Questão de Segurança da Informação — Riscos em Segurança da Informação (NBR ISO/IEC 27001, 27002 e 27005) — FUNDATEC 2025

Riscos Sistemáticos e Não Sistemáticos na Gestão de Riscos

Gabarito: letra C. A primeira lacuna descreve o risco sistemático — aquele que afeta todo o mercado ou setor, decorrente de fatores externos e incontroláveis individualmente, como mudanças na política, economia e regulamentações. A segunda lacuna descreve o risco não sistemático — aquele específico de uma empresa ou setor, controlável por estratégias gerenciais, como falhas operacionais ou dependência de um fornecedor. Essa classificação é clássica na gestão de riscos e também se aplica à segurança da informação, onde o contexto externo e interno da organização define a natureza dos riscos.

Na gestão de riscos, a distinção entre risco sistemático e não sistemático é fundamental para definir estratégias de tratamento. O risco sistemático, também chamado de risco de mercado ou risco não diversificável, é inerente ao ambiente em que a organização opera. Ele não pode ser eliminado por ações individuais da empresa, pois decorre de fatores macroeconômicos, políticos, sociais ou regulatórios que afetam todas as organizações de um setor ou de uma economia. Por exemplo, uma alteração na legislação tributária impacta todas as empresas de um país, independentemente de sua gestão interna. Já o risco não sistemático, também chamado de risco específico ou diversificável, é aquele que pode ser reduzido ou eliminado por meio de estratégias gerenciais, como diversificação de fornecedores, melhoria de processos internos, controles operacionais e decisões estratégicas. Ele está associado a fatores internos da empresa ou a características específicas do setor em que ela atua.

Essa classificação é amplamente utilizada em finanças e gestão de riscos, mas também se aplica diretamente à segurança da informação. Na norma ISO/IEC 27005, que trata da gestão de riscos de segurança da informação, o processo de gestão de riscos começa com a definição do contexto, que inclui tanto o contexto interno quanto o externo da organização. O contexto externo envolve fatores como legislação, regulamentação, ambiente político e econômico — exatamente os fatores que caracterizam o risco sistemático. O contexto interno envolve a estrutura organizacional, processos, ativos e cultura — fatores que se relacionam ao risco não sistemático. A norma orienta que a organização deve identificar, analisar e avaliar os riscos considerando esses dois contextos, para então definir o tratamento adequado.

Na prática, a diferença entre os dois tipos de risco se manifesta na capacidade de controle. O risco sistemático não pode ser evitado individualmente, mas pode ser mitigado por meio de estratégias de transferência (como seguros) ou de aceitação consciente. O risco não sistemático, por sua vez, pode ser controlado por meio de ações gerenciais, como a implementação de controles internos, a diversificação de fornecedores, a melhoria de processos e a capacitação de equipes. Por exemplo, uma empresa que depende de um único fornecedor pode reduzir esse risco buscando fornecedores alternativos ou estabelecendo contratos com cláusulas de contingência. Já uma empresa que opera em um país com instabilidade política não pode evitar o risco de mudanças regulatórias, mas pode se preparar para elas por meio de planejamento de cenários e flexibilidade operacional.

A banca explora exatamente a confusão entre os dois conceitos, invertendo a ordem das lacunas. O candidato que não domina a distinção pode facilmente marcar a alternativa B, que inverte a sequência correta. A pegadinha está em associar o risco externo e incontrolável ao termo "não sistemático", quando na verdade ele é o "sistemático". O termo "sistemático" refere-se ao risco que afeta todo o sistema (mercado, setor, economia), enquanto "não sistemático" refere-se ao risco que é específico de um sistema particular (empresa, projeto).

Guarde essa fronteira: risco sistemático = externo, incontrolável individualmente, afeta todo o mercado; risco não sistemático = interno, controlável, específico da empresa. É exatamente nessa distinção que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A alternativa A preenche as lacunas com "tecnológico – cultural". Esses termos não correspondem à classificação descrita no enunciado. "Tecnológico" e "cultural" são categorias de riscos que podem ser usadas em outros contextos, mas não descrevem a distinção entre riscos externos/incontroláveis e internos/controláveis. O erro está em usar categorias que não refletem a natureza sistemática ou não sistemática dos riscos descritos.

Alternativa B — ❌ Incorreta

A alternativa B preenche as lacunas com "não sistemático – sistemático", invertendo a ordem correta. A primeira lacuna descreve um risco que ocorre em qualquer setor, relacionado a fatores externos e que não pode ser evitado individualmente — isso é exatamente o risco sistemático. A segunda lacuna descreve um risco associado a fatores internos, controlável por estratégias gerenciais — isso é o risco não sistemático. A banca inverteu os termos para confundir o candidato.

Alternativa C — ✅ Correta ⟵ GABARITO

A alternativa C preenche corretamente as lacunas com "sistemático – não sistemático". A primeira lacuna descreve o risco sistemático: ocorre em qualquer setor, relacionado a fatores externos (política, economia, regulamentações), impacta todas as empresas e não pode ser evitado individualmente. A segunda lacuna descreve o risco não sistemático: associado a fatores internos ou específicos, controlável por estratégias gerenciais, como falhas operacionais ou dependência de um fornecedor. A sequência está correta e reflete a classificação clássica da gestão de riscos.

Alternativa D — ❌ Incorreta

A alternativa D preenche as lacunas com "cultural – pessoal". Esses termos não correspondem à classificação descrita. "Cultural" e "pessoal" são categorias de riscos que podem ser usadas em contextos específicos, mas não descrevem a distinção entre riscos externos/incontroláveis e internos/controláveis. O erro está em usar categorias que não refletem a natureza sistemática ou não sistemática dos riscos descritos.

Alternativa E — ❌ Incorreta

A alternativa E preenche as lacunas com "cultural – sistemático". A primeira lacuna é preenchida com "cultural", que não corresponde ao risco externo e incontrolável descrito — esse é o risco sistemático. A segunda lacuna é preenchida com "sistemático", que não corresponde ao risco interno e controlável descrito — esse é o risco não sistemático. A alternativa mistura categorias incorretas, confundindo os conceitos.

Gabarito: letra C