Planos de Ação, Exceções e Aceite de Risco: Como Fechar o Ciclo de Remediação em TPRM

Diferença entre Plano de Ação, Exceção e Aceite de Risco

Quando você identifica uma lacuna de controle ou um risco em um fornecedor, existem três respostas possíveis: corrigir (plano de ação), tolerar por um tempo (exceção) ou aceitar permanentemente (aceite de risco). Cada uma tem lugar certo, público diferente e implicações legais distintas.

Plano de Ação (PA) é o compromisso de remediar um risco em prazo definido. Você está dizendo: "Este risco existe, é inaceitável em regime permanente, e aqui estão os passos para corrigi-lo." A data de conclusão é obrigatória, o dono da ação é nomeado, e o monitoramento é contínuo.

Exceção é a decisão de divergir temporariamente de um requisito ou padrão, com justificativa documentada. Você está dizendo: "Sabemos que este fornecedor não cumpre nosso critério X, mas há razões negociais ou operacionais que justificam tolerar isso por um período limitado." Exceções têm prazo de validade e pressupõem uma data de reavaliação.

Aceite de Risco é a decisão executiva de tolerar permanentemente um risco identificado. Você está dizendo: "Reconhecemos este risco, avaliamos seu impacto, e decidimos aceitá-lo sob as seguintes condições de mitigação." Aceites são aprovações formais, geralmente exigem assinatura de um executivo, e devem ser revistos anualmente.

A confusão entre esses três conceitos é comum e arriscada: um plano de ação vencido vira uma exceção invisível; uma exceção sem data de revisão se torna um aceite informal; um aceite de risco sem documentação gera achados em auditoria. Para evitar isso, use critérios claros.

Critérios para Decidir: Remediação Imediata, Tolerância ou Aceitação

Três perguntas guiam a escolha:

1. É viável corrigir o risco?

Se a resposta é "sim" e o risco é crítico ou alto, implemente um plano de ação. Defina um prazo realista (considere a complexidade: mudanças operacionais de terceiros levam mais tempo do que ajustes internos). Se a resposta é "não" porque o fornecedor recusa ou a correção é tecnicamente impossível, você vai para exceção ou aceite, não para plano de ação vago.

2. Qual é o prazo realista e a severidade do risco?

Riscos críticos com prazo viável de 30 a 90 dias recebem plano de ação curto. Riscos médios ou altos com prazo de 6 a 12 meses recebem plano de ação com milestones trimestrais. Se o risco é aceitável por um tempo limitado (p.ex., você está buscando um novo fornecedor em paralelo), documente uma exceção com data de reavaliação. Nunca deixe uma exceção aberta indefinidamente.

3. Quem aprova a decisão?

Planos de ação são gestores de risco ou dono de processo. Exceções exigem aprovação do proprietário da função ou risco. Aceites de risco exigem assinatura do executivo que arcará com as consequências (gerente de área, CFO, CRO ou CEO, conforme o nível de exposição). Se você não consegue nomear quem aprova, não está pronto para documentar a decisão.

Estrutura de Documentação: O que Registrar em um Plano de Ação

Um plano de ação eficaz contém:

• Descrição do risco ou achado: O que foi identificado? Em qual avaliação, auditoria ou monitoramento? Qual é o requisito ou padrão não atendido?
• Escopo: Qual(is) processo(s), sistema(s) ou localidade(ies) está(ão) afetada(s)?
• Prazo: Data de início, data esperada de conclusão, e marcos intermédios (se aplicável).
• Responsável: Nome e cargo de quem é accountable pela execução.
• Ação específica: O que exatamente será feito? Evite genéricos como "melhorar controles". Diga: "Implementar [processo/sistema/procedimento] até [data]."
• Métrica de fechamento: Como você vai provar que o risco foi remediado? (Teste, auditoria, certificação, comprovação documental?)
• Status e evidência: Atualizado a cada revisão (mensal, trimestral). Anexe provas (fotos, logs, certificados, relatórios).

Um bom plano de ação é rastreável: você lê e sabe exatamente o que falta fazer e quando.

Documentação de Exceções: Quando Divergir, Como Justificar

Uma exceção é válida quando:

• O requisito é legítimo, mas a conformidade é temporariamente impossível.
• Há uma razão negocial, operacional ou de transição que justifica a divergência.
• Existe um plano para remediar ou um substituto de controle que reduz o risco.
• A validade é limitada (máximo 12 meses; acima disso, reclassifique como aceite).

Registre na exceção:

• Requisito divergido: Qual padrão ou política está sendo relaxado?
• Razão: Por que a conformidade é impossível agora? (P.ex.: "Fornecedor em transição para novo ERP até 30/06/2025"; "Espera-se substituição de fornecedor até 31/12/2024".)
• Risco mitigado: Como você reduz a exposição enquanto a exceção está vigente? (P.ex.: "Auditoria mensal em vez de trimestral"; "Contrato rescindível em 30 dias".)
• Data de reavaliação: Quando a exceção será revisada? Não diga "até correção". Diga "15/03/2025".
• Aprovador: Quem autorizou esta divergência?

Exceções devem ser revistas regularmente. Se passam da data de reavaliação sem ação, geram achados em auditoria.

Aceite Formal de Risco: Quem Aprova, Como Documentar

Um aceite de risco é uma decisão executiva de tolerar um risco identificado. Use-o quando:

• A correção é impossível ou economicamente inviável.
• O risco residual é aceitável sob certas condições.
• Existe controle substituto que reduz o impacto a níveis toleráveis.
• A decisão é consciente e assinada por quem tem autoridade.

Estrutura do aceite:

• Risco ou achado: Descrição clara do que foi identificado.
• Impacto: Se o risco ocorre, qual é a consequência? (Financeira, legal, operacional, reputacional?)
• Probabilidade: Com base em qual evidência você estima que o risco ocorra?
• Mitigação: Quais controles ou procedimentos reduzem a probabilidade ou o impacto?
• Risco residual: Mesmo com mitigação, qual é o nível de risco que você está aceitando?
• Aprovador: Nome, cargo, assinatura (digital ou manuscrita) de quem aprova.
• Data de vigência e revisão anual: Um aceite não é permanente; deve ser revisado anualmente ou quando circunstâncias mudam.

Guardar a decisão documentada é essencial para auditoria: você prova que conhecia o risco, avaliou e aprovou conscientemente.

Monitoramento e Revisão

Planos de ação devem ser rastreados mensalmente ou conforme frequência definida. Defina um calendário: primeira sexta-feira do mês, por exemplo. Relatore o status (não iniciado, em andamento, bloqueado, concluído) e anexe evidência.

Exceções devem ser revisadas na data agendada. Se a razão temporal ainda é válida, estenda (documentando a extensão). Se a razão expirou, conclua a exceção, implemente a ação ou reclassifique como aceite.

Aceites devem ser revisados anualmente e sempre que houver mudança significativa (p.ex., novo contrato com fornecedor, novo requisito regulatório, mudança no apetite de risco organizacional).

Integração com Frameworks Regulatórios

O Banco Central do Brasil, em resoluções sobre gestão de riscos operacionais, enfatiza a documentação de decisões e trilhas de auditoria. Órgãos como a Controladoria-Geral da União (CGU) esperam que organizações demonstrem gestão consciente de riscos, inclusive a aceitação formal de riscos residuais.

Frameworks internacionais como o NIST Cybersecurity Framework e a guidance do CISA sobre Supply Chain Risk Management apontam para a importância de documentar decisões de remediação, exceções e aceites como parte de um programa de gestão de risco maduro.

Quando você estrutura planos de ação, exceções e aceites de risco de forma clara e rastreável, você:

• Cumpre requisitos regulatórios de documentação.
• Reduz achados em auditorias internas e externas.
• Facilita decisões de risco informadas.
• Cria histórico que protege a organização e os indivíduos em decisões.

Fechando o Ciclo

Remediação de risco não é um evento; é um ciclo. Você identifica, decide (plano de ação, exceção ou aceite), executa, monitora e revisa. Quando cada etapa é documentada e responsáveis são nomeados, o risco fica sob controle — não desaparece, mas é gerenciado conscientemente.

A chave é evitar riscos órfãos: achados que ninguém reconhece, planos vencidos sem revisão, exceções invisíveis que duram anos, aceites sem assinatura. Estrutura, clareza e rastreabilidade transformam remediação em conformidade.