ABNT NBR ISO 31000:2018

O que é

A ISO 31000 é a referência internacional de base para gestão de riscos. Ela oferece princípios, uma estrutura e um processo. Qualquer organização, de qualquer porte ou setor, pode adaptá-⁠los a qualquer tipo de risco. Não é específica de um ramo e não impõe método único.

Para que serve

Serve para dar à organização uma forma comum e organizada de lidar com a incerteza. Em vez de tratar cada risco de um jeito, a norma propõe que a gestão de riscos faça parte da governança, da estratégia e das decisões do dia a dia. Ela orienta como definir o contexto e os critérios antes de avaliar. Depois, como identificar, analisar e avaliar os riscos e decidir o tratamento. Por fim, como registrar, comunicar, monitorar e revisar tudo isso. A ideia central é que decisões com critérios claros e boa informação criam e protegem valor.

Por que importa

Sem uma referência comum, cada área tende a usar seus próprios termos e escalas de risco. A ISO 31000 oferece princípios e um caminho que a direção, as áreas internas e os parceiros podem compartilhar. Isso ajuda a alcançar objetivos, a perceber ameaças e oportunidades a tempo e a usar melhor os recursos. Como é usada em muitos países e setores, também serve de parâmetro para comparar práticas entre organizações.

Na avaliação de terceiros, a norma dá ao gestor de compliance um roteiro de perguntas. Quando um fornecedor, parceiro ou cliente diz que gere riscos, vale pedir o contexto considerado, os critérios usados, os responsáveis e as revisões feitas. Uma lista solta de riscos não basta. A due diligence também é uma atividade de gestão de riscos. Escopo e critérios fixados antes de olhar as evidências deixam a conclusão mais coerente e mais fácil de explicar.

Temas centrais

1. 01Princípios: gestão de riscos integrada, estruturada, sob medida e baseada na melhor informação disponível
2. 02Estrutura: liderança e compromisso da direção, papéis definidos e integração à governança
3. 03Contexto, escopo e critérios de risco definidos antes da avaliação
4. 04Processo de avaliação: identificar, analisar e avaliar riscos
5. 05Tratamento dos riscos e decisão sobre o que aceitar
6. 06Comunicação, registro, monitoramento e melhoria contínua