Riscos – Página do risco: tratamento, plano de ação e histórico

A página do risco reúne, em um lugar, a avaliação, a decisão de tratamento, aquilo a que o risco está ligado e tudo o que já aconteceu com ele. É a tela que um auditor abre quando quer entender como a empresa trata risco de verdade.

O topo: a avaliação em quatro números

A página começa com Pontuação de Risco, Nível de Risco, Status e Severidade. É o resumo que responde à primeira pergunta de qualquer pessoa: isso é grave, e alguém está cuidando?

Logo abaixo aparecem a Descrição e o Plano de Mitigação, que é onde a resposta real da empresa está escrita.

Os vínculos são o que dá credibilidade

Três blocos mostram a que o risco está conectado:

Controles Vinculados. Os controles que tratam esse risco. É o vínculo mais importante, porque transforma uma intenção em algo verificável: o controle tem evidência, e a evidência sustenta que o tratamento existe de fato.

Fornecedores Vinculados. Quando o risco vem de um terceiro. Permite responder a uma pergunta que aparece em toda auditoria: quais riscos a empresa reconhece por causa de quem ela contrata?

Frameworks Vinculados. Quais normas se importam com esse risco.

Vale insistir no primeiro. Um risco com plano de mitigação escrito e nenhum controle vinculado é uma promessa. Um risco com controle vinculado e evidência em dia é uma resposta. A diferença aparece na auditoria.

Detalhes: o que organiza e o que responsabiliza

O bloco de Detalhes traz Categorias, Departamentos, Tags, Probabilidade, Responsável, Data de Vencimento, Risco Residual e Tipo de Tratamento.

Dois merecem atenção.

Risco Residual aparece como Não avaliado até você preenchê-lo. Ele é o nível que sobra depois do tratamento, e é a prova de que o tratamento surtiu efeito. Um risco marcado como Mitigado, mas com residual não avaliado, é uma afirmação sem demonstração.

Tipo de Tratamento é apresentado com a referência à prática consagrada em gestão de risco, e oferece Mitigar, Aceitar, Transferir e Evitar. Ter isso explícito é o que separa uma decisão de uma omissão.

Mudar o status, e por que as notas importam

Em Atualizar Status você escolhe o novo status e pode escrever Notas.

Use as notas. Elas são opcionais e são a parte mais valiosa da tela, porque respondem ao “por quê” que ninguém lembra seis meses depois. Alguns exemplos do que vale registrar:

• Ao passar para Mitigado: o que foi implementado e quando.
• Ao passar para Aceito: quem decidiu, com que justificativa, e se há prazo para revisar.
• Ao passar para Fechado: por que o risco deixou de existir. Mudança de arquitetura, fim de um serviço, encerramento de um contrato.

Um risco Aceito com nota explicando a decisão é uma resposta madura. Um risco Aceito sem nota parece uma forma de limpar a lista, e é assim que um auditor vai ler.

Histórico de Alterações

Todas as mudanças ficam registradas, com autor e data, incluindo criação, atualizações e mudanças de status.

É o que sustenta a afirmação de que a empresa acompanha os seus riscos ao longo do tempo, em vez de tê-los cadastrado uma vez. Em auditoria, um histórico com movimentação regular vale mais do que um registro grande e parado.

Excluir, e por que quase nunca é a resposta

Existe a opção de excluir, e ela não pode ser desfeita.

Na prática, excluir raramente é o que você quer. Se o risco deixou de existir, Fechado conta essa história e preserva o histórico. Se ele nunca deveria ter sido cadastrado, aí sim excluir faz sentido.

A diferença importa porque o histórico é evidência. Um registro que só contém riscos abertos, porque tudo o que se resolveu foi apagado, não demonstra gestão nenhuma.

Problemas comuns

Risco marcado como Mitigado e o auditor questionou. Quase sempre falta o controle vinculado ou o risco residual. Mitigado precisa ser demonstrável.

Ninguém sabe por que este risco foi aceito. Faltou nota na mudança de status. Volte e registre agora, mesmo com atraso.

O risco está vencido. A data passou e o tratamento não terminou. Ajuste o prazo com uma nota explicando, ou conclua. Deixar vencido sem explicação é o pior dos três caminhos.

Não consigo vincular um controle. O vínculo depende de o framework correspondente estar habilitado e o controle existir no seu ambiente.