Noções básicas sobre a instância de avaliação de risco
Uma instância de avaliação de risco é onde um avaliador de risco pode avaliar riscos e objetos respondendo a perguntas ou fatores.
As perguntas que um avaliador de risco responde são configuradas na RAM. Uma avaliação pode conter fatores manuais e automatizados. Os fatores manuais precisam de entrada humana como respostas. Para fatores automatizados, as respostas são calculadas automaticamente. Os fatores automatizados são executados automaticamente com base na programação definida em sua configuração.
Depois que uma avaliação é concluída, com base na frequência de reavaliação definida, uma reavaliação é acionada automaticamente. Uma reavaliação será acionada somente se a instância de avaliação de risco existente estiver no estado Monitorar. Se uma avaliação estiver no estado Monitorar, sempre que os fatores automatizados forem executados de acordo com sua programação, as pontuações da avaliação serão alteradas e os fatores contribuirão com novas pontuações para o acúmulo.
Se o avaliador de risco determinar que uma avaliação deve ser reatribuída a outro avaliador relevante, o avaliador poderá reatribuir a avaliação. O avaliador também pode modificar as respostas depois de responder aos fatores.
Componentes de uma instância de avaliação de risco
- Avaliações anteriores: as cinco avaliações anteriores para o risco que está sendo avaliado no momento.
- Eventos de risco: o número de eventos de risco associados ao risco.
- Indicadores de risco: o número de indicadores de risco aprovados e reprovados para este risco.
- Problemas em aberto: o número de problemas em aberto para o risco e seu estado e proprietários.
- Tarefas de resposta de risco: o número de tarefas de resposta de risco criadas para a avaliação.
- Controles relacionados: os controles relacionados ao risco. Esta lista relacionada aparece somente quando o ambiente de controle está sendo avaliado. Nota:Os clientes das versões anteriores podem não conseguir ver a contagem atualizada dos indicadores aprovados e reprovados. Para resolver esse problema, execute o indicador de atualização e o script de correção de contagem de controles.
Um avaliador tem a opção de não avaliar os controles de atenuação. A opção de recusar controles é útil nos casos em que há um risco, mas não há controles para atenuá-lo. Por exemplo, considere um cenário em que uma pandemia é um risco, mas não há vacinas para controlá-la. Nesse caso, o risco é avaliado, mas os controles podem ser deixados de fora da avaliação. Quando um avaliador decide recusar a avaliação de controles de atenuação e riscos residuais, a pontuação é definida como Não aplicável.
Se a avaliação de controle estiver configurada para avaliar controles individuais e os controles estiverem associados ao risco que está sendo avaliado, a opção de recusar os controles não será exibida. Isso acontece porque os controles são padronizados.
Se a avaliação residual for para riscos e controles inerentes e se o avaliador de risco recusar a avaliação de controle, os riscos residuais não serão aplicáveis. Esta condição é criada porque, se não houver controles, isso significa automaticamente que há apenas riscos inerentes e nenhum risco residual.
Fases de avaliação de risco
- Pronto para avaliar: uma nova instância de avaliação é criada.
- Avaliação inerente: a avaliação de risco inerente é realizada.
- Avaliação de controle: a avaliação de controle é realizada.
- Avaliação residual: a avaliação de risco residual é realizada.
- Avaliação desejada: a avaliação de risco desejada é realizada.
- Responder: você responde aos riscos.
- Aguardando aprovação: a avaliação de risco está aguardando a aprovação dos aprovadores, se eles tiverem sido identificados.
- Monitorar: a avaliação de risco está concluída e está sendo monitorada.