Questão de Governança de TI · CEBRASPE SEMA AM 25 2025 (nº 63)

Na norma ISO 31000, o conceito de risco vai muito além de uma simples ameaça: ele é definido como o efeito da incerteza sobre os objetivos da organização, abrangendo tanto aspectos negativos quanto positivos.

• (A) Incorreta: Risco não deve ser sempre evitado, pois as organizações precisam assumir riscos calculados para inovar e alcançar suas metas.
• (B) Incorreta: Essa é a grande armadilha da banca: limitar o risco apenas ao prejuízo financeiro e a eventos ruins, ignorando que o risco também pode gerar oportunidades de ganho.
• (C) Incorreta: Foca apenas em falhas operacionais e em probabilidade, esquecendo que o risco envolve o impacto geral nos objetivos estratégicos.
• (D) Correta: É a definição exata trazida pela ISO 31000, onde efeito é um desvio em relação ao esperado (positivo, negativo ou ambos) e incerteza é o estado de deficiência de informação sobre um evento.
• (E) Incorreta: Restringe o risco apenas a ameaças externas, quando na verdade os riscos também podem surgir de dentro da própria organização.