Avaliação de Risco avançado

Use ServiceNow® Governança, risco e conformidade Recurso de avaliação avançada de riscos (GRC) para criar uma plataforma de risco integrada. Esta plataforma integrada oferece suporte a vários tipos de metodologias de avaliação de risco. Ele permite que você integre a avaliação de risco como parte do processo geral de tomada de decisão.

Advanced Risk Assessment oferece os seguintes benefícios:

• Digitaliza todo o ciclo de vida da gestão de riscos, incluindo identificação de risco, análise de risco, avaliação de risco, tratamento de risco, e monitoramento.
• Personalize o processo de avaliação de risco com base nas necessidades exclusivas da sua organização. Esta personalização inclui a configuração dos critérios de avaliação, o contexto e a lógica de pontuação de risco geral.
• Oferece suporte a métodos de avaliação de risco qualitativos e quantitativos.
• Agrega automaticamente as pontuações de avaliação de risco de baixo para cima em todo o risco.
• Incorpora o processo de avaliação de risco no espaço para usuários de primeira linha. Essa incorporação ajuda os usuários a tomar decisões fundamentadas com base nos riscos associados a ações.

Nota:

Para saber se sua licença atual dá direito a Avaliações avançadas de risco, entre em contato com ServiceNow.

Etapas da avaliação de risco

Antes de entender a Avaliação avançada de riscos em detalhes, é importante entender as principais etapas da gestão de riscos:

1. Identificação de risco: Encontre uma incerteza ou risco que possa impedir sua organização de atingir seus objetivos​.
2. Análise de risco: Entenda a causa e a consequência do risco.
3. Avaliação de risco: Para determinar se uma ação adicional é necessária, compare os resultados da análise de risco com os critérios de risco estabelecidos.
4. Tratamento de risco: Defina um plano de ação​para lidar com o risco.
5. Monitoramento de risco: Rastreie a postura de risco da organização e comunique-a às partes interessadas relevantes.

Figura 1. Etapas da gestão de riscos

A avaliação de risco consiste na identificação de risco, análise de risco e avaliação de risco. A avaliação avançada de risco é realizada com base em fatores ou perguntas e suas respostas. Isso pode ser realizado para uma entidade como uma organização. Para usar a avaliação de risco avançada, você deve habilitar Migrar para Avaliações de risco avançadas Propriedade localizada no módulo Administração. O avaliador e o aprovador da avaliação de risco devem ter a função sn_grc.business_user. A avaliação avançada de riscos permite que você faça uma avaliação detalhada dos riscos em que os riscos inerentes, os controles de mitigação e os riscos residuais são avaliados. Se você não tiver concluído GRC configure entidades, declarações de risco, controles e assim por diante, então você ainda pode avaliar os riscos em qualquer um ServiceNow registro ou objeto. Um exemplo de avaliação de objeto é avaliar a gestão de mudanças. Durante a avaliação de risco, os seguintes riscos são avaliados.

• Riscos inerentes: Riscos inerentes são riscos que não têm controles. Conduzir a uma velocidade elevada numa auto-estrada é, por exemplo, um risco inerentemente maior do que conduzir a uma velocidade moderada. A pontuação desse risco inerente é derivada multiplicando o impacto do risco e a probabilidade do risco.
• Eficácia do controle: Os controles podem mitigar o impacto ou a probabilidade de um risco. Por exemplo, as rodovias têm monitores de limite de velocidade. Se um risco se materializar, os controles atenuarão o impacto. Os controles podem ser preventivos, detectivos ou corretivas.
  • Os controles preventivos são projetados para evitar erros, imprecisões ou fraudes antes que esses problemas ocorram.
  • Os controles de detecção têm como objetivo descobrir a existência de erros, imprecisões ou fraudes.
  • Os controles corretivas são projetados para corrigir erros ou irregularidades que foram detectados.
• Riscos residuais: Os riscos residuais são os riscos restantes que permanecem após a implementação dos controles. Por exemplo, apesar das medidas de segurança em vigor, se ainda houver um acidente, o dano causado pelo acidente é um risco residual. Uma pontuação de risco residual pode ser calculada usando qualquer um dos seguintes métodos:
  • Uma matriz entre eficácia inerente e residual.
  • Uma fórmula matemática, como a pontuação inerente menos a pontuação de controle.
  • Respostas aos fatores.

• Fluxo de trabalho da Avaliação avançada de riscos
  Para usar a Avaliação avançada de riscos, você deve configurar a metodologia de avaliação de risco (RAM), definir o escopo da avaliação e realizar a avaliação.
• Fatores na Avaliação avançada de riscos
  Fatores são perguntas que você pode usar para analisar riscos. Os fatores aparecem em uma instância de avaliação de risco.
• Tipos de metodologias de classificação de risco
  Os riscos são pontuados durante uma avaliação e, em seguida, uma classificação é derivada. As classificações são de três tipos: Qualitativa, semiquantitativa e quantitativa.
• Qualquer avaliação de objeto usando Avaliação de risco avançada
  Se você não tiver concluído GRC configurar entidades, declarações de risco, controles e assim por diante, mesmo assim, você ainda pode avaliar os riscos em qualquer ServiceNow registro ou objeto. Um exemplo de avaliação de objeto é avaliar a gestão de mudanças ou avaliar uma citação.
• Delegação de avaliação de risco
  Se um avaliador de risco não estiver disponível para realizar uma avaliação de risco, ele poderá nomear um delegado para realizar a avaliação de risco por um período de tempo especificado. . ServiceNow AI Platform permite que você nomeie seus delegados.
• Noções básicas sobre a instância de avaliação de risco
  Uma instância de avaliação de risco é onde um avaliador de risco pode avaliar riscos e objetos respondendo a perguntas ou fatores.
• Gerenciar respostas de risco
  Uma resposta ao risco é a estratégia usada para lidar com os riscos depois que os riscos são avaliados.
• Acúmulo de pontuação de risco na Avaliação de risco avançada
  Na Avaliação de risco avançada, as pontuações de risco são calculadas na hierarquia de declaração de risco, na hierarquia de entidade ou em uma combinação de ambas. Esses métodos permitem que as partes interessadas monitorem sua postura de risco e forneçam visibilidade da pontuação de risco agregada geral.
• Gestão de riscos de privacidade
  Como usuários de Gestão de privacidade, você pode executar avaliações avançadas de risco com um conjunto limitado de recursos, mesmo se não tiver a licença completa para Gestão integrada de riscos.
• Gerenciar o programador de avaliação de risco
  Crie um programador de avaliação de risco e atribua-o ao gerente de risco. Um gerente de risco pode identificar as entidades e os riscos dentro das entidades para o início em massa de avaliações de risco.
• Integração de avaliações avançadas de risco com riscos e controles
  Quando os clientes migram para avaliações de risco avançadas, o sistema substitui o ciclo de vida de risco legado e mostra uma nova seção chamada Resumo da avaliação no formulário Risco. Esta seção é útil para os gerentes de risco, pois fornece a visibilidade geral dos resultados da avaliação.
• Apetite de risco e tolerância em Risco avançado
  Você pode definir um apetite de risco e tolerância em sua organização usando Risco avançado aplicação. Um apetite de risco e tolerância permitem que sua organização defina os limites para riscos aceitáveis e inaceitáveis.