Modelo de gestão de riscos em umaprestadora de serviçosRisk management model in a service providerDariele Jocasta Daroit1Alexandre André Feil2ResumoEste estudo objetiva implantar um processo de gestão de riscos do negócio em uma empresa prestadora de serviços. As metodologias de gestão de riscos utilizadas foram o brainstorming, a análise de probabilidade e impacto, a Análise de Modos de Falha e Efeitos (FMEA) e o grau de severidade. Os resultados revelaram a identificação de três riscos com severidade baixa, sete de severidade média e 10 de severidade alta. Para os riscos de severidade alta foram definidos indicadores para o seu monitoramento e planos de ação para a sua mitigação. Conclui-se que a aplicação do método de gestão de riscos possibilitou identificar os riscos aos quais a prestadora de serviços está sujeita e os devidos tratamentos para monitorá-los e minimizá-los.Palavras-chave: Gestão de riscos. Riscos do negócio. Impacto. Brainstorming. FMEA.AbstractThis study aims to establish a process of business risk management in a service company for the identification and treatment thereof. The risk management methodologies used were brainstorming, analysis of probability and impact, Failure Mode and Effects Analysis (FMEA) and the degree of severity. The results revealed the identification of three risks with low severity, seven medium severity and 10 high severity. The risks of high severity were defined indicators for its monitoring and1 Graduada em Administração e Ciências contábeis. Acadêmica do Centro Universitário UNIVATESe Atua na área de gestão de riscos empresariais. E mail: daridaroit@universo.univates.br2 Graduado em Ciências Contábeis (1998-2003), Pós-graduado em Cooperativismo e Gestão de Negócios (2005-2006), Mestre em Ambiente e Desenvolvimento (2008-2010) pelo Centro Universitário UNIVATES e Doutor em Qualidade Ambiental (2013-2016) pela Universidade Feevale. E mail: alexandre.feil1@gmail.comaction plans for their mitigation. It concludes that the application of risk managementmethod possible to identify the risks to which the Service Provider is subject and theappropriate treatments to monitor and minimize them.Keywords: Risk management. Business risks.Impact. Brainstorming. FMEA1 IntroduçãoAs organizações enfrentam influências de fatores endógenose exógenos que podem afetar diretamente seus resultados. Essas influências podem ser denominadas de riscos, entendidos como o efeito que a incerteza tem sobre os objetivos da organização, envolvendo todas as suas atividades (NBR ISO 31000, 2009). O risco é um desvio em relação ao esperado, seja positivo ou negativo, muitas vezes caracterizado pelas consequências de um evento e a sua probabilidade de ocorrência. A metodologia utilizada para sua identificação, análise e monitoramento denomina-se de gestão de riscos (COSO, 2007) ou gestão dos recursos (PITELA et al., 2009).Os riscos podem causar impactos positivos (oportunidades) e negativos (COSO, 2007; FADUN, 2013). Cabe destacar que a identificação e classificação dos riscos só é possível se as empresas estiverem munidas com informações relevantes e fidedignas, servindo de inputs à gestão de riscos.A gestão de riscos compreende uma crescente importância nomeio empresarial devido à vulnerabilidade dos negócios (PITELA et al.,2009). Müller e Drax (2014) salientam que sua utilização é inalienável e imprescindível no gerenciamento empresarial, pois as organizações não conseguem operacionalizar sem correr riscos, estando expostas a incertezas e ameaças (KANNAN; THANGAVEL, 2008). Kaye (2009) e Lowe (2010) defendem que os riscos podem afetar antagonicamente os resultados organizacionais. Nesse sentido, devem ser apenas gerenciados, e não excluídos do processo operacional, pois tal exclusão pode barrar potenciais oportunidades e prejudicar a fonte da geração dos resultados econômicos (GARVAN, 2007).Em função da complexidade existente entre a relação do risco edo desempenho econômico, as organizações, independentemente do grau de otimização da sua gestão de riscos, não conseguem se proteger de possíveis prejuízos econômicos (LANDIER; SRAER; THESMAR,2009; SOUSA; ALMEIDA; DIAS, 2012). Portanto, a gestão de riscos deve agir proativamente diante de possíveis ameaças e gerenciá-las eficazmente. Entretanto, Kutsch e Hall (2009) destacam que, além dessa complexidade, os fatores que restringem a utilização da gestão de risco relacionam-se à falta de tempo, justificação do esforço necessário e carência de informações para sua qualificação e quantificação.Nesse contexto, este paper vincula-se à problemática sobre qual a metodologia adequada para a identificação, classificação, análise e tratamento dos riscos do negócio em uma empresa prestadora de serviços. Para tanto, o foco é implantar um processo de gestão de riscos do negócio em uma prestadora de serviços. Os objetivos específicos para atingir o escopo central compreendem: a) estabelecer as técnicas que serão utilizadas para a gestão de riscos; b) identificar e classificar os riscos do negócio; c) analisar os riscos para conhecer o seu impacto e possibilidade de ocorrência; d) determinar formas de tratamento dos riscos com severidade alta; e e)sugerir práticas de monitoramento dos riscos do negócio.Este estudo amplia a literatura sobre gestão de riscos do negócio, devido à contribuição que esta tem no desempenho organizacional. No entanto, apesar dos seus benefícios, existe uma retraída gama que a utiliza (FADUN, 2013), assim como uma limitada literatura que aborda questões relacionadas à gestão de riscos do negócio, pois as disponíveis estão focadas em instituições financeiras.2 Referencial Teórico2.1 Gestão de riscosO risco, na visão tradicional, associa-se à questão financeira daorganização e, com sua evolução conceitual, houve uma aplicação pararisco de mercado, de liquidez, de crédito, legal, operacional, estratégico,de imagem etc. (COIMBRA, 2004; RAZ; HILLSON, 2005). Como as atividades e decisões em uma organização têm impacto entre si, por ser um sistema interligado, a identificação de todos os tipos de riscos é importante para uma visão geral do que realmente pode colocar a empresa em perigo. Segundo o COSO (2007), o gerenciamento de riscos corporativos não necessita seguir uma ordem rígida, pois não é um processo em que um componente afeta apenas o próximo, pois quase todos os componentes se inter-relacionam.A evolução conceitual do risco e das ferramentas utilizadas para se preparar melhor para o futuro fez com que as organizações passassem a se preocupar com a sua capacidade de assumir riscos e de gerenciá- los de forma efetiva (NASCIMENTO, 2011). Caetano (2005) e Müller e Drax (2014) expõem que o principal desafio é agir proativamente, visto que se perde mais tempo e, muitas vezes, recursos reagindo aos eventos que ocorreram do que pensando em formas de minimizá-los e tentar evitá-los.Como forma de auxílio às empresas para minimizar esses riscos, podem ser empregadas ferramentas, técnicas, processos e metodologias geralmente rotuladas de gestão de riscos (FADUN,2013; RAZ; HILLSON, 2005). Nascimento (2011, p. 13) afirma que, se bem administrada, a cultura da gestão de riscos “[...] implica melhorar o desempenho do conjunto de processos existentes na organização além de ganhar vantagem competitiva por possuir um conhecimento aprofundado do próprio negócio [...]”. Pitela et al. (2009) tratam da tendência da gestão dos riscos para a minimização dos seus impactos nos processos por tratar-se de uma atividade que objetiva agregar valor ao negócio, proporcionar ganhos qualitativos e quantitativos e manter a estabilidade dos resultados da empresa.Dionne (2013), Kutsch e Hall (2009), Rovai (2005) e Salles Júnior et al. (2006) salientam que a gestão do risco objetiva diminuir a probabilidade e o impacto de eventos negativos e aumentar a probabilidade de eventos positivos. Borodzicz (2005) destaca que agestão de riscos foca em responder às ameaças, caso se materializem,por meio de planos de recuperação de desastres, gestão de crises, procedimentos de emergência etc., que devem ser estabelecidos no momento das definições de tratamento aos riscos.O COSO (2007) apresenta as características fundamentais do gerenciamento de riscos corporativos: a) processo contínuo e que flui através da organização; b) conduzido por profissionais em todos os níveis da organização; c) aplicado à definição das estratégias; d) inclui a formação de uma visão de portfólio de todos os riscos aos quais está exposta; e) formulado para identificar eventos em potencial que possam afetar a organização e para administrar os riscos; f) capaz de propiciar garantia razoável para o conselho de administração e a diretoria executiva de uma organização; e g) orientado para a realização de objetivos em uma ou mais categorias distintas, mas dependentes.2.2 Planejamento e etapas da gestão de riscosA utilização da gestão de riscos requer alguns cuidados em suaimplantação, por isso, convém que a empresa siga alguns passos que deem sustentação à implantação e manutenção desse processo posteriormente. De acordo com a NBR ISO 31000 (2009), a concepção da estrutura para gerenciar riscos deve contemplar: a) entendimento da organização e seu contexto; b) estabelecimento da política de gestão de riscos; c) responsabilização; d) integração nos processos organizacionais; d) os recursos necessários; e) estabelecimento de mecanismos de comunicação e reporte internos e externos à organização.Hillson (2006), IBGC (2007) e Protiviti (2006) reforçam que, para implantar um modelo de gestão de riscos do negócio, deve-se pensar em uma forma de facilitar o gerenciamento do risco, o que proporciona benefícios para a organização, como: a) aderência dos processos internos ao perfil de riscos estabelecido; b) clareza das regras de governança para gerir a exposição; c) endereçamento de lacunas de capacitação de pessoas, processos e sistemas; d) implementação de sistemas de controles eficazes; e) prevenção ou redução de não conformidadesde obrigações legais e normas e legislações; f) economia de recursosendógenos – tempo, bens, renda e pessoal; g) proteção da reputação e imagem pública; h) estabilidade das operações e melhorias contínuas; e i) preparação frente a circunstâncias imprevisíveis e inesperadas.Existem diversas metodologias que podem ser empregadas para a gestão de riscos, no entanto, algumas etapas são básicas para que os riscos possam ser identificados e gerenciados: identificação, análise, avaliação, tratamento e monitoramento (DIONNE, 2013; FADUN, 2013; KUTSCH; HALL, 2009; NBR ISO 31000, 2009).A etapa de identificação compreende obter uma lista dos riscos identificáveis e passíveis de avaliação qualitativa e quantitativa (ROVAI,2005; TEIXEIRA NETO; ARAÚJO, 2007). Segundo Pitela et al. (2009), após sua identificação, devem ser classificados conforme a sua natureza e tipificação. A etapa de análise é o momento de definir o que será feito com cada um dos riscos, e devem ser levados em consideração a probabilidade e o impacto de cada um (RAMOS, 2009).A etapa de tratamento “[...] envolve a seleção de uma ou mais opções para modificar os riscos e a implementação dessas opções [...]” (NBR ISO 31000, 2009, p. 19), mas a seleção da opção mais adequada deve equilibrar os custos e os esforços de implementação e seus benefícios. Já a etapa de gerenciamento ou monitoramento dos riscos, a qual deve ser contínua, envolve atividades de controle que contemplem políticas e procedimentos para que as respostas aos riscos sejam executadas com eficácia em relação aos objetivos determinados (NBR ISO 31000, 2009).Além das etapas definidas para uma boa gestão de riscos, é preciso definir se a empresa trabalhará com a gestão de riscos em silos ou de forma integrada. Moraes (2012, p. 33) afirma que a gestão de riscos “[...] é tradicionalmente executada em silos, onde cada departamento possui modelos especializados” e cada um cuida de seus riscos, sem, muitas vezes, fazer uma análise do impacto deles na organização como um todo. Essa análise global é abordada pelo gerenciamento integrado dos riscos, contemplando uma visão holística (FADUN, 2013). As empresasque trabalham por processos, e não somente com uma divisão pordepartamentos, poderiam adotar a gestão de riscos integrada, para queesteja de acordo com o seu modelo de gestão (MORAES, 2012).2.3 Técnicas de identificação dos riscosAs etapas de identificação e classificação são as primeiras a serexecutadas em um processo de gestão de riscos e, conforme descrito por Teixeira Neto e Araújo (2007, p. 15), a “[...] base de qualquer gerenciamento de riscos está subordinada a correta identificação dos riscos inerentes à organização [...]”. As técnicas de identificação e classificação dos riscos compreendem brainstorming, Delphi, entrevista, análise da Matriz SWOT, lista de verificação, diagrama de causa e efeito ou Diagrama de Ishikawa.A técnica de brainstorming pode ocorrer por meio de reuniões em que os participantes obtêm uma lista de riscos identificáveis e passíveis de avaliação, ou seja, o que importa é a quantidade de ideias, e não a qualidade (MEIRELES, 2001; ROVAI, 2005; TURNER, 1999). O produto dessa reunião deve ser uma lista de riscos prioritários, que depois será utilizada como base na etapa de análise (DAYCHOUM, 2010). Essa técnica considera a análise de cenários internos e externos, e sua única desvantagem pode ser o excesso de riscos levantados (PINTO, 2012).A Delphi busca o consenso de especialistas no assunto, sendo que o grupo é reduzido e não se encontra pessoalmente permitindo que uma pessoa não influencie na resposta e opinião da outra e, como não requer reuniões, pode ser mais fácil de ser realizada por não depender da agenda dos participantes (DAYCHOUM, 2010; DEY, 1999; ROVAI, 2005; WRIGHT; GIOVINAZZO, 2000). A técnica consiste na entrega de um questionário a cada participante solicitando ideias de riscos relevantes para o negócio, já classificados por tipo de risco, e as respostas são entregues ao coordenador da atividade (ROVAI, 2005).A técnica de entrevista é realizada com executivos da empresade forma individual, o que possibilita um trabalho mais focado, por serum grupo reduzido de pessoas (PINTO, 2012). O responsável peloprocesso identifica os envolvidos e os orienta sobre a atividade, dando- lhes informações importantes, como as de cenários interno e externo. Os responsáveis identificam os riscos com base em suas experiências e nas informações que foram repassadas pelo responsável pelo processo (DEL CAÑO; DE LA CRUZ, 2002; ROVAI, 2005).A Matriz SWOT é outra técnica, segundo Rovai (2005), para a análise dos pontos fortes e fracos, oportunidades e ameaças. Assen, Berg e Pietersma (2010) e Del Caño e De La Cruz (2002) declaram que, para formatar a Matriz SWOT, são identificadas as potencialidades, fragilidades, oportunidades e ameaças da empresa, após a análise dos ambientes. Silva et al. (2011, p. 2) tratam a Matriz SWOT como “[...] uma ferramenta usada para a realização de análise de ambiente e serve de base para planejamentos estratégicos e de gestão de uma organização”.A lista de verificação, ou checklist, também é uma ferramenta utilizada para a identificação de riscos, podendo ser conceituada como um instrumento destinado a coletar informações quanto à ocorrência de determinados eventos e é desenvolvida com base no conhecimento acumulado de informações (MEIRELES, 2001; ZAGUINI, 2012). Rovai (2005) mostra que a vantagem de seu uso está relacionada à rapidez e simplicidade, e a desvantagem é a utilização de um número mais limitado de riscos, por ser impossível construir uma lista muito grande.O diagrama de causa e efeito, ou Diagrama de Ishikawa, é um gráfico que tem a finalidade de discutir sobre as causas de um problema e analisar os efeitos decorrentes disso (DEL CAÑO; DE LA CRUZ, 2002; LINS, 1993). Bezerra (2014) expõe que o diagrama considera que pode haver seis tipos de causas diferentes: 1) o método utilizado para executar o trabalho; 2) a máquina utilizada; 3) a medida; 4) o meio ambiente; 5) a mão de obra; e 6) o material utilizado. Rovai (2005) também afirma que o Diagrama de Ishikawa é uma ferramenta que pode ser utilizada na identificação de riscos e suas causas.Após identificados, os riscos devem ser classificados em internos(ocorrem independente da gestão da organização) e externos (decorremda estrutura da própria empresa, dos seus processos, pessoas etc.),podendo ser interferidos para solucioná-los (IBGC, 2007). Depois dessa classificação, os riscos devem ser identificados quanto à sua natureza: estratégica, operacional ou financeira. Finalizada a etapa de identificação de riscos, alguns produtos das atividades realizadas devem ser entregues, independentemente das técnicas utilizadas. Rovai (2005) apresenta duas entregas fundamentais: a) lista dos riscos identificados: nela devem constar os riscos adversos, bem como oportunidades que foram levantadas; e b) gatilhos: cada risco deve ter indicações de que ocorreu ou está para ocorrer.2.4 Técnicas de análise dos riscosA etapa de análise dos riscos é importante para que seja possíveldefinir o que será feito com cada um deles. Na avaliação é que se determina se o risco é aceitável ou tolerável, e a partir dela são definidas as formas de tratamento, que, por sua vez, é o processo para modificar o risco (NBR ISO 31000, 2009; TEIXEIRA NETO; ARAÚJO, 2007). Ramos (2009) relata que, na análise, devem ser levados em consideração a probabilidade e o impacto de cada risco identificado e classificado anteriormente.A técnica de análise de probabilidade e impacto apresenta critérios para pontuar os riscos, definindo valores para baixa, média e alta probabilidade e impacto, além da pontuação utilizada para determinar a severidade de cada um (RAMOS, 2009; THAHEEM; DE MARCO,2013). A multiplicação desses pesos concede a classificação do risco. Então, por exemplo, uma alta probabilidade (7 pontos) e um alto impacto (7 pontos) resultam em uma pontuação 49, que pela escala de risco corresponde a alto (35 a 49 pontos). Média probabilidade (5 pontos) e um baixo impacto (3 pontos) resultam em uma pontuação 15, que na escala corresponde a baixo (9 a 15 pontos).A Técnica de Incidentes Críticos (TIC) é uma análise feita na fase operacional dos processos, com o objetivo de identificar os possíveis erros que contribuem para a ocorrência de acidentes com lesões reaise potenciais (CARDOSO JUNIOR; GONÇALVES; SCARPEL, 2012;RASPOTNIG; OPDAHL, 2013; TEIXEIRA NETO; ARAÚJO, 2007). Teixeira Neto e Araújo (2007) destacam que essa técnica é aplicada por meio de entrevistas com colaboradores que exercem diferentes atividades, para instigá-los a pensar sobre incidentes ou atos inseguros que tenham cometido. Todos os incidentes são coletados e classificados de acordo com a categoria de risco da empresa, para identificar os principais problemas e priorizar as ações a serem realizadas (TEIXEIRA NETO; ARAÚJO, 2007). Nesse sentido, o principal objetivo dessa técnica é que o resultado de sua aplicação possibilite à empresa agir proativamente em relação aos riscos.Uma das metodologias sugeridas por Rovai (2005) para a análise dos riscos é a Failure Mode and Effect Analysis (FMEA). Segundo Amigo (2012, texto digital), a FMEA é “[...] uma ferramenta usada para aumentar a confiabilidade de um certo produto durante a fase de projeto ou processo”. Ela consiste em detectar possíveis falhas em um grupo de atividades e avaliar seus efeitos sobre o processo (CARDOSO JUNIOR; GONÇALVES; SCARPEL, 2012; RASPOTNIG; OPDAHL, 2013). De acordo com Roos e Rosa (2008), conhecendo as falhas é possível gerar ações para eliminar ou reduzir a probabilidade de sua ocorrência, gerando melhorias da qualidade. Rovai (2005) afirma que pode ser utilizada uma escala de cinco níveis (muito baixo, baixo, moderado, alto e muito alto) ou de três níveis (baixo, moderado e alto).Continuando com a análise de Rovai (2005), é possível estabelecer uma matriz com base na combinação das escalas de probabilidade e impacto. Na FMEA, a severidade é o Risk Priority Number (RPN), que é o resultado do impacto, ocorrência e detecção do risco, representada em uma matriz de avaliação, dividida em vermelho (risco alto), amarelo (risco moderado) e verde (risco baixo): “A zona vermelha está centrada no canto superior direito (impacto e possibilidade grandes), e a zona verde está centrada no canto inferior esquerdo da matriz (impacto e possibilidade pequenos)” (ROVAI, 2005, p. 107). Nesse caso, multiplica- se a probabilidade de ocorrência pelo grau de impacto no negócio. Na faixa verde, ficam os riscos de baixa severidade, com a necessidade dedefinir se serão aceitos ou não. Os que estão na faixa amarela podemser aceitos ou podem ser liberados recursos em resposta a eles; e os riscos na faixa vermelha devem ser alvo de providências.A técnica de Análise Preliminar de Riscos (APR) tem o objetivo de antever riscos na fase de desenvolvimento de um projeto ou sistema que possam prejudicar sua operacionalização posterior e é feita com base na categorização do risco, e quanto maior for o índice de criticidade, maior deve ser a intervenção (ERICSON, 2015; FRANÇA; TOZE; QUELHAS,2008; TEIXEIRA NETO; ARAÚJO, 2007). A APR normalmente é uma revisão superficial de problemas gerais de segurança, e como ocorre no início de uma atividade, pode ser que faltem informações para definir os riscos, o que pode prejudicar o resultado final do trabalho (TEIXEIRA NETO; ARAÚJO, 2007).A Análise de Árvore de Falhas (AAF) é um método para estudar fatores que podem ocasionar um evento indesejável e normalmente combina a frequência da falha desses eventos com as circunstâncias que podem lhes causar (RASPOTNIG; OPDAHL, 2013; TEIXEIRA NETO; ARAÚJO, 2007). Yamane e Souza (2007) se referem à árvore de falhas como um método para descobrir e entender interações complexas que podem causar ou causaram a falha. A AAF foca um evento e fornece métodos para determinar as suas causas, com combinações de falhas de equipamentos ou erros humanos que possam resultar em um acidente ou incidente (TEIXEIRA NETO; ARAÚJO, 2007).Ainda há a técnica chamada de As Low As ReasonablyPracticable (ALARP), que, de acordo com Teixeira Neto e Araújo (2007, p. 38), “[...] é uma técnica de gestão, com o objetivo de avaliar o nível de risco de um determinado sistema ou processo, utilizando uma Matriz de Tolerabilidade de Riscos, onde os mesmos são classificados e ordenados de acordo com sua importância”. Furtado et al. (2008) destacam que a aplicação da ALARP possui a finalidade de reduzir o nível de risco a valores muito baixos. As três classificações dos eventos utilizadas são: eventos prioritários, eventos de precaução e eventos de vigilância.2.5 Tratamento dos riscosO tratamento do risco consiste em analisar quais serão asrespostas aos riscos alinhadas à tolerância permitida pela empresa. Segundo a NBR ISO 31000 (2009), com base na análise dos riscos realizada anteriormente, é possível determinar quais são os riscos que precisam de tratamento e a prioridade para a sua implementação.O COSO (2007) apresenta alguns tipos de respostas aos riscos: a) evitar, podendo descontinuar as atividades que geram os riscos; b) reduzir, adotando medidas para reduzir a probabilidade ou o impacto dos riscos; c) compartilhar, transferindo ou compartilhando uma porção do risco para reduzir a probabilidade ou o impacto; e d) aceitar, não tomando medidas para afetar a probabilidade ou o impacto, já que é um risco inerente ao negócio.A NBR ISO 31000 (2009) reforça que ,na seleção de opções de tratamento dos riscos, é preciso equilibrar custos, esforços de sua realização, bem como os benefícios que trarão, avaliando o custo- benefício, levando em consideração a probabilidade e o impacto de cada risco. A norma trata que talvez um risco com grande impacto negativo, mas raro de acontecer, não mereça um tratamento com alto investimento. Convém que o plano de tratamento identifique claramente a prioridade de implementação de cada tratamento (NBR ISO 31000, 2009).Rovai (2005) afirma que o planejamento de respostas aos riscos é uma das partes mais importantes do gerenciamento do risco, pois, se não for feita, toda atividade de identificação e análise realizada anteriormente não será válida. A forma de tratamento deve ser definidaconsiderando as necessidades da empresa e seus recursos.2.6 Monitoramento dos riscosOs controles contribuem para assegurar que o tratamento dos riscos seja executado conforme o planejado e requerem o envolvimento de todos os níveis hierárquicos da empresa, a fim de garantir a execução das ações planejadas, bem como avaliar a sua eficácia na redução do risco (ROVAI, 2005).O monitoramento é a verificação contínua a fim de identificarmudanças no nível de desempenho esperado e alterações dos próprios riscos que podem requerer revisão dos seus tratamentos e suas prioridades. A partir dele, é possível verificar se as fontes de risco estão sob controle ou se estão causando problemas para a empresa, se os riscos identificados anteriormente continuam ou se novos surgiram (NBR ISO 31000, 2009).Uma das formas de monitorar os riscos é por meio de reuniões periódicas, que contemplem a revisão dos riscos e de sua severidade, sendo importante rodar novamente o processo para saber se os riscos identificados e suas tratativas tiveram alterações (ROVAI, 2005).Outro controle pode ser feito por meio dos indicadores de desempenho pelos quais é possível verificar resultados inesperados ou tendências incomuns e buscar suas causas para serem solucionadas (CAETANO, 2005). De acordo com Pereira (2012), os indicadores possibilitam obter um sinal precoce de exposição ao risco e requerem a determinação de limites apropriados (metas) para a ação em diferentes níveis de acordo com a apetência ao risco.Teixeira Neto e Araújo (2007) apresentam a auditoria como outra forma de monitorar os riscos, que deve ser compreendida como uma fonte de informações relevantes com o objetivo de eliminar o risco de fraudes e erros nos controles internos. Segundo os autores, a auditoria verifica se as atividades desenvolvidas estão de acordo com a realidade do negócio e pode avaliar se os controles definidos para gerenciar os riscos estão de fato ocorrendo, se os indicadores estão dentro das metas estipuladas e, caso não estiverem, se há ação sobre os resultados.3 Procedimentos Metodológicos3.1 Tipo de pesquisaEsta pesquisa, quanto ao modo de abordagem, é de naturezaqualitativa, pois não utilizou métodos estatísticos na coleta, tabulação eanálise dos dados. O estudo de caso permitiu um estudo aprofundadodo processo de implantação de uma metodologia de gestão de riscos. Éexploratória por apresentar pouca literatura que descreva as práticas de gestão de riscos e pelos modelos serem escassos e pouco detalhados – esse aspecto também é apontado por Carvalho e Caldas (2006) e Santos et al. (2009). Além disso, o método de gestão de riscos é pouco utilizado pelas empresas, por diversos motivos, como preparação da gestão, modelo de gestão adotado e dificuldade de quebra de paradigmas em função da conservação de métodos de gerenciamento convencionais. Nesse sentido, este estudo contribui para a definição do método mais adequado na identificação de riscos, considerando as características da atividade da empresa, e deixa claro o procedimento de sua aplicação, podendo, assim, ser utilizado em futuras consultas e contribuindo para a literatura.3.2 Unidade de AnáliseA unidade de análise compreende uma empresa do ramo deprestação de serviços, a qual, para preservar o sigilo das informações, foi denominada de “Empresa PS”. O estudo aplicou-se por se tratar de uma prestadora de serviços que não possuía um processo de gestão de riscos implantado. A empresa localiza-se na região do Vale do Taquari- RS, Brasil.3.3 Coleta dos dados e análiseA coleta de dados ocorreu entre os dias 4 e 18 de setembro de2015. Antes de iniciar a tarefa de aplicação do método, foi definido que a gestão de riscos na Empresa PS seria tratada de forma integrada, e não em silos, já que a estrutura de gestão adotada é uma gestão por processos, e não por áreas. Portanto, foram analisados os riscos do negócio sem estratificá-los por área.Outra definição refere-se à classificação de riscos que seria utilizada, sendo definido que os seguintes tipos de riscos seriam adotados: a) operacional: riscos advindos de atividades internas dacooperativa; b) mercado/social: riscos advindos do meio externo àcooperativa; e c) legal/regulatório: riscos relacionados ao atendimento de demandas legais (leis) e exigências do órgão regulamentador.A técnica utilizada para o levantamento dos riscos do negóciofoi o brainstorming (ver DAYCHOUM, 2010; MEIRELES, 2001; PINTO,2012; ROVAI, 2005), para obter uma lista de riscos prioritários. Essa técnica aplicou-se em uma reunião com 4 gerentes e 17 subgerentes de áreas da Empresa PS, em que foram instigados a identificar os riscos do negócio. O brainstorming foi escolhido por ser de simples aplicação, possibilitando que os participantes contribuíssem com opiniões acerca dos riscos. Além disso, de acordo com Rovai (2005), o brainstorming é provavelmente a técnica mais utilizada para a identificação de riscos e objetiva obter uma lista completa dos riscos, podendo ser selecionados posteriormente na etapa de avaliação. Costa (2004) recomenda que o levantamento inicial dos riscos seja realizado por meio do brainstorming, de forma livre, sem roteiro específico.Os riscos identificados, bem como sua classificação, foram inseridos em um quadro de análise de riscos, cuja estrutura considerou a análise de probabilidade e impacto proposta por Ramos (2009), por ser de fácil compreensão dos participantes da atividade, bem como para o posterior monitoramento dos riscos identificados.A análise dos riscos ocorreu após a etapa de sua identificação e classificação, por meio da participação dos 4 gerentes. A técnica utilizada foi uma combinação da FMEA (ver ROVAI, 2005) e do modelo probabilístico de análise de probabilidade e impacto (ver RAMOS,2009). Essas técnicas foram escolhidas por serem mais simples e não necessitarem de cálculos muito elaborados. Ambas abordam a análise do grau de probabilidade e de impacto de um risco, havendo a multiplicação dos dois pesos (graus) para determinar a severidade do risco.Após a organização de todos os riscos identificados em um quadro, realizou-se sua análise, de 19 a 27 de setembro de 2015, com o objetivo de verificar se a metodologia utilizada foi possível de ser aplicada na sua totalidade, ou se houve problemas e dificuldades em sua aplicação.Essa análise foi feita de forma qualitativa, envolvendo a percepção dapesquisadora, além de uma comparação com o que foi apresentado na revisão bibliográfica.3.4 Limitação do métodoAs limitações do método referem-se à técnica de brainstormingquanto à participação de um grande número de gerentes e subgerentes de diferentes áreas, pois pode ter afetado a qualidade de identificação e classificação dos riscos, devido à grande quantidade de riscos identificados e ao foco dado para deficiências de algumas áreas.A técnica de FMEA não foi implantada por completo, ou seja, apenas para verificação dos riscos do negócio por meio do quadro de severidade do risco, pois é necessário abranger inicialmente uma etapa e, na medida em que esta esteja em funcionamento, avança para as demais etapas de implantação ou áreas de risco. Caso fosse implantada por completo, ou seja, em todas as etapas, o resultado da análise dos riscos poderia ser diferente do encontrado neste estudo, pois poderiam ser identificados em outras etapas riscos com níveis e pesos de impacto distintos destes mensurados na matriz de impacto da FMEA.4 Resultados e Análises4.1 Identificação e classificação dos riscosOs gerentes e subgerentes, no processo de identificação dosriscos pela técnica brainstorming, definiram 42 riscos; sendo assim, nesta etapa, deve-se considerar a quantidade, e não a qualidade das ideias, segundo Meireles (2001), Rovai (2005) e Turner (1999). Com base nesses riscos identificados, realizou-se uma consolidação, restando apenas 18 (Quadro 1). A consolidação ocorreu com base no conhecimento e feeling dos 4 gerentes, os quais agruparam os riscos similares, e outros foram excluídos, pois não se vinculavam ao risco do negócio.Quadro 1 – Identificação, classificação e análise dos riscosRiscoClassificaçãoSeveridadeDificuldade em atrair e reter profissionais capacitados.Mercado/social4Insucesso nas negociações sindicais.Legal/regulatório4Utilização de profissionais não credenciados ao serviço, descaracterizando o negócio da Empresa PS.Operacional4Pouca flexibilidade na negociação com os clientes.Operacional8Política de precificação e comercialização dos serviços.Operacional8Perda da solidez financeira.Operacional10Falta de informações sobre a condição da carteira de clientes.Operacional12Negativas de serviços versus custo judicial.Legal/regulatório12Criação de regras que podem impactar no modelo de gestão adotado pela empresa.Legal/regulatório12Suspensão dos serviços por questões judiciais.Legal/regulatório16Dependência dos prestadores de serviços.Mercado/social20Dimensionamento da rede de prestadores de serviços.Operacional20Ressarcimento por serviços prestados a prestadores não credenciados.Legal/regulatório20Capacidade de adequação dos processosOperacional24Intervenção do órgão regulamentador do serviço.Legal/regulatório24Relacionamento com os prestadores de serviços.Operacional24Credibilidade da imagem institucional.Operacional30Aumento do custo dos serviços.Mercado/social50Fonte: Elaborado pelos autoresLegenda: Faixa Verde: estes riscos são de baixa severidade, devem ser monitorados por meio de indicadores e não é necessário prever ações para minimizá-los. Faixa Amarela: são os riscos que requerem atenção, devem ser monitorados por meio de indicadores e ser definidos planos de contingência, que serão iniciados caso o risco ocorra. FaixaVermelha: compreendem os riscos com alta severidade, sendo assim,devem ser definidos planos de ação ou projetos para serem realizadosno menor tempo possível, para os riscos serem minimizados e para que seu grau de impacto seja atenuado, devendo ser definidos indicadores para o seu monitoramento.Após o processo de consolidação dos riscos, estes foram classificados com base nos tipos de risco, tais como: a) operacional; b) mercado/social; c) legal/regulatório (Quadro 1). Além disso, esses gestores também classificaram cada um dos 18 riscos quanto ao critério de impacto e de probabilidade, atribuindo, assim, os respectivos pesos(Quadro 2).Quadro 2 – Critérios de classificação do impacto e da probabilidadeImpactoCritério quanto ao serviço/produtoPesoMuito AltoFalha afeta a segurança de operação e desacordo legal sem advertência.10Muito AltoFalha afeta a segurança de operação e desacordo legal com advertência.09AltoOperável, com perda de função primária.08AltoOperável, mas com nível de desempenho reduzido e cliente insatisfeito.07ModeradoOperável, com itens de conveniência inoperáveis e cliente insatisfeito.06ModeradoOperável, com itens de conveniência com desempenho reduzido e cliente insatisfatório.05BaixoAcabamento não está em conformidade e o defeito é notado pela maioria dos clientes.04BaixoAcabamento não está de conformidade e o defeito é notado pela metade dos clientes.03Muito BaixoAcabamento não está de conformidade e o defeito é notado pela minoria dos clientes.02Muito BaixoSem efeito.01ProbabilidadeCritério quanto à ocorrência do riscoPesoMuito altaSeria uma surpresa em não acontecer.5AltaMais provável acontecer do que não acontecer4ModeradaIgual probabilidade de acontecer ou não.3BaixaMais provável não acontecer do que acontecer.2Muito BaixaSeria uma surpresa se isto acontecesse.1Fonte: Adaptado de Ramos (2009) e Rovai (2005).A atribuição dos pesos aos riscos quanto ao impacto e àprobabilidade tem como finalidade a determinação da severidade, e esta foi determinada pelos 4 gerentes e pelo coordenador da Gestão da Qualidade, por meio de discussão e consenso. A severidade foi apurada por meio da multiplicação dos pesos de impacto pelos pesos da probabilidade de ocorrência (Quadro 3), resultando na determinação do grau de severidade apresentada no Quadro 1.Quadro 3 – Escala do riscoSeveridadeEscalaClassificaçãoBaixa0 a 4VerdeModerada5 a 19AmareloAlta20 a 50VermelhoFonte: Adaptado de Ramos (2009) e Rovai (2005).As etapas de identificação e classificação dos riscos foi essencialpara a determinação dos hot spots e das oportunidades em relação ao negócio da Empresa PS, o que se alinha à ideia de Müller e Drax (2014). Dessa forma, o Quadro 1 apresenta os riscos com baixa severidade (faixa verde), os quais são aceitáveis, porém, devem ser monitorados por meio de indicadores. Os riscos com moderada severidade (faixa amarela) são pontos de atenção, sendo assim, devem ser monitorados por indicadores e definidos planos de contingência. Os riscos com alta severidade (faixa vermelha) devem ser alvo de providências imediatas, definindo planos de ação ou projetos a serem realizados no menor tempo possível, para que sejam minimizados e seu grau de impacto seja atenuado, além de serem monitorados por meio de indicadores.4.2 Tratamento e monitoramento dos riscosNeste estudo, apenas foram tratados os riscos que ficaram nafaixa vermelha, com severidade alta, sendo definidos os indicadores para monitorá-los e os planos de ação para minimizá-los (Quadro 2).Quadro 2 – Tratamento dos riscos com severidade altaRiscoIndicadorPlano de ação/ProjetoDependência dos prestadores de serviços.- Reclamações de clientes referentes ao dimensionamento de rede. - Reclamações de clientes referentes à dificuldade de agendar serviços. - Desempenho dos prestadores de serviços. - Credenciamento versus Descredenciamento de prestadores de serviços. - Prestadores de serviços credenciados versus prestadores de serviços existentes na região de atuação da Empresa PS.- Implantação de software para a gestão dos prestadores de serviços. - Avaliar pertinência de verticalização de serviços. - Ampliar abrangência de serviços para outras cidades. - Redefinir critérios de dimensionamento da rede de prestadores de serviços. - Fazer busca ativa de prestadores de serviços.Dimensionamento da rede de prestadores de serviços.- Reclamações de clientes referentes ao dimensionamento de rede. - Reclamações de clientes referentes à dificuldade de agendar serviços. - Prestadores de serviços que não foram credenciados (Nº de orientações realizadas em relação ao nº de prestadores que foram credenciados). - Percentual de atendimentos no prazo. - Prestadores não credenciados que atendem a Empresa PS. - Demanda de atendimento versus Disponibilidade dos prestadores.- Redefinir critérios de dimensionamento da rede. - Fazer busca ativa de prestadores de serviços. - Estabelecer em contrato com os prestadores de serviços, um limite mínimo de serviços prestados por mês. - Agendamento eletrônico dos serviços. - Reavaliar regras de entrada para credenciamento de prestadores de serviços.Ressarcimento por serviços prestados a prestadores não credenciados.- Quantidade de atendimentos realizados por prestadores não credenciados. - Relação de ressarcimento aos prestadores não credenciados versus custo com prestadores credenciados. - Valor de ressarcimento aos prestadores não credenciados. - Valor do custo com prestadores credenciados.- Identificar se o valor de ressarcimento aos prestadores não credenciados é mais elevado do que o custo com prestadores credenciados. - Verificar quais são os serviços mais procurados e os motivos da procura.Capacidade de adequação dos processos.- % Cumprimento dos prazos das exigências legais. - % de Assertividade. - % de qualidade cadastral (cadastros completos e corretos). - Demora na solução de reclamações na Ouvidoria.- Adequação ao E-Social. - Adequação da rede por produto. - Mapeamento do Processo de Reembolso. - Priorizar as demandas legais. - Remodelar a estrutura de reuniões de processo. - Estabelecer base única de informações para toda a empresa.Intervenção do órgão regulamentador do serviço.- Monitoramento das regras e legislações publicadas pelo órgão regulamentador do serviço. - Cumprimento das legislações publicadas pelo órgão regulamentador do serviço.- Atender as demandas do órgão regulamentador, assim que forem divulgadas. Neste caso não há como tomar uma ação antes que a lei seja lançada.Relacionamento com os prestadores de serviços.- Reclamações dos prestadores em relação à Empresa PS. - Satisfação dos prestadores com a Empresa PS. - Pagamento correto aos prestadores de serviços.- Mapear o processo de desenvolvimento de prestadores de serviços.Credibilidade da imagem institucional.- Saúde da marca.- Elaborar plano de contingência para o caso da marca ser denegrida.Aumento do custo dos serviços.- Custo dos serviços. - Receita total versus custo total.- Otimização do processamento de atendimentos eletrônicos. - Avaliar pertinência de verticalização de serviços.Fonte: Elaborado pelos autores.O monitoramento dos indicadores, planos de ação e projetosdeve ser realizado por meio do preenchimento de relatórios para apurar a evolução do risco. Esse relatório deve ser apresentado e discutido em reuniões periódicas, que podem ocorrer em intervalos de 30 dias; sendo assim, pode-se identificar o desempenho dos indicadores, verificando tendências incomuns e intentar-se em suas causas para possíveis soluções. Além disso, é prudente alinhar a gestão de riscos com o processo de auditoria, pois esta pode avaliar se os controles e monitoramentos estabelecidos estão sendo realizados. Nesse processo de análise e avaliação dos indicadores monitorados, devem participar todos os responsáveis das áreas pertinentes e inclusive a alta administração. Essas ideias aderem-se à análise de Caetano (2005), Dionne (2013), Kutsch e Hall (2009), NBR ISO 31000 (2009), Pereira (2012), Rovai (2005), Teixeira Neto e Araújo (2007).Após apresentar os resultados do tratamento e análise do risco,na sequência, apresentam-se a análise e discussão.4.3 Análise e discussão dos resultadosNa revisão e análise crítica do desempenho dos riscos pelaEmpresa PS, torna-se importante que o responsável pelo processo tenha uma visão integral das etapas e dos riscos que foram identificados, bem como da forma de tratamento definida para cada risco. Essa revisão dos riscos do negócio e sua avaliação crítica do desempenho devem ser realizadas em períodos anuais, de acordo com a NBR ISO 31000 (2009) e Pereira (2012).As etapas de identificação e classificação dos riscos podem ser realizadas com um grupo inferior a 17 subgerentes de áreas, pois, ao final, foi realizada uma compilação dos riscos baseada no conhecimento de 4 gerentes. Sendo assim, a etapa com os subgerentes poderia ser abolida do processo para torná-lo mais eficaz. Essa constatação vem ao encontro de Bem (2008), quando defende que a técnica de brainstorming deve ser operacionalizada por 4 a 12 participantes, sem haver diferenças sociais e de patamar na hierarquia da organização, tornando-os contribuintes em potenciais de ideias. Além disso, o processo de seleção desses participantes deve considerar como base o conhecimento prévio e a experiência sobre o assunto, corroboram Del Caño e De La Cruz (2002).A técnica brainstorming, empregada na identificação desses riscos, é aceitável, pois permitiu, por meio da identificação, uma discussão dos principais hot spots e oportunidades. Outro aspecto saudável na identificação dos riscos refere-se ao grupo de participantes envolvidos, pois estes devem ter uma visão abrangente dos riscos do negócio, em vez de centrar-se em área ou processo específico, também sugerido por Fadun (2013).A classificação dos riscos em operacional, mercado/social e legal/ regulatório demonstra a visão holística empregada na gestão dos riscos, pois abrange cenários endógenos (operacional) e exógenos (mercado/ social). Sendo assim, torna-se prudente destacar que, além de o risco integrar todo tipo de negócio, há uma complexidade nesse processo, em função das diversas áreas envolvidas, o que torna difícil a definiçãode um modelo único de gestão de riscos. O IBGC (2007), Kannan eThangavel (2008), Landier, Sraer e Thesmar (2009) e Sousa, Almeida eDias (2012) também discutem e defendem esse posicionamento.A análise dos riscos, levando em consideração o cruzamento de sua probabilidade e impacto, além de fácil apuração e entendimento, apura o grau de severidade de cada risco. Com essa informação, a organização pode agir com ações imediatas ou proativas frente ao risco, segundo Caetano (2005) e Müller e Drax (2014). O grau de severidade dos riscos por meio de cores (verde, amarelo e vermelho) permite que o processo seja de fácil visualização e entendimento pelos gestores, pois se evidenciam os riscos críticos da organização, constatação também defendida por Pinto e Quelhas (2011).O tratamento definido para cada grau de severidade também foi fundamental para que o processo fosse eficiente e coerente com o modelo de gestão adotado pela Empresa PS. Entendeu-se que o tratamento mais severo (vermelho) deve ser feito para os riscos que possuem uma alta severidade, pois representam aqueles que têm uma maior probabilidade de ocorrer e um maior impacto caso ocorram. Também é importante ter planos de contingência programados para aqueles com severidade média (amarelo), pois, caso ocorram, já há uma programação do que deve ser feito para atacá-los. Apesar da obtenção da severidade baixa (verde), é importante que os riscos sejam monitorados, para que não venham a ter sua severidade aumentada, requerendo ações posteriores.A instrução sobre cada uma das etapas do método de gestão de riscos aos participantes é fundamental. Além disso, os participantes podem estar munidos de informações e dados sobre os cenários interno e externo da empresa, facilitando a identificação dos riscos. Caso o método de gestão de riscos seja implantado em outra empresa, é importante verificar, antes do início das atividades, a aplicabilidade de cada técnica e a realidade e necessidade da empresa, pois pode exigir mudanças de acordo com o modelo de gestão adotado.As técnicas utilizadas e a escolha dos envolvidos na participaçãode cada etapa foram fundamentais para evitar que os riscos fossem vistoscomo geradores de conflitos identificando culpados pelos problemas.Neste sentido, minimiza-se a crítica de Macieira (2008), segundo o qual o risco é um difusor da cultura da culpa, implantado para identificar os culpados por falhas.5 ConclusãoA gestão de riscos vem se tornando cada vez mais comum nasempresas, pois a partir dela é possível ter maior conhecimento do seu negócio e dos concorrentes, tornando o risco um objeto de estudo e controle para melhorar os processos e a lucratividade. Portanto, este estudo revela que a identificação dos riscos utilizando a técnica de brainstorming permitiu elencar os riscos do negócio, sendo classificados em operacional, mercado/social e legal/regulatório.Na etapa de análise dos riscos pela probabilidade e impacto e da FMEA, foi possível determinar as formas de tratamento para cada um deles. Foi estabelecido que os riscos de severidade baixa (verde) sejam monitorados por meio de indicadores, os riscos de severidade média (amarela) sejam monitorados por indicadores, e que haja planos de contingência que serão iniciados caso o risco ocorra. Os riscos de severidade alta (vermelha), foco de tratamento deste estudo, tiveram seus indicadores, planos de ação e projetos definidos.Os riscos de severidade alta, foco de tratamento deste estudo, dizem respeito à dependência e ao dimensionamento da rede de prestadores de serviços, capacidade de adequação dos processos e aumento do custo dos serviços, ressarcimento aos prestadores não credenciados e intervenção do órgão regulador do serviço, relacionamento com os prestadores de serviços e credibilidade da imagem institucional. Dois riscos identificados com alta severidade são classificados como de mercado/social, quatro dizem respeito à classificação operacional e dois são legais/regulatórios. Sendo assim, o escopo central do estudo foi satisfeito com esses resultados alcançados.Como prática de monitoramento dos riscos do negócio, sugere-se que a Empresa PS acompanhe os planos de ação e projetos definidos, a fim de verificar se estão sendo efetivos na sua realização, bem como os indicadores, com o objetivo de verificar se estão sob controle. É importante que a empresa defina um responsável para esse monitoramento. Também se sugere que seja implantada uma sistemática de auditorias de riscos, para verificar se as atividades desenvolvidas estão de acordo com o que foi estabelecido para o processo de gestão de riscos. Outra sugestão é a comunicação sobre a gestão de riscos, possibilitando o engajamento de todos os colaboradores nesse trabalho, para que saibam qual é o objetivo dessa nova metodologia que integrará o sistema de gestão da Empresa PS.É importante, ainda, que a empresa estabeleça uma revisão anual dos riscos, contemplando todas as etapas do método implantado. À medida que os riscos forem acompanhados, o responsável pelo processo deve sinalizar possíveis alterações no panorama de riscos. Além disso, cabe recomendar que, em futuras pesquisas, sejam analisadas as variáveis intervenientes que influenciam na gestão do risco e uma análise holística das complexidades existentes nesse gerenciamento.ReferênciasAMIGO, Carolina. Failure Mode and Effect Analysis (FMEA).Portal de Conhecimentos. 2012. Disponível em: <http://www. portaldeconhecimentos.org.br/index.php/por/Conteudo/FMEA-Failure- Mode-and-Effect-Analysis>. Acesso em: 03 ago. 2015.ASSEN, Marcel Van; BERG, Gerben Van Den; PIETERSMA, Paul.Modelos de gestão: os 60 modelos que todo gestor deve conhecer. 2. ed. São Paulo: Pearson Prentice Hall, 2010.ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO31000:2009: Gestão de riscos: Princípios e diretrizes. Rio de Janeiro: ABNT, 2009.BEM, Fernando. Técnica de Brainstorm. Portal comunicação econhecimento. 2008. Disponível em: <http://www.portalcmc.com.br/tecria_09.htm>. Acesso em: 27 set. 2015.BEZERRA, Filipe. Diagrama de Ishikawa: causa e efeito. PortalAdministração. 2014. Disponível em: <http://www.portal- administracao.com/2014/08/diagrama-de-ishikawa-causa-e-efeito. html>. Acesso em: 01 ago. 2015.BORODZICZ, Edward P. Risk, crisis and security management. NewYork: John Wiley & Sons, 2005.CAETANO, Carlos Gilberto Gonçalves. Riscos: conceitos e premissaspara a implementação de um processo de gestão. Módulo Solutions for GRC. 2005. Disponível em: <http://www.modulo.com.br/downloads/ whitepaper-modulo.pdf>. Acesso em: 01 ago. 2015.CARDOSO JUNIOR, Moacyr Machado; GONÇALVES, T. J. M.;SCARPEL, R. A. Utilização de mapas conceituais para elaboração de conteúdo da disciplina de gerenciamento de riscos. In: Congresso Nacional de Excelência em Gestão, 8., 2012, Rio de Janeiro. Congresso Nacional de Excelência em Gestão. Rio de Janeiro: UFF, p.1-15. 2012.CARVALHO, Demerval Bicalho; CALDAS Marcelo Petroni. Basiléia II:abordagemprática para acompanhamento de risco operacional em instituiçõesfinanceiras.Resenha BM&F. Artigo Técnico. 2006. Disponível em: <<http://www.febraban.org.br/Arquivo/Servicos/Imprensa/Artigo_BasileiaII.pdf>. Acesso: 01 ago. 2015.COIMBRA, Fábio C. Gestão estratégica de riscos: instrumento decriação de valor. In: Seminários em Administração (SEMEAD). 7.,2004., São Paulo. Anais... São Paulo: USP, 2004. p. 1-10.COMMITTEE OF SPONSORING ORGANIZATIONS OF THETREADWAY COMMISSION - COSO. Gerenciamento de riscos corporativos : estrutura integrada. 2007. Disponível em: <http:// www.coso.org/documents/COSO_ERM_ExecutiveSummary_ Portuguese.pdf>. Acesso em: 14 jan. 2015.COSTA, Eliezer Arantes da. Gestão estratégica. São Paulo: Saraiva,2004.DAYCHOUM, Merhi. 40 ferramentas e técnicas de gerenciamento.3. ed. Rio de Janeiro: Brasport, 2010.DEL CAÑO, A.; DE LA CRUZ, M. P. Integrated methodology forproject risk management. Journal of Construction Engineering andManagement, [S.l], v. 128, n. 6, p. 473-485, Dec. 2002.DEY, P. K. Project time risk analysis through simulation. CostEngineering, [S.l], v. 43, n. 7, p. 24-32, october. 1999.DIONNE, Georges. Risk management: history, definition, and critique.Risk Management and Insurance Review, [S.l],v. 16, n. 2, p. 147-166, Sept. 2013.ERICSON, Clifton A. Hazard Analysis Techniques for SystemSafety. 2 ed. New Jersey: John Wiley & Sons, 2015.FADUN, Olajide Solomon. Risk management and risk management failure: lessons for business enterprises. International Journal of Academic Research in Business and Social Sciences, [S.l], v. 3, n.2, p. 225-239, Feb. 2013.FRANÇA, Sergio Luiz Braga; TOZE, Marco Antonio; QUELHAS, Osvaldo Luiz Gonçalves. A gestão de pessoas como contribuição à implantação da gestão de riscos. O caso da indústria da construção civil. Revista Produção Online, Santa Catarina, v. 8, n. 4, p. 1-19, dez. 2008.FURTADO, Vitor Hugo et al. Aspectos de segurança na integração de veículos aéreos não tripulados (Vant) no espaço aéreo brasileiro. In:Simpósio de Transporte Aéreo – SITRAER, 7., 2008, Rio de Janeiro.Anais.... Rio de Janeiro: E-Papers, v. 1 e 2, p. 506 – 517. 2008.GARVAN, J. R. Risk management: the unifying framework for businessscholarship. Risk Management and Insurance Review, [S.l], v. 10, n.1, p. 1-12, Spring 2007.HILLSON, D. Integrated risk management as a framework fororganisational success. 2006. Disponível em: <http://www.risk-doctor. com/pdf-files/adv13.pdf>. Acesso em: 14 jan. 2015.INSTITUTO BRASILEIRO DE GOVERNANÇA CORPORATIVA. Guiade orientação para o gerenciamento de riscos corporativos. SãoPaulo: IBGC, 2007.KANNAN, N.; THANGAVEL, N. Risk management in the financialservices industry. Academic Open Internet Journal, [S.l], v. 22, n. 7, p. 1 – 20. 2008.KAYE, B. Risk management. London: The Chartered InsuranceInstitute, 2009.KUTSCH, Elmar; HALL, Mark. The rational choice of not applyingproject risk management in information technology projects. ProjectManagement Journal, [S.l], v. 40, n. 3, p. 72-81, Sept., 2009.LANDIER, A.; SRAER, D.; THESMAR, D. Financial risk management:where does independence fail? American Economic Review, [S.l], v.99, n. 2, p. 454-458, May 2009.LINS, Bernardo F. E. Ferramentas básicas da qualidade. Ciência dainformação, Brasília, v. 22, n. 2, p. 153- 161, maio/ago. 1993.LOWE, S. W. Risk management. London: The Chartered InsuranceInstitute, 2010.MACIEIRA, André. Gestão baseada em riscos: reinventando opapel da gestão de riscos integrada ao negócio. Rio de Janeiro: ELO GROUP, 2008.MEIRELES, Manuel. Ferramentas administrativas para identificar,observar e analisar problemas: organizações com foco no cliente.São Paulo: Arte & Ciência, 2001.MORAES, Flávio de. Comunicação nos processos de gestãode risco corporativo na BM&FBovespa. 2012. 113 f. Dissertação(Mestrado em Administração) – Universidade de São Paulo, Recife,2012.MÜLLER, Roland; DRAX, Christopher. Necessity and Development ofRisk Management. In: MÜLLER, Roland; DRAX, Christopher. AviationRisk and Safety Management. Springer International Publishing,2014. p. 21-37.NASCIMENTO, Hélida Vanessa Alves Moreira. Gestão de riscose a importância da auditoria interna. 2011. 34 f. Monografia. Bacharelado em Ciências Contábeis, Universidade Católica de Pernambuco, Recife, 2011.PEREIRA, Joana Sofia Reis. A auditoria e a gestão do riscoempresarial. 2012. 297 f. Dissertação (Mestrado em Auditoria e Análise Financeira) - Instituto Politécnico de Tomar, Escola Superior de Gestão de Tomar, Portugal , 2012.PINTO, Eduardo da Silveira Sardinha. Gestão de riscos corporativosem uma empresa de telecomunicações. 2012. 161 f. Dissertação (Mestrado em Administração Profissional) – Faculdades Integradas de Pedro Leopoldo, Minas Gerais, 2012.PINTO, Leonardo Dias; QUELHAS, Osvaldo Luiz Gonçalves. Modelode análise de riscos aplicada na gestão de resíduos sólidos industriais. In: Congresso Nacional de Excelência em Gestão, 7., 2011, Rio de Janeiro. Anais… Congresso Nacional de Excelência em Gestão. Rio de Janeiro: UFF, 2011. p. 1-16.PITELA, A. C. et al. Gestão de riscos corporativos: uma análise dapercepção dos gestores das empresas paranaenses. In: CongressoUFSC de Controladoria e Finanças, 3., 2009. Florianópolis/SC.Anais... Florianópolis: UFSC, 2009. p. 1-15.PROTIVITI. Enterprise Risk Management Initiative. ERM Guide:Frequently asked questions. 2006. Disponível em: <http://www. knowledgeleader.com/KnowledgeLeader/Content.nsf/dce93ca8c1f384d6862571420036f06c/87e5c452010aadc9882571c00081a23c/$FILE/ERM%20FAQ%20 Guide.pdf>. Acesso em: 15 jan. 2015RAMOS, Cássio H. F. Análise de risco empresarial. Santa Catarina:Qualytool, 2009.RASPOTNIG, Christian; OPDAHL,Andreas. Comparing riskidentification techniques for safety and security requirements. Journal of Systems and Software, [S.l],v. 86, n. 4, p. 1124-1151, Apr. 2013.RAZ, Tzvi; HILLSON, David. A comparative review of risk managementstandards. Risk Management: An International Journal, [S.l], v. 7, n.4, p. 53-66, Oct. 2005.ROOS, Cristiano; ROSA, Leandro Cantorski da. Ferramenta FMEA:estudo comparativo entre três métodos de priorização. In: Encontro Nacional de Engenharia de Produção, 28., 2008, Rio de Janeiro. Anais... Rio de Janeiro: ENEGEP, 2008. p. 1-11.ROVAI, Ricardo Leonardo. Modelo estruturado para gestão deriscos em projetos: estudo de múltiplos casos. 2005. 364 f. Tese (Doutorado em Engenharia de Produção) – Escola Politécnica da Universidade de São Paulo, São Paulo, 2005.SALLES JÚNIOR, Carlos Alberto Corrêa et al. Gerenciamento deriscos em projetos. Rio de Janeiro: Editora FGV, 2006.SANTOS, Cicero Marciano Silva et al. Sistema de gestão de riscos:proposta para empresas construtoras de edificações verticais. In: ENCONTRO NACIONAL DE ENGENHARIA DE PRODUÇÃO, 29.,2009. Salvador:. Anais… Salvador: ABEPRO, 2009. p.1-11.SILVA, Andréia Aparecida da et al. A utilização da matriz swot comoferramenta estratégica: um estudo de caso em uma escola de idiomade São Paulo. In: Simpósio de Excelência em Gestão e Tecnologia, 8.,2011. Anais... São Paulo: SEGet, 2011. p. 1-11.SOUSA, Vitor; ALMEIDA, Nuno M. de; DIAS, Luís Alves. Riskmanagement framework for the construction industry according tothe ISO 31000: 2009 standard. Journal of Risk Analysis and CrisisResponse, [S.l], v. 2, n. 4, p. 261-274, Dec., 2012.TEIXEIRA NETO, Otávio Augusto; ARAÚJO, Vagner Pereira de.Implementando um modelo de gerenciamento corporativo de riscos em sistemas de transporte de passageiros sobre trilhos.2007. Disponível em: <http://www.ferrovia.com.br/arquivos/artigos/gerenciamento_riscos_jun07.pdf>. Acesso em: 04 ago. 2015.THAHEEM, Muhammad Jamaluddin; DE MARCO, Alberto. A surveyon usage and diffusion of project risk management techniques and software tools in the construction industry. In: Proceedings of World Academy of Science, Engineering and Technology. World Academy of Science, Engineering and Technology (WASET), 2013. p. 1-8.TURNER, J. Rodney. The handbook of project-based management:leading strategic change in organizations. McGraw Hill, 1999.WRIGHT; James Terence Coulter; GIOVINAZZO; Renata Alves.DELPHI: uma ferramenta de apoio ao planejamento prospectivo.Cadernos de pesquisas em administração, São Paulo, v. 01, n.12, , 2º trim, 2000.YAMANE, Alexandre Kenji; SOUZA, Luiz Gonzaga Mariano de.Aplicação do mapeamento de árvore de falhas (FTA) para melhoria contínua em uma empresa do setor automobilístico. In: Encontro Nacional de Engenharia de Produção, 27, 2007, Foz do Iguaçu. Anais... Rio de Janeiro: ABEPRO, 2007.ZAGUINI, Thiago de Assis. Avaliação das metodologias degerenciamento de riscos ambientais e de segurança de incêndio em uma fábrica de pneus no Rio de Janeiro - RJ. 2012. 105 f. Dissertação (Mestrado em Engenharia Ambiental) – Universidade Federal do Rio de Janeiro, Rio de Janeiro, 2012.Artigo recebido em: 02/01/2016Aprovado em: 24/05/2016