O TRATAMENTO DE RISCO CONSISTE EM MIIGAR, MONITORAR OU ELIMINAR AS AMEAÇAS QUE POSSAM COMPROMETER OS RISCOS E DIMINUIR AS AMEAÇAS A UM NIVEL ACEITAVEL

• I. Correta. O processo de avaliação de riscos (segundo metodologias consagradas como a ISO 31000 e o framework COSO) é composto exatamente por essa sequência lógica: identificação (levantar o que pode dar errado), análise (compreender a probabilidade de acontecer e o tamanho do impacto) e avaliação (comparar esse risco com os limites da organização para decidir se ele precisa ser tratado).

• II. Correta. Essas são as quatro estratégias clássicas de resposta. A gestão pública pode evitar (descontinuar a atividade que gera o risco), mitigar (implementar controles para reduzir a chance ou o estrago), transferir/compartilhar (como a contratação de um seguro ou terceirização) ou simplesmente aceitar (quando o risco é baixo o suficiente para caber dentro do "apetite a risco" tolerado pela instituição).

• III. Incorreta (A Pegadinha). É impossível suprimir a totalidade dos riscos em qualquer atividade humana ou governamental. O risco zero não existe. O objetivo da gestão de riscos não é eliminar todas as incertezas (o que seria inviável financeiramente e engessaria a administração), mas sim mantê-las em um nível aceitável e controlado para que os objetivos sejam atingidos com segurança.