Questão de Governança de TI · FCC TST 2017 (nº 68)

A gestão de riscos busca identificar, analisar e responder aos riscos que podem afetar os objetivos. O tratamento de riscos é a etapa onde se decide a melhor forma de lidar com esses riscos, seja para diminuir a chance de ocorrerem, reduzir seus impactos, ou até mesmo aceitá-los.

• (A) Incorreta: Mitigar visa reduzir a probabilidade ou o impacto do risco, não necessariamente descontinuar as atividades. Descontinuar atividades seria uma forma de evitar o risco.
• (B) Incorreta: Transferir realmente significa passar o risco para terceiros (como um seguro). No entanto, riscos associados à reputação são extremamente difíceis de serem transferidos de forma eficaz para terceiros; geralmente são gerenciados por meio de mitigação ou evitação, pois o impacto final recai sobre a própria entidade. Essa parte do exemplo é a armadilha.
• (C) Correta: Mitigar é exatamente isso: implementar ações para reduzir a probabilidade e/ou o impacto de um evento de risco adverso, buscando que ele fique dentro de níveis considerados aceitáveis pela organização.
• (D) Incorreta: A primeira parte é uma etapa geral da decisão de tratamento. A segunda parte está incorreta porque para riscos de baixo impacto, a opção mais comum é aceitar o risco. Transferir um risco geralmente envolve um custo (ex: prêmio de seguro), e não seria a melhor opção para um risco de baixo impacto ou quando o custo do tratamento é desproporcional.
• (E) Incorreta: Aceitar significa reconhecer o risco e suas potenciais consequências, sem tomar medidas para alterar sua probabilidade ou impacto. As ações descritas (isolar objetivos, alterar cronograma ou escopo) são formas de mitigação ou, em alguns casos, evitação, pois alteram a natureza ou a exposição ao risco, em vez de simplesmente aceitá-lo como está.