Análise da maturidade em gestão de riscos no MP : proposição e aplicação de um instrumento de avaliação orientado aos processos de TI

Dissertação (mestrado) — Universidade de Brasília, Instituto de Ciências Exatas, Departamento de Ciência da Computação, 2016.Muitas organizações estão engajadas na adoção de abordagens consistentes e holísticas para a Gestão de Riscos. O aprimoramento da Gestão de Riscos nas instituições públicas se deve, inclusive, pela atuação recente dos órgãos de controle, quando intensificaram ações de auditoria voltadas para riscos. Um fator relevante para o sucesso da Gestão de Riscos é a obtenção, pela organização, de uma avaliação dos processos nos quais serão tratados os riscos. Para atender a falta de um instrumento de avaliação em Gestão de Riscos para o setor público é proposto o desenvolvimento de um Instrumento de Avaliação da Maturidade em Gestão de Riscos (IAMGR) orientado aos processos de Tecnologia da Informação (TI), baseado no processo de Gestão de Riscos da Norma ISO 31000:2009. A abordagem da pesquisa é "Qualitativa". Quanto à estratégia de pesquisa, foi utilizada a "Pesquisa-Ação", pois há a proposição do instrumento e a sua aplicação no Ministério do Planejamento, Desenvolvimento e Gestão (MP). Já as técnicas utilizadas para a coleta de dados foram: revisão bibliográfica, análise documental e técnica Delphi. O IAMGR é voltado para o setor público brasileiro e pode ser aplicado em qualquer instituição independente do tamanho e do estágio de maturidade em Gestão de Riscos, considerando os processos tratados no instrumento. Os níveis de maturidade propostos vão desde as organizações totalmente imaturas na área de riscos, até as que se encontram em estágio avançado de maturidade. Uma ferramenta automatizada foi desenvolvida para aplicação do instrumento, facilitando a autoavaliação. Com o intuito de validar o instrumento, foi feita uma aplicação na Diretoria de Tecnologia de Informação (DTI) do MP. Como resultado foram identificados os níveis de maturidade em Gestão de Riscos de 11 (onze) processos de TI, sendo que o nível de maturidade em gestão de riscos alcançado pelo órgão foi "Vulnerável". Com isso, conclui-se que a organização não tem, ainda, uma metodologia de gestão de riscos estável e organizada e não há nenhuma evidência de que a gestão de riscos atual possa apoiar a tomada de decisão. A DTI do MP afirma que o uso do IAMGR fortaleceu a cultura de riscos no órgão e tem contribuído para o aprimoramento da governança de TI.Many organizations are engaged in the adoption of consistent approaches and holistic for Risk Management. The improvement of risk management in public institutions whether even the recent actions of regulatory agencies, when intensified audit of actions for risk. An important factor for success Management Risks is to obtain, by the organization, an evaluation of the processes which will be treated risks. To meet the lack of an evaluation instrument in Management Risks to the public sector is proposed the development of an Assessment Tool Maturity in Risk Management, named as IAMGR, oriented to technology processes Information based on the risk management process of ISO 31000: 2009. The Research approach is "qualitative". As the search strategy was used "Action Research", because there is the instrument of the proposal and its implementation in the Ministry of Planning, Development and Management (MP). As for the techniques used for collection Data were: literature review, document analysis and Delphi technique. The IAMGR It is facing the Brazilian public sector and can be applied in any institution regardless of size and maturity stage in risk management, considering the cases dealt with in the instrument. The proposed maturity levels ranging from Immature organizations fully in risk area, to those found in stage advanced maturity. An automated tool has been developed for application instrument, facilitating self-assessment. In order to validate the instrument, It was made an application to the Directorate of Information Technology (DTI) of the MP. As result maturity levels have been identified in Risk Management 11 (eleven) IT processes, and the level of maturity in risk management achieved by the body It was "vulnerable". Thus, it is concluded that the organization has also a methodology stable and organized risk management and there is no evidence that the management current risks to support decision making. The DTI-MP states that the use of IAMGR strengthened risk culture in the body and has contributed to the improvement IT governance