GOVERNANÇA DE RISCOS NO SETOR PÚBLICO: INSTITUCIONALIZAÇÃO E GERAÇÃO DE VALOR EM UM TRIBUNAL DE CONTAS BRASILEIRO

REGISTRO DOI: 10.70773/revistatopicos/789608260

RESUMO
A complexidade das organizações públicas e a incerteza reforçam a importância da governança e da gestão de riscos para o alcance dos objetivos institucionais e a geração de valor público. Em órgãos de controle externo, essa agenda é relevante pela necessidade de ampliar a capacidade de antecipar, avaliar e responder a eventos que possam comprometer sua missão. Este estudo analisa de que modo a institucionalização da governança de riscos contribui para o fortalecimento da capacidade institucional e a geração de valor público, tendo como caso o Tribunal de Contas do Estado do Tocantins (TCE-TO). Trata-se de pesquisa aplicada, de abordagem qualitativa, orientada pelo método indutivo mediante estudo de caso, pesquisa bibliográfica e análise documental de normativos, atas e relatórios institucionais de 2024 a 2026. Os resultados evidenciam a criação do sistema e do comitê gestor de riscos, a formalização da política e da metodologia de gestão de riscos e continuidade do negócio e o mapeamento dos riscos de processos e projetos. Conclui-se que esses mecanismos favorecem a integração dos riscos à governança e à gestão estratégica, fortalecendo o processo decisório e o acompanhamento dos objetivos institucionais.
Palavras-chave: Governança de Riscos; Gestão de Risco; Institucionalização; Capacidade Institucional; Valor Público.

ABSTRACT
The complexity of public organizations and the prevailing uncertainty underscore the importance of governance and risk management in achieving institutional objectives and generating public value. For external oversight bodies, this agenda is particularly relevant due to the need to enhance their capacity to anticipate, assess, and respond to events that could jeopardize their mission. This study analyzes how the institutionalization of risk governance contributes to strengthening institutional capacity and generating public value, using the State Court of Auditors of Tocantins (TCE-TO) as a case study. It is an applied, qualitative study guided by the inductive method, employing a case study approach, a literature review, and a document analysis of regulations, minutes, and institutional reports from 2024 to 2026. The results highlight the establishment of a risk management system and steering committee, the formalization of policies and methodologies for risk management and business continuity, and the mapping of risks associated with processes and projects. The study concludes that these mechanisms facilitate the integration of risk considerations into governance and strategic management, thereby strengthening decision-making processes and the monitoring of institutional objectives.
Keywords: Risk Governance; Risk Management; Institutionalization; Institutional Capacity; Public Value.

1. INTRODUÇÃO

Nas últimas décadas, tem-se observado um movimento de estímulo ao aprimoramento da governança e da gestão de riscos nas organizações públicas, associado ao fortalecimento dos mecanismos de governança e à busca por maior capacidade institucional para lidar com incertezas que podem comprometer o alcance dos objetivos organizacionais (Bracci et al., 2021; Kominis et al., 2021). Esse movimento reflete uma tendência internacional de fortalecimento da governança pública e tem sido acompanhado pela ampliação da produção científica sobre riscos e governança (De Lorena; Costa, 2023).

Nesse sentido, as pesquisas contemplam diferentes perspectivas de investigação e sínteses do conhecimento acumulado na área (Bracci et al., 2021; Silva et al., 2021; Addae; Mota; Moreira, 2023). Embora parte significativa dessa literatura esteja associada ao contexto da governança corporativa (Oleskovicz; Oliva; Pedrosa, 2018; Erin; Aribaba, 2021),os estudos também abordam dimensões relacionadas à divulgação de riscos (Azim; Nahar, 2021; Riso; Tallaki; Enrico, 2022) e à atuação dos comitês dos conselhos de administração (Alhossini; Ntim; Zalata, 2021; Lu et al., 2022).

A preocupação com a incorporação de práticas de gestão de riscos às organizações públicas também se manifesta no desenvolvimento de modelos e mecanismos institucionais em diferentes países. Como é o caso do Reino Unido, que em 2001 publicou o Orange Book, manual orientador para a implementação da gestão de riscos em organizações governamentais (Black, 2005). No Canadá, foram instituídos mecanismos específicos nas áreas de finanças, auditoria e tecnologia da informação (Canadá, 2010); enquanto países como Polônia e Itália, que promulgaram legislações próprias para regulamentar a prática de gestão de riscos no setor público, em consonância com as diretrizes da União Europeia (Raczkowski; Tworek, 2017; Hinna; Scarozza; Rotundi, 2018).

No contexto nacional, a partir de 2012, o Brasil promoveu a adoção de práticas de gerenciamento de riscos aplicadas ao setor público, especialmente na esfera federal. Em 2016, a Controladoria-Geral da União (CGU) e o Ministério do Planejamento, Orçamento e Gestão (MP) editaram a instrução normativa conjunta n.º 1, que tornou obrigatória a implementação de metodologia de gestão de riscos por parte dos órgãos e entidades do Poder Executivo Federal (Brasil, 2016). Esse processo evidencia a importância do componente normativo na indução de práticas organizacionais relacionadas aos riscos.

Apesar do crescente reconhecimento da importância da governança de riscos para o aprimoramento da Administração Pública, a literatura nacional ainda apresenta lacunas significativas no que diz respeito à compreensão de como essa abordagem tem sido efetivamente incorporada à prática institucional dos órgãos públicos (Silva et al., 2021).

Essa dificuldade de institucionalizar a governança de riscos fica evidente quando se observa o cenário atual da Administração Pública Federal. No levantamento realizado pelo Tribunal de Contas da União (TCU), no ano de 2024, sobre a situação das entidades públicas quanto à adoção de práticas de governança integradas a diretrizes socioambientais, com a participação de 387 organizações da administração federal, observou-se um panorama preocupante em relação à gestão de riscos e à gestão da continuidade do negócio.

Constatou-se que 39% das organizações apresentam nível de maturidade considerado baixo em gestão de riscos; 43% demonstram estágio incipiente de implantação dos processos de gestão de riscos; 45% encontram-se em níveis iniciais no que se refere ao mapeamento dos riscos críticos; e 79% das instituições revelam possuir um nível bastante limitado de competência na área de gestão da continuidade do negócio (TCU, 2024).

Esse cenário também se evidencia no âmbito dos Tribunais de Contas Brasileiros. No último ciclo avaliativo do Marco de Medição de Desempenho dos Tribunais de Contas (MMD-TC), realizado em 2024, do qual participaram os 33 Tribunais de Contas, 54,5% declararam não realizar o gerenciamento de seus riscos críticos, enquanto 45,5% afirmaram adotar essa prática. Esse resultado evidencia uma assimetria na incorporação da governança de riscos como prática organizacional, uma vez que mais da metade das instituições avaliadas ainda adotou mecanismos destinados ao gerenciamento sistemático de riscos considerados críticos.

Embora a gestão de riscos venha sendo estimulada por normas, modelos e mecanismos de governança, evidências empíricas indicam que sua incorporação pelas organizações públicas ocorre de maneira desigual. Essa assimetria sugere que a existência de mecanismos formais não é suficiente para explicar a efetiva institucionalização da prática, tornando necessário compreender os fatores organizacionais, normativos e culturais que condicionam esse processo. Essa lacuna torna-se particularmente relevante no contexto dos órgãos de controle externo, cujas atribuições envolvem a fiscalização da Administração Pública e, simultaneamente, estão sujeitas a riscos institucionais que podem afetar o alcance de seus objetivos.

Diante desse cenário, o estudo de um Tribunal de Contas estadual revela-se particularmente relevante em razão da posição estratégica que essa instituição ocupa no sistema de controle externo da Administração Pública, sendo responsável por fiscalizar a legalidade, a legitimidade e a economicidade da aplicação dos recursos públicos. Nesse contexto, o Tribunal de Contas do Estado do Tocantins constitui um contexto empírico relevante para investigar esse fenômeno, considerando sua atuação no controle externo da Administração Pública e a necessidade de que suas próprias estruturas organizacionais disponham de mecanismos capazes de identificar e responder aos riscos que possam comprometer o alcance de seus objetivos.

A partir dessa delimitação, a presente pesquisa busca responder à seguinte questão: como ocorre o processo de institucionalização da governança de riscos no Tribunal de Contas do Estado do Tocantins e quais fatores organizacionais, normativos e culturais influenciam sua incorporação à estrutura e às práticas institucionais? Para responder a essa questão, o objetivo geral consiste em analisar o processo de institucionalização da governança de riscos no Tribunal de Contas do Estado do Tocantins e propor contribuições para o seu aprimoramento, considerando os aspectos organizacionais, normativos e culturais que influenciam sua incorporação à estrutura institucional. Especificamente, busca-se compreender os fatores que motivaram a adoção da prática, analisar a metodologia empregada e identificar os principais desafios enfrentados ao longo de sua implementação.

2. FUNDAMENTAÇÃO TEÓRICA

O conceito de governança pública está relacionado à forma como o Estado desempenha seu papel no desenvolvimento social, político e econômico (Zammit; Grima; Kizilkaya, 2021). Sendo compreendida como o conjunto de mecanismos de liderança, estratégia e controle postos em prática para avaliar, direcionar e monitorar a gestão, com vistas à condução de políticas públicas e à prestação de serviços de interesse da sociedade (Brasil, 2017, p. 1). Trata-se, portanto, da definição da direção, da promoção da ética, do monitoramento de resultados, da prestação de contas e da correção do curso das ações.

Nessa perspectiva, envolve a forma como as organizações públicas são geridas, a estrutura, a cultura, a política e os mecanismos de relacionamento entre a instituição e a sociedade, a fim de promover o desenvolvimento (Slomski et al., 2010). Visando assegurar que as ações governamentais estejam alinhadas às necessidades e expectativas dos cidadãos e usuários do serviço público e que, de fato, sejam executadas (Brenes; Madrigal; Requena, 2011).

Nesse sentido, as organizações públicas têm o propósito de atender às demandas da sociedade por meio de políticas públicas, as quais são executadas por meio da oferta de serviços públicos. Portanto, aumentar a capacidade estatal para atender essas demandas, otimizar o uso dos recursos públicos, melhorar o processo de tomada de decisão, aprimorar a governança de riscos e os processos internos constituem o foco da governança pública (TCU, 2020).

Nesse contexto, a teoria do valor público, desenvolvida por Moore (1995), propõe que atuação estatal deve articular três dimensões fundamentais: a geração de valor público, a legitimidade e o apoio e a capacidade operacional. Essas dimensões constituem o denominado triângulo estratégico, segundo o qual a criação de valor depende não apenas da definição de resultados socialmente relevantes, mas também da existência de legitimidade e apoio e da disponibilidade de capacidades institucionais para viabilizar sua realização. Portanto, criação de valor público não se restringe à entrega de produtos ou à execução eficiente de atividades, mas está associado à capacidade das organizações públicas de produzir resultados reconhecidos como relevantes e úteis para a sociedade (Brasil, 2017).

Nessa abordagem, o engajamento do cidadão e o envolvimento do usuário devem ocorrer em todas as fases do ciclo de vida de um serviço público: na fase de formulação de políticas públicas, na qual as necessidades são identificadas e priorizadas (Box, 1998); na definição da promessa de serviço (Normann, 1991); e durante o processo de implementação do serviço (Gronroos, 2007). Assim, os usuários dos serviços públicos desempenham três papéis distintos, os quais implicam demandas e desafios específicos para o serviço: cidadãos, clientes e parceiros (Adams; Thomas, 2012). Contudo, ainda há dificuldades no desenvolvimento de ferramentas e estruturas para avaliação da criação de valor (Thabit; Sancino; Mora, 2025).

Para a concretização da entrega de valor público, um dos elementos essenciais a ser gerenciado é o risco, que pode impactar as ações governamentais e que, quando materializado pode ocasionar a indisponibilidade ou degradação da qualidade dos serviços prestados à população e consequentemente gerando efeitos na confiança social (Neto, 2026, p. 4). Assim, o desafio dos gestores é administrar até que ponto aceitar essas incertezas, bem como de que forma elas podem comprometer o valor gerado (COSO, 2007).

A formulação e a implementação de políticas públicas destinadas ao atendimento das demandas sociais envolvem riscos que podem comprometer o alcance dos objetivos estabelecidos, a eficiência na aplicação dos recursos públicos e a geração de valor para a sociedade. Nesse contexto, a governança de riscos visa fortalecer a capacidade operacional das instituições, constituindo um importante mecanismo de apoio à tomada de decisão, ao possibilitar a identificação, a análise e o tratamento dos eventos que possam afetar a consecução dos objetivos das iniciativas governamentais (Addae; Mota; Moreira, 2023).

Em virtude desse cenário, a governança de risco vem ganhando relevância no setor público, passando a ser um elemento indissociável da governança pública, pois possibilita a aplicação de uma abordagem integrada, dinâmica, estruturada e estratégica para mitigar fatores de risco que possam comprometer o sucesso das políticas públicas (Silva et al., 2023, p. 9234), dos projetos (ABNT, 2026, p. 21) e do desempenho dos serviços ofertados à população (Souza et al., 2020).

O risco no setor público é entendido em termos de falhas na prestação dos serviços públicos (Black, 2005). Assim, o gerenciamento de riscos constitui um elemento essencial na busca do interesse público (Bracci et al., 2021). Desse modo, a adoção da gestão de riscos no setor público visa ampliar a capacidade do Estado de lidar com incertezas (Silva et al., 2023). Logo, a responsabilidade primordial dos gestores públicos consiste em assegurar à sociedade que nenhum risco, atual ou potencial, comprometerá o valor público percebido (Ahmeti; Vladi, 2017).

O estudo sobre o risco não é recente; ao contrário, constitui um campo consolidado e amplamente debatido no âmbito das ciências econômicas, sociais e administrativas, especialmente no que se refere ao ambiente organizacional (Ahmeti; Vladi, 2017).

Nos últimos anos, a governança de risco tem sido estuda sob diferentes perspectivas teóricas, sendo as mais recorrentes, a teoria da agência, a teoria da dependência de recursos, a teoria da sinalização e a teoria das partes interessadas (Addae; Mota; Moreira, 2023). Essas abordagens evidenciam que a governança de riscos não se restringe à adoção de mecanismos formais de controle, mas envolve a capacidade das organizações de compreender e administrar relações de delegação, dependências de recursos, assimetrias informacionais e interesses de diferentes atores.

O termo risco é proveniente do latim risicum ou riscum, cujo significado está associado ao ato de ousar riscare (IBGC, 2017, p. 11). Nesse aspecto, risco é compreendido como a possibilidade da ocorrência de um evento que possa impactar o alcance dos objetivos da instituição (ABNT, 2022, p. 1). Envolvendo a quantificação e a qualificação da incerteza, tanto no que concerne às perdas quanto aos ganhos de indivíduos ou organizações (IBGC, 2017, p. 11). Portanto, risco representa uma variável que pode ocasionar um desvio em relação a um resultado esperado e, consequentemente, comprometer o atingimento do propósito organizacional e do desempenho institucional (Lam, 2014, p. 4).

Os eventos que geram risco podem ocasionar impactos tanto positivos quanto negativos; os de impactos negativos representam riscos que podem comprometer a criação de valor ou degradar o valor existente. Por sua vez, os de impacto positivo representam oportunidades que podem influenciar favoravelmente a realização dos objetivos, apoiando a criação ou a preservação de valor (COSO, 2017). Logo, risco é uma condição inerente a qualquer ambiente organizacional, estando presente independentemente da existência de mecanismos formais de controle, e sua administração constitui um elemento-chave para a sobrevivência das organizações (Silva et al., 2025).

Na contemporaneidade, a complexidade dos riscos se modificou, novos riscos surgiram, e a compreensão da natureza do risco está no cerne da economia moderna (Tansgsgaard, 2022). No âmbito do setor público, as instituições atuam em um ambiente caracterizado pela diversidade de eventos de incerteza que podem impactar o cumprimento da missão e o alcance da visão institucional (Silva et al., 2021).

Nesse panorama, os riscos podem ser provenientes de portfólios (ABNT, 2024a); de programas (ABNT, 2024b); de projetos (ABNT, 2024c); de aspectos legais, de integridade e de compliance (ABNT, 2020); de segurança da informação (ABNT, 2023); de aquisições públicas (Brasil, 2021); de processos de negócios (ABPMP, 2021), entre outros. Desse modo, as organizações precisam ser mais adaptáveis às mudanças e pensar estrategicamente diante de um ambiente de constante volatilidade e complexidade (Rana; Parker, 2023). Assim, os riscos aos quais a organização está sujeita devem ser gerenciados com vista a subsidiar a tomada de decisão (INTOSAI, 2021), reduzir a volatilidade de resultados, e tornar a instituição mais resiliente (IBGC, 2022, p.14).

Conforme Lundqvist (2015), governança de riscos e gestão de riscos constituem funções conceitualmente distintas, embora complementares. Enquanto a governança de riscos exerce uma função direcionadora, relacionada ao estabelecimento de estruturas, processos, políticas, papéis e responsabilidades, a gestão de riscos desempenha uma função realizadora, voltada ao planejamento e à implementação das diretrizes estabelecidas. Essa distinção permite compreender que a governança de riscos não se limita à execução de procedimentos de identificação e tratamento dos riscos, mas estabelece as condições institucionais sob as quais essas atividades são conduzidas.

Essa dimensão institucional da governança de riscos também repercute nos mecanismos de accountability no setor público. Segundo Black (2005), a gestão de riscos contribui para a articulação de uma nova lógica de responsabilização, na medida em que pressiona as organizações públicas a justificarem as escolhas relacionadas aos controles adotados para mitigar as ameaças às quais estão expostas (Klein, 2020). Esse movimento, por sua vez, amplia os desafios dos órgãos de controle, que passam a demandar parâmetros capazes de orientar a definição da culpabilidade e dos limites de responsabilidade dos agentes públicos diante do gerenciamento inadequado dos riscos sob sua responsabilidade (Black, 2005).

Sob essa perspectiva, a governança de riscos não se restringe à identificação e ao tratamento de eventos adversos, mas envolve a capacidade institucional de incorporar os riscos aos processos decisórios e de articulá-los aos diferentes elementos que condicionam o alcance dos objetivos organizacionais. Tal compreensão confere à gestão de riscos um caráter transversal, uma vez que suas práticas devem perpassar diferentes dimensões da atuação institucional, alcançando tanto iniciativas temporárias, como os projetos, quanto atividades contínuas relacionadas aos processos de negócio que sustentam a prestação dos serviços públicos.

A necessidade dessa abordagem transversal torna-se particularmente evidente quando considerados os diferentes contextos nos quais os riscos se manifestam. Enquanto os riscos associados aos projetos podem comprometer o escopo, os prazos, os custos e os resultados esperados, aqueles relacionados aos processos de negócio podem afetar a continuidade, a qualidade, a eficiência e a efetividade dos serviços prestados à sociedade. Nesse sentido, a adoção de uma abordagem integrada de gerenciamento de riscos, que contemple simultaneamente projetos e processos de negócio, mostra-se relevante para fortalecer a governança institucional e ampliar a capacidade da Administração Pública de produzir resultados sustentáveis e alinhados às necessidades da sociedade.

Essa perspectiva integrada aproxima-se da concepção de governança de riscos apresentada pelo IRGC (2017), segundo a qual ela compreende processos relacionados à identificação, à avaliação, à gestão e à comunicação dos riscos. Mais do que um conjunto de procedimentos isolados, essa abordagem enfatiza a interconexão entre os riscos e a necessidade de engajamento multissetorial e multiator na sua governança (Kim; Oh; Kennett, 2025). Para tanto, a arquitetura de governança de riscos pode envolver mecanismos como comitês de riscos, gestão de riscos corporativos, supervisão de riscos pelos órgãos de governança e atuação do Chief Risk Officer (CRO), destinados a fortalecer a capacidade organizacional de responder aos riscos (Addae; Mota; Moreira, 2023). Nessa arquitetura, a distribuição funcional das responsabilidades e das autoridades relacionadas aos riscos constitui elemento fundamental para promover a coordenação entre os diferentes atores e integrar as diversas partes interessadas aos processos de tomada de decisão (Klinke; Renn, 2021).

Embora a governança estabeleça essas condições estruturais e direcionadoras, a gestão de riscos concentra-se nas atividades necessárias à operacionalização desse processo, incluindo identificar, analisar, avaliar, tratar, monitorar, registrar e relatar os riscos (Lima; Crema; Verbano, 2020). A efetividade dessas atividades, contudo, não depende exclusivamente da existência de estruturas e procedimentos formais. A governança de riscos também envolve o estímulo a uma cultura de riscos na organização (Oleskovicz; Oliva; Pedroso, 2018) e o aprimoramento da integridade (Zammit; Grima; Kizilkaya, 2021), elementos que contribuem para criar condições institucionais favoráveis à efetividade da gestão de riscos (Addae; Mota; Moreira, 2023).

Nesse contexto, a cultura organizacional assume papel relevante na articulação entre governança e gestão de riscos. Segundo o IBGC (2017), a cultura de governança de uma organização relaciona-se aos padrões éticos, valores, atitudes e comportamentos aceitos e praticados por seus integrantes. Nessa perspectiva, a cultura de riscos influencia a forma como a governança e a gestão de riscos são incorporadas às práticas organizacionais (Chen et al., 2019), condicionando a maneira como os riscos são percebidos, comunicados, avaliados e tratados pelos diferentes atores.

Assim, a efetividade da governança de riscos resulta não apenas da definição formal de estruturas, responsabilidades e procedimentos, mas também da capacidade de incorporar a perspectiva de riscos à cultura, às práticas decisórias e à dinâmica organizacional. A instituição de políticas, estruturas, procedimentos e responsabilidades relacionadas aos riscos constitui uma condição relevante para a implementação da governança de riscos, mas não assegura, por si só, que tais mecanismos sejam efetivamente apropriados pelos atores e incorporados às práticas cotidianas. Dessa forma, a institucionalização de uma prática, portanto, envolve não apenas sua formalização, mas também sua aceitação, reprodução e estabilização no contexto organizacional.

Nesse contexto, a Teoria Institucional oferece uma perspectiva analítica particularmente pertinente. A abordagem institucional busca compreender como estruturas, práticas, normas, valores e padrões de comportamento são incorporados às organizações e adquirem legitimidade e estabilidade no ambiente institucional. Diferentemente de perspectivas que explicam as estruturas organizacionais predominantemente a partir da eficiência técnica ou de escolhas orientadas pela racionalidade econômica, o institucionalismo enfatiza que as organizações estão inseridas em ambientes sociais nos quais determinados modelos de organização, práticas e estruturas são definidos como apropriados, legítimos ou socialmente desejáveis. Consequentemente, as organizações não respondem apenas às exigências técnicas relacionadas às suas atividades, mas também às expectativas institucionais presentes no ambiente em que estão inseridas (Meyer; Rowan, 1977; DiMaggio; Powell, 1983; Scott, 2008).

Conforme Meyer e Rowan (1977), as organizações, incorporaram estruturas institucionalizadas não apenas em função de sua contribuição para a eficiência, mas também porque sua adoção favorece a obtenção e a manutenção de legitimidade perante o ambiente institucional.

Entretanto, a formalização de estruturas institucionalizadas não assegura sua efetiva incorporação às atividades organizacionais. Meyer e Rowan (1977) destacam a possibilidade de dissociação entre estruturas formais e práticas efetivamente realizadas, mediante a qual a organização pode atender às expectativas institucionais e preservar sua legitimidade sem integrar plenamente essas estruturas ao funcionamento cotidiano.

Outro fator que contribui para o processo de institucionalização, conforme DiMaggio e Powell (1983), são que as organizações estão submetidas a pressões institucionais que favorecem a adoção de estruturas e práticas semelhantes, processo denominado isomorfismo institucional. Os autores identificam três mecanismos principais: o coercitivo, decorrente de pressões formais ou informais e de expectativas sociais; o mimético, associado à imitação de organizações percebidas como legítimas ou bem-sucedidas em situações de incerteza; e o normativo, relacionado à profissionalização e à difusão de padrões compartilhados por grupos profissionais (DiMaggio; Powell, 1983).

A aplicação desses mecanismos à governança de riscos permite compreender que sua adoção pode resultar de diferentes fontes de pressão institucional. Normas, determinações e expectativas de órgãos de controle podem exercer influência coercitiva; a reprodução de modelos considerados bem-sucedidos pode decorrer de processos miméticos; e a atuação de profissionais, especialistas e comunidades técnicas pode favorecer a difusão de padrões normativos. Desse modo, a convergência das práticas de governança de riscos não pode ser explicada exclusivamente por critérios internos de eficiência, uma vez que também resulta da inserção das organizações em ambientes institucionais nos quais são compartilhadas expectativas sobre formas consideradas legítimas e apropriadas de atuação.

Para Tolbert e Zucker (1999), a institucionalização constitui um processo gradual no qual padrões de ação e arranjos organizacionais, inicialmente desenvolvidos como respostas a problemas específicos, adquirem progressivamente legitimidade, aceitação e estabilidade, até serem incorporados e reproduzidos como práticas consideradas naturais no contexto organizacional. Esse processo envolve três etapas inter-relacionadas: habitualização, correspondente à criação e formalização de novas estruturas em resposta a problemas ou circunstâncias organizacionais; objetificação, caracterizada pela crescente difusão dessas estruturas e pela construção de um consenso acerca de sua adequação; e sedimentação, estágio no qual as práticas alcançam maior permanência e continuidade histórica, sendo reproduzidas ao longo do tempo (Tolbert; Zucker, 1999). A institucionalização, portanto, deve ser compreendida como um processo gradual, e não como uma condição dicotômica de presença ou ausência, uma vez que práticas e estruturas podem apresentar diferentes níveis de incorporação, legitimidade e estabilidade.

Por sua vez, Scott (2008) amplia essa compreensão ao conceber as instituições a partir da articulação entre elementos regulativos, normativos e cultural-cognitivos. O pilar regulativo relaciona-se à formulação, ao monitoramento e à aplicação de regras e sanções; o normativo envolve valores, normas e expectativas acerca dos comportamentos considerados apropriados; e o cultural-cognitivo compreende os esquemas interpretativos, categorias e significados compartilhados que orientam a compreensão da realidade e a ação dos atores. Essa formulação permite compreender que a institucionalização da governança de riscos não se restringe à existência de normas e procedimentos, pois sua consolidação também depende da construção de valores, expectativas e significados compartilhados que atribuam sentido à identificação, avaliação e tratamento dos riscos.

De acordo com Greenwood et al. (2008), as organizações estão inseridas em campos institucionais nos quais diferentes atores, normas, valores, interesses e estruturas de poder interagem e influenciam o comportamento organizacional. Nessa abordagem, estabilidade e mudança não constituem fenômenos necessariamente opostos, mas dimensões relacionadas da dinâmica institucional. Portanto, as práticas institucionalizadas podem ser simultaneamente reproduzidas, questionadas, adaptadas e reconstruídas ao longo do tempo.

Aplicada à governança de riscos, essa perspectiva permite compreender que sua institucionalização resulta da interação entre pressões institucionais, estruturas formais, processos de legitimação, valores, significados compartilhados e ações dos atores organizacionais. A adoção de mecanismos de governança de riscos pode ser estimulada por exigências regulatórias, expectativas do ambiente, processos de imitação ou padrões profissionais; sua consolidação, contudo, depende da capacidade de tais mecanismos serem legitimados, apropriados e incorporados às rotinas organizacionais. Nesse processo, os atores responsáveis por interpretar, implementar, comunicar, monitorar e aperfeiçoar as práticas de gestão de riscos desempenham papel relevante na reprodução ou transformação dos padrões institucionalizados.

A articulação dessas contribuições permite compreender a governança de riscos para além de sua dimensão técnico-gerencial, concebendo-a como fenômeno simultaneamente organizacional, institucional e sociocultural. Sua institucionalização não decorre apenas da criação de estruturas e procedimentos formais, mas de um processo no qual tais mecanismos adquirem legitimidade, são apropriados pelos atores, incorporados às rotinas e reproduzidos ou transformados ao longo do tempo.

3. METODOLOGIA

A pesquisa científica é um procedimento racional e sistemático, cujo propósito é fornecer respostas aos problemas propostos. Para tal, utiliza-se de conhecimentos, métodos e técnicas de investigação científica (Gil, 2023). No que tange à natureza, a pesquisa é classificada como aplicada, uma vez que se encontra orientada à análise de um problema organizacional concreto, relacionado à institucionalização da governança de riscos e à gestão dos riscos associados aos processos de negócio e projetos de uma organização pública.

No que se refere aos objetivos, apresenta caráter exploratório e descritivo, na medida em que busca, simultaneamente, ampliar a compreensão do processo de institucionalização da governança de riscos e descrever as estruturas, práticas e instrumentos institucionais relacionados à gestão de riscos.

Adotou-se o estudo de caso como estratégia de investigação, tendo o Tribunal de Contas do Estado do Tocantins (TCE-TO) como caso investigado e o processo de institucionalização da governança de riscos na organização como unidade de análise. A escolha dessa estratégia mostrou-se adequada por permitir a análise do fenômeno em seu contexto organizacional específico, considerando suas dimensões normativa, institucional e operacional. No que se refere aos procedimentos técnicos, foram realizadas pesquisas bibliográfica e documental, cujas fontes de evidência foram analisadas de forma articulada, de modo a fundamentar a compreensão do fenômeno investigado.

A pesquisa bibliográfica teve como objetivo fundamentar a discussão teórica e conceitual, especialmente nos temas relacionados à governança de riscos aplicada ao setor público. Para identificar e sistematizar a produção científica pertinente, realizou-se uma revisão sistemática da literatura, conduzida e relatada com base nas diretrizes do Preferred Reporting Items for Systematic Reviews and Meta-Analyses (PRISMA). A busca foi realizada na base Web of Science, mediante a seguinte string: (“risk management” OR “risk assessment” OR “risk governance”) AND (“public sector” OR “public administration” OR “government” OR “public organizations”).

Para a seleção dos estudos, foram estabelecidos os seguintes critérios de inclusão: (i) artigos científicos publicados entre 2021 e 2026; (ii) trabalhos submetidos à revisão por pares; (iii) disponibilidade do texto completo em acesso aberto; e (iv) aderência temática ao objeto da pesquisa, particularmente aos temas de governança e gestão de riscos no setor público. Esses critérios contribuíram para delimitar a produção científica diretamente relacionada ao fenômeno investigado e para assegurar maior pertinência dos estudos selecionados à construção do referencial teórico.

Por sua vez, a pesquisa documental foi empregada com o propósito de identificar, caracterizar e analisar os referenciais normativos, técnicos e institucionais relacionados à governança e à gestão de riscos no TCE-TO. Para tanto, foram examinados documentos normativos, referenciais técnicos e instrumentos institucionais produzidos em âmbito nacional e internacional, selecionados em função de sua pertinência ao objeto da pesquisa e de sua relevância para a estruturação e a institucionalização da governança e da gestão de riscos no contexto de processos e projetos. Foram considerados documentos produzidos entre 2007 e 2025, período estabelecido em razão de sua relevância para a compreensão da evolução normativa e institucional do fenômeno analisado.

Entre os documentos examinados, encontram-se: a Resolução ATRICON nº 4/2014; a Resolução Administrativa TCE-TO nº 6/2019; a Portaria TCE-TO nº 103/2025, que institui a Política de Gestão de Riscos e Continuidade do Negócio; a Portaria TCE-TO nº 414/2025, que institui o Comitê Gestor de Riscos; a Portaria TCE-TO nº 921/2025, que aprova a Metodologia de Gestão de Riscos e Continuidade do Negócio; a Portaria TCE-TO nº 53/2025, que aprova a Cadeia de Valor do TCE-TO; a Metodologia de Gestão de Riscos e Continuidade do Negócio do TCE-TO; a Metodologia de Gestão de Riscos e Continuidade do Negócio do TCE-TO; a Metodologia de Gerenciamento de Portfólio, Programas e Projetos do TCE-TO; e o Relatório de Gestão do TCE-TO referente ao exercício de 2025.

A seleção dos documentos considerou os seguintes critérios: pertinência direta ao objeto da pesquisa; vinculação à governança, à gestão de riscos, à continuidade do negócio, aos processos organizacionais e aos projetos e relevância para a compreensão da estrutura normativa e institucional do TCE-TO. Desse modo, a composição do corpus documental foi orientada não apenas pelo período de produção dos documentos, mas, sobretudo, por sua relevância para a compreensão do processo de institucionalização da governança de riscos no contexto investigado.

4. RESULTADOS E DISCUSSÕES OU ANÁLISE DOS DADOS

Conforme DiMaggio e Powell (1983), um dos mecanismos que influenciam a adoção de estruturas e práticas pelas organizações é o isomorfismo coercitivo, decorrente de pressões formais e informais e de expectativas sociais. Nesse contexto, no âmbito do controle externo, a INTOSAI, por meio da INTOSAI GOV 9130/2004, e a ATRICON, mediante a Resolução n.º 4/2014, estabeleceram orientações destinadas a fomentar a adoção e o desenvolvimento de sistemas de gestão de riscos no setor público.

A consolidação da governança de riscos como elemento relevante para o fortalecimento da governança institucional e para o desenvolvimento da capacidade organizacional de gerenciar riscos levou o Tribunal de Contas do Estado do Tocantins (TCE-TO) a reconhecer a necessidade de aprimorar seus mecanismos de decisão e de gestão, com vistas ao fortalecimento de sua capacidade institucional de gerar valor público. Nesse processo de aperfeiçoamento, o Tribunal instituiu, em 2019, por meio da Resolução Administrativa n.º 6, a Política de Governança, Gestão Organizacional e Compliance, estabelecendo diretrizes e bases institucionais para a organização de seu sistema de governança. O referido ato normativo estabeleceu, ainda, o sistema de gestão de riscos e conferiu à alta administração a incumbência de implementar, assegurar a manutenção, acompanhar e promover o aperfeiçoamento contínuo dos mecanismos relacionados à gestão de riscos e aos controles internos.

De acordo com Tolbert e Zucker (1999), processos de institucionalização podem ser desencadeados por problemas específicos que demandam respostas organizacionais. Nesse contexto, a análise de cenário realizada para subsidiar o planejamento estratégico do período de 2023 a 2030 identificou a incipiência da política de gestão de riscos como uma fraqueza institucional, evidenciando uma lacuna na capacidade organizacional de estruturar e consolidar mecanismos voltados à identificação, avaliação, tratamento e monitoramento dos riscos que podem afetar o alcance dos objetivos institucionais.

Diante desse diagnóstico, a instituição formalizou o Plano Estratégico para o período de 2023 a 2030, por meio da Resolução Administrativa n.º 10. A elaboração do plano adotou o Balanced Scorecard (BSC) como instrumento metodológico para estruturação e tradução da estratégia organizacional, permitindo sua organização em quatro perspectivas, às quais foram associados 16 objetivos estratégicos e 55 indicadores de desempenho. Dentre os objetivos priorizados pela instituição para o período, destaca-se o fortalecimento da governança institucional, cujo propósito consiste em aprimorar a capacidade de governança e gestão. Entre os indicadores estabelecidos para aferir seu alcance, encontra-se o Índice de Maturidade em Gestão de Riscos, utilizado para avaliar o nível de maturidade das práticas de gestão de riscos e acompanhar evidências relacionadas ao seu processo de institucionalização no âmbito do Tribunal.

A integração da governança de riscos ao planejamento estratégico decorre da compreensão de que os riscos não constituem elementos isolados da gestão organizacional, mas dimensões que devem ser consideradas transversalmente nos processos de formulação, implementação e acompanhamento da estratégia. Nessa perspectiva, a gestão de riscos deve acompanhar o ciclo estratégico, desde a definição dos objetivos institucionais até o estabelecimento das prioridades e a condução das operações organizacionais, de modo a contribuir para que as decisões considerem as incertezas capazes de afetar o alcance dos resultados pretendidos (COSO, 2017). Sob essa lógica, sua efetividade está condicionada à capacidade de articular a identificação, a avaliação e o tratamento dos riscos aos diferentes níveis de planejamento estratégico, tático e operacional, bem como de estabelecer interfaces com as normas contábeis, os referenciais de auditoria e os mecanismos de controle existentes (Power et al., 2009).

Tal integração, contudo, não se verifica de maneira uniforme nas organizações. Em determinados contextos, a gestão de riscos permanece predominantemente orientada ao atendimento de requisitos legais e formais, sem que seus mecanismos estejam efetivamente articulados ao planejamento estratégico e ao acompanhamento do desempenho institucional (Neto, 2026, p. 18).

A literatura evidencia que a gestão de riscos assume diferentes configurações no setor público, tanto em termos de sua concepção quanto das formas de implementação adotadas pelas organizações (Bracci et al., 2021). Essa diversidade decorre da inexistência de um modelo universalmente aplicável, uma vez que a estrutura e os mecanismos de governança de riscos precisam considerar características específicas de cada organização. Nesse sentido, a escolha do modelo deve levar em conta fatores como a cultura organizacional, o grau de complexidade e a natureza das atividades desenvolvidas (IBGC, 2017, p. 40), de modo que sua implementação seja ajustada às particularidades e ao contexto da organização (Gourbier et al., 2024).

Destaca-se, porém, que a implementação da governança de riscos pode demandar alterações significativas nas práticas de controle e nos modelos de gestão (Power et al., 2009), demandando, consequentemente, adaptações na configuração estrutural da organização (Mahama et al., 2020). Sob essa perspectiva, a implementação deve ser compreendida como um processo gradual de desenvolvimento organizacional e aprendizagem institucional. Esse processo tem início com a construção de uma percepção compartilhada acerca da importância da gestão de riscos e evolui à medida que a organização desenvolve e incorpora as práticas, estruturas e mecanismos necessários ao seu funcionamento (TCU, 2018, p. 15). Portanto, a consolidação da governança de riscos requer um esforço contínuo e progressivo, que ultrapassa a dimensão formal dos instrumentos e procedimentos. Para que esse processo se institucionalize, torna-se necessário considerar, de maneira articulada, os processos organizacionais, as estruturas de governança, as pessoas envolvidas e os aspectos culturais que condicionam a adoção e a permanência das novas práticas (De Lorena; Costa, 2023, p. 2).

Nesse sentido, a alta administração é responsável por assegurar a integração da governança de riscos às atividades organizacionais (ABNT, 2018), abrangendo a definição da política de gestão de riscos, a estruturação dos processos, a alocação de recursos e a delimitação clara de responsabilidades em todos os níveis organizacionais (Grgurevic, 2024).

A norma ISO 31000 estabelece como pilares fundamentais para estruturação do gerenciamento de risco os princípios, a estrutura e o processo (ABNT, 2018). Os princípios orientam a cultura institucional e a tomada de decisões, assegurando a coerência da gestão de riscos com a estratégia, a governança e os valores organizacionais. A estrutura refere-se ao arcabouço organizacional necessário para a implementação eficaz da gestão de riscos, englobando papéis e responsabilidades claramente definidos. Já o processo refere-se ao fluxo estabelecido para realizar o mapeamento e o tratamentos dos riscos organizacionais. Em consonância com esse pensamento o Instituto Brasileiro de Governança e Corporativa (2017) destaca que o sistema de gerenciamento de riscos é composto por processos, estruturas e atribuições.

Evidenciando a importância da institucionalização da gestão de riscos, o Tribunal de Contas do Estado do Tocantins (TCE-TO) estabeleceu, por meio da Portaria n.º 103, de 2025, a política de gestão de riscos e continuidade do negócio e o comitê de gestão de riscos. A Política estabelece princípios, diretrizes, competências e responsabilidades a serem observados nos diferentes níveis da organização, enquanto o comitê, de composição multidisciplinar, tem a finalidade de fomentar e apoiar a implantação do sistema de gestão de riscos no âmbito do Tribunal.

O ASX Corporate Governance Council (2019) estabelece que o comitê de risco deve apresentar tamanho e grau de independência suficientes, além de reunir, em seus membros, conhecimento técnico e compreensão adequada do setor em que a organização atua, para serem capazes de cumprir o mandato do comitê de forma eficaz. A recomendação evidencia que a efetividade do órgão está condicionada não apenas à sua existência formal, mas também à qualidade de sua composição e à capacidade técnica de seus membros.

Posteriormente, por meio da Portaria n.º 921, de 2025, a organização estabeleceu a metodologia de gestão de riscos e continuidade do negócio, que definiu o processo de gestão de riscos. No mesmo ato, a organização aprovou a declaração de apetite a riscos, que define os níveis de riscos aceitáveis de exposição em diferentes áreas, considerando os objetivos, os recursos e o contexto organizacional.

O apetite por risco é a quantidade e os tipos de riscos que uma organização está disposta a assumir ou reter no exercício de suas atividades (ABNT, 2022, p. 7). Isto é, o apetite ao risco define o nível de exposição a riscos que a organização está disposta a aceitar com vistas ao alcance de seus objetivos institucionais (INTOSAI, 2007, p. 9). Fatores que afetam o apetite pelo risco de uma organização incluem tamanho, complexidade e setor (ABNT, 2023). Logo, é de competência da alta administração definir, avaliar se o desempenho da organização está de acordo com o apetite e a tolerância a riscos estabelecidos, e revisar periodicamente o apetite a riscos da organização (IBGC, 2017).

A efetividade do sistema de gestão de riscos pressupõe não apenas a existência de estruturas formais, mas também a definição clara de papéis, responsabilidades e relações de autoridade entre os diferentes atores organizacionais (TCU, 2018). Nessa perspectiva, o gerenciamento de riscos deve estar inserido em uma estrutura de governança capaz de estabelecer as atribuições dos órgãos de supervisão, da administração e das funções responsáveis pelo gerenciamento, monitoramento e asseguração dos riscos. Para tanto, a organização deve definir responsabilidades e autoridades apropriadas para o exercício da governança e da gestão de riscos, de modo a assegurar clareza quanto às funções desempenhadas pelos diferentes atores e à forma como estas se articulam no processo de gerenciamento dos riscos (ABNT, 2018).

Essa estrutura, contudo, não deve operar de forma dissociada das demais dimensões da organização. A governança e a gestão de riscos devem estar integradas à estratégia e aos objetivos organizacionais (Mahama et al., 2020), aos processos organizacionais (Kominis et al., 2021), aos controles internos (Palermo, 2014) e aos sistemas de gestão de tecnologia da informação (Rubino; Vitolla, 2014). Essa integração amplia o alcance do gerenciamento de riscos, que deixa de constituir uma atividade isolada ou restrita a funções específicas e passa a compor a própria dinâmica organizacional. Nesse sentido, o gerenciamento de riscos corporativos constitui parte integrante dos processos de negócio, possibilitando a identificação tempestiva de riscos capazes de desencadear situações críticas ou comprometer o alcance dos objetivos organizacionais (Grgurevic, 2024).

A compreensão dessa integração requer, portanto, uma perspectiva que permita visualizar como as diferentes atividades da organização se articula e contribui para a geração de valor. Nesse contexto, a cadeia de valor constitui um recurso analítico para representar a estrutura das atividades organizacionais. O conceito, originalmente proposto por Porter (1985), fundamenta-se na decomposição da organização em atividades estrategicamente relevantes, possibilitando examinar a forma como essas atividades se relacionam e contribuem para a criação de valor. Assim, a cadeia de valor permite visualizar a articulação entre atividades primárias e de apoio e sua contribuição para a geração de valor por meio da entrega de produtos ou serviços.

Embora concebida originalmente no âmbito da análise da vantagem competitiva, essa perspectiva pode ser utilizada para compreender a articulação entre processos e geração de valor em organizações públicas. No contexto do Tribunal de Contas do Estado do Tocantins (TCE-TO), essa lógica foi formalizada institucionalmente em 2025, por meio da Portaria n.º 53, que estabeleceu a cadeia de valor como representação estruturada da relação entre os processos de negócio, a geração de valor público e as partes interessadas beneficiárias desse valor, conforme apresentado na Figura 16. A estrutura institucional é composta por 31 processos de negócio, distribuídos em três categorias: processos de governança e gestão, processos finalísticos e processos de suporte.

Figura 1. Cadeia de Valor do Tribunal de Contas do Estado do Tocantins

Na cadeia de valor do Tribunal de Contas do Estado do Tocantins (TCE-TO), os processos de negócio são organizados em três categorias: processos finalísticos, processos de suporte e processos de governança e gestão. Essa classificação estabelece uma diferenciação funcional entre os processos que compõem a estrutura organizacional. Os processos finalísticos apresentam correspondência com os processos primários, uma vez que estão diretamente relacionados à execução das atividades institucionais e à entrega de valor público à sociedade. Os processos de suporte, por sua vez, desempenham função de sustentação das atividades finalísticas, fornecendo os recursos e as condições necessárias à sua execução. Já os processos de governança e gestão estão relacionados às atividades de direcionamento, coordenação, monitoramento e controle da atuação organizacional.

Essa estrutura de classificação assume relevância para a análise da gestão de riscos, pois possibilita examinar a distribuição das exposições ao risco de acordo com a posição e a função desempenhada por cada categoria de processo na cadeia de valor. Desse modo, a análise não se restringe à quantificação dos riscos identificados, permitindo verificar como eles se distribuem entre processos com diferentes funções organizacionais e quais categorias apresentam maior concentração de riscos. Essa perspectiva contribui para compreender como as exposições ao risco se manifestam ao longo da estrutura de processos e, consequentemente, para identificar aquelas categorias que podem requerer maior atenção no processo de monitoramento e análise crítica.

No conjunto dos 31 processos de negócio que compõem a cadeia de valor institucional, foram identificados 85 riscos. Esse resultado constitui a base para a análise da distribuição das exposições ao risco entre as diferentes categorias de processos organizacionais. Considerando essa categorização, verifica-se que os 20 processos finalísticos concentram 47 dos 85 riscos identificados, correspondendo a 55,29% do total. Os seis processos de suporte reúnem 25 riscos, equivalentes a 29,41%, enquanto os cinco processos de governança e gestão concentram 13 riscos, representando 15,29% do conjunto analisado. Os dados evidenciam, portanto, uma distribuição assimétrica dos riscos entre as categorias de processos, com predominância nos processos finalísticos.

A maior concentração quantitativa observada nessa categoria pode ser compreendida em razão de sua posição na cadeia de valor e de sua relação direta com as atividades responsáveis pelas entregas institucionais à sociedade. Por estarem vinculados à realização da finalidade institucional, os processos finalísticos concentram atividades cuja execução se relaciona diretamente aos resultados produzidos pelo Tribunal e, consequentemente, à geração de valor público. Assim, a predominância de riscos nessa categoria mostra-se compatível com sua maior abrangência na cadeia de valor e com a natureza das atividades que a integram.

As informações extraídas dos riscos dos processos de negócio foram analisadas nas reuniões do comitê gestor de riscos e do comitê institucional de governança. Nessas ocasiões, a alta direção avalia o desempenho institucional, monitora os riscos institucionais e realiza de forma tempestiva e colaborativa ações corretivas e preventivas, integrando, de forma efetiva, a gestão de riscos ao ciclo de governança organizacional.

Essa articulação entre os mecanismos de governança, gestão e controle evidencia uma crescente maturidade institucional no tocante à integração de boas práticas de governança de riscos em sua cadeia de valor, contribuindo, de forma substancial, para o aprimoramento da efetividade organizacional e para o cumprimento de sua missão institucional de controle externo e promoção da boa governança no setor público.

Como desdobramento desse monitoramento o comitê institucional de governança, utilizou as informações dos riscos previamente identificados nos processos de negócio da cadeia de valor, para subsidiar o processo decisório de seleção e priorização dos projetos e dos programas do portfólio institucional para o biênio 2025–2026, denominado plano de gestão (Tocantins, 2025a).

Conforme o PMI (2021), o foco de um sistema para entrega de valor muda a perspectiva do portfólio, programas e projetos, agora com enfoque na cadeia de valor, elemento fundamental para a vinculação dos recursos de negócios ao avanço da estratégia organizacional, do valor e dos objetivos de negócios. Nesse contexto, os projetos não produzem apenas saídas, mas, principalmente, permitem que essas saídas gerem resultados que, em última análise, agregam valor à organização e às partes interessadas. Assim, um projeto, no contexto do setor público, representa um esforço temporário para mitigar riscos dos processos organizacionais ou viabilizar os riscos positivos, ou seja, as oportunidades, com a finalidade de promover o aprimoramento dos serviços públicos e das políticas públicas.

Nessa perspectiva, o desenvolvimento de um novo projeto acarreta uma série de desafios e incertezas que precisam ser gerenciados (Alves, Monteiro, Grubisic, 2023). Dessa forma, a exposição ao risco, tanto em oportunidade quanto em ameaças, precisa ser gerida, com a finalidade de maximizar os impactos positivos e minimizar os impactos negativos nos objetivos do projeto (PMI, 2021, p.53). Nesse contexto, a gestão de portfólio envolve a otimização de recursos, o gerenciamento de riscos e mudanças, bem como a maximização das sinergias entre seus componentes (ABNT, 2024b).

De forma a gerenciar os riscos de seus projetos a instituição instituiu por meio da portaria 919/2025 a metodologia de gerenciamento de portfólio, programas e projetos, na qual a governança de riscos foi incorporada como elemento estruturante do gerenciamento dos projetos. Na construção do portfólio de projetos para o biênio 2025–2026, foram identificados 66 projetos dos quais originaram 243 riscos. Desse total, 10 foram classificados como extremos, 117 como altos, 94 como médios e 22 como baixos.

A distribuição evidencia que 127 riscos, correspondentes a 52,26% do total, foram classificados nos níveis extremo ou alto, indicando que mais da metade dos riscos identificados apresenta maior potencial de impacto sobre os objetivos dos projetos. Esse resultado reforça a relevância da governança de riscos como componente da governança de portfólio, uma vez que a identificação e a classificação dos riscos fornecem subsídios para a priorização das ações de tratamento e para a tomada de decisão quanto à alocação de recursos.

Quando comparados aos riscos associados aos processos organizacionais, os riscos dos projetos apresentam aumento quantitativo relevante. Esse comportamento pode estar relacionado às características inerentes à natureza dos projetos, que, em geral, envolvem, inovação, mudanças institucionais, desenvolvimento de novas capacidades e alteração de processos e estruturas organizacionais. Tais características podem ampliar a exposição da organização à incerteza durante a implementação das iniciativas.

A relevância dessa análise torna-se mais evidente quando os riscos dos projetos são relacionados à estratégia institucional. A governança de riscos auxilia a organização no estabelecimento da estratégia, no alcance dos objetivos e na tomada de decisões, ao possibilitar a identificação de incertezas que podem afetar os resultados pretendidos (ABNT, 2018). Nesse sentido, a análise dos riscos do portfólio permite verificar como as incertezas associadas aos projetos se distribuem entre as diferentes perspectivas do mapa estratégico do Tribunal.

No planejamento estratégico do Tribunal de Contas do Estado do Tocantins para o período de 2023–2026, foram estabelecidos 16 objetivos estratégicos, distribuídos em quatro perspectivas: resultados; processos internos; pessoas, aprendizagem e inovação; e orçamento e finanças, conforme ilustrado na figura 2.

Figura 2. Mapa estratégico do TCE-TO

A perspectiva resultado reúne seis objetivos estratégicos relacionados aos efeitos da atuação institucional e à geração de valor para a sociedade. A perspectiva processos internos abrange quatro objetivos estratégicos voltados ao aprimoramento dos processos organizacionais que sustentam a execução da estratégia e contribuem para a produção desses resultados. A perspectiva pessoas, aprendizagem e inovação contempla cinco objetivos estratégicos associados ao desenvolvimento das capacidades institucionais, ao fortalecimento das competências organizacionais e à promoção da aprendizagem e da inovação necessárias ao desempenho institucional.

Por sua vez, a perspectiva orçamento e finanças compreende um objetivo estratégico relacionado à gestão eficiente e responsável dos recursos orçamentários e financeiros, de modo a prover as condições necessárias à implementação da estratégia e à execução das ações institucionais. Dessa forma, a análise da estrutura das perspectivas permite identificar uma articulação entre os recursos e as capacidades institucionais, os processos organizacionais e os resultados produzidos, tendo como finalidade a geração de valor público.

No plano de gestão 2025–2026, o TCE-TO estruturou um portfólio de projetos, no qual cada um dos 66 projetos foi associado a um objetivo estratégico para o qual sua execução mais contribui. Essa vinculação é registrada nos respectivos planos de gerenciamento dos projetos, permitindo relacionar os riscos identificados nos projetos às perspectivas estratégicas às quais os objetivos correspondentes estão vinculados. Com base nessa estrutura de alinhamento, foi possível analisar a distribuição dos riscos dos projetos entre as quatro perspectivas do planejamento estratégico.

Os resultados evidenciam que a perspectiva processos internos concentra a maior quantidade de riscos associados aos projetos, com 96 riscos, seguida da perspectiva resultados, com 95 riscos. Na sequência, encontram-se pessoas, aprendizagem e inovação, com 37 riscos, e orçamento e finanças, com 15 riscos. Essa distribuição revela que os riscos identificados nos projetos estão predominantemente associados às dimensões estratégicas relacionadas aos processos organizacionais e aos resultados institucionais. Em conjunto, as perspectivas processos internos e resultados concentram 191 dos 243 riscos identificados, correspondendo a aproximadamente 78,6% do total, o que evidencia uma concentração expressiva dos riscos nessas duas dimensões estratégicas.

Quando se considera a criticidade dos riscos, observa-se uma distribuição distinta. Dos 10 riscos classificados como extremos, 7 estão vinculados a projetos associados à perspectiva Resultados e 3 a projetos vinculados à perspectiva Processos Internos. Assim, embora Processos Internos apresente a maior quantidade absoluta de riscos, a perspectiva Resultados concentra a maior parcela dos riscos classificados como extremos, reunindo 70% dessa categoria. Esse resultado evidencia que o volume de riscos identificados e sua criticidade não apresentam necessariamente o mesmo padrão de distribuição entre as perspectivas estratégicas.

Em relação aos 117 riscos classificados como altos, a perspectiva processos internos concentra 49 riscos, correspondentes a 41,88% dos riscos dessa categoria; resultados reúne 39 riscos, equivalentes a 33,33%; pessoas, aprendizagem e inovação concentra 18 riscos, correspondentes a 15,38%; e orçamento e finanças apresenta 11 riscos, equivalentes a 9,40%. Considerando-se o conjunto total de 243 riscos identificados, esses quantitativos correspondem, respectivamente, a 20,16%, 16,05%, 7,41% e 4,53%.

Desse modo, a perspectiva processos internos não apenas concentra o maior volume absoluto de riscos, mas também reúne a maior parcela dos riscos classificados como altos, representando 41,88% de todos os riscos dessa categoria. Esse achado reforça a relevância dessa perspectiva no conjunto de riscos associados à execução dos projetos.

A análise conjunta desses resultados evidencia, portanto, padrões distintos de distribuição dos riscos entre as perspectivas estratégicas. A perspectiva Processos Internos destaca-se por concentrar o maior volume absoluto de riscos e a maior quantidade de riscos classificados como altos; Resultados, embora apresente quantidade de riscos muito próxima à de Processos Internos, concentra a maior parcela dos riscos classificados como extremos.

Esses achados demonstram que a análise da distribuição dos riscos não deve se restringir ao seu volume absoluto, sendo necessário considerar conjuntamente quantidade, criticidade e distribuição dos riscos entre os projetos. Essa abordagem permite caracterizar diferentes padrões de concentração no portfólio e oferece uma compreensão mais abrangente dos riscos potencialmente capazes de afetar a execução dos projetos e, por meio destes, o alcance dos objetivos estratégicos.

Observa-se que a incorporação da dimensão de riscos à governança do portfólio de projetos contribui para conferir maior consistência à execução da estratégia institucional, ao fornecer informações que podem subsidiar a priorização de iniciativas, a alocação de recursos e o direcionamento das ações de tratamento e monitoramento dos riscos.

Sob a perspectiva do Balanced Scorecard (BSC), essa abordagem assume relevância adicional ao permitir articular os riscos identificados nos projetos aos respectivos objetivos estratégicos e, por consequência, às perspectivas do mapa estratégico. Assim, a análise deixa de considerar o risco exclusivamente no âmbito individual do projeto e passa a examiná-lo também em função de sua possível repercussão sobre os objetivos estratégicos e sobre os resultados pretendidos pela organização. Essa articulação evidencia que a governança de riscos pode assumir uma dimensão estratégica, na medida em que possibilita identificar quais iniciativas concentram maior volume de riscos, as que apresentam eventos de maior criticidade e quais perspectivas estratégicas podem ser potencialmente afetadas.

Dessa forma, a governança de riscos contribui não apenas para o tratamento dos eventos no nível dos projetos, mas também para o fortalecimento da capacidade institucional de antecipar, avaliar e responder às incertezas que possam comprometer a execução da estratégia, a entrega dos resultados planejados e, em última instância, a geração de valor público.

5. CONCLUSÃO/CONSIDERAÇÕES FINAIS

A análise dos resultados demonstrou que a instituição avançou de forma estruturada e sistêmica na consolidação de uma cultura organizacional orientada à prevenção e à resiliência. Nesse sentido, destacam-se como produtos da pesquisa a formalização da política e da metodologia de gestão de riscos e continuidade de negócios; a formalização da metodologia de gerenciamento de portfólio, programas e projetos; o estabelecimento de papéis e responsabilidades; a elaboração da declaração de apetite a riscos; a criação do Comitê Gestor de Riscos; e o mapeamento dos riscos dos processos de negócio vinculados à cadeia de valor, bem como dos riscos associados ao portfólio de projetos do biênio 2025–2026.

Observa-se que o processo de institucionalização foi influenciado, sobretudo, pelos mecanismos de isomorfismo coercitivo e normativo. Esse processo ocorreu de forma gradual e contou com o comprometimento da alta administração, evidenciado pela edição de normativos, pela definição de papéis e responsabilidades e pelo direcionamento estratégico conferido à gestão de riscos.

Os achados evidenciam que a governança de riscos, quando integrada aos processos organizacionais e ao portfólio de programas e projetos, e sustentada por uma estrutura de governança alinhada ao planejamento estratégico institucional, constitui importante instrumento para o fortalecimento da sustentabilidade organizacional, da geração de valor público e da legitimidade das instituições perante a sociedade.

Os insights desta pesquisa contribuem para suprir lacunas identificadas na literatura acerca da implementação efetiva da governança e da gestão de riscos em órgãos de controle externo, ao mesmo tempo em que fornecem subsídios teóricos e práticos para outras organizações públicas que buscam aperfeiçoar seus mecanismos de governança, gestão e controle.

Embora a pesquisa tenha alcançado os objetivos propostos, algumas limitações devem ser consideradas na interpretação dos resultados. A principal delas refere-se à adoção de um estudo de caso único, desenvolvido no Tribunal de Contas do Estado do Tocantins, cuja realidade institucional, estrutura organizacional, cultura administrativa e estágio de maturidade em governança de riscos apresentam características particulares. Dessa forma, os resultados obtidos não podem ser generalizados de maneira automática para outras organizações públicas, exigindo cautela quanto à sua extrapolação.

REFERÊNCIAS BIBLIOGRÁFICAS

ABPMP BPM CBOK. Guia para o Gerenciamento de Processos de Negócio – Corpo Comum de Conhecimento (BPM CBOK®). 4. ed. São Paulo: ABPMP Brasil, 2021. ISBN-13:978-1490516592.

ADAMS J.; Thomas C. The changing place of the public in public management. In Thomas J. C. (Ed.), Citizen, customer, partner: Engaging the public in public management. Reading, MA: M. E. Sharpe. 2012.

ADDAE, John Agyekum; MOTA, Jorge; MOREIRA, António C. Risk Governance as a line of defense: Systematic review of hotspots for future research. Cogent Business & Management, v. 10, n. 2, 2023. DOI: 10.1080/23311975.2023.2215074.

AHMETI, R.; VLADI, B. Risk management in public sector: a literature review. European Journal of Multidisciplinary Studies, v. 2, n. 5, p. 323-329, 2017. DOI: 10.26417/ejms.v5i1.p323-329.

ALHOSSINI, M. A.; NTIM, C. G.; ZALATA, A. Corporate board committees and corporate outcomes: An international systematic literature review and agenda for future research. The International Journal of Accounting, v.56, n.1, 2021. DOI:10.1142/S1094406021500013

ALVES, Priscilla Souza Ramos; MONTEIRO, Simone Borges Simão; GRUBISIC, Viviane. Gestão de riscos e fatores de sucesso em projetos de TI em uma instituição pública: teoria e prática. Revista de Gestão e Secretariado (Management and Administrative Professional Review), v. 14, n. 5, p. 7626-7646, 2023. DOI: 10.7769/gesec.v14i5.2142.

Associação Brasileira de Normas Técnicas. NBR 17265: governança pública: requisitos gerais com orientações ao uso. Rio de Janeiro, 2026.

Associação Brasileira de Normas Técnicas. NBR 2030-1: ambiental, social e governança (ESG) parte 1: conceitos, diretrizes e modelo de avaliação e direcionamento para organizações. 1. ed. Rio de Janeiro, 2024d.

Associação Brasileira de Normas Técnicas. NBR 21502: gerenciamento de projetos, programas e portfólios: orientação sobre gestão de projetos. Rio de Janeiro, 2024c.

Associação Brasileira de Normas Técnicas. NBR 21503: gerenciamento de projetos, programas e portfólios: orientação sobre gestão de programas. Rio de Janeiro, 2024b.

Associação Brasileira de Normas Técnicas. NBR 21504: gerenciamento de projetos, programas e portfólio: orientações sobre gestão de portfólio. Rio de Janeiro, 2024a.

Associação Brasileira de Normas Técnicas. NBR 27005: segurança da informação, segurança cibernética e proteção à privacidade: orientações para gestão de riscos de segurança da informação. Rio de Janeiro, 2023.

Associação Brasileira de Normas Técnicas. NBR 31000: gestão de riscos: diretrizes. Rio de Janeiro, 2018.

Associação Brasileira de Normas Técnicas. NBR 31022: gestão de riscos: Diretrizes para a gestão de riscos legais. Rio de Janeiro, 2020.

Associação Brasileira de Normas Técnicas. NBR 31073: gestão de riscos: vocabulário. Rio de Janeiro, 2022.

Australian Security Exchange Corporate Governance Council (ASX CGC). Corporate governance principles and recommendations. 4. ed. Sydney: ASX Corporate Governance Council, 2019.

AZIM, M. I.; NAHAR, S. Risk Disclosure Practices: Does Institutional Imperative Matter?. Public Money & Management, v. 42, n. 6, p.388–394, 2021. DOI: 10.1080/09540962.2021.19947.

BLACK, J. The emergence of risk-based regulation and the new public risk management in the United Kingdom. Public Law, v. 1, n. 1, p. 512-548, 2005. ISSN: 0033-3565.

BOX, Richard. C. Citizen governance: leading American communities into the 21st century. Thousand Oaks, CA: Sage Publications, 1998. DOI: 10.4135/9781483328249.

BRACCI, E.; TALLAKI, M. G.; GOBBO, G.; PAPI, L. Risk management in the public sector: a structured literature review. International Journal of Public Sector Management, v. 34, n. 2, p. 205–223, 2021. DOI: 10.1108/IJPSM-02-2020-0049.

BRASIL. Decreto nº 9.203, de 22 de novembro de 2017. Dispõe sobre a política de governança da administração pública federal direta, autárquica e fundacional. Diário Oficial da União: seção 1, Brasília, DF, ano 154, n. 224, p. 3, 23 nov. 2017.

BRASIL. Instrução Normativa Conjunta nº1, de 10 de maio de 2016. Dispõe sobre controles internos, gestão de riscos e governança no âmbito do Poder Executivo Federal. Brasília, DF: Ministério do Planejamento, Orçamento e Gestão, Controladoria Geral da União, 2016.

BRENES, Esteban R.; MADRIGAL, Kryssia; REQUENA, Bernardo. Corporate governance and family business performance. Journal of Business Research, v. 64, n. 3, p. 280–285, 2011. DOI: 10.1016/j.jbusres.2009.11.013.

CANADÁ. Framework for the management of risk. Treasury Board of Canada Secretariat, 2010. Disponível em: https://www.tbs-sct.canada.ca/pol/doc-eng.aspx?id=19422.

CHEN, J.; JIAO, L.; HARRISON, G. Organisational culture and enterprise risk management: the Australian not-for-profit contexto. Australian Journal of Public Administration, v. 78, 3 ed. p. 432-448, 2019. DOI: 10.1111/1467-8500.12382.

COSO – Committee Of Sponsoring Organizations Of The Treadway Commission. Enterprise risk management: integrated framework: executive summary. Jersey City: AICPA, 2007.

COSO – Committee Of Sponsoring Organizations Of The Treadway Commission. Enterprise risk management: integrating with strategy and performance. Durham: AICPA, 2017.

DE LORENA, A. L. F.; COSTA, A. P. C. S. What entails risk management maturity in public organisations? Journal of Risk Research, v. 26, n. 5, p. 563–580, 2023. DOI: 10.1080/13669877.2023.2187435.

DIMAGGIO, Paul J.; POWELL, Walter W. The iron cage revisited: institutional isomorphism and collective rationality in organizational fields. American Sociological Review, v. 48, n. 2, p. 147-160, 1983. DOI: 10.2307/2095101.

ELAMER, A. A.; NTIM, C. G., ABDOU, H. A.; OWUSU, A., ELMAGRHI, M.; IBRAHIM, A. E. Are bank risk disclosures informative? Evidence from debt markets. International Journal of Finance & Economics, v.26, n.1, p.1270–1298, 2021. DOI: 10.1002/ijfe.1849.

ERIN, Olayinka; ARIBABA, Foluso Olugbenga. Risk Governance and firm value: Exploring the hierarchical regression method. Afro-Asion J of Finance and Accounting, v. 11, n.1, 2021. DOI: 10.1504/AAJFA.2021.111809.

GIL, A. C. Como elaborar projetos de pesquisa. 7. ed. São Paulo: Atlas, 2023.

GOURBIER, L.; IACUZZI, S.; PADOVANI, E.; SALITERER, I. Risk Management in the Public Sector: A Comparative Analysis of Central Government Settings in France, Germany, and Italy. Financial Acc & Man, n. 41, p. 293-307, 2024. DOI: 10.1111/faam.12416.

GREENWOOD, Royston; OLIVER, Christine; SUDDABY, Roy; SAHLIN, Kerstin (eds.). The SAGE handbook of organizational institutionalism. London: SAGE Publications, 2008.

GRGUREVIC, D. Overview of risk management tools and methods. International Journal for Quality Research, v. 18, n. 1, p. 209–218, 2024. DOI: 10.24874/IJQR18.01-14.

GRONROOS, C. Service management and marketing: customer management in service competition. Chichester, England: John Wiley, 2007.

HINNA, A.; SCAROZZA, D.; ROTUNDI, F. Implementing risk management in the Italian public sector: hybridization between old and new practices. International Journal of Public Administration, v. 41, n. 2, p. 110–128, 2018. DOI: 10.1080/01900692.2016.1255959.

IBRAHIM, Awad Elsayed Awad.; HUSSAINEY, Khaled; NAWAZ, Tasawar; NTIM, Collins; ELAMER, Ahmed. A systematic literature review on risk disclosure research: State-of-the-art and future research agenda. International Review of Financial Analysis, v.82, n.102217, 2022. DOI:10.1016/j.irfa.2022.102217.

Instituto Brasileiro de Governança Corporativa (IBGC). Boas práticas para uma agenda ESG nas organizações. 1. ed. São Paulo: IBGC, 2022. ISBN: 978-65-86366-73-0.

Instituto Brasileiro de Governança Corporativa (IBGC). Gerenciamento de riscos corporativos: evolução em governança e estratégia. 1. ed. São Paulo: IBGC, 2017.

International Organization of Supreme Audit Institutions (INTOSAI). INTOSAI GOV 9130: Guidelines for Internal Control Standards for the Public Sector – Further Information on Entity Risk Management. Viena: INTOSAI, 2007.

International Organization of Supreme Audit Institutions (INTOSAI).Financial statements independent auditor’s report. Vienna: INTOSAI, 2021.

International Risk Governance Council (IRGC). Introduction the IRGC risk governance framework (revised version). Lausanne: EPFL, IRGC, 2017. DOI: 10.5075/epfl-irgc-233739.

KIM, Eunju; OH, Yoonkyung; KENNETT, Patrícia. Risk Governance, State Capacity, and Critical Human Security: Evolution of Risk Governance in Response to Systemic Risk in the UK and South Korea. Social Policy and Society, v.24, n.3, p.467-480, 2025. DOI:10.1017/S1474746425000144.

KLEIN, Vitor Hugo Junior. Gestão de riscos no setor público brasileiro: uma nova lógica de accountability? Revista de Contabilidade e Organizações, v.14, 2020. DOI: 10.11606/issn.1982-6486.rco.2020.163964.

KLINKE, Andreas; Renn, Ortwin. The Coming of Age of Risk Governance. Risk Analysis, v. 41, n.3, p. 544-557, 2021. DOI: https://doi.org/10.1111/risa.13383.

KOLEV, K. D.; WANGROW, D. B., BARKER, V. L.; SCHEPKER, D. J. Board committees in corporate governance: A cross-disciplinary review and agenda for the future. Journal of Management Studies, v.56, n.6, p.1138–1193, 2019. DOI: 10.1111/joms.12444.

KOMINIS, G.; DUDAU, A.; FAVOTTO, A.; GUNN, D. Risk governance through public sector interactive control systems: the intricacies of turning immeasurable uncertainties into manageable risks. Public Money & Management, v. 42, n. 6, p. 379–387, 2021. DOI: 10.1080/09540962.2021.1965729.

LIMA, Priscila Ferreira de Araújo; CREMA, Maria; VERBANO, Chiara. Risk management in SMEs: A systematic literature review and future directions. European Management Journal, v.38, n. 1, p.78-94, 2020. DOI: 10.1016/j.emj.2019.06.005.

LU, Y.; NTIM, C. G.; ZHANG, Q.; LI, P. Board of directors’ attributes and corporate outcomes: A systematic literature review and future research agenda. International Review of Financial Analysis, v.84, n.102424, 2022. DOI:10.1016/j.irfa.2022.102424.

LUNDQVIST, Sara. Why firms implement risk governance – Stepping beyond traditional riskmanagement to enterprise risk management. Journal of Accounting and Public Policy, v.34, n.5, p. 441-466, 2015. DOI: 10.1016/j.jaccpubpol.2015.05.002.

MAHAMA, H.; ELBASHIR, M.; SUTTON, S.; ARNOLD, V. Enabling enterprise risk management maturity in public sector organizations. Public Money & Management, v. 42, n. 6, p. 403–407, 2020. DOI: 10.1080/09540962.2020.1769314.

MEYER, John W.; ROWAN, Brian. Institutionalized Organizations: Formal Structure as Myth and Ceremony. The American Journal of Sociology, v. 83, n. 2, p. 340-363, 1977.

MOORE, Mark. H. Creating public value: strategic management in government. Cambridge, MA: Harvard University Press, 1995.

NETO, O. R. Gestão de Riscos na administração pública: da conformidade legal à geração de valor na governança pública. Contemporânea, v.6, n.º 1, p. 1-22, 2026. DOI: 10.56083/RCV6N1-042.

NORMANN, R. Service management: Strategy and leadership in service business. New York: Wiley. 1991.

NTIM, Collins G.; LINDOP, Sarah; THOMAS, Dennis A. Corporate governance and risk reporting in South Africa: A study of corporate risk disclosures in the pre- and post-2007/2008 global financial crisis periods. International Review of Financial Analysis, v.30, p. 363-383, 2013. DOI: 10.1016/j.irfa.2013.07.001.

OLESKOVICZ, M.; OLIVA, F. L.; PEDROSO, M. C. Gestão de riscos, governança corporativa e alinhamento estratégico: um estudo de caso. Revista Ibero-Americana de Estratégia, v. 17, p. 18–31, 2018. DOI: 10.5585/riae.v17i2.2513.

PALERMO, T. Accountability and expertise in public sector risk management: a case study. Financial Accountability and Management, v. 30, p. 322-341, 2014. DOI: 10.1111/faam.12039.

PORTER, Michael E. Competitive advantage: creating and sustaining superior performance. New York: Free Press, 1985.

POWER, M.; SCHEYTT, T.; SOIN, K.; SAHLIN, K. Reputational risk as a logic of organizing in late modernity. Organization Studies, v. 30, n. 2–3, p. 301–324, 2009. DOI: 10.1177/0170840608101482.

PROJECT MANAGEMENT INSTITUTE (PMI). A guide to the project management body of knowledge (PMBOK® Guide). 7. ed. Newtown Square, PA: Project Management Institute, 2021.

RACZKOWSKI, Konrad; TWOREK, Piotr. What does risk management in an economy really mean? In: RACZKOWSKI, K. Risk management in public administration, p. 1–41, Springer, 2017. DOI: 10.1007/978-3-319-30877-7.

RANA, Tarek; PARKER, L. Management control systems and risk management: mapping public sector accounting and management research directions. The Routledge Handbook of Public Sector Accounting, 1. ed, p. 279–295, New York: Routledge, 2023.

RISO, V.; TALLAKI, M.; ENRICO, B. La risk disclosure nei comuni italiani: uno studio explorativo. Azienda Pubblica, Vol. 4, p. 343-362, 2022.

RUBINO, M., VITOLLA, F. Corporate Governance and the Information System: How a Framework for IT Governance Supports ERM. Corporate Governance. n.14, p. 320–338, 2014. DOI: 10.1108/CG-06-2013-0067.

SCOTT, W. Richard. Richard. Institutions and organizations: ideas and interests. 3. ed. Thousand Oaks: Sage Publications, 2008.

SILVA, D. A.; SILVA, J. A.; ALVES, G. F.; SANTOS, C. D. Gestão de risco no setor público: revisão bibliométrica e proposta de agenda de pesquisa. Revista do Serviço Público -RSP, 72, p. 824-854, Brasília, 2021. DOI:10.21874/rsp.v72.i4.

SILVA, Garcitylzo do Lago Junior; ROBERTO, José Carlos Alves; CUNHA, Edileuza Lobato; LIMA, Orlem Pinheiro; ARAÚJO, Paulo César Diniz; MADURO, Márcia Ribeiro; OLIVEIRA JUNIOR, Nilson José. Gestão de risco no setor público. Revista de Gestão e Secretariado, v.14, n. 6, p. 9232-9245, São Paulo, 2023. DOI: 10.7769/gesec.v14i6.2297.

SLOMSKI, Valmor; MELLO, Gilmar Ribeiro de; TAVARES FILHO, Francisco; MACÊDO, Fabrício de Queiroz. Governança corporativa e governança na gestão pública. São Paulo: Atlas, 2010.

SRIVASTAY, A.; HAGENDORFF, J. Corporate governance and bank risk-taking. Corporate Governance an International Review, v.24, n.3, p.334–345, 2016. DOI: 10.1111/corg.12133.

TANGSGAARD, E. R. Risk management in public service delivery: Multi-dimensional scale development and validation. International Public Management Journal, v. 25, n.7, p. 1–22, 2022. DOI: 10.1080/10967494.2021.2004270.

THABIT, Sara; SANCINO, Alessandro; MORA, Luca. Strategic public value(s) governance: a systematic literature review and framework for analysis. Public Administration Review, v. 85, n. 3, p. 885–906, 2025. DOI: 10.1111/puar.13877.

TOCANTINS. Tribunal de Contas do Estado. Assessoria Especial de Planejamento e Desenvolvimento Organizacional. Metodologia de gestão de riscos e continuidade do negócio. Palmas, TO: TCE-TO, 2025b. Disponível em: https://www.tceto.tc.br/governanca-e-gestao/metodologia-de-gestao-de-risco/. Acesso em: 12 mar. 2026.

TOCANTINS. Tribunal de Contas do Estado. Assessoria Especial de Planejamento e Desenvolvimento Organizacional. Plano de gestão do Tribunal de Contas do Estado do Tocantins 2025-2026. Palmas, TO: TCE-TO, 2025a. Disponível em: https://www.tceto.tc.br/wp-content/uploads/2025/12/Plano-Gestao-2025-2026-18-12-2025.pdf. Acesso em: 15 mar. 2026.

TOCANTINS. Tribunal de Contas do Estado. Portaria nº 103, de 29 de janeiro de 2025. Instituí a Política de Gestão de Riscos e Continuidade do Negócio do Tribunal de Contas do Estado do Tocantins. Boletim Oficial, Palmas, TO, ano XVII, nº 3650, 29 jan. 2025c.

TOCANTINS. Tribunal de Contas do Estado. Portaria nº 414, de 25 de abril de 2025. Instituí o Comitê Gestor de Risco do Tribunal de Contas do Estado do Tocantins. Boletim Oficial, Palmas, TO, ano XVII, nº 3647, 25 abr. 2025g.

TOCANTINS. Tribunal de Contas do Estado. Portaria nº 53, de 24 de janeiro de 2025. Aprova a cadeia de valor do Tribunal de Contas do Estado do Tocantins. Boletim Oficial, Palmas, TO, ano XVII, nº 3647, 24 jan. 2025f.

TOCANTINS. Tribunal de Contas do Estado. Portaria nº 919, de 8 de outubro de 2025. Aprova a metodologia de gerenciamento de portfólio, programas e projetos no âmbito do Tribunal de Contas do Estado do Tocantins e dá outras providências. Boletim Oficial, Palmas, TO, ano XVII, nº 3815, 9 out. 2025d.

TOCANTINS. Tribunal de Contas do Estado. Portaria nº 921, de 9 de outubro de 2025. Aprova a metodologia de gestão de risco e continuidade do negócio do Tribunal de Contas do Estado do Tocantins e dá outras providências. Boletim Oficial, Palmas, TO, ano XVII, nº 3815, 9 out. 2025e.

TOLBERT, Pamela S.; ZUCKER, Lynne G. The institutionalization of institutional theory. In S. R. Clegg, C. Hardy (Eds.) The institutionalization of institutional theory, p. 169-184, SAGE Publications Ltd, 1999. DOI:10.4135/9781446218556.n6.

Tribunal de Contas Da União (TCU). Referencial básico de gestão de riscos. Brasília: TCU, Secretaria Geral de Controle Externo (Segecex), 2018.

Tribunal De Contas Da União (TCU). Referencial básico de governança organizacional para organizações públicas e outros entes jurisdicionados ao TCU. 3. ed. Brasília: TCU, 2020.

Tribunal De Contas Da União (TCU). Relatórios do levantamento iESGo: Índice de Governança e Sustentabilidade de 2024. Brasília, DF, 2024b.

Tribunal De Contas Da União (TCU). Roteiro de Avaliação de Maturidade da gestão de riscos. Brasília, DF, 2018c.

Tribunal de Contas Da União. Levantamento de Governança, Sustentabilidade e Gestão nas organizações públicas federais – Relatório individual da autoavaliação do Tribunal de Contas da União de 2024. Brasília: TCU, Secretaria Geral de Controle Externo (Segecex), 2024c.

ZAMMIT, Clint; GRIMA, Simon; KIZILKAYA, Murat. A Maturity Evaluation of Governance, Risk Management and Compliance (GRC) within the Maltese Public Sector1, Grima, S. and Boztepe, E. (Ed.), v. 105, Emerald Publishing. Limited, Leeds, p. 219-255, 2021. DOI: 10.1108/S1569-375920200000105016.

¹ Discente do Curso Mestrado em Governança e Transformação Digital da Universidade Federal do Tocantins Campus Palmas-TO. E-mail: [clique para visualizar o e-mail]acesse o artigo original para visualizar o e-mail.

² Docente do Programa de Governança e Transformação Digital da Universidade Federal do Tocantins Campus Palmas. E-mail: [clique para visualizar o e-mail]acesse o artigo original para visualizar o e-mail.