A alternativa correta é a C: Performance.

A questão faz referência à atualização do framework COSO ERM (Enterprise Risk Management – Integrating with Strategy and Performance, de 2017), amplamente adotada na gestão pública contemporânea para estruturar programas de integridade, controles internos e governança corporativa. Esta versão organiza as diretrizes de gerenciamento de riscos em 5 componentes inter-relacionados e 20 princípios básicos:

1. Governança e Cultura (Governance and Culture)
2. Estratégia e Definição de Objetivos (Strategy and Objective-Setting)
3. Performance / Desempenho (Performance)
4. Análise e Revisão (Review and Revision)
5. Informação, Comunicação e Divulgação (Information, Communication, and Reporting)

O bloco descrito no enunciado resume com exatidão as etapas que compõem o eixo de Performance (Desempenho). De acordo com as diretrizes do COSO ERM, este componente cuida de identificar os riscos que afetam a execução da estratégia e o alcance dos objetivos de negócio.

Nesta fase do processo organizacional, os riscos são mensurados (estimando-se a probabilidade e o impacto), priorizados conforme sua gravidade (severidade), confrontados com o apetite a risco determinado pela alta liderança (nível de exposição aceitável) para, em seguida, as respostas adequadas ao risco serem devidamente formuladas.

A pertinência da alternativa C fica ainda mais evidente ao se observar os princípios operacionais contidos dentro deste componente específico:

• Princípio 10 (Identificação de Riscos): Identificar eventos com potencial de impactar as metas institucionais.
• Princípio 11 (Avaliação da Severidade dos Riscos): Estimar e mensurar a probabilidade de ocorrência e o respectivo impacto.
• Princípio 12 (Priorização dos Riscos): Estabelecer uma ordem de prioridades para tratamento com base no apetite a risco definido.

• A (Governança e Cultura): Trata das bases estruturais, da supervisão do conselho/alta administração, da definição de responsabilidades e da disseminação dos valores éticos e da cultura de riscos em toda a instituição.
• B (Estratégia e Definição de Objetivos): Opera na etapa prévia do planejamento estratégico. Funciona definindo a missão, a visão, o perfil de apetite a risco tolerado pela alta administração e a formulação de objetivos alinhados com a vocação da instituição.
• D (Análise e Revisão): Funciona como um processo de monitoramento contínuo para refletir sobre até que ponto o sistema de gestão de riscos está rodando com eficácia ao longo do tempo ou se necessita de correções.
• E (Informação, Comunicação e Divulgação): Cuida estritamente dos canais de fluxo de dados, captura de dados de fontes internas ou externas e o compartilhamento de relatórios e reportes de riscos de forma transparente pela organização.

Estrutura do COSO ERM (2017): O COSO ERM é composto por 5 componentes:

Governança e Cultura

• supervisão da gestão de riscos;
• definição de responsabilidades;
• cultura organizacional.

Estratégia e Definição de Objetivos

• formulação da estratégia;
• definição do apetite a risco;
• alinhamento entre objetivos e riscos.

Performance

• identificação de riscos;
• avaliação da severidade dos riscos (probabilidade × impacto);
• priorização dos riscos;
• seleção das respostas aos riscos.

Análise e Revisão

• revisão do desempenho do sistema de gestão de riscos;
• identificação de mudanças relevantes;
• aperfeiçoamento contínuo.

Informação, Comunicação e Divulgação

• obtenção e compartilhamento de informações;
• comunicação interna e externa sobre riscos.

Macete CESPE/FCC/FGV: Se a questão mencionar:

• identificar riscos;
• probabilidade;
• impacto;
• severidade;
• priorização;
• resposta ao risco;

➡️ pense imediatamente em PERFORMANCE. Gabarito: C) Performance. ✅