Modelo multicritério de avaliação da maturidade em gestão de riscos

Abstract

A gestão de riscos de Tecnologia da Informação (TI) é uma importante ferramenta para a governança de TI, pois permite que os riscos sejam identificados, analisados e adequadamente tratados, minimizando os impactos e fornecendo aos gestores um amplo entendimento sobre a estratégia de gestão de riscos. Para garantir uma gestão de riscos efetiva e devidamente alinhada ao objetivo do negócio, é necessário avaliar continuamente seu nível de maturidade, a fim de conhecer sua situação atual e identificar suas deficiências. Considerando as dificuldades dos gestores em definir e mensurar seus valores e preferências e compreender as consequências de suas decisões no processo de avaliação, a utilização de métodos de apoio multicritério tem sido uma opção capaz de minimizar a subjetividade e fornecer elementos quantitativos ao processo. Este trabalho propõe um modelo de maturidade com base no método ELECTRE TRI para a classificação ordenada dos principais critérios, selecionados através de um estudo aprofundado dos modelos e padrões de ERM tidos como referências mundiais. Ao especificar escalas de julgamento para cada critério, o modelo sintetiza e organiza as informações relacionadas à gestão de riscos e simplifica o processo de decisão do gestor, permitindo que os mesmos tomem suas decisões embasadas em um método cientifico de forma clara e eficiente. O modelo foi validado por um estudo de caso aplicado em uma empresa de distribuição de energia e os resultados apresentados auxiliaram os gestores a diagnosticar a situação atual dos seus processos de TI, identificando seus pontos fortes e fracos e suas oportunidades de melhoria.