Norma nº 56/2018

Aprova o Manual de Gestão de Riscos das Contratações no âmbito da Secretaria-Geral de Administração.

       O Secretário-Geral de Administração, no uso de suas competências regulamentares,  considerando o disposto nos §§ 7º e 8º do art. 7º da Resolução-TCU nº 287, de 12 de abril de 2017, que dispõe sobre a Política de Gestão de Riscos do Tribunal de Contas da União;   considerando que o processo de trabalho de contratação apresenta grandes relevância e materialidade no âmbito institucional;  considerando a necessidade de orientar a tomada de decisão referente a processos de contratação conduzidos pela Secretaria-Geral de Administração, com vistas a prover de razoável segurança o suporte necessário ao alcance dos objetivos institucionais;  considerando a necessidade de orientar os gestores e colaboradores da Secretaria-Geral de Administração quanto à operacionalização da gestão dos riscos associados às contratações;   considerando o resultado do grupo de trabalho objeto da Ordem de Serviço-Segedam nº 27, de 24 de setembro de 2018; e  considerando os estudos e os pareceres contantes do processo TC 041.180/2018-6, resolve:  Art. 1º Fica aprovado o Manual de Gestão de Riscos das Contratações no âmbito da Secretaria-Geral de Administração, na forma do Anexo Único a esta Portaria.  Art. 2º Eventuais alterações no Anexo Único a esta Portaria ensejará a republicação de todo o Manual.  Art. 3º Esta Portaria entra em vigor na data de sua publicação.  CARLOS ROBERTO CAIXETA                   Manual de Gestão de Riscos das Contratações  Secretaria-Geral de Administração (Segedam)                                Dezembro de 2018  Apresentação      É com satisfação que apresento a sistemática de gestão de riscos para os processos de trabalho de aquisições e contratações de serviços no âmbito da Secretaria-Geral de Administração.  Trata-se do resultado da priorização do tratamento de riscos em processo de trabalho de grandes relevância e materialidade no âmbito institucional.      A sistemática foi elaborada a partir de grupo de trabalho constituído por representantes da Secretaria-Geral Adjunta de Administração (Adgedam), Secretaria de Licitações, Contratos e Patrimônio (Selip), Secretaria de Segurança e Serviços de Apoio (Sesap), Secretaria de Engenharia (Senge), Secretaria de Gestão de Pessoas (Segep) e Assessoria da Secretaria-Geral de Administração (Segedam).    A iniciativa integra as inúmeras ações administrativas desenvolvidas, no biênio 2017-2018, em prol da gestão de riscos no âmbito da Secretaria do Tribunal de Contas da União (TCU).   Nesse contexto, em razão dos impactos estratégicos da Emenda Constitucional 95/2016, foi formulado trabalho, no biênio 2017-2018, com a participação das três Secretarias-Gerais, para identificação de riscos-chave relacionados ao Novo Regime Fiscal, os quais podem impactar o cumprimento da missão e dos objetivos institucionais do TCU. Foram identificados os riscos de redução significativa da força de trabalho e de redução da disponibilidade orçamentária e financeira, para os quais foram elaboradas medidas mitigadoras para o curto, médio e longo prazos. A Segedam participou ativamente do trabalho, apresentando a grande maioria das medidas mitigadoras consolidadas no relatório final.   Entre as ações em prol da gestão de riscos no biênio, destaca-se a ação inerente ao acompanhamento da regularidade fiscal do Tribunal, inclusive no que se refere às unidades nos Estados, tendo sido constituído grupo de trabalho para tal fim, no âmbito da Segedam.    Outro exemplo na área é o acompanhamento sistematizado de contratos considerados de elevado risco, a exemplo do Contrato 72/2013, relativo à implantação de solução integrada de gestão de pessoas (SGP). Mesmo constatada a inexecução contratual em 2018, as medidas efetivadas pela Segedam implicaram na ausência de prejuízos para a instituição, com plena quitação do débito apurado e da multa contratual, sem necessidade do correspondente acionamento da seguradora.                   Também merece destaque, em relação à gestão de riscos, a priorização da automatização de processos de trabalho com maior potencial de danos, bem como a atualização de sistemas informatizados críticos, de implantação antiga ou com grande número de lançamentos manuais.    Além disso, em fevereiro de 2018, foi constituído grupo de trabalho para analisar o modelo atual de gestão e fiscalização dos contratos de obras e serviços de engenharia, com identificação de fatores de risco e de medidas correlatas de curto, médio e longo prazo. O trabalho resultou na identificação de várias medidas, como a elaboração em curso de artefato padronizado (manual) de orientação à gestão e à fiscalização de tais tipos de contratos.      Outros trabalhos desenvolvidos, quanto à gestão e fiscalização contratual, compreendem a identificação de medidas mitigadoras de riscos afetos à segurança pessoal e patrimonial durante a execução de obras, serviços de engenharia e procedimentos de manutenção predial.    De forma pioneira no Tribunal, em março de 2018, restou identificada a importância, no âmbito da revisão do Plano Diretor da Segedam, tanto de promover visão sistêmica da gestão de riscos em toda a Secretaria-Geral, quanto de articular a respectiva integração com os planos institucionais. Assim, o Plano Diretor da Segedam foi revisto, com inclusão de dois novos anexos: o Anexo IV com os riscos principais ao funcionamento da Secretaria-Geral como um todo, e o Anexo V com as contribuições das unidades para o tratamento desses riscos para o respectivo período.                   Tais medidas não tem o intuito de exaurir a matéria, mas configuram-se como iniciativas estratégicas para gestão de riscos administrativos. A partir daí novos ciclos de aprimoramento do tratamento dos riscos podem ser conduzidos em prol da excelência da gestão.   Carlos Roberto Caixeta  Secretário-Geral de Administração     1. Introdução         As melhores práticas internacionais recomendam a adoção da abordagem de gerenciamento de riscos nas organizações.    Na Administração Pública, a gestão de riscos constitui-se ferramenta de grande valia no alcance de níveis mais elevados de governança, pois aumenta a capacidade institucional de lidar com incertezas, estimula a transparência e contribui para o uso eficiente, eficaz e efetivo de recursos públicos.   Proporciona, especialmente, impactos positivos no alcance de resultados, o que favorece a eficiência administrativa, alçada a expresso princípio constitucional desde a Emenda Constitucional n° 19/1998.   Sob de tais premissas, o Tribunal de Contas da União (TCU) aprovou, em abril de 2017, a Resolução-TCU n° 287, que institui a política de gestão de riscos da Casa.  A norma, entre outras disposições, estabelece as instâncias responsáveis pelo Sistema de Gestão de Riscos do TCU, e define as competências dos gestores de riscos, para os objetos de gestão sob sua responsabilidade.     Tendo por norte os fundamentos e princípios lançados na referida norma, e com o valioso auxílio da Secretaria de Planejamento, Governança e Gestão (Seplan), a Secretaria-Geral de Administração (Segedam) vem aprimorando seu sistema interno de gestão de riscos.   A Segedam é composta de unidades organizacionais, com atribuições, objetivos e processos de trabalho específicos, embora estes últimos, não raro, inter-relacionem-se, impactando mais de uma unidade.    Assim, a gestão de riscos na Segedam pressupõe contemplar, no objeto, não somente as unidades organizacionais isoladamente, mas também os processos de trabalho transversais.   O presente Manual tem por escopo a gestão dos riscos associados aos processos de trabalho afetos às aquisições e às contratações de serviços no âmbito da Segedam - atividades cujos resultados têm relevância destacada na atuação da unidade e da instituição como um todo. São tratados os três macroprocessos mais prioritários, quais sejam, (i) o planejamento da contratação, (ii) a etapa externa do certame licitatório e (iii) a gestão dos contratos.   Este Manual fornece os conceitos básicos utilizados na sistematização da gestão de riscos, estabelece as competências essenciais dos envolvidos nos processos, e descreve a metodologia utilizada. A orientação apresentada assenta-se integralmente nas disposições da aludida Resolução-TCU n° 287/2017, e no documento Manual de Gestão de Riscos do TCU, aprovado pela Presidência em maio de 2018.   Conforme dispõe o referido Manual de Gestão de Riscos, a estratégia escolhida para implantação da gestão de riscos é interativa e se baseia em ciclos sucessivos, com complexidade crescente. Na mesma linha, o presente documento reflete as experiências e reflexões resultante de um primeiro ciclo de gestão dos riscos associados às contrações feitas pela Segedam, a partir dos resultados do grupo de trabalho instituído pela Ordem de Serviço-Segedam n° 27, de 24 de setembro de 2018.   Espera-se que a experiência conduza a modelos cada vez mais eficazes, em outros processos de trabalho ou em unidades organizacionais específicas. O amadurecimento decorrente do bem-sucedido trabalho já desenvolvido certamente proporcionará o futuro aprimoramento deste Manual, como resultado da contínua melhoria que a gestão de riscos potencializa e instiga.        2. Responsabilidades pela Gestão de Riscos        De acordo com o disposto no art. 7° da Resolução TCU n° 287/2017, são instâncias responsáveis pelo Sistema de Gestão de Riscos do TCU:  • o Plenário;  • o Presidente;  • a Comissão de Coordenação Geral (CCG);  • a Secretaria de Planejamento, Governança e Gestão (Seplan);  • as unidades-básicas;  • o coordenador setorial de gestão de riscos;  • os gestores de risco; e  • a Secretaria de Auditoria Interna (Seaud).   Estabelece ainda a norma, no mesmo art. 7°:  § 6º Coordenador setorial de gestão de riscos é a pessoa ou unidade responsável por coordenar ações e promover a execução do SGR/TCU no âmbito da unidade básica a que se vincula, prover informações à unidade central, bem como apoiar os dirigentes e os gestores de riscos no desempenho das competências definidas nesta Resolução.  § 7º Os dirigentes de unidade básica, de coordenação-geral, de unidade e chefes de gabinete são os gestores dos riscos relativos aos objetos de gestão sob sua responsabilidade.  § 8º Compete ao gestor de risco executar as atividades do processo de gestão de riscos descritas no art. 5º para os objetos de gestão sob sua responsabilidade.  § 9º Quando houver dúvida sobre a identificação do gestor de determinado risco no âmbito interno das unidades citadas no § 7º, cabe à chefia comum imediata decidir.   Assim, nos termos da Resolução, para os objetos de gestão sob a responsabilidade da Segedam, o gestor de riscos é o titular da unidade - o Secretário-Geral de Administração. É o Secretário-Geral de Administração, portanto, a pessoa que detém a atribuição de executar as atividades do processo de gestão de riscos.   São incumbências dos gestores de risco (Manual de Riscos do TCU, 2018):  • identificar os objetos de gestão sob sua responsabilidade (projetos, processos, atividades, ações, etc.);  • conduzir o respectivo processo de gestão de riscos;  • comunicar ao coordenador setorial e à Seplan os resultados das avaliações de riscos realizadas.   O Secretário-Geral de Administração pode, mediante ato específico, delegar atribuições inerentes à gestão dos riscos associados aos objetos sob sua responsabilidade aos dirigentes das unidades que compõem a Segedam, se vislumbrar, na medida, potencial de maior efetividade na gestão de determinados riscos.  Eventual delegação de certas e específicas atribuições, nesses moldes, não interfere na autoridade e na competência própria de gestor de riscos conferida ao Secretário-Geral de Administração.   O coordenador setorial de gestão de riscos para os objetos de gestão sob a responsabilidade da Segedam é o titular da Secretaria-Geral Adjunta de Administração (Adgedam), consoante designação efetuada por meio da Portaria CCG n° 20, de 13 de novembro de 2017. Compete ao Secretário-Geral Adjunto coordenar ações e promover a execução do Sistema de Gestão de Riscos (SGR/TCU) no âmbito da Segedam, além de prover de informações a unidade central do SGR/TCU, a Seplan, bem como apoiar o Secretário-Geral de Administração no desempenho das suas competências de gestor de riscos.          3. As etapas da Gestão de Riscos        A realização da gestão de riscos, quaisquer que sejam os objetos, implica o desenvolvimento de etapas, que podem ser visualizadas na figura abaixo (Manual de Gestão de Riscos /TCU).       1. Figura 1: Processo de Gestão de Riscos (ISO 31000 - Adaptado)         Passa-se, a seguir, ao detalhamento da execução dessas etapas de gestão de riscos, sob o enfoque dos macroprocessos relevantes nas contratações realizadas pela Segedam - planejamento da contratação, etapa externa do certame e gestão dos contratos.     3.1. Estabelecimento do contexto   Na etapa de estabelecimento de contexto, deve-se compreender o ambiente interno e externo no qual o objeto de gestão de riscos se encontra inserido e identificar os parâmetros e critérios a serem considerados no processo de gestão de riscos (Manual de Gestão de Riscos do TCU, 2018).   É nessa etapa inicial que o gestor de riscos, com o auxílio, no que couber, do coordenador setorial de gestão de riscos, deve definir quais processos de trabalho terão os riscos gerenciados, em função de sua relevância ou impacto, ou outro critério considerado, pelo gestor de riscos, adequado. Para identificar tais processos, pode o gestor lançar mão de mapeamentos de processos, relatórios gerenciais, ou entrevistas a colaboradores e clientes internos e externos.    Sugere-se que sejam identificadas: as atividades que mais agreguem valor; as partes envolvidas no processo de contratação, como fornecedores e clientes; eventuais insumos necessários; legislação relacionada; equipamentos ou suporte de TI necessários; e impactos de falhas ou interrupções na entrega do resultado final.   Nas atividades afetas à contração de serviços e à aquisição de bens realizadas pela Segedam há três macroprocessos fundamentais, quais sejam: a etapa de planejamento das contratações, necessária mesmo nas hipóteses de dispensa e inexigibilidade; a etapa externa de seleção do fornecedor; e a etapa de gestão contratual.     Tais macroprocessos são subdivididos em processos de trabalho transversais, que perpassam, via de regra, mais de uma unidade técnica. No caso específico do planejamento e da gestão contratual, são envolvidas inclusive unidades externas à estrutura da Segedam.   Dessa forma, ao considerar tais particularidades e o fato de que a contratação de bens e serviços se constitui atividade instrumental, o gestor de riscos deve atentar especialmente para as expectativas dos clientes - internos e externos à Segedam - e para a eficácia e a efetividade das ações. O contexto normativo que disciplina as atividades, e a estrutura disponível, em termos de recursos financeiros, humanos e tecnológicos, também é de fundamental importância.   No primeiro ciclo de gestão de riscos, executado nos termos da Ordem de Serviço-Segedam n° 27/2018, o objeto do trabalho foram os referidos macroprocessos, tomados de forma mais ampla. Não se cuidou, nessa primeira experiência, de processos de trabalho específicos, o que não impede que sejam realizados, a critério do gestor de riscos, outros ciclos, utilizando-se metodologia similar.      3.2. Identificação dos riscos  3.2.1. Orientações Gerais   Nos termos da definição contida no Manual de Gestão de Riscos do TCU (2018), a identificação dos riscos compreende o reconhecimento e a descrição dos riscos relacionados aos objetivos/resultados de um objeto de gestão de riscos, envolvendo a identificação de possíveis fatores de riscos.    Para identificar os riscos é necessário, em primeiro lugar, especificar os objetivos ou resultados pretendidos com o objeto de gestão em análise. Somente depois de bem estabelecido o objetivo ou o resultado esperado, é possível mapear os riscos que podem impactar esses resultados. Deve-se responder à pergunta-chave: o que pode atrapalhar o alcance do objetivo/resultado?   Mas a sistemática de identificação não é estabelecida de modo fixo e imutável. Pelo contrário, deve ser adequada ao objeto de gestão. A abordagem, a depender do objeto, pode se dar de forma mais ou menos agregada, e considerar diferentes fatores de risco (infraestrutura, pessoal, processos, tecnologia, etc). Se, por exemplo, o processo de trabalho objeto da gestão for integrado por um número muito grande de atividades, podem ser eleitas as atividades mais agregadoras de valor, às quais são atribuídos resultados específicos, para deles serem detalhados os riscos. Alternativamente, os riscos podem referir-se aos objetivos esperados do processo como um todo, sem detalhamento em atividades.   Os três macroprocessos fundamentais da contratação de serviços ou aquisição de bens - a etapa de planejamento, a fase externa do certame, e a gestão contratual - contêm vários processos de trabalho específicos que, por sua vez, tem por fim objetivos/resultados individualizáveis. Pode ser utilizada uma ou outra abordagem.   No primeiro ciclo realizado optou-se pela sistemática mais agregada. Foram considerados os riscos mais críticos aos objetivos gerais de cada um dos macroprocessos, sem detalhamentos minuciosos em relação aos objetivos dos processos de trabalho intermediários.   Sugere-se, para a execução dessa etapa, a metodologia utilizada pelo grupo de trabalho que conduziu a sistematização do primeiro ciclo: oficinas, das quais participem servidores envolvidos nos respectivos processos de trabalho, e que, preferencialmente, detenham conhecimento e vivência sobre a realização das atividades que o compõem. Também é indicada a participação de atores externos ao processo, notadamente os demandantes ou usuários dos serviços/produtos contratados. A quantidade de oficinas necessárias variará de acordo com a extensão e complexidade dos processos sob análise. Podem ser utilizadas, nas oficinas, técnicas/ferramentas que permitam a coleta do maior número de riscos, tais como brainstorming e brainwriting. Também são recomendadas entrevistas ou visitas técnicas.     3.2.2. Riscos associados ao planejamento da contratação   O planejamento da contratação se inicia com o requerimento/pedido inicial que impulsiona o processo de contratação e vai até a confecção da versão final do Edital (nos casos em que a contratação não é feita mediante dispensa ou inexigibilidade). Envolve, essencialmente, as fases de estudos preliminares (EP) e de elaboração de termo de referência (TR), de exame jurídico e de elaboração de edital. Tais artefatos, por sua vez, são compostos de elementos de informação, alguns de relevância preponderante para a contratação como um todo, como é o caso, por exemplo, do orçamento estimado.   A sistemática mais a apropriada para a identificação dos riscos dependerá do objeto da gestão, que pode ser desde um dos elementos componentes do EP ou do TR, até o resultado do processo de planejamento como um todo. Há, portanto, inúmeras possibilidades. Qualquer que seja o enfoque, nas oficinas de identificação dos riscos associados à fase de planejamento, devem ser envolvidos servidores que atuem nas atividades correlatadas, em especial os responsáveis pela elaboração de EP ou TR.     3.2.2.1. Lições aprendidas   No primeiro ciclo de gestão de riscos realizado, foi estabelecido o seguinte objetivo para a fase de planejamento das contratações:  Elaborar um Termo de Referência aderente à legislação e que propicie a contratação de serviços que atendam à necess idade da administração, a custo compatível com o mercado, com qualidade e em tempo adequado.   Os riscos identificados, capazes de impactar esse objetivo foram:  • Tempo para elaboração do termo de referência insuficiente;  • Não designação de equipe multidisciplinar de planejamento;  • Equipe de trabalho insuficiente;  • Recebimento da demanda sem a documentação devida ou necessária;  • Objeto mal especificado e/ou deficiência na descrição do objeto     3.2.3. Riscos associados à fase externa do certame   A identificação dos riscos associados à fase externa do certame só é relevante nas contratações resultantes de processo licitatório. A fase externa se inicia com o recebimento do edital pelo pregoeiro e termina com a homologação do certame pelo Secretário-Geral de Administração.   A fase externa da licitação é considerada a menos suscetível a intercorrências relacionadas às decisões dos gestores e à autonomia dos servidores que dela participam - pregoeiro e equipe de apoio e autoridades responsáveis pelos atos de autorização, homologação e ratificação - porque é a mais vinculada ao rito estabelecido na Lei. No entanto, assim como as demais, não é imune a riscos.   Tal como na fase de planejamento, o objeto da gestão pode ser restringido ou expandido, a critério do gestor de riscos. No primeiro ciclo, justamente porque as decisões da fase externa da contratação são, em geral, vinculadas, optou-se por não detalhar as atividades ou subprocessos. Mas, a depender da avaliação do gestor de riscos, pode ser adotada outra linha de análise mais pormenorizada, em processos individualizados, como é o caso, por exemplo, dos processos relacionados à aplicação de sanções a licitantes, que têm potencial de trazer consequências significativas à Administração, e aos quais mormente se associam riscos significativos.   3.2.3.1. Lições aprendidas   No primeiro ciclo de gestão de riscos, foi fixado o seguinte objetivo para a fase externa do certame:  Promover uma disputa isonômica, competitiva e transparente, aderente aos requisitos legais e que possibilite a contratação da proposta mais vantajosa em prazo adequado à necessidade da administração   Os riscos identificados, potencialmente capazes de afetar esse objetivo, foram os seguintes:  • Aceitação indevida da proposta;  • Descumprimento de normas legais e regulamentares;  • Concessão de tratamento diferenciado para ME/EPP indevidamente;  • Omissão no dever de apurar as faltas cometidas por licitantes;  • Análise do mérito do recurso no exame da intenção recursal.     3.2.4. Riscos associados à fase de gestão contratual   A fase de gestão contratual abarca as atividades relativas à condução e à execução dos contratos, desde o momento em que são firmados até a extinção. Trata-se de processo complexo, que abrange muitos subprocessos de trabalho, por vezes independentes, e com resultados específicos.   Há, pelo menos, duas possíveis linhas de análise no que se refere aos riscos associados à fase de gestão contratual.    Uma trata dos resultados relativos à fiscalização dos contratos, que se subdivide em:    (i) fiscalização técnica - diz respeito à verificação da conformidade da execução do objeto contratado, incluindo medições, bem como dos respectivos pagamentos, inclusive os disciplinados por acordos de níveis de serviços; e    (ii) fiscalização administrativa - diz respeito às atividades de exame do cumprimento das obrigações trabalhistas, previdenciárias e fiscais das contratadas.   Outra possível linha de análise relaciona-se às atividades típicas do gerenciamento dos eventos da continuidade contratual. Trata-se dos procedimentos de prorrogação contratual; de alterações contratuais para acréscimos e supressões; de reajuste e repactuação de contratos; de rescisão unilateral ou consensual; e de aplicação de sanções por inexecução parcial ou total de obrigações pactuadas nos contratos.   A gestão de riscos sistematizada pode ter por objeto quaisquer das referidas atividades - individualmente, um conjunto delas, ou a totalidade. O gestor de riscos deve decidir a respeito, de acordo com os critérios que julgue apropriado, considerando, sempre, o potencial de agregação de valor dos resultados e o seu provável impacto no alcance dos objetivos da unidade.    Assim, a identificação dos riscos será norteada pelos processos ou as atividades eleitas para objeto da gestão.      3.2.4.1. Lições aprendidas   No primeiro ciclo de gestão dos riscos associados à gestão contratual foram considerados os objetivos principais relacionados à fase de gestão, segregada em duas linhas: as atividades de fiscalização - técnica e administrativa - e as atividades de gestão contratual.    No que diz respeito à gestão contratual foi estabelecido objetivo relacionado especificamente às alterações contratuais, reputadas processos mais críticos. O objetivo foi estabelecido nos seguintes termos:  Permitir a celebração de alterações contratuais com agilidade e respeito ao cumprimento de dispositivos legais.   Para esse objetivo, foram identificados dois riscos:  • Descumprimento de normas legais e regulamentares aplicáveis às alterações contratuais;  • Solução de continuidade de contratos;   Quanto às atividades de fiscalização, o objetivo foi o seguinte:   Garantir que o objeto contratado seja executado de acordo com as condições pactuadas, mantendo o equilíbrio econômi co-financeiro respeitado o interesse da administração e a legislação vigente.   Os riscos identificados, que podem afetar o alcance do objetivo:  • Responsabilização subsidiária da administração;  • Solução de continuidade de contratos;  • Recebimento de bens em desacordo com a amostra e/ou com as especificações técnicas;  • Execução do objeto em desacordo com as cláusulas pactuadas;  • Não recebimento do objeto no prazo estabelecido em contrato ou em tempo hábil suficiente para atender ao interesse da administração;  • Efetivação de pagamento em desacordo com o realizado;  • Baixa qualidade dos serviços prestados;     3.3. Análise dos riscos   Segundo o Manual de Gestão de Riscos do TCU (2018), a análise do risco se refere ao desenvolvimento da compreensão sobre o risco e à determinação do nível de riscos.   Os passos de análise de risco são os seguintes:  • avaliar o impacto do risco sobre o objetivo/resultado - o impacto mede o potencial comprometimento do objetivo;  • avaliar a probabilidade de ocorrência do risco;  • definir o nível do risco com base na matriz probabilidade x impacto.   A matriz define o nível de riscos a partir da combinação das escalas de probabilidade e de impacto. A probabilidade é a chance de o evento ocorrer dentro do prazo previsto para se alcançar o objetivo/resultado. Podem ser utilizadas matrizes de riscos com diferentes amplitudes (duas dimensões, três dimensões ou cinco dimensões).    Sugere-se, para a gestão de riscos nos processos de contratação do TCU, que seja adotada a matriz de avaliação de riscos de três dimensões, conforme o modelo constante do Anexo I deste Manual, utilizada no primeiro ciclo de gestão de riscos.   As escalas, assim, são as seguintes:  Escala de probabilidade (1 a 3)  1. pouco provável: o histórico conhecido aponta para a baixa frequência da ocorrência do risco no prazo associado ao objetivo.  2. provável: repete-se com frequência razoável no prazo associado ao objetivo, ou há indícios razoáveis de que ocorrerá nesse horizonte.  3. muito provável: repete-se com elevada frequência no prazo associado ao objetivo ou há fortes indícios de que ocorrerá nesse horizonte.  Escala de impacto (1 a 3)  1.  baixo: compromete pouco o alcance do objetivo/resultado, mas não impede completamente seu alcance.  2.  médio: compromete razoavelmente o alcance do objetivo/resultado.  3.  alto: compromete muito (a maior parte ou totalmente) o atingimento do objetivo/resultado.   O gestor de riscos pode, a seu critério, estabelecer outras escalas para a análise de riscos, a depender do rigor e do detalhamento que julgue necessários à tomada de decisão.   A análise e a classificação dos riscos devem ser feitas em oficinas, das quais participem servidores envolvidos nos processos aos quais os riscos são associados. É importante que tais servidores tenham conhecimento mais profundo acerca dos processos, inclusive sobre histórico, ainda que recente, de seu desenvolvimento. Não há prejuízo a que as atividades de identificação e análise de riscos sejam feitas na mesma oportunidade, a depender da disponibilidade dos envolvidos e da estimativa de tempo despendido em cada oficina.   Não é indispensável alcançar consenso quanto à avaliação da probabilidade e do impacto. Se não houver unanimidade, pode ser adotada a análise da maioria ou, em caso de equilíbrio de opiniões, usar o princípio do conservadorismo e adotar a opção de que resultar o nível de risco mais elevado.     3.4.  Avaliação dos riscos   Uma vez analisados e ranqueados os riscos, deve ser empreendida a sua avaliação. A avaliação dos riscos, segundo a definição fornecida pelo Manual de Riscos do TCU (2018) envolve a comparação de seu nível, determinado na matriz já referida no tópico anterior, com o limite de exposição dos riscos, a fim de determinar se o risco é aceitável. Espera-se que, com os resultados do tratamento, o nível de risco residual fique abaixo do limite de exposição.   Cabe ao gestor de riscos definir o limite de exposição ao risco, de modo a orientar a decisão sobre quais riscos devem ser objeto de ação mitigadora.    Um instrumento útil a tal definição é a matriz de tolerância ao risco, extraída do Manual de Gestão de Riscos do TCU:        Na matriz os limites de exposição ao risco são definidos em faixas. Na faixa vermelha estão riscos acima do limite de exposição; na faixa ocre os riscos com necessidade de monitoramento; na faixa laranja os riscos que podem ser aceitos.   Mas não é obrigatória a definição formal do limite de exposição, como condição ao tratamento dos riscos. A avaliação dos riscos segundo a matriz fornece somente subsídio para a tomada de decisão, não se constituindo fator determinante para o tratamento dos riscos. Alternativamente, o gestor de riscos pode decidir, por juízo profissional, baseado em sua experiência e em suas percepções, quais riscos exigirão esforço de gerenciamento. Essa decisão pode ser adotada, inclusive, com base na proposição dos titulares das unidades que compõem a Segedam, atuantes no processo objeto da gestão; nas proposições do coordenador setorial de gestão de riscos; ou na sugestão dos servidores envolvidos no processo de identificação e de análise dos riscos. Tais servidores conhecem detalhadamente os processos em análise e já estarão, nesta fase, bem inteirados dos riscos.   No primeiro ciclo de gestão de riscos, que pode ser tomado como exemplo, a avaliação dos riscos foi proposta nas oficinas, sem prejuízo da decisão final do gestor sobre quais riscos, daqueles constantes da lista ordenada por níveis, mereceriam ações mitigadoras.     3.5. Tratamento dos riscos   O tratamento dos riscos compreende o planejamento e a realização de ações para modificar o nível de risco. O nível de risco pode ser modificado por meio de medidas de resposta ao risco que mitiguem, transfiram ou evitem esses riscos (Manual de Gestão de Riscos do TCU, 2018).   O tratamento ao risco abrange não só a identificação das medidas de resposta aos riscos, mas também a avaliação da viabilidade e da conveniência de sua implantação, bem como as providências necessárias para concretizá-las.    Sugere-se observar o seguinte trâmite na definição do tratamento dos riscos associados às contrações realizadas pela Segedam:  1. A identificação das medidas de resposta ao risco, assim como a identificação e a análise dos riscos, deve ser realizada nas oficinas de trabalho;  2. As listas das medidas de resposta identificadas, relacionadas aos respectivos riscos, devem ser submetidas ao gestor de riscos, que ouvirá, a seu critério, os titulares das unidades técnicas envolvidas no processo objeto da gestão, em manifestação acerca da viabilidade técnica, econômica e operacional da implantação das medidas;  3. Após a manifestação das unidades, o Secretário-Geral de Administração, gestor de riscos, com o apoio do Secretário-Geral Adjunto de Administração, coordenador setorial de riscos, decidirá a respeito da implantação ou não das medidas, bem como quanto aos prazos;  4. O gestor de riscos determinará, caso julgue cabível, a inclusão das medidas nos planos institucionais das unidades.      As medidas mitigadoras podem envolver ações mais complexas, como o redesenho de processos, a realocação de pessoas, a realização de ações de capacitação, o desenvolvimento ou aperfeiçoamento de soluções de TI, e a adequação da estrutura organizacional. Podem, também, ser materializadas com a adoção de controles e procedimentos mais simples, que dispensam a inclusão de ações específicas nos planos institucionais. Nessas hipóteses pode o gestor de riscos determinar a imediata implementação das medidas, dispensada a sua inclusão nos planos institucionais ou, a seu critério, a prévia manifestação dos dirigentes das unidades.   Tendo em vista que as medidas de tratamento dos riscos associados às contratações são avaliadas em conjunto, no contexto do trabalho de gestão sistemática de riscos, e que sua implementação é coordenada, não subsiste utilidade relevante em se realizar quaisquer etapas da gestão de riscos, de forma isolada, em cada fase dos processos de contratação, ou em cada processo individualmente.  Por consequência, não é necessário anexar aos processos de contratação quaisquer documentos relacionados à gestão de riscos, tais como matrizes, gráficos ou planilhas.   Exceção se faz à hipótese de o gestor resolver realizar gestão de riscos de objeto mais restrito, como de uma contratação isoladamente. A depender da complexidade de determinada contratação, de seu impacto nos objetivos da unidade demandante ou do TCU como um todo, da materialidade, ou de outro critério considerado cabível, a medida pode se justificar.  Nessa hipótese, a identificação, a avaliação e as providências de implementação das medidas de tratamento ao risco podem seguir outro trâmite, determinado pelo gestor de riscos.   A gestão mais efetiva dos riscos é facilitada com o registro das informações pertinentes, para o que se recomenda a utilização da tabela que constitui o Anexo II.     3.6. Monitoramento   O monitoramento compreende o acompanhamento e a verificação do desempenho ou da situação de elementos da gestão de riscos, podendo abranger a política, as atividades, os riscos, os planos de tratamento de riscos, os controles e outros assuntos (Manual de Gestão de riscos do TCU, 2018).   É imprescindível à efetividade da gestão dos riscos associados às contratações que a lista de riscos seja periodicamente revista e atualizada, bem como que seja avaliada a efetividade das medidas de mitigação implantadas. Revisão e melhoria contínua são princípios integrantes da política de gestão de riscos do TCU.   É atribuição do gestor de riscos realizar o monitoramento do funcionamento do sistema de gestão de riscos das contratações, da implementação e dos resultados das medidas de tratamento dos riscos, assim como da evolução dos riscos que não mereceram tratamento.   Sugere-se que as ações de monitoramento tenham periodicidade anual, sem prejuízo de que seja empreendido monitoramento dos riscos e das medidas de mitigação em intervalo mais curto, a critério do gestor de riscos, caso sejam identificadas mudanças nos principais fatores condicionantes de riscos para as contratações realizadas pela Segedam, como por exemplo: alterações no contexto normativo aplicável aos processos de contratação, alterações na estrutura da Segedam ou de suas unidades, mudanças no ciclo de gestão, e modificações relevantes na situação da disponibilidade de recursos orçamentários, físicos, de pessoal e tecnológicos.   As medidas mitigadoras inseridas nos planos institucionais terão o seu monitoramento ajustado ao regular ciclo de planejamento institucional.   Em qualquer caso, o monitoramento não deve onerar demasiadamente o processo de gestão de riscos.     3.7. Comunicação    Comunicação diz respeito à identificação das partes interessadas e ao compartilhamento de informações relativas à gestão de riscos sobre determinado objeto, observada a classificação da informação quanto ao sigilo (Manual de Gestão de Riscos do TCU, 2018). A comunicação é fundamental para que todos os envolvidos enfrentem de uma forma positiva as mudanças nos processos que visam a melhoria contínua.   No âmbito das contratações realizadas pela Segedam, o coordenador setorial de gestão de riscos e o gestor de riscos devem compartilhar as informações relativas aos riscos identificados, bem como as relativas ao seu tratamento, com os dirigentes das unidades potencialmente afetadas. Estes, por sua vez, devem disseminar tais informações entre os servidores da unidade potencialmente envolvidos no processo objeto da gestão de riscos.    A comunicação deve transitar de forma dinâmica, ágil e efetiva entre as unidades e as pessoas interessadas, inclusive as externas à estrutura da unidade. Para isso, o gestor de risco, o coordenador setorial de riscos e os dirigentes das unidades devem adotar estratégias adequadas, segundo os critérios de conveniência e a disponibilidade de recursos.  As ações de comunicação podem incluir, por exemplo, reuniões, informativos por e-mail, distribuição de material e matérias nos periódicos internos.     3.8. Melhoria contínua   A melhoria contínua é resultado do monitoramento. A partir do monitoramento, o gestor de riscos, com o auxílio do coordenador setorial, deve rever, na periodicidade indicada, a lista de riscos, para atualizá-la, bem como a avaliar a efetividade das medidas de mitigação adotadas, de modo a manter o sistema de gestão de riscos funcionando com alto grau de eficiência.      4. Observações finais        As atividades necessárias à execução do processo de gestão de riscos demanda nível razoável de tempo e de esforço dos envolvidos. E devem participar do processo pessoas que de fato executem atividades e tarefas associadas aos objetivos/resultados, sob pena de restar comprometida a qualidade e a própria efetividade dos resultados.   Dessa conjugação de circunstâncias resulta cuidado que se constitui fator de sucesso para a gestão de riscos - o processo deve ser executado sem se onerar em demasia a agenda dos participantes.   Não é demais enfatizar, ainda, que no contexto das contratações, quase sempre, haverá a participação de diversos atores, em diferentes unidades, de modo que a gestão de riscos via de regra terá caráter transversal, inter-setorial e multidisciplinar.   Essa característica peculiar reforça a necessidade de que seja feito o devido registro de todas as fases do processo, para ser evitada a perda de informações, e para que eventual revisão seja viabilizada, caso necessária.   Por fim, a condução hábil e eficiente das oficinas temáticas é fator relevante para o alcance de resultados tempestivos e agregadores de valor.  Referências      BRASIL. Tribunal de Contas da União. Resolução-TCU n.º 287, de 12 de abril de 2017. Dispõe sobre a política de gestão de riscos do Tribunal de Contas da União. Disponível em: <https://portal.tcu.gov.br/biblioteca-digital/politica-de-gestao-de-riscos-do-tcu.htm>. Acesso em: novembro de 2018.  ____.____. Portaria-TCU n.º 184, de 11 de julho de 2018. Aprova o Manual de Gestão de Riscos do Tribunal de Contas da União. Disponível em: < https://portal.tcu.gov.br/biblioteca-digital/manual-de-gestao-de-riscos.htm>           ANEXO I - Matriz de Avaliação de Riscos 3 x 3                                    *Fonte: http://governanaja.com.br/maturidade-de-governanca-compliance-e-risco/     ANEXO II - Tabelas de Tratamento de Riscos              ATIVIDADE     Objetivo             RISCO     CAUSA     P1     I2     N3     MITIGAÇÃO PREVENTIVA     MITIGAÇÃO ATENUANTE     CONSEQUÊNCIA                                                                                                                          1: Probabilidade  2: Impacto  3: Nível