Timbre

Cogead

Coordenação – Geral de Administração

                                                                                                                                   

TÍTULO:

               Gestão de Riscos e Controles Internos

GESTOR DO DOCUMENTO

Degias/Agequali

CÓDIGO DO PROCEDIMENTO

POP 020001420/002

 

Nome do responsável

pela elaboração

Jaqueline Machado Ribeiro

Nome do responsável pela revisão

Maria de Fátima Alves Arraes

Nome do responsável

pela validação

Osvaldo Luiz de Oliveira Raymundo

Nome do responsável

pela aprovação

Flávia Silva

 

VIGÊNCIA:  DOIS ANOS

VERSÃO:

05/2023

 

HISTÓRICO DE REVISÕES

N° da versão

Descrição e/ou itens alterados

00

Criação do Procedimento.

01

Mudança de Classificação do Documento de PGQ 020001004/005 para POP 020001004/002.

02

O documento foi adequado de acordo com as diretrizes definidas no Guia de Gestão de Riscos da Fiocruz, publicado em fevereiro de 2019 pela Assessoria executiva/VPGDI. No item 3 foi incluído o documento Instrução Normativa nº 05 de 2017 (IN 05/2017); item 6 foi incluído o DECOM/SEAC; item 7.5 o título foi alterado para Gerenciamento de riscos na contratação de serviços, renumerado e o texto alinhado ao adendo ao Guia de Gestão de riscos da Fiocruz. e o no item 9 foi incluído o Anexo VII modelo de mapa de riscos nas aquisições, onde as escalas de probabilidade e impacto foram alinhadas ao adendo do Guia de Gestão de Riscos da Fiocruz. 

03

Item 3 – POP 020005000/005 – Procedimentos Adotados nas Aquisições como documento complementar; item 4 – O texto foi alterado para separar a aplicação do procedimento para Cogead e Unidades Fiocruz; item 6 – Foi incluído as Unidades Fiocruz; item 7.4.7 – A palavra atividade foi substituída por Ações (último seguimento) e no item 7.5 – O texto do parágrafo foi alterado para melhor entendimento e incluída a referência ao POP 020005000/005 – Procedimentos Adotados nas Aquisições.

04

Item 2 - Foi atualizado o link para documentação citada sobre gestão de riscos e incluída a portaria que substituiu a Portaria 094/2019; item 3 - Foi alterado o título do documento Mapa de Processos para Cadeia de Valor na Intranet, incluído o número do processo SEI para o PG 020001420/001 - Controle de Documentos e Registros, os procedimentos do SGQ estão em processo de migração para o SEI  e incluída a Portaria Nº 112/2021 que substituiu a Portaria Nº 094/2019, mencionada anteriormente neste item, e no item 8 os locais de armazenamento dos registros, exceto para o Mapa de Riscos nas Aquisições, foram alterados para Pasta de rede: I:\DIRAD\Gestão de Riscos e Controles Internos\Gestão de Riscos e Controles Internos_Cogead Fiocruz.

05

Item 2 - Foi incluído como documento de referência o Adendo ao Guia de Gestão de Riscos da Fiocruz e atualizado o ano da NBR 31010:2012 para 31010:2021; item 3 foi excluído o POP 020005000/005 - Procedimentos Adotados nas Aquisições e incluído Portal de Compras do governo Federal: https://www.gov.br/compras/pt-br; item 7.4.7 -  foi incluído o seguimento "Serviços"; item 7.5 - O parágrafo foi revisado porque os três documentos (Planilha de identificação e Avaliação dos Riscos, Plano de Tratamento dos Riscos e Mapa de Riscos) para contratação de serviços passaram a ser elaborados no Portal de Compras do governo Federal (https://www.gov.br/compras/pt-br); item 8 foram alterados os controles para os registros Planilha de identificação e Avaliação dos Riscos, Plano de Tratamento dos Riscos e Mapa de Riscos; no item 9 foi excluído o Anexo VII - Mapa de Riscos nas Aquisições.

 

Sumário

 

1  Objetivo

2  Documentos de referência

3  Documentos complementares

4  Campo de aplicação

5  Sigla e definições

6  Autoridades e responsabilidades

7  Descrição

7.1  Premissas

7.2  Estrutura de gestão de riscos na Cogead

7.3  Alinhamento da gestão de riscos com o planejamento estratégico

7.4  Gerenciamento de riscos e controles internos na Cogead

7.4.1 Priorizar os processos organizacionais

7.4.2 Estudar o processo priorizado

7.4.3 Identificar e analisar os riscos

7.4.4 Avaliar os riscos e os controles internos

7.4.5 Priorizar os riscos

7.4.6 Definir as ações e o plano de tratamento dos riscos

7.4.7 Ações para abordar riscos e oportunidades

7.4.8 Validar os resultados do gerenciamento dos riscos

7.4.9  Implantar e monitorar o plano de tratamento dos riscos

7.4.10 Comunicar os riscos

7.5 Gerenciamento de riscos na contratação de serviços

8 Registros

9 Anexos

 

1 Objetivo

 

Estabelecer diretrizes para gestão de riscos e controles internos na Cogead em conformidade com as diretrizes definidas pela Fiocruz, como também gerenciar os riscos na contratação de serviços.

 

2 Documentos de referência

 

Política de Gestão de Integridade, Riscos e Controles Internos, Guia de Gestão de Riscos da Fiocruz e o Adendo ao Guia de Gestão de Riscos da Fiocruz (Gerenciamento de Riscos na contratação de serviços) (https://portal.fiocruz.br/gestao-de-integridade-e-riscos);

NBR ISO 31000:2018 - Gestão de Riscos - Diretrizes;

NBR ISO 31010:2021 - Gestão de Riscos - Técnicas para o processo de avaliação de riscos.

 

3 Documentos complementares

 

Instrução Normativa nº 05 de 2017 (IN 05/2017), publicada em 26 de maio de 2017;

Portaria Nº 112/2021 - Renovar a Portaria nº 094/2019 que instala o Comitê de Gestão de Riscos e Controles Internos da Coordenação-Geral de Administração (Cogead) com a substituição de um dos membros participantes;

PP 020001410/001 - Coordenar Estratégias e Planos;

PG 020001420001 - Controle de Documentos e Registros (Processo SEI_25380.001278_2021_31);

Cadeia de Valor da Cogead: https://intranet.fiocruz.br/intranet/index.php > CPF e senha > Cogead > A Cogead > Cadeia de Valor;

Portal de Compras do governo Federal: https://www.gov.br/compras/pt-br.

 

4 Campo de aplicação

 

Este procedimento é aplicável a todas as áreas da Cogead no que refere-se à metodologia e as Unidades da Fiocruz no que tange ao gerenciamento de riscos na contratação de serviços.

 

5 Siglas e definições

 

Degias - Departamento de Gestão da Informação e Assessoria;

Degias/Agequali - Assessoria de Gestão da Qualidade;

Decom/Seac – Serviço de Administração de Compra;

Apetite a risco - expressão ampla de quanto risco uma organização está disposta a enfrentar para implementar sua estratégia, atingir seus objetivos e agregar valor às partes interessadas, no cumprimento de sua missão;

CGRCI - Comitê de Gestão de Riscos e Controles Internos;

Cogead - Coordenação - Geral de Administração;

Controles internos - conjunto de regras, procedimentos, diretrizes, protocolos, rotinas de sistemas informatizados, conferências e trâmites de documentos e informações destinados a enfrentar os riscos e fornecer segurança razoável para o alcance dos objetivos e realização da missão institucional da Fiocruz;

Evento - um incidente ou uma ocorrência de fontes internas ou externas à organização, que podem impactar a realização de objetivos de modo negativo, positivo ou ambos;

Gestão de riscos - arquitetura (conceitos, princípios, objetivos, estrutura, competências e processo) necessária para se gerir os riscos eficazmente;

Gerenciamento de risco - processo para identificar, avaliar, administrar e controlar potenciais eventos ou situações, para fornecer razoável certeza no alcance dos objetivos institucionais;

Processo organizacional - sequência de atividades que transformam entradas (informações, materiais, instruções ou matérias-primas) em saídas (produtos, serviços ou decisões) predefinidas;

Impacto - consequência caso o evento de risco ocorra;

Risco inerente - nível de risco antes da consideração de qualquer ação de tratamento;

Oportunidade - possibilidade de ocorrência de um evento que afete positivamente a realização de objetivos;

Probabilidade - chance de um evento de risco ocorrer;

Risco - possibilidade de ocorrência de um evento que venha a ter impacto negativo realização de objetivos. O risco é medido em termos de probabilidade e impacto;

SGQ - Sistema de Gestão da Qualidade.

 

Os demais termos e definições relacionados à gestão de riscos estão disponíveis no Guia de Gestão de Riscos Fiocruz disponível no link: https://portal.fiocruz.br/gestao-de-integridade-e-riscos.

 

6 Autoridades e responsabilidades

 

Coordenação Geral de Administração (Cogead) - Garantir o gerenciamento correto da Gestão de Riscos e Controles Internos;

Degias/Agequali - Orientar as áreas da Cogead como deve ser feita a Gestão de Riscos e os Controles Internos;

Decom/Seac - Orientar as áreas da Cogead e Unidades Fiocruz como gerenciar os riscos na contratação de serviços;

Áreas Cogead - Identificar, avaliar, monitorar e controlar os riscos;

Unidades Fiocruz - Aplicar as orientações sobre gerenciamento de serviços na contratação de serviços.

 

7 Descrição

 

7.1 Premissas

 

A competência do Comitê de Gestão de Riscos e Controles Internos da Cogead, composto pela Coordenadora, chefes de departamentos e membros, regulamentada pela Portaria Nº 112/2021 - Cogead é gerenciar os trabalhos sobre riscos em toda Unidade.

 

A Cogead definiu que os riscos serão monitorados e controlados na Reunião do Conselho Deliberativo (CD) da Cogead, onde os integrantes do comitê devem atualizar a Coordenação da Unidade a respeito do andamento do processo de Gerenciamento de Riscos na Cogead. Estas reuniões devem ser realizadas, após o CD Fiocruz e os registros se darão por meio das atas, conforme modelo citado no item 9.9 do procedimento PG 020001420/001 – Controle de Documentos e Registros.

 

Semestralmente, o comitê de Gestão de Riscos e Controles Internos da Cogead, representado pelo coordenador designado pela Portaria Nº 112/2021 - Cogead, reportará o monitoramento dos riscos classificados com “Muito alto” e “Alto” para Vice-Presidência de Gestão e Desenvolvimento Institucional (VPGDI) que os apresentará no CD Fiocruz.

 

7.2 Estrutura de gestão de riscos na Cogead

 

A Gestão de Riscos da Cogead é gerida de forma integrada pelas instâncias apresentadas abaixo:

 

7.3 Alinhamento da gestão de riscos com o planejamento estratégico

 

A gestão de riscos (identificação e avaliação e definição de respostas, dentre elas, controles) interage com o Planejamento Estratégico, à medida que a Unidade, ao identificar e tratar os riscos e implementar os controles internos focados nesses riscos, estará aumentando a probabilidade de alcance dos objetivos definidos.

Os objetivos estratégicos da Cogead foram estabelecidos no procedimento PP 020001410001 - Coordenar Estratégias e Planos.

 

7.4 Gerenciamento de riscos e controles internos na Cogead

 

O gerenciamento de riscos e controles internos passa a ser uma prática permanente da Cogead, sendo esperada evolução da maturidade a cada ciclo anual onde as competências foram definidas, conforme abaixo.

 

O Comitê de Gestão de Riscos e Controles Internos da Cogead (CGRCI) será responsável por:

Os gestores dos processos organizacionais da Cogead são responsáveis por:

 

Seguem abaixo as etapas que devem ser cumpridas para realização do gerenciamento de riscos e controles internos na Cogead.

 

7.4.1 Priorizar os processos organizacionais

 

O Comitê deve estabelecer as prioridades para o levantamento e gerenciamento de riscos, classificando os processos organizacionais da Unidade, conforme Mapa de Processos da Cogead por seu grau de exposição aos riscos.

 

Para tal, deve ser realizada a análise qualitativa e quantitativa dos processos organizacionais do órgão com base nos seguintes fatores especificados Anexo VI – Método para Avaliação de Processos:

Necessariamente, processos do macroprocesso finalístico operados pela Cogead devem estar entre os priorizados para análise neste primeiro ciclo. As análises permitirão a classificação dos processos nas categorias: essencial (E), relevante (R) e necessário (N). Os prazos para o levantamento de riscos dos processos da Unidade são de 2 anos para os classificados como essenciais, até 3 anos para os classificados como relevantes e de até 05 anos para os necessários.

 

7.4.1.1  Classificação final dos processos organizacionais

 

Após a aplicação do Anexo VI - Método para Avaliação de Processos, a classificação final dos processos será a média da NOTA DA AVALIAÇÂO QUANTITATIVA FINAL e da NOTA DA AVALIAÇÃO QUALITATIVA FINAL, conforme abaixo:

 

CF= (nota da avaliação quantitativa) + (nota da avaliação qualitativa) / 2

 

Ao final os processos organizacionais poderão ser classificados como:

Tabela 1 - Classificação dos processos

        Classificação

                         Resultado final

Essencial

Resultado maior ou igual a 2,2

Relevante

Resultado maior ou igual a 1,6 e menor que 2,2 Necessário Resultado menor que 1,6

Necessário

Resultado menor que 1,6

 

A unidade com o assessoramento do Comitê de Gestão de Riscos e Controles Internos da Cogead deve identificar e priorizar os processos organizacionais que comporão o Plano de Gerenciamento de Riscos e Controles Internos da Unidade. O gerenciamento de riscos deverá ser implementado de forma gradual, sendo priorizados os processos organizacionais classificados como essenciais e que impactam diretamente no atingimento dos objetivos estratégicos.

 

7.4.2   Estudar o processo priorizado

 

O Comitê de Gestão de Riscos e Controles Internos da Cogead deve selecionar os processos classificados como essenciais, o que definirá o escopo da gestão de riscos da Cogead, estudar e documentá-los da seguinte forma:

O Anexo II - Estudo do Processo Institucional deve ser usado para documentar as informações acima, integrando o Plano de Gerenciamento de Riscos e Controles Internos (PGRCO) da Cogead.

 

7.4.3 Identificar e analisar os riscos

 

Definido o escopo do gerenciamento de riscos, a CGRCO, o gestor e a equipe técnica devem identificar os riscos dos processos selecionados. Para tal, orientamos o uso do Anexo III - Planilha de Identificação e Avaliação dos Riscos e Controles internos.  

 

A identificação dos riscos é o processo de busca, reconhecimento e descrição dos riscos que potencialmente possam vir a impactar negativamente no alcance dos objetivos organizacionais da Cogead. Umas das técnicas utilizada nesta etapa é o Brainstorming.

 

Os integrantes são incentivados a contribuírem com o máximo possível com as ideias que conseguirem, sem prejulgamento.

 

Após a identificação do risco, deverão ser apontadas todas as suas causas e consequências significativas, associadas ao evento de risco identificado;

 

Os riscos identificados nesta etapa são os chamados riscos inerentes. São os riscos aos quais uma organização está exposta sem considerar quaisquer ações gerenciais (leia-se: controles internos) que possam reduzir a probabilidade da ocorrência ou impacto dos riscos.

 

As categorias de riscos a ser utilizadas pela Cogead são:

 

7.4.4  Avaliar os riscos e os controles internos

 

O detalhamento desta etapa encontra-se no item 4, passo 5 do Guia de Gestão de Riscos da Fiocruz.

 

7.4.5  Priorizar os Riscos

 

O detalhamento desta etapa encontra-se no item 4, passo 6 do Guia de Gestão de Riscos da Fiocruz.

 

7.4.6 Definir as ações e o plano de tratamento dos riscos

 

Priorizados os riscos, a equipe deve definir as ações de tratamento com base no Anexo IV - Plano de Tratamento dos Riscos. Ao definir as ações do plano de tratamento é importante realizar uma análise do custo-benefício das medidas/controles em relação a sua aplicabilidade, bem como os benefícios que poderão ser agregados ao processo. Nem sempre o custo financeiro da implementação de uma ação poderá ser maior do que o valor do processo, atividade ou objeto analisado na instituição.

 

As opções de tratamento são as seguintes.

 

Caso as opções de tratamento sejam mitigar, compartilhar ou evitar devem ser definidas medidas de tratamento para esse risco. Essas medidas devem ser capazes de diminuir os níveis de probabilidade e/ou de impacto do risco a um nível dentro ou mais próximo possível das faixas de apetite a risco (risco “Baixo” ou “Médio”).

 

O Plano de Tratamento gerado pelo processo de gerenciamento de riscos do processo organizacional é um plano de ação para a implementação das medidas de tratamento dos riscos desse processo organizacional e deve conter todos os itens previstos no Anexo III - Planilha de Identificação e Avaliação dos Riscos e Controles internos.

 

7.4.7  Ações para abordar riscos e oportunidades

 

Esta metodologia também se aplica na identificação e controle dos riscos oriundos dos seguintes seguimentos:

Neste item deverão ser cumpridas as etapas descritas nos itens 7.4.3, 7.4.4, 7.4.5, 7.4.6, 7.4.8 e 7.4.9.

 

7.4.8 Validar os resultados do gerenciamento dos riscos

 

O Comitê de Gestão de Riscos e Controles Internos deve apresentar o Plano de Gerenciamento de Riscos e Controles Internos para os gestores e aprová-los na Reunião do Conselho Deliberativo (CD) da Cogead.

 

Após a aprovação dos resultados, o Coordenador do CGRCI da Cogead deve:

 

7.4.9 Implantar e monitorar o plano de tratamento dos riscos

 

Cabe ao coordenador da CGRCI da Cogead monitorar e reportar a evolução das iniciativas da Cogead. A responsabilidade primária permanece com o responsável pelo processo priorizado e em última instância pelo Coordenador da Cogead ou a Vice de Gestão.  

 

Em relação ao risco, devem ser monitoradas e analisadas criticamente, de forma regular, as seguintes mudanças:

A fase de monitoramento contínuo também é responsável por garantir:      

 

Após a aprovação dos resultados de monitoramento o Coordenador do CGRCO ou Coordenador da Unidade deve:

 

A Cogead deve encaminhar o Anexo I - Relatório Semestral dos Comitês de Gerenciamento de Risco e Controles Internos dos Órgãos da Fiocruz para VPGDI, conforme periodicidade definida no passo 9 do Guia de Gestão de Riscos da Fiocruz.

 

7.4.10 Comunicar os riscos

 

A comunicação dos riscos deve ser feita de forma interativa, formalmente documentada, intencional e contínua, de conhecimentos, informações e percepções sobre os riscos que devem ser gerenciados.

 

Nesta etapa devem ser transmitidas as informações sobre o desenvolvimento das atividades, modificações no contexto e os resultados alcançados as partes interessadas e com base no Anexo V - Matriz de Responsabilidades.

 

7.5 Gerenciamento de riscos na contratação de serviços

 

Durante a contratação de serviços o requisitante deve usar os seguintes documentos: Planilha de Identificação e Avaliação dos Riscos, Plano de Tratamento dos Riscos e o Mapa de Riscos devem ser confeccionados no Portal de Compras do governo Federal (https://www.gov.br/compras/pt-br).

 

8 Registros

 

    Tabela 2 - Registros

Identificação

Armazenamento

Proteção

Recuperação

Código de classificação

Tempo de retenção

Disposição

Ata de Reunião do Conselho Deliberativo (CD)

Pasta de rede: I:\DIRAD\Gestão de Riscos e Controles Internos\Gestão de Riscos e Controles Internos_Cogead Fiocruz

Backup de rede

Código da área + número sequencial + ano

Código de Classificação de acordo com o assunto do Processo que este documento está inserido

Tempo de retenção associado a sua classificação

A disponibilidade do documento é definida de acordo com sua classificação.

Relatório Semestral dos Comitês de Gerenciamento de Risco e Controles Internos dos Órgãos da Fiocruz

Pasta de rede: I:\DIRAD\Gestão de Riscos e Controles Internos\Gestão de Riscos e Controles Internos_Cogead Fiocruz

Backup de rede

Nome do arquivo + versão do documento

Código de Classificação de acordo com o assunto do Processo que este documento está inserido

Tempo de retenção associado a sua classificação

A disponibilidade do documento é definida de acordo com sua classificação

Estudo do Processo Institucional

Pasta de rede: I:\DIRAD\Gestão de Riscos e Controles Internos\Gestão de Riscos e Controles Internos_Cogead Fiocruz

Backup de rede

Nome do arquivo + versão do documento

Código de Classificação de acordo com o assunto do Processo que este documento está inserido

Tempo de retenção associado a sua classificação

A disponibilidade do documento é definida de acordo com sua classificação

Planilha de Identificação e Avaliação dos Riscos e Controles Internos (Processos)

 

Pasta de rede: I:\DIRAD\Gestão de Riscos e Controles Internos\Gestão de Riscos e Controles Internos_Cogead Fiocruz

Backup de rede

Nome do arquivo + versão do documento

Código de Classificação de acordo com o assunto do Processo que este documento está inserido

Tempo de retenção associado a sua classificação

A disponibilidade do documento é definida de acordo com sua classificação

Planilha de Identificação e Avaliação dos Riscos (Contratação de serviços)

Portal de Compras do governo Federal (https://www.gov.br/compras/pt-br).

Login e senha

Número

N/A

N/A

N/A

Plano de Tratamento dos Riscos (Processos)

Pasta de rede: I:\DIRAD\Gestão de Riscos e Controles Internos\Gestão de Riscos e Controles Internos_Cogead Fiocruz

Backup de rede

Nome do arquivo + versão do documento

Código de Classificação de acordo com o assunto do Processo que este documento está inserido

Tempo de retenção associado a sua classificação

A disponibilidade do documento é definida de acordo com sua classificação

Plano de Tratamento dos Riscos (Contratação de Serviços)

Portal de Compras do governo Federal (https://www.gov.br/compras/pt-br).

Login e senha

Número

N/A

N/A

N/A

Mapa de Riscos (Contratação de Serviços)

Portal de Compras do governo Federal (https://www.gov.br/compras/pt-br).

Login e senha

Número

N/A

N/A

N/A

 

Os registros relacionados na tabela acima devem ser enviados pela Cogead, exceto o Mapa de Gerenciamento de Riscos (Contratação de Serviços) e armazenados também no drive.fiocruz.br, por determinação da VPGDI.

 

9 Anexos

 

Anexo I - Modelo Relatório Semestral dos Comitês de Gerenciamento de Risco e Controles Internos dos Órgãos da Fiocruz;

Anexo II - Estudo do Processo Institucional;

Anexo III - Planilha de Identificação e Avaliação dos Riscos e Controles internos;

Anexo IV - Plano de Tratamento dos Riscos;

Anexo V - Matriz de Responsabilidades no Processo de Gestão de Riscos na Fiocruz;

Anexo VI - Método para Avaliação de Processos.

 

 

Nota: Os anexos relacionados nesse item foram elaborados e cedidos pela VPGDI, conforme Guia de Gestão de Riscos da Fiocruz.

 

 


logotipo

Documento assinado eletronicamente por JAQUELINE MACHADO RIBEIRO, Prestadora de Serviço, CPF: 106.312.777-73, em 16/02/2023, às 15:29, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por MARIA DE FATIMA ALVES ARRAES, Prestador(a) de Serviço, CPF: 026.234.957-42., em 16/02/2023, às 15:59, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por OSVALDO LUIZ DE OLIVEIRA RAYMUNDO, Chefe do Departamento de Gestão da Informação Administrativa e Assessoria, em 17/02/2023, às 14:47, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


logotipo

Documento assinado eletronicamente por FLAVIA SILVA, Coordenador(ª) Geral de Administração, em 23/02/2023, às 10:52, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.


QRCode Assinatura

A autenticidade deste documento pode ser conferida no site http://sei.fiocruz.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 1622129 e o código CRC 0E01B4E1.



Após a impressão a cópia deste documento passa a ser considerada como "Cópia não Controlada".  

Referência: Processo nº 25380.001926/2021-59 SEI nº 1622129