Avaliar e tratar um risco

O objetivo é explicar um cenário de risco, como é avaliado e que decisão a organização tomou. Precisa de acesso de consulta e das operações de criação, edição ou revisão em Riscos; aprovar ou aceitar exige a autoridade prevista no processo.

Preparar a avaliação

1. Em Riscos → Visão de riscos, procure cenários semelhantes e confirme a organização.
2. Registe o cenário, categoria, responsável e relações com ativos, serviços ou fornecedores. Exemplo fictício: Interrupção do serviço de faturação por falha do equipamento.
3. Consulte Metodologia e use uma metodologia aprovada aplicável. As escalas e limites são os da organização; não converta automaticamente uma severidade técnica em risco de negócio.
4. Em Riscos → Avaliações, crie a avaliação e use Mostrar todos os campos para conferir os dados seguintes.

Campo da avaliação	O que deve indicar
Título, Identificador, Versão	Identificação reconhecível, por exemplo “Avaliação da interrupção da faturação”, “AV-R01” e “1”
Risco avaliado, Metodologia aprovada	O cenário e a metodologia existentes que pretende avaliar. A metodologia tem de estar aprovada e em vigor na data da avaliação
Data da avaliação, Próxima revisão	Datas obrigatórias; a revisão tem de ser posterior à avaliação
Contexto da avaliação, Origem do risco	Factos que explicam o cenário e a sua origem, sem presumir informação em falta
Probabilidade avaliada, Impacto avaliado	Valores da escala da metodologia para o risco antes do tratamento
Probabilidade residual avaliada, Impacto residual avaliado	Valores residuais sustentados pelo contexto descrito; não são uma aceitação formal
Fundamentação da avaliação	Razão das classificações e limites da informação usada

Relacione Ativos abrangidos, Serviços abrangidos, Fornecedores abrangidos e Evidências de suporte quando aplicáveis. Escolha Guardar registo e reveja o resultado inerente e residual calculado. A avaliação guardada é imutável: uma reavaliação deve ter um novo registo, conservando a anterior.

Se faltarem informação ou metodologia válida, deixe o caso para revisão e peça os dados necessários. A ausência de pontuação não significa risco baixo.

Tratar e decidir

1. Em Planos de tratamento, indique Identificador, Versão e Avaliações abrangidas. Use uma avaliação por risco no mesmo plano.
2. Defina Opção de tratamento, Fundamentação do plano, Controlos necessários e justificação Evidara, Resultado pretendido, Data alvo e Gestor aprovador independente. Para mitigar, associe Ações de execução com responsável, prazo e trabalho ainda aberto. Reutilize ações e evidências adequadas.
3. Guarde o rascunho. Para mitigação, use Controlos, implementações e evidência para associar as implementações dos controlos necessários antes de pedir aprovação. Se essa ligação faltar, a aprovação pode ser bloqueada.
4. Em Decisão do revisor, preencha Fundamentação / nota de resolução. Cada responsável do risco regista Acordo do responsável do risco; o gestor designado e independente regista depois a aprovação.
5. Após a execução, acrescente Resultado da execução e Reavaliações residuais após aprovação para cada risco abrangido. As reavaliações têm de ser criadas depois da aprovação do plano; não reutilize a avaliação inicial como resultado.

Para concluir o plano, as ações associadas têm de estar fechadas e a sua verificação tem de continuar sustentada por prova atual. Se a opção de tratamento for aceitar, cada avaliação residual precisa também da aceitação formal válida descrita abaixo. Registe a conclusão no processo do plano; aprová-lo não demonstra que foi executado.

O aprovador tem de ser diferente de quem prepara o pedido. Depois de aprovado, o plano conserva os termos decididos; o seguimento permite acrescentar resultados de execução.

Registar uma aceitação ou exceção

Em Riscos → Aceitação e decisões, crie um registo próprio. Preencha Identificador, Versão, Tipo de decisão, Avaliação residual fixada, Gestor aprovador independente, Justificação da decisão, Controlos compensatórios, Condições da decisão e Âmbito explícito e referências.

Defina Válida desde, Válida até e Próxima revisão. A data final tem de ser posterior à inicial, e a revisão deve ficar dentro desse intervalo. Uma aceitação abrange um risco; uma exceção abrange a política, controlo ou requisito indicado. Para uma exceção de política, selecione também Política abrangida pela exceção.

Guarde e obtenha o acordo dos responsáveis e a aprovação independente no próprio registo. A conclusão do plano e a aceitação do risco são decisões separadas. Uma nova avaliação ou uma ação fechada não cria uma aceitação formal automática.

Acompanhar o resultado

Confirme o estado, a revisão usada e as próximas datas. Uma aceitação expirada conserva o histórico e pede nova decisão; não altere a data antiga para retirar o sinal. Se o cenário mudar, atualize os factos e obtenha a revisão aplicável.

Se a aprovação indicar avaliação vencida, fontes alteradas ou prova indisponível, consulte a origem e prepare a reavaliação necessária antes de voltar a decidir. Não altere uma avaliação anterior para fazer desaparecer o bloqueio. Perante conflito ou falha de ligação, consulte o estado e o histórico antes de repetir.

Continue com ações, evidências e indicadores.