ISO 31000: gestão de risco com uma vantagem estratégica

Vivemos num mundo onde a incerteza faz parte do dia a dia das organizações. Ciberataques, interrupções operacionais, alterações legislativas, eventos climáticos, problemas na cadeia de abastecimento ou mudanças tecnológicas são apenas alguns exemplos de riscos que podem comprometer o cumprimento dos objetivos de uma organização. Conhece a ISO 31000 para gestão de risco?

A ISO 31000 é uma norma internacional publicada pela International Organization for Standardization (ISO) que estabelece diretrizes para a gestão de risco. Ao contrário de outras normas, como a ISO/IEC 27001, a ISO 31000 não é certificável. O objetivo é apoiar as organizações na criação de uma cultura de gestão de risco, aplicável a qualquer setor de atividade, independentemente da sua dimensão.

Mais do que uma metodologia, a ISO 31000 promove uma forma de pensar a gestão, onde o risco deixa de ser visto apenas como uma ameaça e passa também a representar oportunidades de melhoria e criação de valor.

Princípios da gestão de risco

Segundo a ISO 31000, uma gestão de risco eficaz deve:

• Criar e proteger valor;
• Estar integrada na governação e nos processos da organização;
• Apoiar a tomada de decisão;
• Considerar a incerteza de forma estruturada;
• Basear-se na melhor informação disponível;
• Ter em consideração os fatores humanos e culturais;
• Ser dinâmica e responder à mudança;
• Promover a melhoria contínua.

O processo de gestão de risco

A ISO 31000 define um processo contínuo composto por várias etapas:

• Definir o âmbito, contexto e critérios
  • compreender o ambiente interno e externo da organização.
• Identificar os riscos
  • reconhecer eventos que possam afetar os objetivos.
• Analisar os riscos
  • avaliar causas, consequências, probabilidade e impacto.
• Avaliar os riscos
  • determinar quais exigem tratamento prioritário.
• Tratar os riscos
  • selecionar medidas para reduzir, evitar, transferir ou aceitar os riscos.
• Monitorizar e rever
  • acompanhar a evolução dos riscos e a eficácia dos controlos implementados.
• Comunicar e consultar
  • envolver todas as partes interessadas ao longo de todo o processo.

A gestão de risco não é responsabilidade exclusiva de um departamento. É uma responsabilidade coletiva.

Na área da cibersegurança, a ISO 31000 serve frequentemente como base para a implementação de processos de gestão do risco.

Normas como a ISO/IEC 27001, a ISO/IEC 27005, o NIST Cybersecurity Framework ou os requisitos da Diretiva NIS2 assentam numa abordagem baseada no risco. Antes de implementar controlos técnicos, é essencial compreender quais os ativos críticos, as ameaças existentes, as vulnerabilidades e o impacto potencial para a organização.

Sem uma adequada gestão de risco, qualquer estratégia de cibersegurança ficará inevitavelmente incompleta.

Gerir riscos não é prever o futuro. É preparar a organização para responder ao que o futuro possa trazer.