Análise da maturidade em gestão de riscos no MP : proposição e aplicação de um instrumento de avaliação orientado aos processos de TI

Abstract

Muitas organizações estão engajadas na adoção de abordagens consistentes e holísticas para a Gestão de Riscos. O aprimoramento da Gestão de Riscos nas instituições públicas se deve, inclusive, pela atuação recente dos órgãos de controle, quando intensificaram ações de auditoria voltadas para riscos. Um fator relevante para o sucesso da Gestão de Riscos é a obtenção, pela organização, de uma avaliação dos processos nos quais serão tratados os riscos. Para atender a falta de um instrumento de avaliação em Gestão de Riscos para o setor público é proposto o desenvolvimento de um Instrumento de Avaliação da Maturidade em Gestão de Riscos (IAMGR) orientado aos processos de Tecnologia da Informação (TI), baseado no processo de Gestão de Riscos da Norma ISO 31000:2009. A abordagem da pesquisa é "Qualitativa". Quanto à estratégia de pesquisa, foi utilizada a "Pesquisa-Ação", pois há a proposição do instrumento e a sua aplicação no Ministério do Planejamento, Desenvolvimento e Gestão (MP). Já as técnicas utilizadas para a coleta de dados foram: revisão bibliográfica, análise documental e técnica Delphi. O IAMGR é voltado para o setor público brasileiro e pode ser aplicado em qualquer instituição independente do tamanho e do estágio de maturidade em Gestão de Riscos, considerando os processos tratados no instrumento. Os níveis de maturidade propostos vão desde as organizações totalmente imaturas na área de riscos, até as que se encontram em estágio avançado de maturidade. Uma ferramenta automatizada foi desenvolvida para aplicação do instrumento, facilitando a autoavaliação. Com o intuito de validar o instrumento, foi feita uma aplicação na Diretoria de Tecnologia de Informação (DTI) do MP. Como resultado foram identificados os níveis de maturidade em Gestão de Riscos de 11 (onze) processos de TI, sendo que o nível de maturidade em gestão de riscos alcançado pelo órgão foi "Vulnerável". Com isso, conclui-se que a organização não tem, ainda, uma metodologia de gestão de riscos estável e organizada e não há nenhuma evidência de que a gestão de riscos atual possa apoiar a tomada de decisão. A DTI do MP afirma que o uso do IAMGR fortaleceu a cultura de riscos no órgão e tem contribuído para o aprimoramento da governança de TI.