Questão nº 58
Questão de Administração Pública · FGV CVM 2024 (nº 58)
Uma entidade pública tem o seu datacenter fisicamente localizado no edifício sede da entidade, um prédio com deficiências de manutenção e recorrentes problemas elétricos que afetam o funcionamento dos servidores do datacenter. Com isso, a entidade está sujeita a riscos de descontinuidade dos seus sistemas, que dão suporte às principais atividades da organização.
A entidade já identificou e avaliou esse risco, e a resposta a ele:
- Adecorre do quanto os controles internos estão adequadamente implantados;
- Bdepende do nível de exposição a riscos previamente estabelecido pela entidade; (alternativa correta)
- Cdeve estar situada na estratégia de compartilhamento;
- Ddeve ser implementada somente se o impacto do risco for muito alto;
- Epode ser planejada para o próximo ciclo de avaliação se a probabilidade de ocorrência for baixa.
Resposta comentada
Gabarito Alternativa B
A resposta ao risco é a decisão sobre o que fazer com um risco identificado e avaliado, e ela é sempre guiada pelo apetite a risco da entidade, ou seja, o quanto de risco a organização está disposta a aceitar para atingir seus objetivos.
- (A) Incorreta: A adequação dos controles internos é uma forma de mitigar o risco, mas a decisão sobre qual resposta dar ao risco (mitigar, aceitar, transferir ou evitar) é anterior e mais estratégica, não decorre apenas da situação dos controles.
- (B) Correta: A escolha da resposta ao risco (seja mitigar, aceitar, transferir ou evitar) depende diretamente do nível de exposição a riscos (ou apetite a risco) que a entidade está disposta a tolerar. Se o risco avaliado ultrapassa esse nível, uma ação é necessária.
- (C) Incorreta: O compartilhamento (ou transferência) é apenas uma das possíveis estratégias de resposta ao risco (ex: seguro, terceirização), não a única e nem uma obrigatoriedade para toda resposta.
- (D) Incorreta: A resposta ao risco deve ser implementada com base na avaliação combinada de impacto e probabilidade, e comparada ao apetite a risco, não apenas se o impacto for "muito alto". Riscos de baixa probabilidade, mas alto impacto, ou vice-versa, também exigem resposta.
- (E) Incorreta: Planejar a resposta para o próximo ciclo baseando-se apenas na baixa probabilidade é uma prática arriscada. A decisão de adiar ou aceitar o risco deve considerar o impacto e a probabilidade em conjunto, em relação ao apetite a risco, e não apenas um fator isolado.
Fonte: FGV CVM 2024 Analista CVM - Contabilidade Pública (Perfil 6) (Caderno Tipo 1). Reproduzida para fins de estudo.