Manual de Processos



**Manual de Gestão de Riscos de Processos 2024 Metodologia de Gestão de Riscos da ANEEL** 

## **Comitê de Governança, Riscos e Controles – CGRC** 

## _**Presidência**_ 

_Sandoval de Araújo Feitosa Neto -    Diretor-Geral da ANEEL_ 

## _**Membros**_ 

> Marcos Bragatto _-_ Ouvidoria - OUV 

Andréa Campos Reis 

_-_ Corregedoria - CRG 

Leonardo Marotta Gardino 

_-_ Auditoria Interna - AIN 

Daniel Cardoso Danna 

- Secretaria-Geral - SGE 

Joseanne Carla de Aguiar Santos 

_-_ Superintendência de Gestão de Pessoas - SGP 

## _**Secretaria Executiva**_ 

> Mariana de Almeida Maciel Garcia _-_ Gabinete do Diretor-Geral - GDG 

## **Sumário** 

|1.|<br>OBJETIVO DO DOCUMENTO ........................................................................................................ 4|
|---|---|
|2.|<br>PÚBLICO-ALVO ............................................................................................................................ 4|
|3.|<br>REFERÊNCIAS TÉCNICAS E MELHORES PRÁTICAS ......................................................................... 4|
|4.|<br>CONTEXTUALIZAÇÃO SOBRE GERENCIAMENTO DE RISCOS ......................................................... 5|
|5.|<br>DESCRIÇÃO DA METODOLOGIA DE GESTÃO DE RISCOS ............................................................... 8|
||Fase 1. Alinhamento Estratégico ......................................................................................... 9|
||1.1. Definição de Apetite e Tolerância ao Risco ........................................................................... 9|
||1.2 Identificação dos Processos Críticos .................................................................................... 11|
||Fase 2. Planejamento da Gestão de Riscos ....................................................................... 15|
||2.1. Nivelamento Conceitual e detalhamento da metodologia .................................................. 16|
||2.2 Análise Situacional do Processo........................................................................................... 16|
||Fase 3. Identificação de Riscos .......................................................................................... 18|
||3.1 Listagem, Definição e Classificação dos Riscos ..................................................................... 18|
||3.2 Identificação dos Fatores de Riscos ..................................................................................... 21|
||3.3 Identificação da Relevância dos Fatores de Riscos ............................................................... 24|
||3.4 Matriz da Relevância dos Fatores de Riscos ......................................................................... 26|
||3.5 Levantamento dos Controles............................................................................................... 28|
||Fase 4. Análise e Avaliação de Riscos Inerentes ................................................................ 29|
||4.1 Probabilidade x Impacto - Inerente ..................................................................................... 30|
||4.2 Matriz de Riscos - Inerente .................................................................................................. 36|
||4.3 Nível de Riscos - Inerente .................................................................................................... 37|
||Fase 5. Análise e Avaliação de Riscos Residuais ................................................................ 39|
||5.1 Avaliação dos Controles ...................................................................................................... 40|
||5.2 Probabilidade x Impacto – Residual ..................................................................................... 41|
||5.3 Matriz de Riscos - Residual .................................................................................................. 43|
||5.4 Nível de Riscos - Residual .................................................................................................... 44|
||Fase 6. Respostas aos Riscos ............................................................................................. 46|
||6.1 Plano de Ação ..................................................................................................................... 47|
||Fase 7. Monitoramento e Análise Crítica .......................................................................... 49|
||7.1 Estabelecimento dos Indicadores ........................................................................................ 50|
||7.2 Execução do monitoramento e Acompanhamento dos Indicadores .................................... 52|
||7.3 Elaboração de Relatórios Executivos ................................................................................... 52|
||7.4 Reunião de Análise Crítica ................................................................................................... 53|
||7.5 Retroalimentação e Aprendizado do processo de Gestão de Riscos Estratégicos ................. 53|
|6.|<br>SIGLAS ...................................................................................................................................... 54|
|7.|<br>GLOSSÁRIO ............................................................................................................................... 54|

## **1. OBJETIVO DO DOCUMENTO** 

Este documento visa estabelecer a metodologia para gerenciamento dos riscos de processos organizacionais instituídos na Agência Nacional de Energia Elétrica – ANEEL, com vistas ao atingimento dos seus objetivos para cumprimento de sua missão institucional. 

## **2. PÚBLICO-ALVO** 

Coordenadores de processos organizacionais, responsáveis pelas ações de monitoramento e controle, lideranças das unidades organizacionais, bem como todos os servidores e colaboradores que contribuem para atingir os objetivos da ANEEL. 

## **3. REFERÊNCIAS TÉCNICAS E MELHORES PRÁTICAS** 

Para desenvolvimento deste Manual, foram utilizados como referência teórica os seguintes documentos: 

- Decreto nº 9.203, de 22 de novembro de 2017, que dispõe sobre a política de governança da administração pública federal direta, autárquica e fundacional; 

- Curso EAD da ENAP: Gestão de Riscos em Processos de Trabalho (Segundo o COSO). https://www.escolavirtual.gov.br/curso/300 

- COSO II. ERM - Enterprise Risk Management, 2017; 

- ABNT NBR ISO 31.000: 2018, Gestão de Riscos - Diretrizes; 

- ABNT NBR ISO 31010: 2012, Gestão de Riscos - Técnicas para o processo de avaliação de riscos; 

- IBGC. Cadernos de Governança Corporativa. Gerenciamento de Riscos Corporativos - Evolução em Governança e Estratégia, 2017 - Caderno nº 19 Publicado em maio de 2017; 

- Referencial Básico de Governança - TCU - 2ª versão; 

- Instrução Normativa Conjunta CGU/MP nº 01, de 10/5/2016; 

- Guia do GesPública sobre Orientação para Gerenciamento de Riscos. 

- Declaração de Posicionamento do IIA - Instituto dos Auditores Internos: As Três Linhas de Defesa no Gerenciamento Eficaz de Riscos e Controles. 

- Modelo das três linhas do IIA 2020, uma atualização do modelo das três linhas de defesa. 

- Manual de Gestão de Integridade, Riscos e Controles Internos da Gestão - Ministério do Planejamento, Desenvolvimento e Gestão - MP - Assessoria Especial de Controles Internos - AECI 31/01/2017. 

- Brasiliano, Antonio Celso Ribeiro Brasiliano. Inteligência em Riscos - Gestão Integrada em Riscos Corporativos. São Paulo: Sicurezza, 2017. 

- Portaria - SEGECEX Nº 2 - TCU, de 22 de janeiro de 2018. 

## **4. CONTEXTUALIZAÇÃO SOBRE GERENCIAMENTO DE RISCOS** 

Um risco é qualquer ação ou efeito, desconhecido ou incerto, que possa impedir o alcance de um objetivo. De acordo com a Norma ISO 31.000: 2018 risco é o efeito da incerteza nos objetivos. Um risco é qualificado pela probabilidade da ocorrência e pelo impacto que pode causar no processo, caso ocorra. 

Segundo o Decreto nº 9.203, de 2017, a gestão de riscos é um processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificar, avaliar e gerenciar potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos. Assim, a gestão de risco aumenta a possibilidade de se alcançar o objetivo do processo a partir do reforço de seus controles internos. 

Conforme estabelece a Norma ABNT NBR ISO 31.000, o gerenciamento de riscos baseia-se em princípios que norteiam sua atuação, uma estrutura básica para seu funcionamento e uma organização do seu processo para favorecer sua atuação eficiente, eficaz e consistente, conforme figura abaixo. 

Figura 1 - Conjunto de princípios, organização do processo e estrutura de funcionamento da Gestão de Riscos - Norma 

ABNT NBR ISO 31.000. 

O conjunto de princípios, estrutura e etapas do processo da Gestão de Riscos está descrito também no Comitê de Organizações Patrocinadoras da Comissão Treadway – COSO, conforme quadro abaixo: 

## **5 Componentes e 20 princípios do COSO ERM 2017** 

|**COMPONENTES**|**PRINCÍPIOS**|
|---|---|
|**A - GOVERNANÇA E CULTURA**|1.<br> Supervisão do risco<br>2.<br>Estabelecimento de estruturas operacionais<br>3.<br>Definição de cultura desejada<br>4.<br>Compromissos com os valores fundamentas<br>5.<br>Atração, desenvolvimento e retenção de pessoas capazes|
|**B - ESTRATÉGIA E DEFINIÇÃO DE**<br>**OBJETIVOS**|6.<br>Análise do contexto de negócios<br>7.<br>Definição do apetite a risco<br>8.<br>Avaliação de estratégias alternativas<br>9.<br>Formulação de objetivos do negócio|
|**C - DESEMPENHO E PERFORMANCE**|10. Identificação do risco<br>11. Avaliação da severidade do risco<br>12. Priorização dos riscos<br>13. Implementação de respostas aos riscos<br>14. Adoção de visão integrada|
|**D - ANÁLISE E REVISÃO**|15. Avaliação de mudanças relevantes<br>16. Análise de riscos e performances<br>17. Busca do aprimoramento e gerenciamento dos riscos|
|**E - INFORMAÇÃO, COMUNICAÇÃO E**<br>**DIVULGAÇÃO**|18. Alavancagem dos sistemas de informação<br>19. Comunicação das informações sobre riscos<br>20. Divulgação de informações de riscos, cultura e performance|

Figura 2 - Componentes e princípios do COSO ERM 2017. 

De forma a padronizar os procedimentos necessários para avaliação e monitoramento dos riscos, entende-se como relevante o nivelamento dos conceitos e a organização dos procedimentos, composto por um processo estruturado, atrelado à metodologia e critérios personalizados para a ANEEL. 

Com base nas referências técnicas apresentadas e visando orientar a Gestão de Riscos de Processos no âmbito da ANEEL, foi estabelecido um processo detalhado no capítulo “5. Descrição da Metodologia”, sumariamente apresentado abaixo em sete etapas: 

- •Ao estabelecer o alinhamento estratégico, a organização está definindo seu apetite riscos, identificando os seus 

- **1. Alinhamento Estratégico** processos críticos e a análise do contexto interno e externo. 

- • Após a definição dos referenciais e parâmetros estratégicos, é necessário realizar o planejamento das 

- **2. Planejamento** atividades de gerenciamento de riscos de cada um dos processos de trabalho identificados como de alta criticidade. 

- • Na fase de identificação de riscos em processos, é necessária uma profunda análise do processo para identificar os fatores de riscos (causas) e os controles 

- **3. Identificação de Riscos** associados. A identificação deve incluir os riscos, estando suas fontes sob o controle da Agência ou não, aplicando ferramentas e técnicas adequadas. 

- • A análise e avaliação de riscos inerentes visa promover o entendimento do risco sem levar em consideração os 

- **4. Análise e Avaliação de Riscos -** controles existentes, auxiliando na definição de **Inerentes** prioridades. Por meio dela, é possível saber qual a probabilidade dos riscos virem a acontecer e calcular seus respectivos impactos nos processos da ANEEL. 

- • Entende-se por risco residual a análise e avaliação dos riscos considerando os controles já existentes. Esse 

- **5. Análise e Avaliação de Riscos -** conceito permite que os controles sejam avaliados e, 

- **Residuais** posteriormente, que sua efetividade seja comprovada durante os testes. 

- • Realizada a identificação, análise e avaliação dos riscos, levando-se em consideração o Apetite ao Risco e a 

- **6. Respostas aos Riscos** Matriz de Riscos Residuais, a administração determina como responderá aos riscos. As respostas incluem evitar, reduzir, compartilhar ou aceitar os riscos. 

- • Os indicadores são elaborados para que os responsáveis tenham condições de acompanhar a evolução do ambiente de risco. Como parte do processo 

- **7. Monitoramento e Análise** de retroalimentação, o monitoramento deve acontecer 

- **Crítica** periodicamente através dos indicadores, propiciando alerta tempestivo para mudanças que podem alterar o nível de risco, impactando o negócio. 

Figura 3 - Metodologia de Riscos de Processos – ANEEL. 

Por fim, cabe ressaltar que as incertezas permeiam a estratégia, os processos, as atividades e as áreas de qualquer organização. É dever do gestor antecipar-se às incertezas e, de forma proativa, estabelecer um processo estruturado e robusto de Gestão de Riscos, proporcionando garantia razoável de que os objetivos serão alcançados. 

Sendo assim, a Gestão de Riscos de Processos é primordial para que a organização tenha maiores chances de atingir os objetivos fixados, estabelecendo diretrizes e controles conforme o apetite ao risco, prevenindo, desta forma, surpresas indesejadas, decorrentes de riscos adversos, bem como, a perda de oportunidades. 

## **5. DESCRIÇÃO DA METODOLOGIA DE GESTÃO DE RISCOS** 

Na ANEEL, a gestão dos Riscos de Processos, também chamados de Riscos Corporativos, possui como bases a estrutura do framework da Norma ISO 31000:2018 – Gestão de Riscos e os fundamentos e conceitos do COSO II – ERM de 2017. 

A metodologia definida pela ANEEL é composta de sete fases interconectadas conforme desenho abaixo. A ilustração apresenta as subfases e as respectivas ferramentas a serem utilizadas para gerenciamento de Riscos de Processos da ANEEL. 

Figura 4 - Framework do Processo de Gestão de Riscos da ANEEL, adaptado do COSO II - ERM, 2017. 

## **Fase 1. Alinhamento Estratégico** 

Ao estabelecer o alinhamento estratégico, a organização articula seus objetivos e define os parâmetros externos e internos a serem levados em consideração ao gerenciar riscos, bem como estabelece o escopo e os critérios de risco para a gestão do processo. 

O alinhamento estratégico das etapas da Gestão dos Riscos de Processos sustenta o fluxo de atividades de um ciclo de gestão que vai desde o planejamento das etapas de avaliação de riscos, até o monitoramento do plano de ação elaborado em função dos riscos identificados. O monitoramento, por sua vez, retroalimenta o ciclo sucessor de avaliação de riscos. 

Portanto, temos três contextos a serem definidos e alinhados: 

- 1.1 Definição do Apetite ao Risco; 

- 1.2 Identificação dos Processos Críticos; 

- 1.3 Análise do Contexto Interno e Externo. 

## **Fluxograma** 

Figura 5 - Fluxograma – Alinhamento Estratégico. 

## **1.1. Definição de Apetite e Tolerância ao Risco** 

Ao gerenciar os riscos na ANEEL, deve-se considerar, em primeiro lugar, o apetite ao risco, avaliando os referenciais estratégicos e fixando diretrizes compatíveis com a estratégia escolhida, bem como desenvolver mecanismos para administrar os riscos implícitos. 

Abaixo, apresentamos a Matriz de Riscos da ANEEL, os níveis de apetite, tolerância e capacidade aos riscos e suas respectivas definições: 

Figura 6 -  Matriz de Riscos com os Níveis de Apetite, Tolerância e Capacidade aos Riscos. 

- **Apetite ao Risco** : Trata-se dos quadrantes, representados com o numeral “1” na Figura 6, cuja criticidade é aceita pela ANEEL, mediante tratativas estabelecidas pelos gestores para atingir seus objetivos. Deve-se planejar e aprovar planos de ação preventivos (visando reduzir a probabilidade) e/ou corretivos (visando reduzir impactos) no prazo máximo de 60 dias; 

- **Tolerância a Risco** : Trata-se dos quadrantes, representados com o numeral “2” na Figura 6, cuja criticidade está além do apetite ao risco e, portanto, o risco não é aceito pela ANEEL. Devese planejar e aprovar planos de ação preventivos (visando reduzir a probabilidade) e/ou corretivos (visando reduzir impactos) no prazo máximo de 45 dias; 

- **Capacidade de Risco** : Trata-se dos quadrantes representados com o numeral “3” na Figura 6, cuja criticidade é extrema, demandando ações imediatas. Deve-se planejar e aprovar planos de ação preventivos (visando reduzir a probabilidade) e/ou corretivos (visando reduzir impactos) no prazo máximo de 30 dias. 

A Capacidade de Risco foi definida levando-se em consideração riscos cujos impactos são massivos ou severos e a probabilidade de concretização é elevada. Por essa razão, trata-se de riscos que, no ambiente de estudo, devem ser tratados prioritariamente haja vista possuírem grande potencial de danos à estratégia da Agência. 

A Tolerância a Risco foi definida levando-se em consideração riscos com probabilidade de concretização considerável, cujos impactos trarão danos significativos à estratégia da Agência e, desta forma, devem ser tratados com regime de urgência. 

O Apetite ao Risco foi definido levando-se em consideração duas premissas: riscos de alta probabilidade de concretização com impactos gerenciáveis e riscos de baixa probabilidade de concretização com impactos severos ou massivos, demandando, desta forma, ações a médio prazo. 

Os demais quadrantes são riscos cuja probabilidade e impactos podem ser aceitos pela Agência, sendo necessário somente o constante monitoramento. 

## **1.2 Identificação dos Processos Críticos** 

- **Responsável:** Comitê de Governança, Riscos e Controles – CGRC; 

- **Executante:** Gestores dos Processos (com apoio técnico da Gerência de Governança Corporativa do Gabinete do Diretor-Geral – GEGC/GDG); 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Lista de Processos; 

- **Periodicidade:** Preferencialmente de forma concomitante à elaboração do Planejamento Estratégico, bem como em suas revisões, quando forem identificadas mudanças significativas, ou em caso de outras necessidades: 

- **Entrega (produto):** Lista de processos classificados por criticidade; 

- **Descrição (como):** Necessário entender e compreender quais são os processos considerados críticos para os objetivos estratégicos e as estratégias da ANEEL. A partir da lista de processos e de critérios previamente definidos obtém-se a classificação dos processos segundo escala de criticidade. 

## Pontos de Atenção: 

- O método precisa ter foco no negócio da ANEEL, considerando sua missão, e não nas unidades organizacionais. 

- Os processos de maior criticidade são aqueles que garantem as operações vitais da Agência e não necessariamente são os mais complexos. 

- Nesta etapa, o objetivo não é identificar riscos, mas sim levantar a criticidade dos processos quanto ao impacto no negócio _versus_ sua importância no planejamento estratégico. 

O critério de avaliação a ser utilizado é o de: Impacto no Negócio. A pontuação obtida será o Nível de Criticidade do processo (NC), permitindo classificá-los por ordem de importância para o negócio da organização. 

- **Impacto no Negócio:** Qual o impacto para a ANEEL que o processo provoca caso seu funcionamento seja interrompido (independente do motivo - incêndio, quebra de máquina, greve, sistemas de TI, entre outros). A ANEEL define que a avaliação do impacto é realizada sob duas óticas: Imagem e Operação. Cada uma destas óticas possui uma ponderação (peso) distinta. Segue abaixo ilustração: 

Figura 7 - Critérios de Impacto – BIA. 

## Cada critério de impacto possui os seguintes referenciais para pontuação: 

|**Imagem (peso 5):**Refere-se ao impacto na reputação da ANEEL e na sua<br>credibilidade perante os agentes do setor, a sociedade, os servidores da Agência ou a<br>Administração Pública.|**Pontuação**|
|---|---|
|Impacta massivamente: Há massiva exposição por um longo período, havendo amplo<br>interesse da sociedade.|5|
|Impacta severamente: Há exposição significativa por um período considerável, havendo<br>interesse da sociedade.|4|
|Impacta moderadamente: O impacto vai além das partes envolvidas provocando a<br>exposição por um curto período.|3|
|Impacta levemente: O impacto limita-se às partes envolvidas ou gera impacto interno.|2|
|Não impacta ou pouco impacta: Não impacta a imagem da ANEEL ou o impacto não é<br>significativo.|1|

Tabela 1: Pontuação do impacto da reputação da ANEEL. 

|**Operação (peso 4):**Refere-se ao impacto na Regulação, Fiscalização, Outorgas e/ou<br>Relações com a Sociedade|**Pontuação**|
|---|---|
|Impacta massivamente: Gera a paralisação na Regulação, Fiscalização, Outorgas e/ou Relações<br>com a Sociedade.|5|
|Impacta severamente: Compromete a eficácia na Regulação, Fiscalização, Outorgas e/ou<br>Relações com a Sociedade.|4|
|Impacta moderadamente: Compromete a eficiência na Regulação, Fiscalização, Outorgas e/ou<br>Relações com a Sociedade.|3|
|Impacta levemente: Gera um pequeno impacto na Regulação, Fiscalização, Outorgas ou<br>Relações com a Sociedade.|2|
|Não impacta ou não é percebido: Não impacta ou não é percebido o impacto no processo de<br>Regulação, Fiscalização, Outorgas e/ou Relações com a Sociedade.|1|

Tabela 2: Pontuação do impacto das atividades da ANEEL na sociedade. 

Determinação do Nível de Impacto: o nível de impacto é o resultado da média ponderada de dois critérios de impacto (multiplicação do peso versus a nota dividido pela soma dos pesos), conforme demonstrado a seguir: 

( ����� çã �∗� ) + ( ������∗� ) � é ��� ��������� �� �������−��� = � 

O resultado do nível de impacto está representado na tabela abaixo: 

|**Grau de Impacto**|**Escala**|**Nível de Impacto**|
|---|---|---|
|4,51 – 5,00|5|Massivo|
|4,01 – 4,50|4|Severo|
|3,01 – 4,00|3|Moderado|
|2,01 – 3,00|2|Leve|
|1,00 – 2,00|1|Muito leve|

Tabela 3: Avaliação do nível de impacto de acordo com o grau de impacto. 

**Matriz do BIA - Business Impact Analysis:** a Matriz do BIA, que define 3 níveis de criticidade (NC) para 

os processos avaliados. Podem ser críticos, moderados ou leves, conforme tabela abaixo: 

|**Alta Criticidade**|**Média Criticidade**|**Baixa Criticidade**|
|---|---|---|
|Prioritário: É primordial e<br>deve possuir uma atenção<br>especial dos gestores.|Segunda prioridade: Possui<br>um nível de importância<br>médio.|Terceira<br>prioridade:<br>Leve<br>impacto para o negócio da<br>ANEEL.|

Tabela 4: Conceitos e as respectivas cores do nível de criticidade. 

## **1.1. Contexto Interno e Externo** 

- **Responsável:** GEGC e UORG; 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Gestor do Processo e Liderança da área técnica; 

- **Entrada:** Estrutura organizacional, cadeia de valor, planejamento estratégico, política de gestão de riscos, Manual de Gestão de Riscos de Processos, Regimento do CGRC e demais documentos e informações aplicáveis e disponíveis; 

- **Entrega (produto):** Registro do Contexto Interno e Externo; 

- **Descrição (como):** O CGRC deve possuir perfeito entendimento do ambiente interno e externo da ANEEL para, desta forma, planejar e orientar as atividades de Gestão de Riscos, bem como, prover as revisões e atualizações conforme mudanças identificadas. 

## **Fases (etapas) de inter-relacionadas** 

A etapa em questão interage com a fase “7. Monitoramento e Análise Crítica”, onde ocorre a retroalimentação, essencial para a obtenção de insumos que amparam as demais fases do estudo. 

## **Fase 2. Planejamento da Gestão de Riscos** 

O planejamento da gestão dos riscos corporativos começa a partir da avaliação de criticidade dos processos de trabalho da ANEEL, definida conforme critérios e parâmetros definidos (item 1.2). 

Todos os processos considerados como de alta criticidade serão geridos de acordo com o Plano Anual de Gestão de Processos e com os referenciais técnicos estabelecidos, em especial pela Política de Gestão de Riscos e este Manual de Gestão de Riscos de Processos. 

O planejamento da gestão de riscos deve ser realizado para os processos considerados críticos, segundo escala BIA, junto com a unidade organizacional gestora do processo, organizada em duas atividades: 

- Nivelamento conceitual e detalhamento da metodologia; 

- Análise situacional do processo. 

Esta é uma etapa extremamente estratégica, porque também tem a função de informar e sensibilizar cada um dos envolvidos no processo, para que o plano alcance os melhores resultados. 

## **Fluxograma** 

Figura 8 - Fluxograma - Planejamento de Gestão de Riscos. 

## **2.1. Nivelamento Conceitual e detalhamento da metodologia** 

- **Responsável:** GEGC; 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Gestor do Processo e Liderança da área técnica; 

- **Entrada:** Estrutura organizacional, cadeia de valor, planejamento estratégico, política de gestão de riscos, Manual de gestão de riscos de Processos, Registro de Contexto Interno e Externo, Regimento do CGRC e demais documentos e informações aplicáveis e disponíveis; 

- **Entrega (produto):** cronograma de trabalho; 

- **Descrição (como):** O líder da unidade organizacional e demais executantes do processo devem possuir perfeito entendimento do ambiente interno e externo da ANEEL para, desta forma, planejar e orientar as atividades de Gestão de Riscos, bem como, prover as revisões e atualizações conforme mudanças identificadas. 

## **2.2 Análise Situacional do Processo** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Fluxograma do processo e Registro do Contexto Interno e Externo; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Matriz SWOT; 

- **Descrição (como):** Para a realização da análise situacional é preciso avaliar o processo, suas atividades, produtos, deficiências e percepções de oportunidades de melhoria. Os dados devem ser extraídos a partir da análise de fluxograma dos processos, de entrevistas com gestores e de estudo de políticas, normas e procedimentos existentes. Portanto,  é 

extremamente importante que as áreas possuam seus processos mapeados, como prérequisito para início desta etapa. 

Para analisar os processos utiliza-se a Matriz SWOT, técnica conhecida por identificar os pontos fracos, fortes, oportunidades e ameaças do contexto da empresa. 

A avaliação das forças e fraquezas diz respeito ao ambiente interno. São as condicionantes que a Agência possui domínio de ação e decisão, os chamados fatores de riscos internos ou variáveis internas, podendo ser negativas (fraquezas) ou positivas (forças). 

Os fatores de riscos considerados incontroláveis dizem respeito à ambiência externa, podendo ser negativa (ameaças) ou positiva (oportunidades). 

Figura 9 - Matriz SWOT. 

_Fases (etapas) de inter-relacionadas_ 

A fase em questão interage em todas outras fases, garantindo o fluxo de informações e dados de forma transparente e tempestiva, essencial para que a Gestão de Riscos atinja seus objetivos. Não necessariamente há formalização do planejamento realizado, normalmente, são realizados _workshops_ no início de cada ciclo com os gestores das áreas, além de _checkpoint_ s de alinhamento, caso necessário. 

## **Fase 3. Identificação de Riscos** 

Na fase de identificação de riscos, é necessária profunda análise de todas as atividades do processo propiciando a identificação de todos os fatores de riscos (causas), os controles e riscos associados. 

A identificação deve incluir os riscos, estando suas fontes sob o controle da Agência ou não, aplicando ferramentas e técnicas adequadas. A identificação dos riscos compreende cinco sub etapas. 

## **Fluxograma** 

Figura 10 - Fluxograma - Identificação de Riscos. 

## **3.1 Listagem, Definição e Classificação dos Riscos** 

- **Responsável:** Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Fluxograma do processo, lista de fatores de risco e controles; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Listagem e Classificação dos Riscos; 

- **Descrição (como):** A listagem dos riscos deve ser realizada através de reuniões do tipo _brainstorming_ , levantando tanto os riscos já identificados como aqueles que nunca aconteceram no contexto da ANEEL, porém são riscos exequíveis, ou seja, poderão ocorrer. 

Cabe destacar que, após a realização da seção de _Brainstorming_ , deve-se realizar o saneamento da lista de riscos sugeridos, sendo assim, considerar somente os riscos que não forem julgados incoerentes, repetidos e/ou fora do escopo do processo em estudo. 

Visando garantir uniformidade de entendimento, o “risco” deve ser conceituado e explicitado em dicionário de Riscos de Processos, conforme modelo abaixo: 

|**Cód.**|**Risco**|**Definição**|**Categoria**|
|---|---|---|---|
|R.1|Processamento da folha com<br>informações não autorizadas<br>ou sem a respectiva<br>documentação suporte|O risco está relacionado às fragilidades na análise<br>dos exames admissionais, proporcionado a<br>incompatibilidade de funções atribuídas ao<br>integrante, por questões técnicas ou físicas.|Operacional|
|R.2|Pagamento incorreto de<br>benefício (interpretação<br>legislativa)|O risco está relacionado ao pagamento de valores<br>incorretos de salários|Conformidade|
|R.3|Erro no pagamento de salários<br>quanto a valores e/ou<br>favorecidos|O risco está relacionado ao pagamento indevido<br>em caso de erro ou manipulação no ajuste da<br>folha.|Financeiro|

Tabela 5: Listagem, Definição e Classificação dos Riscos. 

- Código: Identificação alfa numérica do risco (Exemplo: R.1) 

- Risco: Nome do risco (Exemplo: Pagamento Indevido de Fornecedor) 

- Definição: Descrição detalhada do risco; 

- Categoria:  Auxilia a organização a ter visão do portfólio dos riscos, na medida em que os agrupa de acordo com suas principais causas. 

Cabe destacar que a classificação está relacionada à origem/natureza do risco e não ao seu impacto. Sendo assim, além dos riscos relacionados diretamente aos processos, a ANEEL decide utilizar a seguinte classificação para os outros riscos: 

- **Estratégico:** Os riscos estratégicos estão associados ao cumprimento do Planejamento Estratégico e podem gerar impactos substanciais para alcance dos resultados esperados. Exemplos: Corte Orçamentário Severo, Estiagem prolongada e demais. 

- **Integridade:** associados a eventos relacionados a corrupção, fraudes, irregularidades e/ou desvios éticos e de conduta que podem comprometer os valores e padrões preconizados pela ANEEL. 

## `o` **Riscos de Processos (são 4 categorias):** 

- **Operacional:** Os riscos operacionais estão associados à possibilidade de ocorrência de perdas, resultantes de falhas, deficiências ou inadequação de processos internos, pessoas e sistemas, assim como, quando aplicável, de eventos externos como catástrofes naturais, fraudes, greves e atos terroristas que afetam diretamente o processo. Exemplos: Falhas em aspectos lógicos do processamento eletrônicos, Erro não intencional, Falha em elementos de infraestrutura, Sabotagem, Catástrofes, entre outros. 

- **Conformidade:** Relacionados a inobservância de dispositivos legais ou regulamentares ou, ainda, ao descumprimento de contrato. Exemplos: Descumprimento de determinações do TCU, não aderência a políticas internas, normas de organização, regimento interno, entre outros. 

- **Qualidade Regulatória** : Refere-se a inobservância de melhores práticas relacionadas por exemplo a transparência, controle social e análise de impacto regulatório. 

- **Financeiro:** Relacionadas com a gestão e controle ineficazes dos meios financeiros da organização e com efeitos dos fatores externos. Exemplo: Disponibilidade de crédito, taxas de câmbio, movimento das taxas de juros, entre outros. 

## **3.2 Identificação dos Fatores de Riscos** 

- **Responsável:** Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Fluxograma do processo, levantamento de riscos, análise situacional; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Diagrama de Causa e Efeito dos Riscos identificados e Tabela de Fatores de Riscos; 

- **Descrição (como):** Os fatores de risco são na realidade a origem e/ou causa de cada risco de processo identificado, tanto positivo como negativo. 

Para compreender o risco, sua composição, existe a necessidade de dissecar o risco em causas. Nesse caso utiliza-se a técnica do Diagrama de Causa e Efeito, o chamado Diagrama de Ishikawa e/ou de Espinha de Peixe para entender quais são os fatores de riscos que influenciam a concretização de cada risco. 

Em 1953 o Professor Kaoru Ishikawa, da Universidade de Tóquio Japão, sintetizou as opiniões dos engenheiros de uma fábrica na forma de um diagrama de causa e efeito, enquanto eles discutiam problemas de qualidade. 

Neste contexto, foi adaptado o diagrama de causa e efeito da qualidade para a área de Gestão de Riscos conforme macro causas estabelecidas pelo COSO ERM. 

Figura 11 - Diagrama de Causa e Efeito - Macro Causa COSO. 

|**Macro Causa**|**Definição**|
|---|---|
|Processo|Influência da existência de processos, políticas, normas e procedimentos<br>para a materialização do risco.|
|Pessoal|Influência do nível da equipe envolvida, considerando-se perfil e<br>qualificação, para a materialização do risco, bem como do nível de<br>relacionamento dos servidores.|
|Infraestrutura|Influência da existência de recursos físicos e sistemas eletrônicos para a<br>materialização do risco.|
|Tecnologia|Influência dos sistemas de informação utilizados pela agência para a<br>materialização do risco.|
|Ambiente Externo|Influência das variáveis externas incontroláveis para a materialização do<br>risco.|

Tabela 6:  Definições do “Macro Causa”. 

## Exemplo: 

|**_Processo_**|**_Processo_**|**_Pessoal_**|**_Pessoal_**|**_Tecnologia_**|**_Tecnologia_**||
|---|---|---|---|---|---|---|
|FR.12 Realização de pagamentos manuais em<br>bancos não conveniados<br>FR.11 Ausência de conciliação pelo rh dos<br>pagamentos efetuados<br>FR.7 Ausência de comprovação de recebimento<br>do arquivo pelo contas a pagar<br>FR.5 Ausência de autorização de pagamento da<br>folha pela diretoria||FR.1 Erros nos lançamentos manuais de<br>processos que compõem o fechamento da folha<br>depagamento<br>FR.4 Ausência de comunicação ao rh de<br>funcionários com afastamento<br>FR.6 Ausência de rotatividade nas funções pelos<br>funcionários da área de folha de pagamento<br>FR.8 Ausência de atualização legislativa dos<br>funcionários que processam a folha||FR.10 Envio do arquivo .txt ao contas a pagar via<br>e-mail|||
|||FR.13Recebimento de informações incorretas das<br>áreas origens|||||
|||||||**_Risco_**|
|||||||Pagamento incorreto de salário|
||||||||
||||||||
|**_Ambiente Externo_**||||**_Infraestrutura_**|||

Figura 12 - Diagrama de Causa e Efeito. 

Ressalta-se que para cada risco identificado existe a necessidade da elaboração de um diagrama de causa e efeito específico. Se estivermos estudando 10 eventos teremos que elaborar 10 diagramas de causa e efeito. 

P. 24 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Após identificados, os fatores de riscos devem ser registrados com os dados abaixo: 

- Código: Identificação alfa numérica do controle (Exemplo: FR.1) 

- Fator de Risco: Nome do fator de risco (Exemplo: Ausência de aprovação segregada) 

- Definição: Descrição detalhada do fator de risco; 

- Macrofator: Refere-se a categoria do fator de risco, podendo ser “Processos”, “Pessoal”, “Infraestrutura”, “Tecnologia” e “Ambiente Externo”. 

Exemplo Fator de Risco: 

**Cód. Fator de Risco Definição Macrofator** 

Figura 13 - Tabela de registro de Fatores de Risco. 

## **3.3 Identificação da Relevância dos Fatores de Riscos** 

- **Responsável:** Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Fatores de Riscos; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Relevância dos Fatores de Riscos (Magnitude x Importância); 

- **Descrição (como):** Após a identificação dos fatores de riscos é necessário identificar aqueles que são comuns no universo de riscos mapeados. Dentre os fatores de riscos classificados nesta condição é preciso determinar quais são os considerados relevantes, os que possuem maior condição de influenciar na concretização do risco. 

P. 25 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Para identificar a relevância dos fatores de riscos são utilizados dois critérios de avaliação, Magnitude e Importância. 

- **Magnitude:** representa o número de vezes que o fator de risco é identificado nos diagramas de causa e efeito dos riscos mapeados e, por consequência, seu potencial influenciador perante o contexto definido na etapa 2. A magnitude é ranqueada, utilizando-se uma pontuação que varia de 1 a 3, sendo positiva ou negativa. Exemplos de cálculo para a nota de magnitude: 

## **Exemplo 1 - Números Inteiros** 

Caso um determinado fator de risco apareça 5 (cinco) vezes em 6 (seis) riscos identificados, significa que este fator de risco possui uma frequência Alta, conclui-se, pela metodologia sugerida, que sua magnitude terá uma nota “-3”, conforme tabela de cálculo abaixo: 

Total de Riscos (6) / Constante (3) = 2 (intervalo linear das notas – classificação das ocorrências do fator de risco). 

|**Quantidade de Riscos**<br>6<br>**Amplitude do Intervalo**<br>2|**Quantidade de Riscos**<br>6<br>**Amplitude do Intervalo**<br>2|**Notas**|**Intervalo de Ocorrências**|
|---|---|---|---|
|||-1|1 a 2|
|||-2|3 a 4|
|**Amplitude do Intervalo**|2|-3|5 a 6|

Figura 14 - Tabelas preenchidas com os exemplos. 

## **Exemplo 2 - Números Decimais** 

Caso um determinado fator de risco apareça 5 (cinco) vezes em 7 (sete) riscos identificados, significa que este fator de risco possui uma frequência Alta, conclui-se, pela metodologia sugerida, que sua magnitude terá uma nota “-3”, conforme tabela de cálculo abaixo: 

P. 26 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Total de Riscos (7) / Constante (3) = 2,33 (intervalo linear das notas – classificação das ocorrências do fator de risco). 

||7<br>2,33|**Notas**|**Intervalo de Ocorrências**|
|---|---|---|---|
|**Quantidade de Riscos**|7|-1|Até 2,33|
|||-2|De 2,34 até 4,66|
|**Amplitude do Intervalo**|2,33|-3|Acima de 4,67|

Figura 15 – Tabelas preenchidas com os exemplos. 

Nota: A frequência e a tabela de pontuação irão variar sempre que a quantidade de riscos for alterada. 

- **Importância:** Trata-se da sensibilidade do quão importante é o Fator de Risco para a concretização dos riscos no contexto em análise. É uma nota subjetiva com base na percepção dos envolvidos na avaliação do contexto. A valoração da importância situa-se em 3 níveis de pontuação: 

   - 3 (Alta importância - grande potencial para concretização do risco); 

   - 2 (Média importância - potencial moderado para concretização do risco); 

   - 1 (Pouca importância - potencial baixo para concretização do risco). 

Para definição de ranking dos fatores de riscos utiliza-se o resultado do produto da pontuação atribuída à magnitude e à importância. Os fatores de riscos com maior pontuação são considerados os mais relevantes, uma vez que possuem maior potencial de influenciar os riscos identificados. 

## **3.4 Matriz da Relevância dos Fatores de Riscos** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

P. 27 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Fatores de Riscos classificados pela relevância; 

- **Periodicidade:** Anualmente, quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Matriz de Relevância dos Fatores de Riscos; 

- **Descrição (como):** Com base na pontuação de magnitude e importância dada para cada fator de risco caracterizados como fraqueza ou ameaça, podemos apresentar o resultado matriciado, possibilitando a visualização estratégica da motricidade de cada fator. 

O resultado do cruzamento da magnitude com a importância, define o nível de motricidade de cada fator de risco, representados na Matriz da Relevância dos Fatores de Riscos que possui três quadrantes: vermelho, laranja e verde. Com base nesta matriz o executante pode determinar a prioridade de tratamento do fator de risco, sempre considerando como primeiro nível o vermelho, segundo nível o laranja e o terceiro nível o verde. 

Cabe destacar que a Matriz da Relevância dos Fatores de Riscos deve ser construída para os fatores de riscos caracterizados como fraqueza (por representar o ambiente interno da organização e, desta forma, passível de tratamento) e ameaças (por representar o ambiente externo - considerados incontroláveis, sendo possível apenas monitorar). 

Exemplo: 

Figura 16 - Matriz Magnitude x Importância. 

P. 28 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

## **3.5 Levantamento dos Controles** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Fluxograma do processo, levantamento de riscos, análise situacional; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Tabela de controles associados aos riscos; 

- **Descrição (como):** Após o levantamento dos riscos e suas causas, é necessária a identificação dos controles do processo, que sirvam de fatores para mitigar os riscos e/ou potencializar o alcance dos objetivos do processo.  Nessa fase é importante evidenciar de forma preliminar eventuais fragilidades dos controles existentes, de forma a identificar oportunidades de melhoria. Essas informações serão utilizadas na fase 5.1. Avaliação de Controles. 

Nota: Controle é uma ação tomada para certificar-se de que algo se cumpra. Os controles também são meios usados para verificar que certa ação é eficiente ao seu propósito e suas possíveis falhas. 

Os controles, após identificados, devem ser registrados com os dados abaixo: 

- Código: Identificação alfa numérica do controle (Exemplo: C.1) 

- Controle: Nome do controle (Exemplo: Aprovação segregada) 

- Definição: Descrição detalhada do controle; 

- Objetivo: Refere-se à finalidade do controle; 

- Tipo: Se o controle é “Manual”, realizado através da intervenção humana, ou 

- “Automático”, realizado independente da intervenção humana; 

P. 29 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- Categoria: Se o controle é “Preventivo”, quando previne a concretização do 

- risco, ou “Detectivo”, quando provê alerta sobre a iminência de concretização do risco; 

- Periodicidade: Refere-se ao intervalo de execução do controle, podendo ser 

- “Sob demanda”, “Diário”, “Semanal”, “Mensal”, “Trimestral”, “Semestral” e “Anual”; 

## Exemplo Controles: 

|Cód.|Controle|Definição|Objetivo|Tipo|Categoria|Periodicidade|
|---|---|---|---|---|---|---|
|C.8|Comitê Técnico de<br>Direcionamento|Comitê que promove<br>discussões técnicas a<br>respeito de novas<br>regulamentações|Proporcionar<br>melhores práticas nas<br>regulamentações|<br>Manual|Preventivo|Sob demanda|
|C.7|Parceria com<br>universidades<br>federais|Parceria com<br>universidades federais<br>para desenvolvimento<br>de novas tecnologias|Prover o avanço<br>tecnológico|Manual|Preventivo|Anual|

Tabela 7: Tabela de registro de controles. 

## **Fase 4. Análise e Avaliação de Riscos Inerentes** 

Segundo o COSO ERM 2017 o Risco Inerente é o risco que se apresenta a uma organização na ausência de qualquer medida gerencial que poderia alterar a sua probabilidade ou o seu impacto. 

Realizar a análise e avaliação de riscos inerentes proporcionará: 

- Identificar qual a necessidade do risco por controles, sendo assim, quanto maior a criticidade do risco maior a necessidade de controles; 

- Orientar, futuramente, a Auditoria Baseada em Riscos, uma vez que se saberá qual a dependência do risco por controles, assim, quanto maior a criticidade inerente, maior deverá ser o número de horas investidos na análise dos controles; e, 

P. 30 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- Identificar riscos de baixa criticidade e que, desta forma, não necessitam de controle, liberando recursos a serem investidos em riscos de maior criticidade. 

A análise de riscos visa promover o entendimento do nível de risco e de sua natureza, auxiliando na definição de prioridades e opções de tratamento aos riscos identificados. Por meio dela, é possível saber qual a chance, a probabilidade de os riscos virem a acontecer e calcular seus respectivos impactos na ANEEL. 

Os riscos são avaliados de maneira qualitativa, ou seja, utiliza-se critérios pré-estabelecidos com uma escala de valoração para a determinação do nível do risco. A metodologia a ser utilizada para a avaliação de riscos possui dois parâmetros a serem analisados: 

- Saber qual a chance, a probabilidade, dos riscos virem a acontecer, frente à condição existente da ANEEL. 

- Calcular o impacto caso ocorra o risco. 

## **Fluxograma** 

Figura 17 - Fluxograma - Análise e Avaliação de Riscos – Inerente. 

- **4.1 Probabilidade x Impacto - Inerente** 

   - **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

   - **Executante:** Facilitador da Gestão de Riscos; 

   - **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

P. 31 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- **Entrada:** Lista de riscos e contextualização (histórico de ocorrências e entendimento do ambiente interno e externo); 

- **Periodicidade:** Quando forem identificadas mudanças significativas ou em caso de outras necessidades; 

- **Entrega (produto):** Mensuração de Probabilidade e Impacto inerente dos Riscos; 

- **Descrição (como):** A probabilidade do risco é calculada através de três critérios, sendo que, cada um deles possuirá um peso diferenciado (ponderação), tendo em vista seu grau de importância. Os critérios de probabilidade são: 

Figura 18 - Critérios de Probabilidade. 

**Segurança e Controle:** É avaliada a existência e interrelação dos fatores de riscos e controles identificados na análise situacional. Quanto maior a nota pior é a condição de segurança e dos controles. Na avaliação de riscos inerentes não deve ser levado em consideração os controles existentes.  Essa nota deve ser com base no Diagrama de Causa e Efeito (condição do risco) de cada risco e a Relevância dos Fatores de Riscos. 

||**Segurança e Controle (peso 5)**|**Segurança e Controle (peso 5)**|
|---|---|---|
|**Conceito**|**Descritivo da Escala**|**Pontuação**|
|Muito ruim|Não há nenhum Controle atuando nos Fatores de Riscos e/ou no<br>Risco.|5|
|Ruim|Os Controles que atuam nos Fatores de Riscos e/ou no Risco não<br>previnem ou detectam a concretização do Risco.|<br>4|
|Média|Os Controles que atuam nos Fatores de Riscos e/ou no Risco<br>previnem ou detectam parcialmente a concretização do Risco.|<br>3|

P. 32 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

||**Segurança e Controle (peso 5)**|**Segurança e Controle (peso 5)**|
|---|---|---|
|**Conceito**|**Descritivo da Escala**|**Pontuação**|
|Bom|Os Controles que atuam nos Fatores de Riscos e/ou no Risco<br>previnem ou detectam satisfatoriamente a concretização do Risco.|<br>2|
|Muito bom|Os Controles que atuam nos Fatores de Riscos e/ou no Risco<br>previnem ou detectam plenamente a concretização do Risco.|<br>1|

Tabela 8: Tabela de Segurança e Controle. 

**Frequência / Exposição:** Mede a frequência que o risco costuma manifestar-se na ANEEL, no segmento de energia elétrica ou regulatório. 

||**Frequência / Exposição (peso 4)**||
|---|---|---|
|**Pontuação /**<br>**Conceito**|**Descritivo da Escala**|**Frequência Observada /**|
|||**Esperada**|
|5 - Quase certo|Evento esperado que ocorra na maioria das<br>circunstâncias|Anual|
|4 - Provável|Evento provavelmente ocorrerá na maioria das<br>circunstâncias|Bienal|
|3 - Possível|Evento deve ocorrer em algum momento|Quinquenal|
|2 - Improvável|Evento pode ocorrer em algum momento|Decenal|
|1 - Raro|Evento pode ocorrer em circunstâncias<br>excepcionais|> 10 anos|

Tabela 9: Tabela de Frequência e Exposição. 

**Intervalo:** É avaliada a questão da frequência de avaliação/auditoria e revisão dos controles do processo, incluindo, quando aplicável, a revisão do próprio processo. Quanto maior é o intervalo maior é sua fragilidade. Na avaliação de riscos inerentes não deve ser levado em consideração as avaliações e auditorias existentes. 

|**Intervalo (peso 3)**||
|---|---|
|**Descritivo da Escala**|**Pontuação**|
|Não realiza revisão|5|
|Realiza avaliação/auditoria Bienal|4|
|Realiza avaliação/auditoria Anual|3|

P. 33 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

|**Intervalo (peso 3)**||
|---|---|
|**Descritivo da Escala**|**Pontuação**|
|Realiza avaliação/auditoria Semestral|2|
|Realiza avaliação/auditoria Trimestral|1|

Tabela 10: Tabela de Intervalo. 

O Nível de Probabilidade (Pb) é o resultado da média ponderada dos três critérios de probabilidade, conforme demonstrado abaixo: 

� í ��� �� ������������� 

( ������� ç � / ��������∗� ) + ( ���������� / ������ çã �∗� ) + ( ���������∗� ) = �� 

O nível de probabilidade possui a seguinte classificação: 

|**Grau de Probabilidade**|**Escala**|**Nível de Probabilidade**|
|---|---|---|
|4,51 – 5,00|5|Elevada|
|3,51 – 4,50|4|Muito Alta|
|2,51 – 3,50|3|Alta|
|1,51 – 2,50|2|Média|
|1,00 – 1,50|1|Baixa|

Tabela 11: Tabela da classificação do nível de probabilidade. 

**Determinação do Nível de Impacto:** Com o objetivo de obter uma visão holística do impacto, há a necessidade de projetar todas as consequências que os riscos causam **.** A avaliação do impacto na Agência é realizada sob três critérios: Imagem, Operação e Recursos Públicos, sendo atribuída ponderações (pesos) distintas. Segue abaixo ilustração: 

P. 34 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Figura 19 -  Critérios de Impacto. 

Cada critério de impacto possui os seguintes referenciais para pontuação: 

|**Imagem (peso 5):**Refere-se ao impacto na reputação da ANEEL e na sua credibilidade perante os<br>agentes do setor, a sociedade, os servidores da Agência ou a Administração Pública.|**Pontuação**|
|---|---|
|Impacta massivamente: Com destaque na mídia internacional.|5|
|Impacta severamente: Com destaque na mídia nacional, provocando exposição significativa.|4|
|Impacta moderadamente: O impacto vai além das partes envolvidas, podendo chegar na mídia,<br>provocando a exposição por um curto período de tempo.|3|
|Impacta levemente: O impacto limita-se às partes envolvidas ou gera impacto interno.|2|
|Não impacta ou pouco impacta: Não impacta a imagem da ANEEL ou o impacto não é significativo.|1|

Tabela 12: Tabela das pontuações da Imagem (peso 5). 

**Operação (peso 4):** Refere-se ao impacto na Regulação, Fiscalização, Outorgas e/ou **Pontuação** Relações com a Sociedade Impacta massivamente: Gera a paralisação na Regulação, Fiscalização, Outorgas e/ou Relações 5 com a Sociedade. Impacta severamente: Compromete a eficácia na Regulação, Fiscalização, Outorgas e/ou 4 Relações com a Sociedade. Impacta moderadamente: Compromete a eficiência na Regulação, Fiscalização, Outorgas e/ou 3 Relações com a Sociedade. Impacta levemente: Gera um pequeno impacto na Regulação, Fiscalização, Outorgas ou 2 Relações com a Sociedade. Não impacta ou não é percebido: Não impacta ou não é percebido o impacto no processo de 1 Regulação, Fiscalização, Outorgas e/ou Relações com a Sociedade. 

Tabela 13: Tabela das pontuações da Operação (peso 4). 

P. 35 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

|**Recursos públicos (peso 2):**Refere-se a eficiência da utilização dos recursos<br>públicos.|**Pontuação**|
|---|---|
|Impacta massivamente|5|
|Impacta severamente|4|
|Impacta moderadamente|3|
|Impacta levemente|2|
|Não impacta ou pouco impacta|1|

Tabela 14: Tabela das pontuações dos Recursos públicos (peso 2). 

Determinação do Nível de Impacto: O nível de impacto é o resultado da média ponderada dos três critérios de impacto (multiplicação do peso versus a nota dividido pela soma dos pesos), conforme demonstrado abaixo: 

> [�][ú][������∗�][)] � í ��� �� ������� =[(][�][�][���][ç][ã][�∗�][) + (][���][�][��∗�][) + ][(][��������] �� 

O resultado do nível de impacto está representado na tabela abaixo: 

Tabela 15: Tabela nível de impacto. 

|**Grau de Impacto**|**Escala**|**Nível de Impacto**|
|---|---|---|
|4,51 – 5,00|5|Massivo|
|3,51 – 4,50|4|Severo|
|2,51 – 3,50|3|Moderado|
|1,51 – 2,50|2|Leve|
|1,00 – 1,50|1|Muito leve|

do resultado do 

Exemplo: 

P. 36 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

|**Cód.**|**S/C**<br>**(5)**|**FRE**<br>**(4)**|**INT**<br>**(3)**|**M.P.P**|**Nível de**<br>**Probabilidade**|**OPE**<br>**(4)**|**IMG**<br>**(5)**|**RP**<br>**(2)**|**M.P.I**|**Nível de**<br>**Impacto**|**Matriz**|
|---|---|---|---|---|---|---|---|---|---|---|---|
|R.6|5|5|5|5.00|Elevada|5|4|5|4.54|Massivo||
|R.7|5|2|5|4.00|Muito Alta|4|3|2|3.18|Moderado||
|R.8|5|1|4|3.41|Alta|5|3|1|3.36|Severo||

Figura 20 -  Análise de Risco Inerente (Probabilidade e Impacto). 

## MPP = Média Ponderada de Probabilidade 

��� =[(][�][/][�∗�][) + (][���∗�][) + ][(][���∗�][)] �� 

## MPI = Média Ponderada de Impacto 

( ���∗� ) + ( ���∗� ) + ( ��∗� ) ��� = �� 

## **4.2 Matriz de Riscos - Inerente** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes GEGC; 

- **Entrada:** Mensuração das Probabilidades e Impactos Inerentes dos Riscos; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Matriz de Riscos Inerentes do Processo; 

- **Descrição (como):** A avaliação de riscos visa comparar os níveis de riscos em relação aos critérios pré-estabelecidos. A relevância dos riscos possui como parâmetro a matriz de riscos 

P. 37 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

e o seu resultado é o grau de criticidade do risco, ou seja, é a priorização que a Agência deve utilizar para tratar cada risco, frente ao seu apetite ao risco. A matriz é dividida em quadrantes e para cada quadrante existe uma estratégia de tratamento e priorização. 

A matriz de riscos demonstra os pontos de cruzamento (horizontal e vertical) da probabilidade de ocorrência e do impacto. Quanto maior for a probabilidade e o impacto de um risco, maior será o nível do risco. 

Exemplo: 

Figura 21 - Avaliação de Risco Inerente (Matriz de Risco). 

## **4.3 Nível de Riscos - Inerente** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Média Ponderada de Probabilidade (M.P.P) e Média Ponderada de Impacto (M.P.I) dos riscos; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Nível de Risco Inerente do Processo; 

P. 38 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- **Descrição (como):** Após a finalização da etapa para determinar a criticidade de cada risco, isto é, sua probabilidade e impacto, deve ser elaborado o nível de risco do processo, que proporcionará posteriormente o ranqueamento dos processos. 

O Nível de Risco é um índice calculado com base na M.P.P e M.P.I dos riscos identificados, conforme cálculo abaixo: 

## **Nível de Risco** = Média das Probabilidades x Média dos Impactos 

Para identificarmos o Nível de Risco é necessário utilizar a tabela de conversão abaixo: 

|**Nível de Risco**|**Nível de Risco**|**Nível de Risco**|**Tratamento**|
|---|---|---|---|
|1 a 5|1|Verde|Processos que estão na zona de conforto, devendo ser gerenciados e<br>administrados.|
|5,1 a 10|2|Amarelo|Processos com grau de riscos consideráveis, mas que causam<br>consequências gerenciáveis. Devem ser monitorados de forma<br>rotineira ou sistemática.|
|10,1 a 15|3|Laranja|Processos que devem receber tratamento em médio e curto prazo.<br>Possui riscos com probabilidades e/ou impactos consideráveis.<br>Devem ser constantemente monitorados.|
|15,1 a 25|4|Vermelho|Processos que tem alto grau de risco e poderão resultar em impacto<br>extremamente severo. Exigem<br>implementação imediata<br>de<br>estratégias de prevenção e/ou continuidade.|

Tabela 16: Tabela de Conversão. 

É importante ressaltar que quanto maior o nível do risco, maior sua criticidade para o processo. 

Figura 22 – Níveis dos riscos e sua criticidade. 

Exemplo: 

P. 39 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

|**Cód.**|**Risco**|**Probabilidade**|**Impacto**|
|---|---|---|---|
|R.6|Processamento da folha com informações não autorizadas ou sem a<br>respectiva documentação suporte|5,00|4,60|
|R.7|Pagamento incorreto de salário|4,00|3,40|
|R.8|Fraude no pagamento de salários quanto a valores e/ou favorecidos|3,41|3,40|

Tabela 17: Tabela de exemplificação. 

||**Nível de Risco**|**Nível de Risco**|
|---|---|---|
||**Probabilidade**|**Impacto**|
|**Total**|12,41|11,40|
|**Média**|4,14|3,80|
|**Nível de Risco**|15,72||

Tabela 18: Tabela com o resultado do nível de risco. 

Figura 23 - Nível de Risco – Inerente. 

**Fase 5. Análise e Avaliação de Riscos Residuais** 

P. 40 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Segundo o COSO ERM 2017 o Risco Residual é o risco que resta após a administração ter adotado medidas para alterar a sua probabilidade ou o impacto. 

Desta forma, entende-se por risco residual a análise e avaliação dos riscos considerando os controles já existentes. Esse conceito permite que os controles sejam avaliados e posteriormente que sua efetividade seja comprovada durante os testes. 

## **Fluxograma** 

Figura 24 -  Fluxograma - Análise e Avaliação de Riscos Residuais. 

## **5.1 Avaliação dos Controles** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Fluxograma do Processo e Listagem de Fatores de Risco e Controles; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Avaliação dos Controles do Processo; 

- **Descrição (como):** Com o objetivo de confirmar a eficácia dos controles identificados no processo em estudo, é necessário realizar a avaliação dos controles. No final desta etapa, a informação disponível permitirá ao executante conhecer a eficácia, ineficácia ou inexistência 

P. 41 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

dos controles, bem como, sua relação com os fatores de risco ou riscos, desta forma, possibilitando a análise de riscos residuais. 

Para registro da avaliação dos controles deve-se preencher o Resultado e o Parecer, conforme descrito abaixo: 

- **Resultado:** Descrever como o controle analisado atua embasando o parecer final; 

- **Parecer:** Com base no resultado obtido, indicar se o controle é eficaz ou ineficaz. 

Exemplo: 

|**Cód.**|**Controle**|**Definição**|**Objetivo**|**Tipo **|**Categoria**|**Periodicidade**|**Resultado**|**Parecer**|
|---|---|---|---|---|---|---|---|---|
|C.8|Comitê Técnico<br>de<br>Direcionamento|Comitê que<br>promove<br>discussões técnicas<br>a respeito de<br>novas<br>regulamentações|Proporcionar<br>melhores<br>práticas nas<br>regulamentações|Manual|Preventivo|Sob demanda|Comitê formado<br>e discutido<br>anualmente, não<br>existindo um<br>processo<br>contínuo.|Ineficaz|
|C.7|Parceria com<br>universidades<br>federais|Parceria com<br>universidades<br>federais para<br>desenvolvimento<br>de novas<br>tecnologias|Prover o avanço<br>tecnológico|Manual|Preventivo|Anual|A parceria é<br>realizada<br>anualmente e os<br>resultados são<br>monitorados de<br>acordo com os<br>projetos.|Eficaz|

Figura 25 - Avaliação de Controle – Walkthrough. 

Todos os controles devem ser associados a um ou mais riscos ou fatores de riscos. Conceitualmente, controles preventivos atuam “bloqueando” fatores de risco, enquanto controles detectivos atuam “alertando” a possível concretização do risco. Esta associação permitirá identificar na análise de risco residual o quão exposto o risco está, desta forma, norteando a atribuição da nota de “Segurança/Controle” e “Intervalo”. 

## **5.2 Probabilidade x Impacto – Residual** 

P. 42 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Probabilidade x Impacto – Inerente e Avaliação de Controles; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Mensuração de Probabilidade e Impacto residual dos Riscos; 

- **Descrição (como):** Para realizar análise de riscos residuais deve-se utilizar a metodologia e os critérios abordados na Subfase “4.1 Probabilidade x Impacto – Inerente”, porém, neste caso, levar em consideração os controles existentes e sua relação com os fatores de risco, como também, os riscos, atribuindo nota aos critérios “Segurança/Controle” e “Intervalo”. 

Caso a organização conte com controles que atuem mitigando os impactos, pode-se reavaliar as notas atribuídas no critério de impacto. Exemplos de controles mitigatórios:  Plano Estruturado de Gestão de Continuidade de Negócios (Emergência, Crise e Contingência) e Apólice de Seguro. 

Exemplo: 

|**Cód.**|**S/C**<br>**(5)**|**FRE**<br>**(4)**|**INT**<br>**(3)**|**M.P.P**|**Nível de**<br>**Probabilidade**|**OPE**<br>**(4)**|**IMG**<br>**(5)**|**RP**<br>**(2)**|**M.P.I**|**Nível de**<br>**Impacto**|**Matriz**|
|---|---|---|---|---|---|---|---|---|---|---|---|
|R.6|1|5|1|2.33|Elevada|5|4|5|4.54|Massivo||
|R.7|3|2|3|2.66|Muito Alta|4|3|2|3.18|Moderado||
|R.8|4|1|3|2.75|Alta|5|3|1|3.36|Severo||

Figura 26 - Análise de Risco Residual (Probabilidade e Impacto). 

MPP = Média Ponderada de Probabilidade 

P. 43 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

## ��� = 

## ( � / �∗� ) + ( ���∗� ) + ( ���∗� ) 

�� 

MPI = Média Ponderada de Impacto 

## ��� =[(][���∗�][) + (][���∗�][) + ][(][��∗�][)] �� 

## **5.3 Matriz de Riscos - Residual** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Mensuração das Probabilidades e Impactos Residuais dos Riscos; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Matriz de Riscos Residuais do Processo; 

- **Descrição (como):** Para elaborar a Matriz de Riscos Residuais utilizar a metodologia descrita na Subfase “4.2 Matriz de Riscos – Inerentes”. Cabe destacar que devem ser utilizadas as notas de Probabilidade e Impacto residuais. 

Exemplo: 

P. 44 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Figura 27-  Avaliação de Risco Residual (Matriz de Risco). 

## **5.4 Nível de Riscos - Residual** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Média Ponderada de Probabilidade (M.P.P) e Média Ponderada de Impacto (M.P.I) dos riscos; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Nível de Risco Residual do Processo; 

- **Descrição (como):** Para elaborar a Nível de Riscos Residuais utilizar a metodologia e os critérios do capitulo “4.3 Nível de Riscos – Inerente”. 

O Nível de Risco – Residual é um índice calculado com base na M.P.P e M.P.I residuais dos riscos identificados, conforme cálculo abaixo: 

**Nível de Risco** = Média das Probabilidades Residuais x Média dos Impactos Residuais 

P. 45 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Para identificarmos o Nível de Risco é necessário utilizar a tabela de conversão abaixo: 

|**Nível de Risco**|**Nível de Risco**|**Nível de Risco**|**Tratamento**|
|---|---|---|---|
|1 a 5|1|Verde|Processos que estão na zona de conforto, devendo ser<br>gerenciados e administrados.|
|5,1 a 10|2|Amarelo|Processos com grau de riscos consideráveis, mas que causam<br>consequências gerenciáveis. Devem ser monitorados de forma<br>rotineira ou sistemática.|
|10,1 a 15|3|Laranja|Processos que devem receber tratamento em médio e curto<br>prazo. Possui riscos com probabilidades e/ou impactos<br>consideráveis. Devem ser constantemente monitorados.|
|15,1 a 25|4|Vermelho|Processos que tem alto grau de risco e poderão resultar em<br>impacto extremamente severo. Exigem implementação imediata<br>de estratégias de prevenção e/ou continuidade.|

Tabela 19: Tabela de Conversão. 

É importante ressaltar que quanto maior o nível do risco, maior sua criticidade para o processo. 

Figura 28 – Níveis dos riscos e sua criticidade. 

## Exemplo: 

|Cód.|Risco|Probabilidade|Impacto|
|---|---|---|---|
|R.6|Processamento da folha com informações não autorizadas ou sem a<br>respectiva documentação suporte|2,33|4,60|
|R.7|Pagamento incorreto de salário|2,66|3,40|
|R.8|Fraude no pagamento de salários quanto a valores e/ou favorecidos|2,75|3,40|

Tabela 20: Tabela de exemplificação. 

P. 46 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

**----- Start of picture text -----**<br>
Nível de Risco<br>Probabilidade  Impacto<br>Total  7,74  11,40<br>Média  2,58  3,80<br>Nível de Risco  9,80<br>**----- End of picture text -----**<br>

Tabela 21: Tabela com resultado do nível de risco. 

Figura 29 - Nível de Risco – Residual. 

## **Fase 6. Respostas aos Riscos** 

Realizada a identificação, análise e avaliação dos riscos, levando-se em consideração a Matriz de Riscos Residuais e respeitando o Apetite ao Risco, o executante e o responsável devem determinar como será a resposta aos riscos. 

As respostas incluem evitar, reduzir, compartilhar ou aceitar os riscos, cujo principal insumo para tratamento advém dos Fatores de Risco (Causas) identificados, bem como, controles ineficientes. 

P. 47 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

## **Fluxograma** 

Figura 30 - Resposta aos Riscos. 

## **6.1 Plano de Ação** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Matriz de Riscos - Residual, Diagrama de Causa e Efeito, SWOT e Avaliação de Controles; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Plano de Resposta aos Riscos (Plano de Gestão conforme a Política de Gestão de Riscos da ANEEL), incluindo Planos de Ação ; 

- **Descrição (como):** Depois de identificados, avaliados e mensurados, deve-se definir qual o tratamento que será dado aos riscos.  A priorização deve estar embasada na Matriz de Riscos - Residual, Diagrama de Causa e Efeito, Matriz SWOT e Avaliação dos Controles. 

É importante que exista a conscientização e comprometimento com o gerenciamento de riscos por parte da alta administração da ANEEL. Nesse contexto, os tomadores de decisão são os responsáveis 

P. 48 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

por esse gerenciamento, ou seja, mediante a matriz de riscos deve-se identificar qual a resposta a ser adotada para tratamento do risco. 

Abaixo as estratégias que podem ser adotadas para o tratamento dos riscos: 

- **Evitar o Risco:** Descontinuação das atividades que geram os riscos. Evitar riscos pode, por exemplo, implicar a descontinuação de um processo. 

- **Reduzir o Risco:** São adotadas medidas para reduzir a probabilidade ou o impacto dos riscos, ou, até mesmo, ambos. As medidas devem ser tomadas pautadas nos fatores de riscos e aprimoramento de controles. 

- **Compartilhar:** Redução da probabilidade ou do impacto dos riscos pela transferência ou pelo compartilhamento de uma porção do risco. As técnicas comuns compreendem a aquisição de produtos de seguro e a “terceirização” de uma atividade (levando-se em consideração a corresponsabilidade). 

- **Aceitar:** Nenhuma medida é adotada para afetar a probabilidade ou o grau de impacto dos riscos. Tratando-se de riscos além do apetite ao risco, é necessário a formalização pelo gestor do risco e aprovação pela Diretoria Colegiada. 

Para elaboração do plano de ação é utilizada a técnica adaptada das perguntas 5W e 2H. 

- “O que ocasiona o risco?” Qual o motivo para realização da ação (fator de risco); 

- “Criticidade”: Refere-se a relevância do fator de risco (Magnitude x Importância); 

- “Quem faz parte neste processo?”: Nome do responsável pela implementação da ação; 

- “Quando será implementado?”: Data limite para implementação da ação; 

- “O que pode ser implementado?”: Medida em relação à causa prioritária (ação corretiva); 

- “Como deve ser realizado para melhoria?”: Descrever como será executada ação proposta; 

- “Quanto Custa?”: Qual o valor do custeio / investimento. 

Os responsáveis pelos processos são também responsáveis pelo tratamento e/ou monitoramento dos riscos associados. Desta forma, deve acompanhar o status dos planos de ação, bem como, 

P. 49 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

informar à GEGC quando vislumbrar mudanças nos ambientes interno e/ou externo que podem afetar o risco. 

Caso não ocorra o planejamento e aprovação de resposta ao risco, bem como, a execução do plano dentro do prazo estipulado, a pendência existente será encaminhada ao CGRC para conhecimento e providências. 

## Exemplo 

**----- Start of picture text -----**<br>
O que ocasiona o risco?  Qual o motivo para realização da ação (fator de risco);<br>Refere-se a relevância do fator de risco (Magnitude x<br>Criticidade<br>Importância)<br>Quem faz parte neste processo?  Nome do responsável pela implementação da ação;<br>Quando será implementado?  Data limite para implementação da ação;<br>O que pode ser implementado?  Medida em relação à causa prioritária (ação corretiva);<br>Como deve ser realizado para<br>Descrever como será executada ação proposta;<br>melhoria?<br>Quanto custa?  Qual o valor do custeio / investimento.<br>Status  Andamento da ação: Em execução, Finalizada, Atrasada e etc.<br>**----- End of picture text -----**<br>

## **Fase 7. Monitoramento e Análise Crítica** 

Os indicadores devem ser planejados como parte do processo da avaliação de riscos e devem ser monitorados de maneira regular. Podem ser periódicos ou acontecer em resposta a um fato específico. 

## **Fluxograma** 

P. 50 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

Figura 32 - Monitoramento e Análise Crítica. 

## **7.1 Estabelecimento dos Indicadores** 

- **Responsável:** GEGC; 

- **Executante:** GEGC; 

- **Entrada:** Matriz de Riscos – Inerente, Nível de Risco, Matriz SWOT e Plano de Ação; 

- **Periodicidade:** Quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- **Entrega (produto):** Indicadores Estabelecidos; 

- **Descrição:** Abaixo serão estabelecidos os indicadores do processo de gestão de riscos, bem como, a periodicidade de monitoramento. 

## **Tipos de Indicadores** 

Todos os indicadores a seguir, devem ser representados através de um _dashboard_ (painel de controle), devendo ser visualizados de forma separada (por tipo) e de forma integrada. 

##  **Criticidade dos Riscos Residuais** 

Diz respeito à evolução das condições dos riscos identificados e analisados na Matriz de Riscos - Residual. Neste caso, deve-se montar um processo de acompanhamento para verificar se as condições listadas no diagrama de causa e efeito sofrem mudanças, abrangendo os ambientes interno e o externo. 

P. 51 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- Objetivo: Apresentar a evolução da criticidade dos riscos residuais (Matriz de Riscos - Residual). 

- Periodicidade de Monitoramento: Semestralmente, quando forem identificadas mudanças significativas, ou em caso de outras necessidades; 

- Métrica: Quantificação dos Riscos por Quadrante; 

- Meta: A definir. 

Exemplo de aplicação: 

Figura 33 - Indicador de Criticidade. 

##  **Planos de Ação** 

Visa verificar se os planos de ação estão sendo executados conforme cronograma estabelecido e aprovado. Para isso devemos utilizar um farol com os indicadores de: Concluído, Em andamento, Previsto, Atrasado e Cancelado. Devem ser acompanhadas para saber se seus objetivos foram atingidos e, se não foram, quais as dificuldades encontradas e as ações corretivas. 

- Objetivo: Medir a evolução da implantação dos planos de ação; 

- Periodicidade de Monitoramento: Trimestral; 

P. 52 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- Métrica: Contador de Status (Concluído, em andamento, previsto, atrasado e cancelado); 

- Meta:  A definir. 

Exemplo de aplicação: 

Figura 34 - Indicador de Plano de Ação. 

- **7.2 Execução do monitoramento e Acompanhamento dos Indicadores** 

   - **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

   - **Executante:** Facilitador da Gestão de Riscos; 

   - **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

   - **Entrada:** Indicadores estabelecidos; 

   - **Periodicidade:** Anualmente; 

   - **Entrega (produto):** Apuração dos Indicadores; 

   - **Descrição (como):** O monitoramento e acompanhamento dos indicadores deve ser executado conforme periodicidade estabelecida, sendo enviado relatório ao CGRC. 

## **7.3 Elaboração de Relatórios Executivos** 

- **Responsável:** GEGC, Líder da unidade organizacional, Gerente e/ou Coordenador (responsável pelo Processo); 

P. 53 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- **Executante:** Facilitador da Gestão de Riscos; 

- **Envolvidos:** Líderes, áreas técnicas coparticipantes e GEGC; 

- **Entrada:** Indicadores apurados; 

- **Periodicidade:** Anualmente; 

- **Entrega (produto):** Relatório Executivo dos Indicadores de Riscos do Processo; 

- **Descrição (como):** Elaboração de Relatório contendo os itens de monitoramento e os indicadores apurados, constando as justificativas necessárias para o entendimento.  O relatório elaborado deverá ser remetido anualmente ao GEGC. 

## **7.4 Reunião de Análise Crítica** 

   - **Responsável:** GEGC; 

   - **Executante:** GEGC; 

   - **Entrada:** Relatórios Executivos; 

   - **Periodicidade:** Anualmente (final do ciclo); 

   - **Entrega (produto):** Relatório de Análise Crítica; 

   - **Descrição (como):** Na reunião em questão deve ser apresentado o Relatório Executivo Anual, contendo todos os itens de monitoramento e indicadores de riscos, explanando sobre os avanços realizados e dificuldades encontradas. Os principais pontos levantados e debatidos e, sobretudo, as diretrizes e determinações estabelecidas pela Diretoria Colegiada devem ser registrados. 

- **7.5 Retroalimentação e Aprendizado do processo de Gestão de Riscos Estratégicos** 

   - **Responsável:** CGRC 

   - **Executante:** GEGC; 

P. 54 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

- **Envolvidos:** CGRC e Líderes e áreas técnicas; 

- **Entrada:** Relatório de Análise Crítica; 

- **Periodicidade:** Anualmente, quando forem identificadas mudanças significativas ou em caso de outras necessidades; 

- **Entrega (produto):** Não Aplicável; 

- **Descrição (como):** Fruto das diretrizes/determinações estabelecidas pela alta direção, o processo deve ser retroalimentado, com ganhos de aprendizado, iniciando-se pela comunicação, onde deve ser considerado todos os apontamentos realizados na reunião de análise crítica. 

## **6. SIGLAS** 

GDG: Gabinete do Diretor-Geral. 

CGRC: Comitê de Governança, Riscos e Controle. 

AID: Assessoria Institucional da Diretoria. 

GEGC: Gerência de Governança Corporativa 

## **7. GLOSSÁRIO** 

Para os efeitos deste documento, aplicam-se os seguintes termos e definições. 

**Alta administração:** gestores que integram o nível executivo mais elevado da organização com poderes para estabelecer as políticas, os objetivos e conduzir a implementação da estratégia para realizar os objetivos da organização. (Fonte: Portaria - SEGECEX Nº 2, de 22 de janeiro de 2018) 

**Ameaça:** Qualquer circunstância, situação ou correlatos com potencial para ocasionar ou contribuir para a concretização de riscos. (Fonte: autores) 

**Análise crítica** : Atividade realizada para determinar a adequação, suficiência e eficácia do assunto em questão para atingir os objetivos estabelecidos. Nota: A análise crítica pode ser aplicada à estrutura da gestão de riscos, ao processo de gestão de riscos, ao risco ou ao controle. (Fonte: ISO 31000:2009) 

P. 55 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

**Análise de riscos** : Processo de compreender a natureza do risco e determinar o nível de risco. Nota: 1 A análise de riscos fornece a base para a avaliação de riscos e para as decisões sobre o tratamento de riscos. Nota: A análise de riscos inclui a estimativa de riscos. (Fonte: ISO 31000:2009) 

**Diagrama de Causa e Efeito** : Fornece uma visualização gráfica estruturada de uma lista de causas para um efeito específico. (Fonte: Adaptado da ISO 31010:2012) 

**Apetite a riscos:** A quantidade total de riscos que uma companhia ou outra organização está disposta a aceitar na busca de sua missão (ou visão). (Fonte: COSO ERM 2017) 

**Atitude perante o risco** : Abordagem da organização para avaliar e eventualmente buscar, reter, assumir ou afastar-se do risco. (Fonte: ISO 31000:2009) 

**Avaliação de riscos** : Processo de comparar os resultados da análise de riscos com os critérios de risco para determinar se o risco e/ou sua magnitude é aceitável ou tolerável. Nota: A avaliação de riscos auxilia na decisão sobre o tratamento de riscos. (Fonte: ISO 31000:2009) 

**Categoria de Objetivos:** Uma das quatro categorias de objetivos de uma organização - estratégicos, eficácia e eficiência operacionais, confiabilidade dos relatórios e cumprimento de leis e regulamentos cabíveis. As categorias sobrepõem-se. Assim, um determinado objetivo poderá classificar-se em mais de uma categoria. (Fonte: COSO ERM) 

**Comitê de Governança, Riscos e Controle** : constitui instância administrativa na ANEEL, instituída e subordinada à Diretoria Colegiada, tendo por finalidade implementar e manter o processo de gestão de riscos corporativos da Agência. (Fonte: Regimento Interno do CGRC) 

**Consequência** : Resultado de um evento que afeta os objetivos. Nota 1: Um evento pode levar a uma série de consequências. Nota 2: Uma consequência pode ser certa ou incerta e pode ter efeitos positivos ou negativos sobre os objetivos. Nota 3: As consequências podem ser expressas qualitativa ou quantitativamente. Nota 4: As consequências iniciais podem desencadear reações em cadeia. (Fonte: ISO 31000:2009) 

**Contexto externo:** Ambiente externo no qual a organização busca atingir seus objetivos. Nota: O contexto externo pode incluir: o ambiente cultural, social, político, legal, regulatório, financeiro, tecnológico, econômico, natural e competitivo, seja internacional, nacional, regional ou local; os 

P. 56 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

fatores–chave e as tendências que tenham impacto sobre os objetivos da organização; e as relações com partes interessadas externas e suas percepções e valores. (Fonte: ISO 31000:2009) 

**Contexto interno:** Ambiente interno no qual a organização busca atingir seus objetivos. Nota: O contexto interno pode incluir: governança, estrutura organizacional, funções e responsabilidades; políticas, objetivos e estratégias implementadas para atingi-los;  capacidades compreendidas em termos de recursos e conhecimento (por exemplo, capital, tempo, pessoas, processos, sistemas e tecnologias); sistemas de informação, fluxos de informação e processos de tomada de decisão (tanto formais como informais); relações com partes interessadas internas, e suas percepções e valores; cultura da organização; normas, diretrizes e modelos adotados pela organização; e  forma e extensão das relações contratuais. (Fonte: ISO 31000:2009) 

**Controle** : Medida que está modificando o risco. Nota 1: Os controles incluem qualquer processo, política, dispositivo, prática ou outras ações que modificam o risco. Nota 2: Os controles nem sempre conseguem exercer o efeito de modificação pretendido ou presumido. (Fonte: ISO 31000:2009) 

**Critérios de risco** : Termos de referência contra os quais a significância de um risco é avaliada. Nota 1: Os critérios de risco são baseados nos objetivos organizacionais e no contexto externo e contexto interno. Nota 2: Os critérios de risco podem ser derivados de normas, leis, políticas e outros requisitos. (Fonte: ISO 31000:2009) 

**Criticidade** : Resultado da probabilidade e o impacto de um risco. (Fonte: autores) 

**Estabelecimento do contexto** : Definição dos parâmetros externos e internos a serem levados em consideração ao gerenciar riscos, e estabelecimento do escopo e dos critérios de risco para a política de gestão de riscos. (Fonte: ISO 31000:2009) 

**Estrutura da gestão de riscos** : Conjunto de componentes que fornecem os fundamentos e os arranjos organizacionais para a concepção, implementação, monitoramento, análise crítica e melhoria contínua da gestão de riscos através de toda a organização. Nota 1: Os fundamentos incluem a política, objetivos, mandatos e comprometimento para gerenciar riscos.  Nota 2: Os arranjos organizacionais incluem planos, relacionamentos, responsabilidades, recursos, processos e atividades.  Nota 3: A estrutura da gestão de riscos está incorporada no âmbito das políticas e práticas estratégicas e operacionais de toda a organização. (Fonte: ISO 31000:2009) 

P. 57 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

**Evento** : Ocorrência ou mudança em um conjunto específico de circunstâncias. Nota 1: Um evento pode consistir em uma ou mais ocorrências e pode ter várias causas. Nota 2: Um evento pode consistir em alguma coisa não acontecer. Nota 3: Um evento pode algumas vezes ser referido como um "incidente" ou um "acidente".  Nota 4: Um evento sem consequências também pode ser referido como um "quase acidente", ou um "incidente" ou "por um triz". (Fonte: ISO 31000:2009) 

**Fonte de risco:** elemento que, individualmente ou combinado, tem o potencial intrínseco para dar origem ao risco. Nota: Uma fonte de risco pode ser tangível ou intangível. (Fonte: ISO 31000:2009) 

**Gestão de riscos:** Atividades coordenadas para dirigir e controlar uma organização no que se refere a riscos. (Fonte: ISO 31000:2009) 

**Grupo Técnico de Apoio à Gestão de Riscos: Incumbe ao GTAGR apoiar o CRC** na implantação do processo de gerenciamento de riscos e na orientação dos gestores de riscos para o desempenho de suas atribuições.  (Fonte: Regimento Interno do CRC). 

**Identificação de riscos** : Processo de busca, reconhecimento e descrição de riscos. Nota 1: A identificação de riscos envolve a identificação das fontes de risco, eventos suas causas e suas consequências potenciais. Nota 2: A identificação de riscos pode envolver dados históricos, análises teóricas, opiniões de pessoas informadas e especialistas, e as necessidades das partes interessadas. (Fonte: ISO 31000:2009) 

**Monitoramento** : Verificação, supervisão, observação crítica ou identificação da situação, executadas de forma contínua, a fim de identificar mudanças no nível de desempenho requerido ou esperado. Nota: O monitoramento pode ser aplicado à estrutura da gestão de riscos, ao processo de gestão de riscos, ao risco ou ao controle. (Fonte: ISO 31000:2009) 

**Nível de risco** : Magnitude de um risco ou combinação de riscos, expressa em termos da combinação das consequências e de suas probabilidades. (Fonte: ISO 31000:2009) 

**Parte interessada:** Pessoa ou organização que pode afetar, ser afetada, ou perceber–se afetada por uma decisão ou atividade. Nota: Um tomador de decisão pode ser uma parte interessada. (Fonte: ISO 31000:2009) 

P. 58 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

**Perfil de risco** : Descrição de um conjunto qualquer de riscos. Nota: O conjunto de riscos pode conter riscos que dizem respeito a toda a organização, parte da organização, ou referente ao qual tiver sido definido. (Fonte: ISO 31000:2009) 

**Plano de gestão de riscos** : Esquema dentro da estrutura da gestão de riscos, que especifica a abordagem, os componentes de gestão e os recursos a serem aplicados para gerenciar riscos. Nota 1: Os componentes de gestão tipicamente incluem procedimentos, práticas, atribuição de responsabilidades, sequência e cronologia das atividades. Nota 2: O plano de gestão de riscos pode ser aplicado a um determinado produto, processo e projeto, em parte ou em toda a organização. (Fonte: ISO 31000:2009) 

**Política de gestão de riscos** : Declaração das intenções e diretrizes gerais de uma organização relacionadas à gestão de riscos. (Fonte: ISO 31000:2009) 

**Probabilidade:** Chance de algo acontecer. Nota 1: Na terminologia de gestão de riscos, a palavra ”probabilidade" é utilizada para referir-se à chance de algo acontecer, não importando se definida, medida ou determinada objetiva ou subjetivamente, qualitativa ou quantitativamente, ou se descrita utilizando-se termos gerais ou matemáticos (tal como probabilidade ou frequência durante um determinado período de tempo).  Nota 2: O termo em Inglês "likelihood" não tem um equivalente direto em algumas línguas; em vez disso, o equivalente do termo "probability" é frequentemente utilizado. Entretanto, em Inglês, "probability" é muitas vezes interpretado estritamente como uma expressão matemática. Portanto, na terminologia de gestão de riscos, ”likelihood" é utilizado com a mesma ampla interpretação de que o termo "probability" tem em muitos outros idiomas além do inglês. (Fonte: ISO 31000:2009) 

**Processo de avaliação de riscos:** Processo global de identificação de riscos, análise de riscos e avaliação de riscos. (Fonte: ISO 31000:2009) 

**Processo de gestão de riscos** : Aplicação sistemática de políticas, procedimentos e práticas de gestão para as atividades de comunicação, consulta, estabelecimento do contexto, e na identificação, análise, avaliação, tratamento, monitoramento e análise crítica dos riscos. (Fonte: ISO 31000:2009) 

**Proprietário do risco** : Pessoa ou entidade com a responsabilidade e a autoridade para gerenciar um risco. (Fonte: ISO 31000:2009) 

P. 59 do RELATÓRIO DE AIR Nº [Título]/20XX, de XX/XX/XXXX. 

**Risco:** Efeito da incerteza nos objetivos. Nota 1: Um efeito é um desvio em relação ao esperado = positivo e/ou negativo. Nota 2: Os objetivos podem ter diferentes aspectos (tais como metas financeiras, de saúde e segurança e ambientais) e podem aplicar–se em diferentes níveis (tais como estratégico, em toda a organização, de projeto, de produto e de processo). Nota 3: O risco é muitas vezes caracterizado pela referência aos eventos potenciais e às consequências, ou uma combinação destes. Nota 4: O risco é muitas vezes expresso em termos de uma combinação de consequências de um evento (incluindo mudanças nas circunstâncias) e a probabilidade de ocorrência associada.  Nota 5: A incerteza é o estado, mesmo que parcial, da deficiência das informações relacionadas a um evento, sua compreensão, seu conhecimento, sua consequência ou sua probabilidade. (Fonte: ISO 31000:2009) 

**Risco Inerente:** é o risco que se apresenta a uma organização na ausência de qualquer medida gerencial que poderia alterar a sua probabilidade ou o seu impacto. (COSO ERM 2017) 

**Risco residual** : Risco remanescente após o tratamento do risco. Nota 1: O risco residual pode conter riscos não identificados. Nota 2: O risco residual também pode ser conhecido como "risco retido". (Fonte: ISO 31000:2009) 

**SWOT (Strengths, Weaknesses, Opportunities e Threats)** : Em português: Forças, Ameaças, Oportunidades e Fraquezas. Trata-se de uma análise para posicionar ou verificar a posição estratégica da empresa no ambiente em questão. (Fonte: Autores) 

**Tolerância a Riscos** : A variação aceitável relativa à realização de um objetivo. (Fonte: COSO ERM) 

**Tratamento de riscos** : Processo para modificar o risco. Nota 1: O tratamento de risco pode envolver: a ação de evitar o risco pela decisão de não iniciar ou descontinuar a atividade que dá origem ao risco; assumir ou aumentar o risco, a fim de buscar uma oportunidade; a remoção da fonte de risco; a alteração da probabilidade; a alteração das consequências; o compartilhamento do risco com outra parte ou partes (incluindo contratos e financiamento do risco); e a retenção do risco por uma escolha consciente. Nota 2: Os tratamentos de riscos relativos às consequências negativas são muitas vezes referidos como "mitigação de riscos", "eliminação de riscos", "prevenção de riscos" e "redução de riscos". Nota 3: O tratamento de riscos pode criar novos riscos ou modificar riscos existentes. (Fonte: ISO 31000:2009).