Processo de implantação da gestão de riscos em um laboratório de saúde pública

Carmen Silvia Kira

Instituto Adolfo LutzBrasil

Larissa Germano Fonseca

Instituto Adolfo LutzBrasil

Organizações de todos os tipos e tamanhos são vulneráveis às influências e a fatores externos e internos que tornam incerto o alcance de seus objetivos¹. Qualquer decisão ou escolha tomada por uma organização está exposta a riscos. Dessa forma, é importante compreender que riscos são inerentes aos negócios. A partir deste contexto, surge a necessidade do gerenciamento de riscos, pois uma organização indiferente à dimensão dos riscos aos quais está exposta, fica vulnerável a imprevistos.

A gestão de riscos é um processo que auxilia a organização a reduzir ao máximo as falhas que podem afetar os processos, pois com os riscos identificados antecipadamente, ações podem ser tomadas para reduzir a probabilidade de ocorrência desses eventos ou minimizar o efeito negativo, caso venham a ocorrer. Com a gestão de riscos, pode-se também maximizar as oportunidades identificando pontos positivos ou pontos de melhoria.

Conhecendo-se os riscos, também é possível gerenciar melhor os recursos financeiros, humanos, de meio ambiente, além de preservar a imagem institucional perante os clientes². Desta forma, a gestão de riscos é aliada às melhores decisões estratégicas e ao planejamento institucional^3,4.

Conceito de risco e a gestão de risco

Segundo o Institute of Risk Management (IRM)³, a definição geral de risco é a combinação da probabilidade de ocorrência de um evento e sua consequência, sendo esta positiva ou negativa. Já a norma da Associação Brasileira de Normas Técnicas (ABNT) NBR ISO 9001:2015⁵ e o Project Management Institute (PMI):2004⁶ definem o risco como o efeito sobre a incerteza, ou seja, o desvio positivo ou negativo relacionado a um objetivo esperado de um projeto, processo, operação ou serviço da organização⁴.

Com as definições apresentadas, conclui-se que os riscos são circunstâncias ou condições futuras que podem proporcionar um impacto favorável ou não sobre um determinado objetivo. O risco também é algo que está relacionado à escolha, não ao acaso, pois decorre da incerteza inerente ao conjunto de possíveis consequências (perdas ou ganhos) resultantes de decisões tomadas pelas organizações⁷.

Desde a publicação, em 2000, do relatório Errar é humano (To err is human)⁸, o qual estimou que 44.000 a 98.000 óbitos ocorridos por ano nos Estados Unidos eram devidos a eventos adversos, ocasionados por erros ou falhas, o conceito de risco vem sendo amplamente disseminado nas organizações de assistência à saúde^9,10. Isso porque vários estudos têm mostrado que cerca da metade dos eventos adversos poderiam ser evitados^11,12. No Brasil, os números também são alarmantes; dados de 2017 do Instituto de Estudos de Saúde Suplementar revelaram que ocorrem mais de 54.000 óbitos decorrentes de eventos adversos e cerca de 30% desses eventos seriam preveníveis¹³. Para evitar que fatos como esses aconteçam, é fundamental que as organizações adotem o gerenciamento de riscos.

A gestão de risco é o conjunto de atividades coordenadas que têm o objetivo de gerenciar e controlar uma organização em relação a potenciais ameaças¹.

A norma ABNT NBR ISO/IEC 17025:2017¹⁴ não preconiza o uso de métodos formais de gerenciamento de riscos. Portanto, cabe a cada empresa decidir qual metodologia adotar para a implantação da gestão de riscos. Essa decisão deve levar em consideração as características e complexidade do negócio, e a magnitude e tipologia dos riscos existentes no seu segmento. Dessa forma, pode-se utilizar a norma ABNT NBR ISO 31000:2018¹, que aborda de forma geral as diretrizes e fundamentos do gerenciamento de riscos aplicáveis a todos os tipos de organização e processos.

A Figura 1 mostra a representação das etapas envolvidas no processo de gerenciamento de riscos, segundo a ABNT NBR ISO 31000:2018. Este esquema pode ser a base para a implantação da gestão de riscos por organizações de qualquer tipo, tamanho e área de atuação.

Figura 1
Etapas do processo de gerenciamento de riscos.
Fonte: Adaptada da ABNT NBR ISO 31000¹.

Segundo o esquema apresentado na Figura 1, a etapa preliminar ao gerenciamento propriamente dito consiste em definir em quais setores da organização será implantada a gestão de riscos, definir políticas e procedimentos que serão adotados, além de avaliar os fatores internos e externos que podem afetar seus objetivos. Esta é a fase do estabelecimento do contexto da implantação do processo de gerenciamento de risco. Em seguida, a equipe deve ser comunicada sobre essa decisão e colaborar no levantamento dos riscos. O envolvimento e o apoio das partes interessadas contribuem para a eficácia da gestão de riscos, pois possibilitam que seus conhecimentos e percepções sejam considerados levando a uma gestão melhor fundamentada¹.

No gerenciamento de riscos a identificação dos riscos é a etapa inicial desse processo. Para este levantamento, devem-se considerar riscos com maior probabilidade de ocorrência e que impactam significativamente no negócio da organização. Deve-se deixar de fora tudo aquilo que não reflete a realidade vivida ou que ofereça impactos extremamente baixos.

Para uma gestão eficaz de riscos, deve-se estar atento à identificação de novas situações de risco ou alteração nos riscos já mapeados. Vale ressaltar que risco não é a mesma coisa que problema, pois este é um evento já existente e que já ameaça o alcance dos objetivos. Um problema deve ser corrigido e evitado. Já o risco deve ser administrado.

A segunda etapa do processo refere-se à análise dos riscos, que é feita classificando-se o nível do risco por meio da avaliação da probabilidade de ocorrência e do possível impacto que pode ser causado, compondo assim o grau de criticidade para o risco identificado⁷. As estimativas para a probabilidade e o impacto podem ser realizadas a partir de análises qualitativas ou quantitativas¹⁵. Na literatura podem ser encontradas escalas que podem nortear essas estimativas^16,17,18,19.

Na etapa seguinte os riscos são avaliados com base no nível de criticidade obtido determinando-se uma “resposta” a esses riscos. Essa “resposta” pode incluir a necessidade de tratamento, isto é, se os riscos identificados devem ser “minimizados”, “eliminados” ou “aceitos” ou se os riscos devem ser transformados em oportunidades ao invés de ameaças. Em suma, o tratamento dos riscos envolve a definição de ações para modificar os riscos. É nesta etapa que também deve ser definido quais riscos devem ter tratamento prioritário. Geralmente os riscos com nível de criticidade mais alto são tratados prioritariamente.

E por fim, deve ser realizado o monitoramento dos riscos apontados, a fim de verificar se as ações implementadas foram eficazes, levando a uma diminuição dos efeitos ou diminuição de sua ocorrência. Segundo Watson e Jones²⁰, a gestão de riscos não é um processo de “faça e esqueça”, é um processo contínuo de melhoria, assim como o ciclo Plan, Do, Check, Action (PDCA).

A implantação da gestão de riscos no Instituto Adolfo Lutz

Diante do importante papel do Instituto Adolfo Lutz (IAL) como Laboratório Central de Saúde Pública, a exigência na confiabilidade, rastreabilidade e excelência nos resultados são uma constante e, para isso, o IAL cumpre os requisitos das normas de qualidade adotadas na instituição.

Um dos desafios relacionados ao cumprimento dos requisitos exigidos da ABNT NBR ISO IEC 17025:2017¹⁴, a norma adotada na instituição, é a implantação da gestão de riscos.

No IAL a implantação da gestão de riscos teve início em 2017 sob a orientação de uma consultoria, que propôs o uso da ferramenta Análise de Modo, Efeito e Criticidade da Falha (Failure Mode, Effect and Criticality Analysis – FMECA). A princípio, essa ferramenta foi selecionada por oferecer uma abordagem estruturada para a avaliação dos riscos associados aos processos. De forma geral, a ferramenta FMECA identifica falhas potenciais, suas causas e consequências no desempenho dos processos. A aplicação desta ferramenta exige conhecimento sobre o processo que está sendo avaliado para que sejam levantados de forma adequada os modos de falha, isto é, a maneira pela qual um processo, sistema ou produto pode falhar em atender requisitos específicos.

O primeiro passo dado para a implantação da gestão de riscos no IAL consistiu na seleção da ferramenta a ser utilizada neste processo. Em seguida, foi estabelecida a política de gestão de riscos e elaborado o procedimento em que foram atribuídas as responsabilidades dos atores envolvidos no processo, estabelecido o escopo de aplicação da gestão de riscos para todas as unidades organizacionais, independentemente se eram áreas técnico-administrativas ou técnico-laboratoriais, processo de avaliação de risco, definição das escalas de probabilidade e gravidade do risco, matriz de criticidade e periodicidade de revisão do mapeamento dos riscos.

Definida a política e elaborado o procedimento de gestão de riscos, procedeu-se à comunicação e ao treinamento de todas as Unidades Organizacionais (UO) da instituição.

A partir do treinamento dado em abril de 2017, as UO iniciaram o processo de implantação da gestão de riscos. Para isso, cada UO se reuniu com sua equipe e realizaram um brainstorming desdobrando seu processo em etapas e identificando as atividades críticas do processo.

Para aplicação da ferramenta FMECA, as UO deveriam identificar: todos os possíveis modos de falha de cada atividade crítica (ou seja, aquilo que é observado ao falhar ou ao desempenhar de forma incorreta), os efeitos dos modos de falha (os efeitos que tais falhas podem causar, ou seja, a consequência da falha), a natureza ou tipo do risco (assistencial, financeiro ou de imagem), os controles para evitar as falhas ou mitigar os efeitos das falhas, os controles para monitorar as falhas, realizar análise da criticidade de cada modo de falha identificado, além de informar a fase do processo (administrativo, pré-analítico, analítico, pós-analítico ou de apoio) e em qual atividade dessa fase a falha poderia ocorrer. Essas informações deveriam ser registradas no formulário chamado matriz de risco.

Mesmo com o auxílio da consultoria, o preenchimento dessas informações pelas UO foi considerado difícil e tedioso, o que levou à decisão para simplificação do formulário de matriz de risco com a eliminação dos campos destinados à informação: da fase do processo onde a falha poderia ocorrer; das atividades críticas nas quais poderiam ocorrer as falhas, do tipo de risco e dos efeitos dos modos de falha.

Para a etapa de avaliação dos riscos, as possíveis falhas deveriam ser avaliadas sob a perspectiva de probabilidade e impacto de sua ocorrência. Dessa forma, as equipes das UO deveriam atribuir uma pontuação de acordo com uma escala predeterminada, para a probabilidade de ocorrência e a gravidade do risco (Quadro 1). O nível do risco resultante da combinação dessas pontuações numa matriz determinaria a criticidade dos riscos identificados (Quadro 2). Quanto maior a pontuação dada à gravidade e à frequência de ocorrência do risco, maior o nível do risco. Nesta fase muitas UO apresentaram dificuldade para atribuição da pontuação, pois nunca haviam mensurado esses parâmetros e não havia dados históricos para ajudar na mensuração da frequência.

Quadro 1
Escala de probabilidade e gravidade do risco.

Quadro 2
Matriz de criticidade de riscos.

A ABNT NBR ISO 31000:2018¹ não define como deve ser o processo de análise de riscos. Segundo a norma, dependendo da disponibilidade da informação e dos recursos necessários, dentre outras questões, esta etapa pode ser realizada de forma mais detalhada e complexa e as abordagens para a análise do risco podem ser: qualitativa, quantitativa ou semiquantitativa^1,21. Levando isso em consideração e devido às dificuldades apontadas pelas UO, definiu-se que a melhor forma de realizar a análise dos riscos seria adotar a abordagem qualitativa, na qual os riscos seriam classificados por escalas nominais. Assim, em 2018, abandonou-se o uso das escalas de probabilidade e gravidade e de matriz de criticidade do risco, o formulário de matriz de risco foi revisado e nele se incluiu um campo para classificar o nível do risco em baixo, médio ou alto. O formulário de matriz de risco revisado é apresentado na Figura 2.

Figura 2
Formulário de matriz de risco.
Fonte: Sistema de Gestão da Qualidade do Instituto Adolfo Lutz.UO: unidade organizacional.

Desta forma, o objetivo deste trabalho foi analisar o uso do formulário revisado pelas UO e identificar os desafios na implantação da gestão de riscos no IAL.

Este estudo com abordagem descritiva e exploratória foi realizado com dados obtidos no ano de 2018.

As técnicas utilizadas para a gestão de riscos foram o brainstorming, na etapa de identificação dos riscos e a análise de probabilidade e impacto (realizada de forma qualitativa), empregada na etapa de análise e avaliação dos riscos.

Para o levantamento dos riscos as equipes das UO, constituídas por representantes da qualidade, o diretor da unidade e os colaboradores técnicos se reuniram para identificar os riscos que poderiam comprometer os objetivos de cada processo, bem como as oportunidades. Os riscos identificados deveriam ser registrados no formulário de matriz de risco revisado (Figura 2).

Após a etapa de identificação, as UO deveriam estimar o nível de criticidade dos riscos classificando-os em níveis (baixo, médio ou alto), baseado na probabilidade de ocorrência e no impacto dos riscos, caso viessem a ocorrer. A organização dos riscos em níveis resultaria em uma ordem de priorização para o tratamento dos riscos. Assim, uma prioridade maior deveria ser dada ao tratamento de riscos classificados como alto, seguido pelos de médio e baixo. Para a etapa de tratamento, as UO deveriam propor ações com o objetivo de reduzir a ocorrência e/ou o impacto dos riscos. Além disso, as UO deveriam adotar indicadores para a avaliação da eficácia das ações implementadas para tratar os riscos, incluindo decisão se o risco remanescente seria aceitável.

O diagnóstico situacional da implantação da gestão de riscos na instituição foi baseado na avaliação dos formulários de matriz de risco preenchidos pelas UO. Foram solicitadas as 97 UO do IAL (sendo 54 UO técnico-laboratoriais e 43 UO técnico-administrativas) e o preenchimento do referido formulário, cabendo a cada UO realizar um único preenchimento.

O formulário de matriz de risco (Figura 2) adotado na instituição é composto dos seguintes campos de preenchimento:

• identificação do risco;

• classificação do efeito do risco (podendo ser positivo ou negativo);

• classificação do nível do risco (podendo ser baixo, médio ou alto);

• proposta de ação para tratar o risco;

• indicador (a ser utilizado para medir a frequência de ocorrência do risco ou nível do impacto do risco); e

• observações (relacionadas à frequência de monitoramento dos indicadores, priorização das ações para tratar o risco, ou alguma outra informação necessária).

Com a análise dos formulários, pretendeu-se avaliar o processo de implantação da gestão de riscos, que engloba as etapas de identificação, análise, avaliação, tratamento e monitoramento dos riscos.

Do total de 97 UO, 74 UO (76,3%) realizaram o preenchimento do formulário de matriz de risco (Figura 3).

Figura 3
Índice de preenchimento de formulários de matriz de risco pelas unidades organizacionais.
Fonte: Elaborada pelos autores, 2019.UO: unidade organizacional.

Os riscos foram identificados por meio da análise dos processos das atividades desempenhadas pelas UO, levando em consideração os riscos que realmente poderiam impactar no alcance dos seus objetivos. Por exemplo, no caso de UO que desempenhavam atividades laboratoriais foram identificados riscos associados às fases pré-analítica, analítica e pós-analítica. Posteriormente, os riscos identificados foram classificados, de forma qualitativa, em níveis (alto, médio ou baixo), conforme a probabilidade de ocorrência e impacto de suas consequências, caso viessem a ocorrer. Essa análise foi feita de forma subjetiva pelas equipes das UO, uma vez que não se dispunha de registros desses eventos. Verificou-se que do total de riscos identificados (n = 398) pelas UO, 37,0% foram classificados como de alto risco, 36,0% de médio risco e 27,0% como sendo de baixo risco.

A próxima etapa consistiu na avaliação dos riscos, isto é, mediante os níveis atribuídos aos riscos, foram planejadas ações em resposta a esses riscos, que poderiam ser para mitigar, eliminar, aceitar ou maximizar e, também, para priorizar ações para os riscos identificados. A estratégia predominante adotada pelas UO foi de mitigação dos riscos e aqueles cujo nível fosse mais alto seriam tratados prioritariamente.

Para o monitoramento dos riscos as UO deveriam selecionar indicadores específicos para averiguar se as ações implementadas estariam contribuindo para o controle do risco, com relação à mitigação de ocorrências, consequências ou impactos de riscos com efeitos negativos ou maximização dos riscos com efeitos positivos.

Na Figura 4 são apresentados os principais problemas identificados no preenchimento do formulário de matriz de risco:

Figura 4
Percentual dos principais problemas identificados no formulário de matriz de risco preenchido pelas unidades organizacionais.
Fonte: Elaborada pelos autores, 2019.

• Apontamento de problemas ao invés de riscos e/ou apontamento de riscos cujas ações para seu tratamento não cabiam às próprias UO;

• Proposta de ação não condizente para minimizar a ocorrência ou o efeito do risco;

• Indicador não associado ao risco identificado; e

• Não identificação de risco com efeito positivo (oportunidade de melhoria).

Os riscos identificados pelas UO técnico-laboratoriais foram agrupados pelas fases pré-analítica, analítica e pós-analítica e são apresentados a seguir:

Pré-analítica:

• Falha no cadastro de amostra;

• Recebimento de amostras e insumos fora das condições estabelecidas;

• Armazenamento de amostras em condições inadequadas;

• Acidente no transporte de amostra;

• Encaminhamento de amostras para os setores incorretos;

• Identificação incorreta de amostras e insumos; e

• Falha no planejamento de compra de insumos e falha na especificação do item de compra.

Analítica:

• Falha de rastreabilidade em resultados, insumos e processos;

• Realização de ensaio com equipamento fora da validade de calibração; e

• Contaminação cruzada.

Pós-analítica:

• Atraso na liberação de laudos;

• Erro na transcrição de resultados e dados nos laudos analíticos; e

• Erro na interpretação de resultados.

Na Figura 5 são apresentadas as percentagens de riscos atribuídos às fases pré-analítica, analítica e pós-analítica.

Figura 5
Percentual de riscos laboratoriais de efeito negativo.
Fonte: Elaborada pelos autores, 2019.

Dos 74 formulários de matriz de risco preenchidos pelas UO (técnico-laboratoriais e técnico-administrativas), três apontaram riscos à imparcialidade e 27 apontaram oportunidades de melhoria. Dentre os riscos identificados pelas UO técnico-administrativas, os mais relatados foram: falha na indexação dos documentos do sistema de gestão da qualidade; falha na elaboração de documentos; e registro incorreto ou incompleto em documentações (físicas ou eletrônicas).

A decisão inicial em adotar a FMECA foi baseada no fato desta ferramenta proporcionar uma avaliação estruturada para identificar as formas como os processos podem falhar e, com isso, identificar os riscos associados aos processos. No entanto, a aplicação desta ferramenta foi considerada uma tarefa tediosa e demorada, o que desmotivou as equipes.

A ferramenta FMECA preconizava o mapeamento dos riscos por: fases do processo, classificação do tipo de risco, descrição das consequências que poderiam advir da ocorrência da falha, definição de ações para prevenir a ocorrência das falhas (ações preventivas), definição de ações corretivas a serem implementadas, no caso de ocorrência das falhas e definição de indicadores para o monitoramento dos riscos. Tendo em vista a dificuldade na compreensão dessas informações pelas UO e por ter sido considerada uma prática demorada, a adesão foi baixa, menos da metade do total de UO preencheram o formulário de matriz de risco. Diante desta constatação, houve a proposta de reformulação e simplificação do formulário de matriz de risco.

Com o formulário revisado, verificou-se uma adesão significativa pelas UO (76,3%), sendo a maior adesão pelas UO técnico-laboratoriais (89,0%) enquanto a adesão pelas unidades técnico-administrativas foi de 60,0%. Considera-se, portanto, que a modificação proposta da estratégia em realizar a avaliação do nível do risco de forma qualitativa e com dados subjetivos contribuiu de forma favorável ao processo de implantação do gerenciamento de riscos. Esse achado concorda com os resultados obtidos no trabalho de Silva et al.²³, que observaram que a análise dos níveis de riscos feita a partir de dados subjetivos contribui para maior comprometimento e participação da equipe nesse processo. Os métodos de avaliação quantitativos permitem análises mais confiáveis²⁴, porém, no contexto do IAL, isso ainda não é factível devido ao nível de amadurecimento em que se encontra o processo de implantação da gestão de riscos.

Apesar da simplificação do formulário de matriz de risco ter contribuído para a maior adesão por parte das UO, é crucial pensar em todos os componentes da estrutura anterior. Incentivar uma mentalidade de risco na organização significa orientá-la para um pensamento sobre quais ameaças e oportunidades existem ao realizar algo, e que é preciso agir sobre essas situações, tornando a empresa mais preparada, mais forte e com bons resultados em longo prazo, ou seja, deve-se estabelecer uma cultura de prevenção²⁵. Isso envolve não só os conceitos técnicos de como fazer, mas também uma comunicação efetiva para que o pessoal adote o pensamento baseado em riscos, analisando sempre as possibilidades de algo dar errado nas suas ações²⁶. Para prevenir riscos, é necessário identificar e analisar a origem do evento para que ações possam ser sistematizadas de forma proativa²⁷.

Pela análise dos formulários, foram constatados problemas em seu preenchimento. Dentre as causas para o preenchimento incorreto do formulário de matriz de risco estão o entendimento conceitual falho sobre a metodologia da gestão de riscos e do conceito de risco propriamente dito, causando dificuldades às UO na etapa crucial de identificação de riscos. Esse resultado está de acordo com Monteiro²⁸, que relatou em seu estudo que a falta da cultura de gestão de riscos constitui uma barreira para a sua implantação. Outra dificuldade apresentada pelas UO foi o de relacionar um indicador adequado para mensurar a ocorrência dos riscos, como mostrado na Figura 3. Com um indicador inadequado não há monitoramento da situação daquele risco indicado. O monitoramento dos riscos é fundamental para evitar as recorrências e garantir que todas as possíveis ameaças estejam identificadas e terão a tratativa adequada, além de dar fluidez ao ciclo de melhoria contínua do processo de gestão de riscos.

Posteriormente à análise dos formulários preenchidos, foi realizado um feedback com as áreas, solicitando a correção dos problemas identificados nos preenchimentos.

Os riscos identificados pelas UO técnico-laboratoriais foram agrupados segundo as etapas pré-analítica, analítica e pós-analítica. Pela Figura 4 observa-se que, na fase pré-analítica, concentram-se 52,0% do contingente de riscos, ou seja, confirma o estudo de Kalra²⁹, que mostra uma faixa de 46,0 a 68,2% para erros nesta etapa em laboratórios clínicos e outras áreas críticas de assistência à saúde. Seguido pela etapa pós-analítica com 34,0% dos riscos, mais uma vez dentro do percentual indicado pela autora de 18,5 a 47,0% e, por último, a etapa analítica com 14,0% dos riscos apontados. Isso se deve ao fato de os laboratórios concentrarem a atenção em métodos de controle de qualidade e programas de avaliação de qualidade^30,31. As fases pré e pós-analíticas apresentam os maiores índices de erro por estarem mais susceptíveis a fatores externos ao laboratório. Logo, estas são as etapas nas quais o laboratório deve aplicar esforços para minimizar ou mitigar riscos.

Segundo estabelecido no sistema de gestão do IAL, as UO deveriam identificar os riscos à sua imparcialidade, incluindo os riscos decorrentes de suas atividades, de seus relacionamentos ou dos relacionamentos de seu pessoal²⁵. Das 74 matrizes de risco preenchidas, somente três matrizes incluíram riscos à imparcialidade. Em uma próxima atualização do preenchimento do documento, isso deve ser repensado pelas áreas. Existem diversas ações que podem ser tomadas pelo pessoal do laboratório para minimizar o risco à imparcialidade, como por exemplo, etiquetando a amostra com o código de cadastro ao invés de utilizar o nome do cliente ou, como sugerido por Wong²⁵, utilizar um sistema informatizado para gerenciamento de amostras, geração de etiquetas de código de barras e rastreamento de amostra^.

Observou-se que 74,0% das UO não apontaram riscos com efeito positivo. Isto se deve ao fato de as UO associarem riscos apenas com efeitos negativos ou associarem a identificação de oportunidade de melhoria somente com aplicação de recursos para este fim.

Atualmente o processo de implantação de gestão de riscos no IAL encontra-se na fase de monitoramento dos riscos. Portanto, em breve o primeiro ciclo de gerenciamento estará concluído e um novo ciclo deverá ser iniciado. Para a identificação dos novos riscos, devem-se levar em consideração os atuais contextos internos e externos da instituição, pois os riscos podem emergir, mudar ou desaparecer à medida que os contextos se alteram¹. A gestão de riscos eficaz deve ser dinâmica, ou seja, se o objetivo ou as diretrizes da organização são alterados, ela antecipa, detecta, reconhece e responde a estas mudanças e eventos, portanto é necessário o mapeamento de novos riscos e/ou a reavaliação dos já mapeados¹.

Monitorar os riscos inerentes aos objetivos de uma atividade aprimora o desenvolvimento dos processos, já que permite a antecipação dos problemas em potencial, que podem, a partir da identificação precoce, ser mitigados ou até excluídos do processo, assegurando assim o alcance do desempenho esperado. Nesse contexto pode-se afirmar que a variabilidade dos atributos de qualidade de processos e produtos tende a diminuir, reduzindo gastos e aumentando a eficiência³².

A gestão de riscos é um processo dinâmico, contínuo e essencial para a boa governança de qualquer organização. Portanto, a organização deve ter a capacidade e a competência para diagnosticar, priorizar, monitorar e tratar os seus riscos. Ávila³³ afirmou que se pode ampliar a visão dos envolvidos no processo a partir da consolidação dos conceitos de gerenciamento de risco, por meio de treinamentos, consultorias, estudo de casos e um pouco de boa vontade. Assim, um ambiente de análise de risco será rapidamente criado, matrizes serão implementadas e critérios serão estipulados.

Dentre os benefícios que podem ser alcançados com a implantação da gestão de riscos pode-se citar: redução ou eliminação de erros, aumento da qualidade, gerenciamento efetivo dos processos, redução de custos e recursos, gestão proativa e preventiva, tomada de decisão mais assertiva, entre outros.

Para a implantação da gestão de riscos existem diversas ferramentas que podem ser utilizadas. No entanto, a escolha da ferramenta deve levar em consideração o fator humano, que tem participação ativa em todo o processo. Dessa forma, a utilização de ferramentas mais simples deve ser preconizada quando o nível de maturidade da equipe ainda é baixo ou intermediário.

Atualmente o IAL encontra-se na fase final do primeiro ciclo do processo de gerenciamento de riscos. Os próximos passos consistem em identificar novos riscos potenciais e melhorar propostas de ações que não foram satisfatórias. São muitos os desafios encontrados na realização da gestão de riscos e, para enfrentá-los, são necessários: o fortalecimento da compreensão dos riscos pelo pessoal, ou seja, a consolidação do conceito de risco, diferenciando-o de problema; a implementação de uma sistemática de monitoramento dos riscos por meio de indicadores adequados e o entendimento que a gestão de riscos é um processo contínuo que implica em revisão periódica e atualização da matriz de risco.