A respeito de gestão de riscos e continuidade do negócio, julgue o item a seguir, com base na NBR ISO/IEC 27005. É apropriado que ações relacionadas à retenção do risco, sem outras

Gabarito

Errado

Comentário do professor

A afirmação é errada porque, segundo a ISO/IEC 27005, a decisão de reter (aceitar) um risco deve ser tomada somente após a avaliação de riscos. A norma define um fluxo: definição do contexto, identificação, análise e avaliação do risco, e então tratamento. A retenção do risco é uma das opções de tratamento, não uma ação isolada e prévia.

Tomar retenção sem avaliação impede saber a gravidade, a probabilidade e a tolerabilidade do risco, tornando impossível justificar a decisão, priorizar ações ou alocar recursos. A aceitação precisa ser documentada, com indicação do responsável, do prazo e do monitoramento do risco residual.

Portanto, reter riscos sem avaliação contraria a sequência e os princípios da gestão de riscos da norma e expõe a organização a decisões não fundamentadas.