A partir da ABNT (2009a), entre os principais termos utilizados, destacamos:

• Estrutura de gerenciamento de riscos: conjunto de componentes que fornecem as bases e os arranjos organizacionais para a concepção, implementação,  monitoramento,  revisão  e  melhoria  contínua  do gerenciamento de riscos em toda a organização.

• Política de gestão de risco: declaração das intenções gerais e direção de uma organização relacionada ao gerenciamento de riscos.

• Plano de gestão de riscos: esquema dentro da estrutura de gerenciamento de riscos especificando a abordagem, os componentes de gerenciamento e recursos a serem aplicados à gestão de risco.

 • Processo de gerenciamento de risco: aplicação sistemática de políticas, procedimentos e práticas de gestão para as atividades de comunicação, consultoria, estabelecimento do contexto e identificação, análise, avaliação, tratamento, monitoramento e revisão do risco.

• Contexto externo: ambiente externo em que a organização busca alcançar seus objetivos:

• O ambiente cultural, social, político, jurídico, regulamentar, financeiro, tecnológico, econômico, natural e competitivo, seja internacional, nacional, regional ou local.

• Principais impulsionadores e tendências que tenham impacto nos objetivos da organização.

• Relações com o contexto externo, e percepções e valores de partes interessadas externas.

• Contexto interno: ambiente interno em que a organização busca alcançar seus objetivos:

• Governança, estrutura organizacional, funções e responsabilidades.

• Políticas, objetivos e estratégias que estão em vigor para alcançá-los.

• As capacidades, entendidas em termos de recursos e conhecimentos (por exemplo, capital, tempo, pessoas, processos, sistemas e tecnologias).

• Sistemas de informação, fluxos de informação e processos de tomada de decisão (tanto formal como informal).

• Relações com o contexto interno, e percepções e valores de stakeholders internos.

• A cultura da organização.

• Padrões, diretrizes e modelos adotados pela organização.

• Forma e extensão das relações contratuais.

• Critérios de risco: termos de referência contra os quais o valor de um risco é avaliado. Os critérios de risco são baseados em objetivos organizacionais e externo e contexto interno, podendo ser derivados de padrões, leis, políticas e outros requisitos.

• Tratamento de risco: processo para modificar o risco. O tratamento de risco pode envolver:

• Evitar o risco, decidir não iniciar ou continuar com a atividade que origina o risco.

• Assumir ou aumentar o risco para prosseguir uma oportunidade.

• Remover a fonte de risco.

• Alterar a probabilidade.

• Alterar as consequências.

• Compartilhar o risco com outra parte ou partes [incluindo contratos e financiamento de risco.

• Mantendo o risco por decisão informada.

Tratamentos de risco que lidam com consequências negativas, às vezes, são chamados de “mitigação de risco”, “eliminação de risco”, “prevenção de riscos” e “redução de risco”. O tratamento de risco pode criar novos riscos ou modificar os riscos existentes.

• Prevenção de riscos: decisão informada de não se envolver ou retirar uma atividade para não ser exposta a um risco particular. A prevenção de riscos pode ser baseada no resultado da avaliação de risco e/ou obrigações legais e regulamentares.

• Reveja: atividade empreendida para determinar a adequação, adequação e eficácia do assunto para atingir os objetivos estabelecidos. A revisão pode ser aplicada a uma estrutura de gerenciamento de risco, processos de gerenciamento de risco, risco ou controle.

 • Relatório de risco: forma de comunicação destinada a informar partes interessadas internas ou externas específicas fornecendo informações sobre o estado atual do risco e sua gestão.

Não podemos deixar de destacar o gerenciamento de riscos intangíveis onde são identificados riscos com probabilidade de 100% de ocorrência e ignorados pela organização, dada incapacidade de sua identificação. Por exemplo, o risco de envolvimento de processo pode ser um problema quando procedimentos operacionais ineficazes são aplicados. Estes riscos reduzem diretamente a produtividade dos trabalhadores, diminuem a relação custo-eficácia, rentabilidade, serviço, qualidade, reputação, valor da marca e qualidade dos ganhos. A gestão de riscos intangíveis permite que o gerenciamento de riscos crie valor imediato a partir da identificação e redução de riscos que reduzam a produtividade (HILLSON; SIMON, 2012).

Risco é definido como a possibilidade de ocorrência de um evento afetar negativamente a realização de um objetivo. Portanto, o risco em si tem a incerteza, nesse contexto, o Gerenciamento de Riscos auxilia em seu controle e monitoramento.

Cada empresa ou organização busca aplicar métodos e técnicas adequados a sua realidade, levando a diferentes componentes de controle interno e, consequentemente, a diferentes resultados.

De forma geral, as metodologias utilizadas contemplam os seguintes elementos executados em uma ordem semelhante a:

1. Identificar e caracterizar ameaças.

2. Avaliar a vulnerabilidade de ativos críticos à ameaças específicas.

3. Determinar o risco (ou seja, a probabilidade esperada e as consequências de tipos específicos de ataques em ativos específicos).

4. Identificar maneiras de reduzir esses riscos.

5. Priorizar medidas de redução de risco.

 Segundo o PMBOK (PROJECT MANAGEMENT INSTITUTE, 2013), o gerenciamento dos riscos aplicado ao projeto inclui os processos de planejamento, identificação, análise, planejamento de respostas e controle de riscos de um projeto, em que:

• Planejar o gerenciamento dos riscos – consiste em definir como conduzir as atividades de gerenciamento dos riscos de um projeto.

• Identificar os riscos – identificação dos riscos que podem afetar o projeto e documentação das suas características.

• Realizar a análise qualitativa dos riscos - priorização de riscos para análise ou ação posterior a partir da avaliação e combinação de sua probabilidade de ocorrência e impacto.

• Realizar a análise quantitativa dos riscos - análise numérica do efeito dos riscos identificados nos objetivos gerais do projeto.

• Planejar as respostas aos riscos - desenvolvimento de opções e ações para aumentar as oportunidades e reduzir as ameaças aos objetivos do projeto.

• Controlar os riscos – implementação de planos de respostas, acompanhamento dos riscos identificados, monitoramento dos riscos residuais, identificação de novos riscos e avaliação da eficácia do processo de gerenciamento durante todo o projeto.

Destaca-se que esses processos interagem entre si e com os de outras áreas, o que exige uma equipe capacitada e multidisciplinar para a execução das atividades relacionadas ao gerenciamento de riscos.

No que diz respeito aos princípios da gestão de riscos, a Organização Internacional de Normalização (2007), do inglês ISO - International Organization for Standardization, identifica os seguintes princípios de gestão de riscos, onde o gerenciamento de risco deve:

• Criar valor - os recursos gastos para mitigar o risco devem ser menores do que a consequência da inação.

• Ser parte integrante dos processos organizacionais.

• Faça parte do processo de tomada de decisão.

 • Abordar explicitamente a incerteza e os pressupostos.

• Ser um processo sistemático e estruturado.

• Basear-se na melhor informação disponível.

• Ser customizável.

• Levar em consideração os fatores humanos.

• Seja transparente e inclusivo.

• Ser dinâmico, iterativo e sensível à mudança.

• Ser capaz de melhoria contínua e aprimoramento.

• Ser reavaliado continuamente ou periodicamente.

Segundo a NBR ISO 31000 (ABNT,2009), o sucesso da gestão de riscos depende da eficácia da estrutura de gestão que determina os fundamentos e os arranjos que deverão ser aplicados a toda a organização e em todos os níveis. A estrutura auxilia na gerência eficaz dos riscos por meio da aplicação do processo de gestão em níveis e considerando as especificidades da organização. A estrutura assegura que a informação sobre riscos seja relatada de forma adequada e possa ser utilizada como base nos processos decisórios, sendo clara as responsabilidades em todos os níveis da organização.

A estrutura do gerenciamento de risco é formada pelos seguintes componentes:

1. Mandato e comprometimento.

2. Concepção da estrutura para gerencias riscos.

3. Implementação da gestão de riscos.

4. Monitoramento e análise crítica da estrutura.

5. Melhoria contínua da estrutura.

 Na Figura 1 é apresentada a inter-relação e a interatividade dos componentes da estrutura do gerenciamento de risco.

A International Organization for Standardization (ISO) publicará um novo padrão proposto para sistemas de gestão de segurança e saúde no trabalho (SST): ISO 45001- DIS. Segundo a Organização Internacional do Trabalho (OIT), o ISO 45001 seguirá a estrutura padrão do sistema gerenciamento, com requisitos que objetivam permitir que uma organização possa fornecer um ambiente de trabalho seguro e saudável, evitando lesões relacionadas ao trabalho e/ou saúde física, com melhoria proativa do desempenho da gestão de saúde e segurança ocupacional.

 O padrão ISO 45001 utilizará a mesma estrutura comum, definições e texto básico utilizados para as revisões atuais da norma ISO 14001 e ISO 9001, padrões de sistema de gestão ambiental e de qualidade, que está em consonância com o chamado Anexo SL; que são as regras que regem o desenvolvimento de todos os padrões de gerenciamento ISO. Dessa forma, a estrutura do padrão terá a seguinte composição:

1. Escopo.

2. Referências normativas.

3. Termos e definições.

4. Contexto da organização.

5. Liderança.

6. Planejamento.

7. Apoio, suporte.

8. Operação.

9. Avaliação de desempenho.

10. Melhoria.

Todos os padrões para sistemas de gerenciamento seguirão a estrutura anteriormente mencionada e também nesta ordem e com estas palavras, no entanto, dentro dessas cláusulas, distinguem-se subcláusulas que diferem por assunto, como “qualidade” ou “ambiente”. Por meio de subcláusulas adicionais ou palavras-chave modificadas, o padrão é específico para este tópico (ISO, 2018).

Para mostrar como isso funciona, no quadro 1 é apresentada uma comparação entre os padrões ISO 9001:2015, 14001:2015 e 45001:DIS, onde as adições ou os termos modificados estão marcados em vermelho (ISO, 2018)

Fonte: ISO (2018, tradução nossa).

A ferramenta Ciclo PDCA tem por objetivo a melhoria do nível de gestão por meio do controle de processos e atividades, implementando uma padronização nas informações e reduzindo as possibilidades de erros nos processos decisórios. E ainda, a melhoria contínua dos processos ou das etapas de um processo, tendo relação direta com os fundamentos da cultura japonesa referente à melhoria contínua, a Filosofia Kaizen, que busca identificar as causas e implementar as soluções para os problemas. O processo consiste em atividades planejadas, que se repetem e não têm um fim pré-determinado.

PDCA é a sigla (em inglês) para as etapas da metodologia:

Ao aplicar o ciclo PDCA em segurança e saúde do trabalho, você perceberá que o ciclo não será diferente, uma vez que segurança constitui-se de uma série de ações com o objetivo de prevenir e evitar acidentes no ambiente de trabalho. O ciclo PDCA na segurança do trabalho é o norte para a preservação da vida.

P = Plan / Planejamento

O planejamento consiste no estabelecimento de um plano com base nas diretrizes da empresa, contemplando os objetivos, os caminhos e os métodos a serem seguidos; identificação e correção dos problemas encontrados, por meio de uma ação corretiva eficiente. Nessa primeira etapa deve constar a descrição do(s) problema(s), as questões que deverão ser respondidas, as previsões de respostas às questões e o desenvolvimento de um plano de ação.

 O ponto de partida deve ser o mapeamento das atividades e pontos de risco à SST, a partir da identificação dos problemas, das prioridades de ação, medidas de proteção utilizadas, fontes de informação e divulgação, criação de programas de prevenção, metas e prazos para implementação das medidas.

D = Do / Executar

Nessa etapa o planejamento deve ser colocado em prática, ou seja, é a execução do plano de ação de acordo com o plano pré-estabelecido, sendo que quaisquer alterações necessárias no plano devem ser anotadas e avaliadas na próxima fase, juntamente com as outras informações e observações coletadas no processo. Devem estar claras as respostas às perguntas:

• O que fazer? – executar as ações planejadas.

• Quem vai fazer? – pessoa ou equipe que executará a ação.

• Onde? – local de execução da ação.

• Quando? – respeitar os prazos estabelecidos.

• Por quê? – os executores devem conhecer as razões da execução do processo.

• Como? – respeitar aos critérios de execução estabelecidos.

• Quanto? – referência à execução dentro dos custos planejados.

O responsável pela execução do plano de ação deve seguir à risca o que foi proposto na primeira etapa, assim evitará que imprevistos e erros aumentem a estatística negativa do processo.

Implantação de equipamentos de segurança, placas de sinalização, folhetos informativos, procedimentos e programas, cursos de formação para novos funcionários ou para operação de novos equipamentos, por exemplo, atendem ao plano previsto para aumento da SST, assim como o estabelecimento de advertências e punições aos que não cumprirem as regras, evitando a ocorrência de eventos não desejados.

 C = Check / Verificar

A verificação da etapa de execução consiste na identificação de diferenças entre executado e planejado, e comparação com as previsões feitas no planejamento no intuito de avaliar se os objetivos propostos foram alcançados ou não.

No caso de SST, a comparação do executado com o planejado pode ser realizada pela identificação no número de acidentes ocorridos no período de execução do plano de ação ou pela ausência deles e pela observação do cumprimento das etapas e dos objetivos.

A = Act / Ação

Nessa etapa são realizadas as ações para correção das falhas encontradas no processo ou capazes de prevenir as causas dos problemas para que não possam acontecer novamente.

A identificação de objetivos não cumpridos dentro das metas estabelecidas indica que a correção dever ser realizada e o Ciclo PDCA reiniciado. É assim que se renova o projeto e podem ser estabelecidos programas de prevenção de acidentes, procedimentos de segurança, alteração de arranjo físico, substituição de profissionais, implantação de novas tecnologias, exclusão de fatores que incorrem para o erro, entre outros.

É nessa etapa que o ciclo se reinicia sendo caracterizado pelo processo de melhoria contínua. Ela envolve a busca de soluções para eliminação dos problemas e a escolha da que seja mais efetiva, além do desenvolvimento dessa execução.

O ciclo deve ser repetido, passando pelas quatro etapas até que um plano de ação efetivo e consistente seja implementado para alcançar os objetivos esperados.