APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Uma autoavaliação de riscos e controlos, frequentemente chamada RCSA, deve explicar como se chegou à conclusão. Risco inerente descreve a exposição antes de considerar controlos; risco residual considera o efeito dos controlos relevantes. A eficácia não é demonstrada pelo número de documentos. Um procedimento de dupla aprovação pode estar bem desenhado e falhar na prática se a mesma pessoa controlar as duas contas. Rever desenho, cobertura e funcionamento observado ajuda a distinguir estas situações. Uma amostra ou registo deve ser adequado ao objetivo do controlo, sem apresentar uma verificação limitada como garantia total. Quando falta evidência, registar a lacuna e a incerteza em vez de inventar um resultado favorável.
Aplicação guiada
A avaliação depende de pressupostos, horizonte e contexto. Se o volume vai duplicar, seis meses de histórico não bastam para manter automaticamente a classificação anterior. Também não justificam multiplicar uma pontuação por dois sem perceber o mecanismo. NIST SP 800-30 revisão 1 explica limitações de escalas qualitativas e quantitativas: um número pode resumir uma opinião, sem representar euros de perda esperada. Dois riscos com pontuação igual podem precisar de respostas diferentes. Usar exemplos de impacto, intervalos quando adequados e regras de prioridade claras. Combinar prevenção, deteção e resposta permite avaliar o que acontece se um controlo falhar. Um bloqueio de duplicados e uma reconciliação posterior têm funções complementares.
Exemplo: duas contas aprovam a mesma alteração, mas pertencem ao mesmo titular. O controlo precisa de independência efetiva e a avaliação residual deve refletir a lacuna.
Armadilhas comuns
Procedimento como execução; pontuação como euros; ausência de dados como risco baixo; dois controlos como risco zero.
Tópicos relacionados: Âmbito, governação e responsabilidade · Eventos, quase incidentes e resposta · Indicadores, reporte e aceitação
Explicar exposição, evidência, pressupostos e limites da conclusão.
Referência: Guide for Conducting Risk Assessments · DR operational risk professional assessment2026.10