Questão de Direito Administrativo — Tópicos Mesclados da Lei nº 14.133/2021 — FCC 2026

Gestão de riscos e controle preventivo nas contratações públicas (Lei nº 14.133/2021)

Gabarito: letra B. A gestão de riscos nas contratações é um processo contínuo que envolve identificar, analisar e responder aos riscos, e os controles internos são definidos justamente com base nesses riscos, podendo ser preventivos ou detectivos — exatamente o que afirma a alternativa B. Esse entendimento está em linha com o art. 169, caput, da Lei nº 14.133/2021, que impõe às contratações públicas "práticas contínuas e permanentes de gestão de riscos e de controle preventivo", e com o art. 11, parágrafo único, que atribui à alta administração a responsabilidade pela governança das contratações, incluindo a gestão de riscos e controles internos.

A gestão de riscos é um processo sistemático que permite à Administração Pública identificar, analisar e responder aos riscos que podem afetar o alcance dos objetivos das contratações. Ela não é um evento isolado, mas uma prática contínua e permanente, como determina a lei. O processo envolve, em linhas gerais: (1) a identificação dos riscos — tanto internos quanto externos — que podem comprometer a contratação; (2) a análise desses riscos, avaliando sua probabilidade de ocorrência e o impacto que causariam; e (3) a resposta aos riscos, que pode ser evitar, mitigar, transferir ou aceitar o risco, conforme sua natureza e magnitude.

Os controles internos são as medidas adotadas para gerenciar esses riscos. Eles não são padronizados de forma cega para todas as contratações, mas sim definidos com base nos riscos específicos de cada caso. Os controles podem ser preventivos (atuam antes do evento, para evitar que o risco se materialize) ou detectivos (atuam depois, para identificar a ocorrência do evento e permitir a correção). Essa lógica é a espinha dorsal da boa governança: primeiro se conhece o risco, depois se desenha o controle adequado.

A Lei nº 14.133/2021 reforça essa sistemática ao estabelecer, no art. 169, que as contratações devem se submeter a práticas contínuas e permanentes de gestão de riscos e controle preventivo, estruturadas em três linhas de defesa. O art. 11, parágrafo único, por sua vez, determina que a alta administração implemente processos e estruturas, inclusive de gestão de riscos e controles internos, para avaliar, direcionar e monitorar os processos licitatórios e os contratos. Veja o texto legal:

A gestão de riscos não se limita a eventos passados, nem a fatores internos, nem busca eliminar todos os riscos. Ela é prospectiva (olha para o futuro), abrange o ambiente interno e externo, e admite diferentes estratégias de tratamento. A banca explora exatamente essas distorções nas alternativas incorretas. Guarde o núcleo do tema: riscos são identificados, analisados e respondidos; os controles são definidos com base nesses riscos, podendo ser preventivos ou detectivos — é esse o critério que separa a alternativa correta das demais.

Alternativa A — ❌ Incorreta

A alternativa afirma que a implementação de controles independe da análise de riscos e deve ser padronizada para todas as contratações. Isso contraria frontalmente a lógica da gestão de riscos: os controles são definidos com base nos riscos identificados e analisados em cada contratação. A padronização cega, sem considerar os riscos específicos, seria ineficiente e inadequada. O art. 169, § 1º, da Lei nº 14.133/2021 reforça que a implementação das práticas de gestão de riscos deve levar em consideração os custos e benefícios, optando-se pelas medidas que produzam o resultado mais vantajoso para a Administração — o que pressupõe uma análise caso a caso, não uma padronização uniforme.

Alternativa B — ✅ Correta ⟵ GABARITO

A alternativa B descreve corretamente o processo de gestão de riscos: envolve identificação, análise e resposta aos riscos, e os controles são definidos com base nesses riscos, podendo incluir medidas preventivas e detectivas. Isso está em perfeita consonância com o art. 169, caput, da Lei nº 14.133/2021, que impõe práticas contínuas e permanentes de gestão de riscos e controle preventivo, e com o art. 11, parágrafo único, que atribui à alta administração a implementação de processos de gestão de riscos e controles internos. A alternativa captura a essência do ciclo de gestão de riscos: identificar → analisar → responder, com controles desenhados a partir dos riscos.

Alternativa C — ❌ Incorreta

A alternativa afirma que a identificação de riscos deve restringir-se a fatores internos da Administração, pois riscos externos seriam tratados na execução contratual. Isso é incorreto: a gestão de riscos abrange tanto fatores internos quanto externos. Riscos externos — como mudanças legislativas, instabilidade econômica, falhas de mercado, eventos da natureza — podem afetar a contratação desde a fase de planejamento e devem ser identificados e analisados já nessa etapa, não apenas na execução. A boa prática de governança exige uma visão abrangente do ambiente, interna e externamente.

Alternativa D — ❌ Incorreta

A alternativa afirma que a análise de riscos limita-se à verificação de eventos passados, não abrangendo a avaliação de probabilidade e impacto de eventos futuros. Isso é o oposto do que define a gestão de riscos. A análise de riscos é essencialmente prospectiva: avalia a probabilidade de ocorrência de eventos futuros e o impacto que eles causariam. Eventos passados podem servir como referência ou dado histórico, mas a análise em si é voltada para o futuro, para que a Administração possa se antecipar e se preparar.

Alternativa E — ❌ Incorreta

A alternativa afirma que a resposta a riscos deve priorizar exclusivamente a eliminação dos riscos identificados, sendo vedadas outras estratégias de tratamento. Isso é incorreto: a gestão de riscos admite diversas estratégias de resposta, como mitigar (reduzir a probabilidade ou o impacto), transferir (por exemplo, via seguro ou contrato), aceitar (quando o risco é baixo ou o custo de tratá-lo é maior que o benefício) e evitar (eliminar a atividade que gera o risco). A eliminação é apenas uma das opções, e nem sempre é a mais adequada ou viável. A lei não veda outras estratégias; ao contrário, a boa governança recomenda uma análise de custo-benefício para escolher a melhor resposta.

Gabarito: letra B — a gestão de riscos envolve identificação, análise e resposta, com controles definidos com base nos riscos, incluindo medidas preventivas e detectivas.