitos desta Norma.A ABNT NBR ISO 31000 foi elaborada na Comissão de Estudo Especial de Gestão de Riscos(ABNT/CEE-063). O Projeto circulou em Consulta Nacional conforme Edital nº 02, de 07.02.2018a 08.03.2018.Esta Norma é uma adoção idêntica, em conteúdo técnico, estrutura e redação, à ISO 31000:2018,que foi elaborada pelo Technical Committee Risk Management (ISO/TC 262), conformeISO/IEC Guide 21-1:2005.Esta segunda edição cancela e substitui a edição anterior (ABNT NBR ISO 31000:2009), a qual foitecnicamente revisada.O Escopo em inglês desta Norma Brasileira é o seguinte:ScopeThis document provides guidelines on managing risk faced by organizations. The application of theseguidelines can be customized to any organization and its context.This document provides a common approach to managing any type of risk and is not industry or sectorspecific.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados vVeteraano
ABNT NBR ISO 31000:2018IntroduçãoEste documento é para uso por pessoas que criam e protegem valor nas organizações, gerenciandoriscos, tomando decisões, estabelecendo e alcançando objetivos e melhorando o desempenho.Organizações de todos os tipos e tamanhos enfrentam influências e fatores externos e internos quetornam incerto se elas alcançarão seus objetivos.Gerenciar riscos é iterativo e auxilia as organizações no estabelecimento de estratégias, no alcancede objetivos e na tomada de decisões fundamentadas.Gerenciar riscos é parte da governança e liderança, e é fundamental para a maneira como a organi-zação é gerenciada em todos os níveis. Isto contribui para a melhoria dos sistemas de gestão.Gerenciar riscos é parte de todas as atividades associadas com uma organização e inclui interaçãocom as partes interessadas.Gerenciar riscos considera os contextos externo e interno da organização, incluindo o comportamentohumano e os fatores culturais.Gerenciar riscos baseia-se nos princípios, estrutura e processos delineados neste documento,como ilustrado na Figura 1. Estes componentes podem já existir total ou parcialmente na organização;contudo, podem necessitar ser adaptados ou melhorados, de forma que gerenciar riscos seja eficiente,eficaz e consistente.MelhoriaIntegradacontínuaFatoresEstruturada ehumanos eabrangenteculturaisCriação eproteçãode valorMelhorInformação PersonalizadadisponívelDinâmica InclusivaProcesso de gestão de riscosIntegração Escopo, contextoe critérioProcesso deavaliação de riscosMelhoria IdentificaçãoConcepção de riscosLiderança e Análisecomprometimento de riscosAvaliaçãode riscosComunicação e consultaMonitoramento e análise críticaTratamentode riscosImplementaçãoAvaliaçãoRegistro e relatoFigura 1 – Princípios, estrutura e processoExemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservadosviVeteraano
NORMA BRASILEIRA ABNT NBR ISO 31000:2018Gestão de riscos ― Diretrizes1 EscopoEste documento fornece diretrizes para gerenciar riscos enfrentados pelas organizações. A aplicaçãodestas diretrizes pode ser personalizada para qualquer organização e seu contexto.Este documento fornece uma abordagem comum para gerenciar qualquer tipo de risco e não é espe-cífico para qualquer indústria ou setor.Este documento pode ser usado ao longo da vida da organização e aplicado a qualquer atividade,incluindo a tomada de decisão em todos os níveis.2 Referências normativasNão há referências normativas neste documento.3 Termos e definiçõesPara os efeitos deste documento, aplicam-se os seguintes termos e definições.A ISO e a IEC mantêm bases de dados terminológicos para uso em normalização nos seguintes endereços:— ISO Online Browsing Platform: disponível em http://www.iso.org/obp— IEC Electropedia: disponível em http://www.electropedia.org3.1riscoefeito da incerteza nos objetivosNota 1 de entrada: Um efeito é um desvio em relação ao esperado. Pode ser positivo, negativo ou ambos,e pode abordar, criar ou resultar em oportunidades e ameaças.Nota 2 de entrada: Objetivos podem possuir diferentes aspectos e categorias, e podem ser aplicados emdiferentes níveis.Nota 3 de entrada: Risco é normalmente expresso em termos defontes de risco(3.4),eventos(3.5) potenciais,suas consequências (3.6) e suas probabilidades (3.7).3.2gestão de riscosatividades coordenadas para dirigir e controlar uma organização no que se refere a riscos (3.1)3.3parte interessadapessoa ou organização que pode afetar, ser afetada ou perceber-se afetada por uma decisão ouatividadeNota 1 de entrada: O termo “parte interessada” pode ser utilizado como alternativa a “stakeholder”.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 1Veteraano
ABNT NBR ISO 31000:20183.4fonte de riscoelemento que, individualmente ou combinado, tem o potencial para dar origem ao risco (3.1)3.5eventoocorrência ou mudança em um conjunto específico de circunstânciasNota 1 de entrada: Um evento pode consistir em uma ou mais ocorrências e pode ter várias causas e váriasconsequências (3.6).Nota 2 de entrada: Um evento pode também ser algo que é esperado, mas não acontece, ou algo que não éesperado, mas acontece.Nota 3 de entrada: Um evento pode ser uma fonte de risco.3.6consequênciaresultado de um evento (3.5) que afeta os objetivosNota 1 de entrada: Uma consequência pode ser certa ou incerta e pode ter efeitos positivos ou negativos,diretos ou indiretos, nos objetivos.Nota 2 de entrada: As consequências podem ser expressas qualitativa ou quantitativamente.Nota 3 de entrada: Qualquer consequência pode escalar por meio de efeitos cascata e cumulativos.3.7probabilidadechance de algo acontecerNota 1 de entrada: Na terminologia de gestão de riscos(3.2), a palavra “probabilidade” é utilizada para referir-seà chance de algo acontecer, não importando se definida, medida ou determinada, ainda que objetiva ousubjetivamente, qualitativa ou quantitativamente, e se descrita utilizando-se termos gerais ou matemáticos(como probabilidade ou frequência durante um determinado período de tempo).Nota 2 de entrada: O termo em inglês “likelihood” não tem um equivalente direto em algumas línguas;em vez disso, o equivalente do termo “probability” é frequentemente utilizado. Entretanto, em inglês, “probability”é muitas vezes interpretado estritamente como uma expressão matemática. Portanto, na terminologia degestão de riscos, convém que ”likelihood” seja utilizado com a mesma ampla interpretação que o termo“probability” tem em muitos outros idiomas, além do inglês.3.8controlemedida que mantém e/ou modifica o risco (3.1)Nota 1 de entrada: Controles incluem, mas não estão limitados a, qualquer processo, política, dispositivo,prática, ou outras condições e/ou ações que mantêm e/ou modificam o risco.Nota 2 de entrada: Controles podem nem sempre exercer o efeito modificador pretendido ou presumido.4 PrincípiosO propósito da gestão de riscos é a criação e proteção de valor. Ela melhora o desempenho, encorajaa inovação e apoia o alcance de objetivos.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados2Veteraano
ABNT NBR ISO 31000:2018Os princípios descritos na Figura 2 fornecem orientações sobre as características da gestão de riscoseficaz e eficiente, comunicando seu valor e explicando sua intenção e propósito. Os princípios são abase para gerenciar riscos e convém que sejam considerados quando se estabelecerem a estruturae os processos de gestão de riscos da organização. Convém que estes princípios possibilitem umaorganização a gerenciar os efeitos da incerteza nos seus objetivos.MelhoriaIntegradacontínuaFatoresEstruturada ehumanos eabrangenteculturaisCriação eproteçãode valorMelhorInformação PersonalizadadisponívelDinâmica InclusivaFigura 2 – PrincípiosA gestão de riscos eficaz requer os elementos da Figura 2 e pode ser explicada como a seguir.a) IntegradaA gestão de riscos é parte integrante de todas as atividades organizacionais.b) Estruturada e abrangenteUma abordagem estruturada e abrangente para a gestão de riscos contribui para resultadosconsistentes e comparáveis.c) PersonalizadaA estrutura e o processo de gestão de riscos são personalizados e proporcionais aos contextosexterno e interno da organização relacionados aos seus objetivos.d) InclusivaO envolvimento apropriado e oportuno das partes interessadas possibilita que seus conheci-mentos, pontos de vista e percepções sejam considerados. Isto resulta em melhor conscientizaçãoe gestão de riscos fundamentada.e) DinâmicaRiscos podem emergir, mudar ou desaparecer à medida que os contextos externo e interno deuma organização mudem. A gestão de riscos antecipa, detecta, reconhece e responde a estasmudanças e eventos de uma maneira apropriada e oportuna.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 3Veteraano
ABNT NBR ISO 31000:2018f) Melhor informação disponívelAs entradas para a gestão de riscos são baseadas em informações históricas e atuais, bem comoem expectativas futuras. A gestão de riscos explicitamente leva em consideração quaisquer limi-tações e incertezas associadas a estas informações e expectativas. Convém que a informaçãoseja oportuna, clara e disponível para as partes interessadas pertinentes.g) Fatores humanos e culturaisO comportamento humano e a cultura influenciam significativamente todos os aspectos da gestãode riscos em cada nível e estágio.h) Melhoria contínuaA gestão de riscos é melhorada continuamente por meio do aprendizado e experiências.5 Estrutura5.1 GeneralidadesO propósito da estrutura da gestão de riscos é apoiar a organização na integração da gestão de riscosem atividades significativas e funções. A eficácia da gestão de riscos dependerá da sua integraçãona governança e em todas as atividades da organização, incluindo a tomada de decisão. Isto requerapoio das partes interessadas, em particular da Alta Direção.O desenvolvimento da estrutura engloba integração, concepção, implementação, avaliação e melhoriada gestão de riscos através da organização. A Figura 3 ilustra os componentes de uma estrutura.IntegraçãoMelhoriaConcepçãoLiderança ecomprometimentoImplementaçãoAvaliaçãoFigura 3 – EstruturaConvém que a organização avalie suas práticas e processos existentes de gestão de riscos, avaliequaisquer lacunas e aborde estas lacunas no âmbito da estrutura.Convém que os componentes da estrutura e o modo como funcionam em conjunto sejam personali-zados para as necessidades da organização.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados4Veteraano
ABNT NBR ISO 31000:20185.2 Liderança e comprometimentoConvém que a Alta Direção e os órgãos de supervisão, onde aplicável, assegurem que a gestão deriscos esteja integrada em todas as atividades da organização, e convém que demonstrem liderançae comprometimento por:— personalizar e implementar todos os componentes da estrutura;— emitir uma declaração ou política que estabeleça uma abordagem, plano ou curso de ação dagestão de riscos;— assegurar que os recursos necessários sejam alocados para gerenciar riscos;— atribuir autoridades, responsabilidades e responsabilização nos níveis apropriados dentro daorganização;Isto vai ajudar a organização a:— alinhar a gestão de riscos com seus objetivos, estratégia e cultura;— reconhecer e abordar todas as obrigações, bem como seus compromissos voluntários;— estabelecer a quantidade e o tipo de risco que pode ou não ser assumido para orientar o desen-volvimento de critérios, assegurando que sejam comunicados à organização e às suas partesinteressadas;— comunicar o valor da gestão de riscos para a organização e suas partes interessadas;— promover o monitoramento sistemático de riscos;— assegurar que a estrutura de gestão de riscos permaneça apropriada ao contexto da organização.NOTA BRASILEIRA O termo “accountability” foi traduzido como “responsabilização” com o sentidode “responsabilidade por atribuições e atos”, ou seja, por prestar contas. Assim, o termo “accountable”é entendido como ”responsabilizado”.A Alta Direção é responsabilizada por gerenciar riscos, enquanto os órgãos de supervisão são res-ponsabilizados por supervisionar a gestão de riscos. Com frequência, é requerido ou esperado queos órgãos de supervisão:— assegurem que os riscos sejam adequadamente considerados no estabelecimento dos objetivosda organização;— compreendam os riscos aos quais a organização está exposta na busca de seus objetivos;— assegurem que sistemas para gerenciar estes riscos estejam implementados e operemeficazmente;— assegurem que estes riscos sejam apropriados no contexto dos objetivos da organização;— assegurem que a informação sobre estes riscos e sua gestão seja apropriadamentecomunicada.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 5Veteraano
ABNT NBR ISO 31000:20185.3 IntegraçãoA integração da gestão de riscos apoia-se em uma compreensão das estruturas e do contexto orga-nizacional. Estruturas diferem, dependendo do propósito, metas e complexidade da organização.O risco é gerenciado em todas as partes da estrutura da organização. Todos na organização têm respon-sabilidade por gerenciar riscos.A governança orienta o rumo da organização, suas relações externas e internas, e as regras, processose práticas necessárias para alcançar o seu propósito. As estruturas de gestão traduzem a direçãoda governança para a estratégia e os objetivos associados requeridos para alcançar níveis desejadosde desempenho sustentável e viabilidade a longo prazo. Determinar a responsabilização pela gestãode riscos e os papéis de supervisão no âmbito de uma organização é parte integrante da governançada organização.Integrar a gestão de riscos em uma organização é um processo dinâmico e iterativo, e convém que sejapersonalizado para as necessidades e cultura da organização. Convém que a gestão de riscos sejauma parte, e não separada, do propósito organizacional, governança, liderança e comprometimento,estratégia, objetivos e operações.5.4 Concepção5.4.1 Entendendo a organização e seu contextoAo conceber a estrutura para gerenciar riscos, convém que a organização examine e entenda seuscontextos externo e interno.Examinar o contexto externo da organização pode incluir, mas não está limitado a:— fatores sociais, culturais, políticos, jurídicos, regulatórios, financeiros, tecnológicos, econômicos eambientais, em âmbito internacional, nacional, regional ou local;— direcionadores-chave e tendências que afetem os objetivos da organização;— relacionamentos, percepções, valores, necessidades e expectativas das partes interessadasexternas;— relações e compromissos contratuais;— complexidade das redes de relacionamento e dependências.Examinar o contexto interno da organização pode incluir, mas não está limitado a:— visão, missão e valores;— governança, estrutura organizacional, papéis e responsabilizações;— estratégia, objetivos e políticas;— cultura da organização;— normas, diretrizes e modelos adotados pela organização;— capacidades entendidas em termos de recursos e conhecimento (por exemplo, capital, tempo,pessoas, propriedade intelectual, processos, sistemas e tecnologias);Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados6Veteraano
ABNT NBR ISO 31000:2018— dados, sistemas de informação e fluxos de informação;— relacionamentos com partes interessadas internas, levando em consideração suas percepçõese valores;— relações contratuais e compromissos;— interdependências e interconexões.5.4.2 Articulando o comprometimento com a gestão de riscosConvém que a Alta Direção e os órgãos de supervisão, onde aplicável, demonstrem e articulem o seucomprometimento contínuo com a gestão de riscos por meio de uma política, uma declaração ououtras formas que claramente transmitam os objetivos e o comprometimento com a gestão de riscosde uma organização. Convém que o comprometimento inclua, mas não se limite a:— o propósito da organização para gerenciar riscos e vínculos com seus objetivos e outras políticas;— reforçar a necessidade de integrar a gestão de riscos na cultura global da organização;— liderar a integração da gestão de riscos nas atividades principais do negócio e na tomada de decisão;— autoridades, responsabilidades e responsabilizações;— tornar disponíveis os recursos necessários;— a maneira pela qual os objetivos conflitantes são tratados;— medição e relato no âmbito dos indicadores de desempenho da organização;— análise crítica e melhoria.Convém que o comprometimento com a gestão de riscos seja comunicado na organização e às partesinteressadas, como apropriado.5.4.3 Atribuindo papéis organizacionais, autoridades, responsabilidades e responsabilizaçõesConvém que a Alta Direção e os órgãos de supervisão, onde aplicável, assegurem que as autori-dades, responsabilidades e responsabilizações para os papéis pertinentes à gestão de riscos sejamatribuídas e comunicadas a todos os níveis da organização, e convém que:— enfatizem que a gestão de riscos é uma responsabilidade principal;— identifiquem indivíduos que possuam responsabilização e tenham autoridade para gerenciarriscos (proprietários dos riscos).5.4.4 Alocando recursosConvém que a Alta Direção e os órgãos de supervisão, onde aplicável, assegurem a alocação derecursos apropriados para a gestão de riscos, que podem incluir, mas não estão limitados a:— pessoas, habilidades, experiência e competência;— processos, métodos e ferramentas da organização a serem usados na gestão de riscos;Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 7Veteraano
ABNT NBR ISO 31000:2018— processos e procedimentos documentados;— sistemas de gestão da informação e do conhecimento;— necessidades de treinamento e desenvolvimento profissional.Convém que a organização considere as capacidades e restrições dos recursos existentes.5.4.5 Estabelecendo comunicação e consultaConvém que a organização estabeleça uma abordagem aprovada para comunicação e consultapara apoiar a estrutura e facilitar a aplicação eficaz da gestão de riscos. Comunicação envolvecompartilhar informação com públicos-alvo. A consulta também envolve o fornecimento de retornopelos participantes, com a expectativa de que isto contribuirá para as decisões e sua formulaçãoou outras atividades. Convém que os métodos e conteúdo da comunicação e consulta reflitam asexpectativas das partes interessadas, onde for pertinente.Convém que a comunicação e a consulta sejam oportunas e assegurem que a informação pertinenteseja coletada, consolidada, sintetizada e compartilhada, como apropriado, e que o retorno sejafornecido e as melhorias sejam implementadas.5.5 ImplementaçãoConvém que a organização implemente a estrutura de gestão de riscos por meio de:— desenvolvimento de um plano apropriado, incluindo prazos e recursos;— identificação de onde, quando e como diferentes tipos de decisões são tomadas pela organização,e por quem;— modificação dos processos de tomada de decisão aplicáveis, onde necessário;— garantia de que os arranjos da organização para gerenciar riscos sejam claramente compreen-didos e praticados.A implementação bem-sucedida da estrutura requer o engajamento e a conscientização das partesinteressadas. Isso permite que as organizações abordem explicitamente a incerteza na tomada dedecisão, enquanto também asseguram que qualquer incerteza nova ou posterior possa ser levadaem consideração à medida que ela surja.Adequadamente concebida e implementada, a estrutura de gestão de riscos assegurará que oprocesso de gestão de riscos é parte de todas as atividades da organização, incluindo a tomadade decisão, e que as mudanças nos contextos externo e interno serão adequadamente capturadas.5.6 AvaliaçãoPara avaliar a eficácia da estrutura de gestão de riscos, convém que a organização:— mensure periodicamente o desempenho da estrutura de gestão de riscos em relação ao seupropósito, planos de implementação, indicadores e comportamento esperado;— determine se permanece adequada para apoiar o alcance dos objetivos da organização.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados8Veteraano
ABNT NBR ISO 31000:20185.7 Melhoria5.7.1 AdaptaçãoConvém que a organização monitore e adapte continuamente a estrutura de gestão de riscos paraabordar as mudanças externas e internas. Ao fazer isso, a organização pode melhorar seu valor.5.7.2 Melhoria contínuaConvém que organização melhore continuamente a adequação, suficiência e eficácia da estruturade gestão de riscos e a forma como o processo de gestão de riscos é integrado.À medida que lacunas ou oportunidades de melhoria pertinentes são identificadas, convém que aorganização desenvolva planos e tarefas e os atribua àqueles responsabilizados pela implemen-tação. Uma vez implementadas, convém que estas melhorias contribuam para o aprimoramentoda gestão de riscos.6 Processo6.1 GeneralidadesO processo de gestão de riscos envolve a aplicação sistemática de políticas, procedimentos e práticaspara as atividades de comunicação e consulta, estabelecimento do contexto e avaliação, tratamento,monitoramento, análise crítica, registro e relato de riscos. Este processo é ilustrado na Figura 4.Processo de gestão de riscosEscopo, contextoe critérioProcesso deavaliação de riscosIdentificaçãode riscosAnálisede riscosAvaliaçãode riscosComunicação e consultaMonitoramento e análise críticaTratamentode riscosRegistro e relatoFigura 4 – ProcessoConvém que o processo de gestão de riscos seja parte integrante da gestão e da tomada de decisão,e seja integrado na estrutura, operações e processos da organização. Pode ser aplicado nos níveisestratégico, operacional, de programas ou de projetos.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 9Veteraano
ABNT NBR ISO 31000:2018Pode haver muitas aplicações do processo de gestão de riscos em uma organização, personalizadaspara alcançar objetivos e para se adequar aos contextos externo e interno nos quais são realizadas.Convém que a natureza dinâmica e variável do comportamento humano e cultura seja consideradaao longo do processo de gestão de riscos.Embora o processo de gestão de riscos seja frequentemente apresentado como sequencial, na práticaele é iterativo.6.2 Comunicação e consultaO propósito da comunicação e consulta é auxiliar as partes interessadas pertinentes na compreensãodo risco, na base sobre a qual decisões são tomadas e nas razões pelas quais ações específicas sãorequeridas. A comunicação busca promover a conscientização e o entendimento do risco, enquantoa consulta envolve obter retorno e informação para auxiliar a tomada de decisão. Convém que umacoordenação estreita entre as duas facilite a troca de informações factuais, oportunas, pertinentes,precisas e compreensíveis, levando em consideração a confidencialidade e integridade da informação,bem como os direitos de privacidade dos indivíduos.Convém que ocorram comunicação e consulta com partes interessadas apropriadas externas einternas, no âmbito de cada etapa e ao longo de todo o processo de gestão de riscos.Comunicação e consulta visam a:— reunir diferentes áreas de especialização para cada etapa do processo de gestão de riscos;— assegurar que pontos de vista diferentes sejam considerados apropriadamente ao se definiremcritérios de risco e ao se avaliarem riscos;— fornecer informações suficientes para facilitar a supervisão dos riscos e a tomada de decisão;— construir um senso de inclusão e propriedade entre os afetados pelo risco.6.3 Escopo, contexto e critérios6.3.1 GeneralidadesO propósito do estabelecimento do escopo, contexto e critérios é personalizar o processo de gestãode riscos, permitindo um processo de avaliação de riscos eficaz e um tratamento de riscos apropriado.Escopo, contexto e critérios envolvem a definição do escopo do processo, a compreensão doscontextos externo e interno.6.3.2 Definindo o escopoConvém que a organização defina o escopo de suas atividades de gestão de riscos.Como o processo de gestão de riscos pode ser aplicado em diferentes níveis (por exemplo, estra-tégico, operacional, programa, projeto ou outras atividades), é importante ser claro sobre o escopoem consideração, os objetivos pertinentes a serem considerados e o seu alinhamento aos objetivosorganizacionais.Ao planejar a abordagem, as considerações incluem:— objetivos e decisões que precisam ser tomadas;Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados10Veteraano
ABNT NBR ISO 31000:2018— resultados esperados das etapas a serem realizadas no processo;— tempo, localização, inclusões e exclusões específicas;— ferramentas e técnicas apropriadas para o processo de avaliação de riscos;— recursos requeridos, responsabilidades e registros a serem mantidos;— relacionamentos com outros projetos, processos e atividades.6.3.3 Contextos externo e internoOs contextos externo e interno são o ambiente no qual a organização procura definir e alcançar seusobjetivos.Convém que o contexto do processo de gestão de riscos seja estabelecido a partir da compreensão dosambientes externo e interno no qual a organização opera, e convém que reflita o ambiente específicoda atividade ao qual o processo de gestão de riscos é aplicado.Compreender o contexto é importante porque:— a gestão de riscos ocorre no contexto dos objetivos e atividades da organização;— fatores organizacionais podem ser uma fonte de risco;— propósito e escopo do processo de gestão de riscos podem estar inter-relacionados com osobjetivos da organização como um todo;Convém que a organização estabeleça os contextos externo e interno do processo de gestão deriscos, considerando os fatores mencionados em 5.4.1.6.3.4 Definindo critérios de riscoConvém que a organização especifique a quantidade e o tipo de risco que podem ou não assumir emrelação aos objetivos. Convém também que estabeleça critérios para avaliar a significância do riscoe para apoiar os processos de tomada de decisão. Convém que os critérios de risco sejam alinhadosà estrutura de gestão de riscos e sejam personalizados para o propósito específico e o escopo daatividade em consideração. Convém que os critérios de risco reflitam os valores, objetivos e recursosda organização e sejam consistentes com as políticas e declarações sobre gestão de riscos. Convémque os critérios de risco sejam estabelecidos levando em consideração as obrigações da organizaçãoe os pontos de vista das partes interessadas.Embora convenha que os critérios de risco sejam estabelecidos no início do processo de avaliaçãode riscos, eles são dinâmicos; e convém que sejam continuamente analisados criticamente e alte-rados, se necessário.Para estabelecer os critérios de risco, convém considerar:— a natureza e o tipo de incertezas que podem afetar resultados e objetivos (tanto tangíveis quantointangíveis);— como as consequências (tanto positivas quanto negativas) e as probabilidades serão definidase medidas;Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 11Veteraano
ABNT NBR ISO 31000:2018— fatores relacionados ao tempo;— consistência no uso de medidas;— como o nível de risco será determinado;— como as combinações e sequências de múltiplos riscos serão levadas em consideração;— a capacidade da organização.6.4 Processo de avaliação de riscos6.4.1 GeneralidadesO processo de avaliação de riscos é o processo global de identificação de riscos, análise de riscose avaliação de riscos.Convém que o processo de avaliação de riscos seja conduzido de forma sistemática, iterativa e cola-borativa, com base no conhecimento e nos pontos de vista das partes interessadas. Convém que usea melhor informação disponível, complementada por investigação adicional, como necessário.6.4.2 Identificação de riscosO propósito da identificação de riscos é encontrar, reconhecer e descrever riscos que possam ajudarou impedir que uma organização alcance seus objetivos. Informações pertinentes, apropriadas e atua-lizadas são importantes na identificação de riscos.A organização pode usar uma variedade de técnicas para identificar incertezas que podem afetar umou mais objetivos. Convém que os seguintes fatores e o relacionamento entre estes fatores sejamconsiderados:— fontes tangíveis e intangíveis de risco;— causas e eventos;— ameaças e oportunidades;— vulnerabilidades e capacidades;— mudanças nos contextos externo e interno;— indicadores de riscos emergentes;— natureza e valor dos ativos e recursos;— consequências e seus impactos nos objetivos;— limitações de conhecimento e de confiabilidade da informação;— fatores temporais;— vieses, hipóteses e crenças dos envolvidos.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados12Veteraano
ABNT NBR ISO 31000:2018Convém que a organização identifique os riscos, independentemente de suas fontes estarem ou nãosob seu controle. Convém considerar que pode haver mais de um tipo de resultado, o que poderesultar em uma variedade de consequências tangíveis ou intangíveis.6.4.3 Análise de riscosO propósito da análise de riscos é compreender a natureza do risco e suas características, incluindo onível de risco, onde apropriado. A análise de riscos envolve a consideração detalhada de incertezas,fontes de risco, consequências, probabilidade, eventos, cenários, controles e sua eficácia. Um eventopode ter múltiplas causas e consequências e pode afetar múltiplos objetivos.A análise de riscos pode ser realizada com vários graus de detalhamento e complexidade, dependendodo propósito da análise, da disponibilidade e confiabilidade da informação, e dos recursos disponíveis.As técnicas de análise podem ser qualitativas, quantitativas ou uma combinação destas, dependendodas circunstâncias e do uso pretendido.Convém que a análise de riscos considere fatores como:— a probabilidade de eventos e consequências;— a natureza e magnitude das consequências;— complexidade e conectividade;— fatores temporais e volatilidade;— a eficácia dos controles existentes;— sensibilidade e níveis de confiança.A análise de riscos pode ser influenciada por qualquer divergência de opiniões, vieses, percepçõesdo risco e julgamentos. Influências adicionais são a qualidade da informação utilizada, as hipótesese as exclusões feitas, quaisquer limitações das técnicas e como elas são executadas. Convém queestas influências sejam consideradas, documentadas e comunicadas aos tomadores de decisão.Eventos altamente incertos podem ser difíceis de quantificar. Isso pode ser um problema ao analisareventos com consequências severas. Nestes casos, usar uma combinação de técnicas geralmentefornece maior discernimento.A análise de riscos fornece uma entrada para a avaliação de riscos, para decisões sobre se o risconecessita ser tratado e como, e sobre a estratégia e os métodos mais apropriados para o tratamentode riscos. Os resultados propiciam discernimento para decisões, em que escolhas estão sendo feitase as opções envolvem diferentes tipos e níveis de risco.6.4.4 Avaliação de riscosO propósito da avaliação de riscos é apoiar decisões. A avaliação de riscos envolve a comparaçãodos resultados da análise de riscos com os critérios de risco estabelecidos para determinar onde énecessária ação adicional. Isto pode levar a uma decisão de:— fazer mais nada;— considerar as opções de tratamento de riscos;Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 13Veteraano
ABNT NBR ISO 31000:2018— realizar análises adicionais para melhor compreender o risco;— manter os controles existentes;— reconsiderar os objetivos.Convém que as decisões levem em consideração o contexto mais amplo e as consequências reaise percebidas para as partes interessadas externas e internas.Convém que o resultado da avaliação de riscos seja registrado, comunicado e então validado nosníveis apropriados da organização.6.5 Tratamento de riscos6.5.1 GeneralidadesO propósito do tratamento de riscos é selecionar e implementar opções para abordar riscos.O tratamento de riscos envolve um processo iterativo de:— formular e selecionar opções para tratamento do risco;— planejar e implementar o tratamento do risco;— avaliar a eficácia deste tratamento;— decidir se o risco remanescente é aceitável;— se não for aceitável, realizar tratamento adicional.6.5.2 Seleção de opções de tratamento de riscosSelecionar a(s) opção(ões) mais apropriada(s) de tratamento de riscos envolve balancear os bene-fícios potenciais derivados em relação ao alcance dos objetivos, face aos custos, esforço ou desvan-tagens da implementação.As opções de tratamento de riscos não são necessariamente mutuamente exclusivas ou apropriadasem todas as circunstâncias. As opções para tratar o risco podem envolver um ou mais dos seguintes:— evitar o risco ao decidir não iniciar ou continuar com a atividade que dá origem ao risco;— assumir ou aumentar o risco de maneira a perseguir uma oportunidade;— remover a fonte de risco;— mudar a probabilidade;— mudar as consequências;— compartilhar o risco (por exemplo, por meio de contratos, compra de seguros);— reter o risco por decisão fundamentada.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados14Veteraano
ABNT NBR ISO 31000:2018A justificativa para o tratamento de riscos é mais ampla do que apenas considerações econômicas,e convém que leve em consideração todas as obrigações da organização, compromissos voluntáriose pontos de vista das partes interessadas. Convém que a seleção de opções de tratamento de riscosseja feita de acordo com os objetivos da organização, critérios de risco e recursos disponíveis.Ao selecionar opções de tratamento de riscos, convém que a organização considere os valores,percepções e potencial envolvimento das partes interessadas, e as formas mais apropriadas paracom elas se comunicar e consultar. Embora igualmente eficazes, alguns tratamentos de riscos podemser mais aceitáveis para algumas partes interessadas do que para outras.Ainda que cuidadosamente concebido e implementado, o tratamento de riscos pode não produziros resultados esperados e pode produzir consequências não pretendidas. Monitoramento e análisecrítica precisam ser parte integrante da implementação do tratamento de riscos, para assegurar queas diferentes formas de tratamento se tornem e permaneçam eficazes.O tratamento de riscos também pode introduzir novos riscos que precisem ser gerenciados.Se não houver opções de tratamento disponíveis ou se as opções de tratamento não modificaremsuficientemente o risco, convém que este seja registrado e mantido sob análise crítica contínua.Convém que os tomadores de decisão e outras partes interessadas estejam conscientes da natureza eextensão do risco remanescente após o tratamento de riscos. Convém que o risco remanescente sejadocumentado e submetido a monitoramento, análise crítica e, onde apropriado, tratamento adicional.6.5.3 Preparando e implementando planos de tratamento de riscosO propósito dos planos de tratamento de riscos é especificar como as opções de tratamento esco-lhidas serão implementadas de maneira que os arranjos sejam compreendidos pelos envolvidos, e oprogresso em relação ao plano possa ser monitorado. Convém que o plano de tratamento identifiqueclaramente a ordem em que o tratamento de riscos será implementado.Convém que os planos de tratamento sejam integrados nos planos e processos de gestão da organi-zação, em consulta com as partes interessadas apropriadas.Convém que as informações fornecidas no plano de tratamento incluam:— a justificativa para a seleção das opções de tratamento, incluindo os benefícios esperados aserem obtidos;— aqueles que são responsabilizáveis e responsáveis por aprovar e implementar o plano;— as ações propostas;— os recursos requeridos, incluindo contingências;— as medidas de desempenho;— as restrições;— os relatos e monitoramento requeridos;— quando se espera que ações sejam tomadas e concluídas.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 15Veteraano
ABNT NBR ISO 31000:20186.6 Monitoramento e análise críticaO propósito do monitoramento e análise crítica é assegurar e melhorar a qualidade e eficácia daconcepção, implementação e resultados do processo. Convém que o monitoramento contínuo e aanálise crítica periódica do processo de gestão de riscos e seus resultados sejam uma parte planejadado processo de gestão de riscos, com responsabilidades claramente estabelecidas.Convém que monitoramento e análise crítica ocorram em todos os estágios do processo. Monitoramentoe análise crítica incluem planejamento, coleta e análise de informações, registro de resultados e forne-cimento de retorno.Convém que os resultados do monitoramento e análise crítica sejam incorporados em todas as ativi-dades de gestão de desempenho, medição e relatos da organização.6.7 Registro e relatoConvém que o processo de gestão de riscos e seus resultados sejam documentados e relatados pormeio de mecanismos apropriados. O registro e o relato visam:— comunicar atividades e resultados de gestão de riscos em toda a organização;— fornecer informações para a tomada de decisão;— melhorar as atividades de gestão de riscos;— auxiliar a interação com as partes interessadas, incluindo aquelas com responsabilidade e comresponsabilização por atividades de gestão de riscos.Convém que as decisões relativas à criação, retenção e manuseio de informação documentada levemem consideração, mas não se limitem a, o seu uso, a sensibilidade da informação e os contextosexterno e interno.O relato é parte integrante da governança da organização e convém que melhore a qualidade do diá-logo com as partes interessadas e apoie a Alta Direção e os órgãos de supervisão a cumprirem suasresponsabilidades. Os fatores a considerar para o relato incluem, mas não estão limitados a:— diferentes partes interessadas e suas necessidades específicas de informação e requisitos;— custo, frequência e pontualidade do relato;— método de relato;— pertinência da informação para os objetivos organizacionais e para a tomada de decisão.Exemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados16Veteraano
ABNT NBR ISO 31000:2018Bibliografia[1] ABNT NBR IEC 31010, Gestão de riscos – Técnicas para o processo de avaliação de riscosExemplar para uso exclusivo - Vera Lúcia de Melo - 339.210.406-04 (Pedido 684450 Impresso: 13/09/2018)© ISO 2018 - © ABNT 2018 - Todos os direitos reservados 17Veteraano