Questão de Segurança, Risco e Continuidade · FCC MPEPE 2018 (nº 49)

A avaliação de riscos, conforme a ISO 31000, é o processo de comparar o nível de risco que uma organização enfrenta (resultado da análise de riscos) com o que ela considera aceitável ou tolerável (critérios de risco). O objetivo é decidir se é preciso tomar alguma medida adicional para gerenciar esse risco.

(A) Incorreta: Calcular prejuízos faz parte da análise de riscos (quantificação das consequências), não da avaliação, que vem depois e decide o que fazer.
(B) Incorreta: Eliminar controles é uma ação de tratamento de riscos, que pode ser decidida após a avaliação, mas não é a decisão direta da avaliação em si. A avaliação decide se uma ação é necessária.
(C) Incorreta: Manter os objetivos é o propósito final da gestão de riscos, não uma decisão direta da avaliação. A avaliação ajuda a determinar se os riscos ameaçam os objetivos, mas a decisão é sobre o risco, não sobre os objetivos em si.
(D) Incorreta: Modificar controles é uma ação de tratamento de riscos. Embora a avaliação possa indicar a necessidade de modificar controles, a decisão direta da avaliação é sobre a aceitabilidade do risco e se alguma ação adicional é necessária. É um passo posterior, não a decisão final da avaliação.
(E) Correta: Se, após comparar o risco analisado com os critérios de risco, a organização determinar que o risco está em um nível aceitável, a decisão pode ser não fazer mais nada (em relação a tratamento adicional). Isso significa que os controles existentes são suficientes ou o risco inerente é tolerável, e nenhuma ação adicional de tratamento é necessária no momento.