Gerenciando riscos

Risco faz parte da vida de todos. Desde o momento em que levantamos da cama até o momento em que nos recolhemos fazemos escolhas que envolvem risco. Na vida corporativa não é diferente: a cada projeto, código desenvolvido ou uma simples reunião estamos assumindo ou rejeitando riscos.O passo mais importante na tomada de decisões é conhecer os riscos envolvidos, porque a partir do momento em que são conhecidos podemos decidir como gerenciá-los. Ignorar riscos só nos torna reféns do acaso e consequentemente perdemos o controle das situações.Conhecer riscos é ganhar mobilidadeA análise de risco deve ser considerada em todas as atividades que exercemos nas organizações, desde a avaliação da viabilidade e necessidade de se iniciar um projeto até a escolha de qual ferramenta ou metodologia será adotada neste projeto.

ISO 31000 – GESTÃO DE RISCOS: PRINCÍPIOS E DIRETRIZES

A norma ISO 31000 é uma norma genérica que pode ser aplicada a qualquer organização e escopo e fornece princípios e diretrizes para gestão de riscos, definindo risco como “efeito da incerteza nos objetivos”.O processo de gestão de risco proposto pela ISO 31000 nos auxilia a identificar e a aproveitar os efeitos de impacto positivo para contrabalançar os de impacto negativo influenciando favoravelmente a realização dos objetivos corporativos, de TI ou de um projeto específico.Para iniciar um projeto é necessário primeiramente decidir que ele é necessário, avaliar os custos, os benefícios prometidos ou o prejuízo que pode ser evitado com o desenvolvimento desse projeto. Além disso, precisamos considerar o impacto que as mudanças propostas causarão, mesmo que a princípio sejam consideradas positivas, toda mudança tem impacto que precisa ser gerenciado.

Gestão de Mudanças

Quando falamos de projeto de TI surge o conceito de gestão de mudanças e a intimadora GMUD (sigla que representa requisição de mudanças em muitos modelos de melhores práticas e softwares de mercado) que tem como principal objetivo causar o mínimo de impacto possível na produção e na vida normal do usuário/cliente do serviço de TI.Claro que toda mudança tem impacto, mas se encararmos tudo isso com um processo natural de avaliação de riscos podemos gerenciá-lo: lembrando que primeiro precisamos conhecer os riscos para depois os tratar.Segundo o ITIL V3, o processo de gestão de mudança tem como principal objetivo permitir que as mudanças gerem benefícios e sejam feitas com a mínima interrupção aos Serviços de TI.Já o COBIT, outro framework de mercado, apresenta uma visão estratégica que considera a relação das mudanças de TI com os negócios da organização: o processo de gestão de mudanças  tem como objetivo atender aos requisitos de negócio em alinhamento com a estratégia da organização, reduzindo retrabalho e defeitos na entrega de soluções e serviços, com foco em controlar a avaliação de impacto, autorização e implementação de todas as mudanças na infraestrutura, nas aplicações e nas soluções técnicas de TI, minimizar erros devido a especificações de requisitos incompletas e interromper a implementação de mudanças não autorizadas.Em ambos os frameworks, a gestão de risco é ponto comum para tomar decisões priorizando escolhas e elaborando ações alternativas considerando alguns cenários, inclusive aquele onde tudo dá errado.A decisão em relação aos riscos sempre será tomada com base nas melhores informações disponíveis no momento, por isso a importância de ter processos de TI estruturados e métricas que avaliem continuamente o quanto este processo (ainda) está alinhado às necessidades da TI e do negócio e atendendo às expectativas da organização.Andréa Paiva é coordenadora dos cursos de MBA da FIAP (Gestão de Tecnologia da Informação e Master In Information Technology) e professora de pós-graduação. É doutora em administração e tem TI como primeira formação. Atua desde 1999 como consultora em GRC (Governança, Risco e Compliance). Possui diversos artigos publicados na área de governança e gestão de TI.