Como resultado de um crescente número de pessoas se movendo para as cidades, as condições urbanas estão continuamente em modificação e com tendência ao agravamento de riscos. Aproximadamente 60% da população urbana mundial está localizada em regiões expostas a pelo menos um tipo de risco de desastre natural. O rápido processo de ocupação da área urbana não foi acompanhado de um adequado ordenamento territorial o que acabou resultando na formação de assentamentos precários, compostos principalmente por famílias de baixa renda e localizados em zonas sujeitas a diferentes tipos de risco de desastres. A perspectiva de mitigação do risco de desastres e a promoção da resiliência urbana levam à reflexão sobre quais as possibilidades podem ser desenvolvidas junto a essas comunidades para que levem a progressos que venham ao encontro da agenda mundial de redução de riscos de desastres. Esta pesquisa se dedica, como principal objetivo, a identificação de possíveis bases para a qualificação urbana de assentamentos precários sob a ótica da gestão de riscos de desastres. Para isso, foram utilizadas três estratégias de pesquisa. A primeira estratégia de pesquisa foi a realização de um estudo de caso a fim de levantar subsídios para as demais etapas, utilizando uma tecnologia social de mapeamento da percepção de riscos de desastres, desenvolvida pelo Grupo de Gestão de Riscos de Desastres – GRID/UFRGS, em um assentamento precário em Porto Alegre. A segunda estratégia de pesquisa foi coletar dados por meio da aplicação de duas reuniões de grupos focados, onde foram convidados 11 especialistas de diversas áreas com atuação em assentamentos precários, a fim de levantar ações e auxiliar na busca por uma melhor maneira de avançar frente aos riscos mapeados Para a análise, os dados foram classificados de acordo com possibilidades de ações nessas áreas, correlações com a comunidade, correlações com o poder público e elementos de suporte ao desenvolvimento das bases para a qualificação urbana. Um total de 54 ações foram identificadas e categorizadas em quatro grupos: diagnóstico; articulação do poder público; melhorias do ambiente natural e construído; e capacitação. A Estratégia Integrada para Redução de Riscos – EIGER, desenvolvida no âmbito do projeto “Desenvolvimento e Apoio à Implantação de uma Estratégia Integrada de Prevenção de Riscos Associados a Regimes Hidrológicos na Bacia do Taquari-Antas – RS” foi utilizada como a terceira estratégia de pesquisa, para avaliar as ações selecionadas conforme as nove dimensões da EIGER: planejamento; organizacional; integração; estrutura de gestão de riscos; gestão hídrica; gestão ambiental; e qualificação urbana e rural. O estabelecimento de relações das ações com as dimensões EIGER contribuiu para evidenciar as relações existentes e para o entendimento da complexidade do processo de qualificação urbana sob a ótica da gestão de riscos de desastres, também evidenciando a importância da atuação do Poder Público como o grande articulador no processo. O método aplicado a partir da seleção das ações para este estudo possibilitou determinar que, todos os quatro grupos de ações levantadas, possuem importância no processo de qualificação urbana. Assim, a solução encontrada se caracteriza principalmente como uma aproximação para as bases da qualificação urbana sob a ótica da gestão de risco, aliando o conhecimento local com o conhecimento técnico. / As result of the increasing number of people moving to cities, urban conditions are constantly in motion. Around 60% of the urban population is located in zones susceptible to, at least, one type of natural disaster. This occupation of urban areas was not followed by an adequate territorial organization strategy, which allowed the development of precarious settlements, mainly inhabited by families with low income, generally located in zones vulnerable to many types of disaster risks. The effective management for risk disaster reduction in regional, national and global levels contributes to community protection, also strengthening the resilience. The disaster of mitigation point of view and promotion of urban resilience brings the brainstorming of which possibilities can be developed alongside these communities, bringing progress related to the global platform for disaster risk reduction. This research is focused mainly on the investigating urban of qualification foundations of precarious settlements through the perspective of disaster risk management. To accomplish this goal, the application of a case study was used as the first strategy, in order to raise funds for later research steps, using a social mapping technology of disaster risk perception, developed by Group of Disaster Risk Management – GRID/UFRGS, in a precarious settlement located in Porto Alegre. The second research strategy was the data collection using information gathered from focused groups, in which 11 experts from different areas related to precarious settlements were invited to take action and support the search for a better way of being prepared for the risks actions discovered. To carry out this analysis, the data was ranked according to the possibilities of action in these areas, correlations with the community, correlations with public management and support elements for the development of urban qualification foundations. A total of 54 actions were identified and ranked into four groups: diagnosis, public management articulation, improvements in natural and constructed environments; and urban and rural qualification. The establishment of existing action relations coupled with Integrated Strategy for Risk Reduction - EIGER dimensions highlighted existing relations and brought up the understanding of the urban qualification process focusing on disaster risk management, also evidenced by the importance of the public management being the main process articulator. The applied method allowed the conclusion that, from the four action groups that were raised, all of them are important in the urban qualification process. Thus, the solution is to link all urban qualification foundations together and focused on risk management, to adding local and technical knowledge.

As organizações estão cada vez mais dependentes das suas cadeias de suprimentos. Devido à globalização e outros fatores, as cadeias de suprimentos podem se tornar bastante complexas, e existem riscos internos e externos que podem afetar as cadeias de suprimentos das mais diversas formas. O objetivo geral deste trabalho foi levantar conceitos e métodos que possam facilitar a gestão de riscos na cadeia de suprimentos, através de estudos exploratórios na literatura, gerando resultados de relevância gerencial. O método se baseou em uma revisão de literatura e análise dos resultados. Como resultado da análise apresentada foi possível contribuir com a literatura da seguinte forma: (i) consolidação de definições de gestão de riscos na cadeia de suprimentos (GRCS); (ii) consolidação de um conjunto de fases que compreendem a gestão de riscos na cadeia de suprimentos em fases ou subprocessos; (iii) estruturação de um procedimento, em nível conceitual, que permita orientar a análise de riscos na cadeia de suprimentos, pela ótica do desempenho; (iv) proposição de uma Estrutura Analítica de Riscos (EAR) para GRCS que possa servir de inspiração para as análises de gestão de riscos em empresas ou para uso em pesquisas da área. / Organizations are increasingly dependent on their supply chains. Due to globalization and other factors, supply chains may become quite complex, and there are internal and external risks that may affect supply chains in many different ways. The general objective of this work was to erect concepts and methods that may facilitate the management of risks in the supply chain, through exploratory studies in the literature, generating results of managerial relevance. The method was based on a literature review and analysis of these results. As a result of the analysis presented it was possible to contribute to the literature as follows: (i) consolidation of definitions on Supply Chain Risk Management (SCRM); (ii) consolidation of a set of phases that comprise the Supply Chain Risk Management in phases or subprocesses; (iii) structuring of a procedure, at a conceptual level, so as to steer risk analysis in the supply chain, based on the perspective of performance; (iv) proposal of a Risk Breakdown Structure (RBS) for SCRM that may serve as inspiration for the Supply Chain Risk Management in companies or for use in research area.

Mais da metade da população do planeta é urbana. No Brasil, a urbanização foi acelerada na década de 1960, atingindo a taxa de urbanização de 84% em 2010. Este rápido processo de ocupação da área urbana não foi acompanhado de um adequado ordenamento territorial, resultando na formação de assentamentos precários. Estes núcleos, geralmente habitados por famílias de baixa renda, e muitas vezes localizados em áreas inadequadas à urbanização e sujeitas a diferentes tipos de riscos. O objetivo desta dissertação foi analisar, sob a ótica da gestão de risco, o processo de qualificação urbana de um assentamento precário – Núcleo Habitacional Canyon, a partir da política pública de habitação de interesse social desenvolvida no município de Caxias do Sul/RS, no período de 1997 a 2004. Esta política adotou como diretriz geral o “Habitar Pleno” - melhorias urbanas, habitacionais, acesso a equipamentos e serviços públicos, participação comunitária, capacitação e desenvolvimento sociocultural da comunidade. O processo promoveu a integração entre gestores, técnicos e moradores, agregando outras parcerias. O Núcleo Habitacional Canyon foi escolhido devido à presença de moradias localizadas em áreas sujeitas a enxurradas e movimentos de massa, e por ter a redução do risco como eixo condutor do processo de qualificação do assentamento. As intervenções realizadas contemplaram melhorias urbanas e de recuperação ambiental, reforma de moradias, relocações na própria área e reassentamentos. A experiência se alicerçou na organização e participação comunitária, no fomento de parcerias, na capacitação dos técnicos para atuação em áreas irregulares, e na qualificação da percepção de risco dos moradores, privilegiando a interlocução e a integração do saber técnico com o saber local. A metodologia adotada para a análise desta experiência foi adaptada da Teoria Fundamentada de Dados, caracterizada por permitir que a visão do autor seja considerada. Foram selecionadas 113 intervenções relevantes para o processo de qualificação urbana desenvolvido no Núcleo, constantes de resgate histórico elaborado através de uma Linha do Tempo. Para a análise, as intervenções foram classificadas em Categorias e Subcategorias, sendo atribuídos graus de influência no processo para cada intervenção e cada Subcategoria. O estabelecimento de níveis de dependência entre as Subcategorias resultou em uma matriz de hierarquização, possibilitando a identificação das Subcategorias fundamentais para o desenvolvimento do processo. A partir desses resultados foram identificadas as práticas mais recomendadas para intervenções em assentamentos precários com características semelhantes. / More than half of the planet’s population live in urban areas. In Brazil, the urbanization accelerated during the 1960s, reaching a mark of 84% in 2010. This fast occupation of the urban area did not had a suitable territorial ordination, resulting in the formation of precarious settlements. These cores, generally occupied by families with low income, are located in areas improper for occupation and subjected to different types of risks. The main objective of this dissertation was to analyze, from the risks management perspective, the urbanization process of a precarious settlement (Canyon Area) developed through the public policy of the habitation of social interest developed in the county of Caxias do Sul/RS, from 1997 to 2004. This policy adopted, as a general guideline, the “Live Fully”, consisted by urban and habitational improvements, access to equipment and public services, community participation, capacitation and socioeconomic development. The process promoted the integration between managers, technicians and dwellers, adding partnerships. The Canyon Core region was chosen due to the presence of settlements located in areas subject to mass movements and floods, and by having a reduction of the risk as a conductor axis of the urbanization process. The interventions included urban and environmental recovery improvements, house restorations, relocations in the area and resettlement. The experience was based on organization and community participation, promotion of partnerships, capacitation of technicians to act in areas with irregular occupation, and with dwellers allowing an interlocution with the technicians, privileging the integration of the local technical knowledge. The methodology adopted for the analysis of this experience was adapted from the “Data Grounded Theory”, through which 113 interventions relevant to the urban qualification process developed inside the Core, through historical review, elaborated using a timeline. For this analysis, the interventions were classified in Categories and Subcategories. The establishment of dependency levels between Subcategories resulted in a ranking matrix, allowing the identification of key Subcategories to the development process. Through these results, the most suitable intervention practices in precarious settlements with similar characteristics were identified.

A produção agrícola apresenta características particulares, se comparada a outras atividades da economia, sendo uma das mais marcantes a extensão dos riscos aos quais está exposta. O cultivo de arroz (Oryza sativa L.) irrigado, embora pareça menos suscetível a riscos do que as culturas de sequeiro, também está exposto aos riscos inerentes ao exercício da atividade agrícola. Maior produtor mundial de arroz fora da Ásia, o Brasil tem no estado do Rio Grande do Sul seu principal estado produtor, com 65% do total. O objetivo deste trabalho foi analisar como o orizicultor do Rio Grande do Sul percebe os riscos inerentes à sua atividade e quais medidas adota para gerir estes riscos. O método empregado envolveu a aplicação presencial de questionários semiestruturados em orizicultores, de acordo com uma amostra não probabilística definida. Os resultados indicaram que os orizicultores atribuem maior relevância aos riscos socioeconômicos do que aos de produção, na percepção atual. Quando comparada a percepção atual dos orizicultores em relação à de cinco anos atrás, observou-se um aumento da relevância dos riscos de mercado e institucionais. Evidencia-se, assim, a importância da gestão do negócio por parte dos orizicultores do Rio Grande do Sul, para que sua atividade produtiva esteja organizada de modo a ocorrer de forma integrada com os demais elos da cadeia produtiva do arroz. A menor relevância atribuída pelos orizicultores aos riscos de produção, na percepção atual, pode indicar que as técnicas produtivas já estejam consolidadas. Em se tratando de medidas de gestão de riscos, a busca de informação é adotada pela maioria dos orizicultores e foi considerada relevante; no entanto, há indicativos de que a aplicação desta informação ainda pode ser melhorada. Os orizicultores percebem a importância e a necessidade de reduzir custos sem, no entanto, formalizar a maneira de fazê-lo. A redução de custos pode ser uma alternativa para mitigação de riscos de mercado, apontados como os mais relevantes pelos orizicultores. A percepção dos orizicultores sobre as fontes de risco inerentes à sua atividade e sobre as medidas para mitigá-las pode representar o alicerce na formulação de estratégias de gestão de riscos. / Agricultural production has many different influencing factors compared to other economic areas. One of the most striking is the extent of the risks to which it is exposed. Irrigated rice (Oryza sativa L.) cultivation, although seeming less susceptible to risk than non-irrigated crops, is also exposed to risks related to agricultural practices. World's largest producer of rice outside Asia, Brazil has the state of Rio Grande do Sul as its main producer, reaching 65% of the total amount. The aim of this study was to analyze how rice farmers in Rio Grande do Sul realize the risks of their activity and what measures they take to manage such risks. Methodology involved the administration of a semi-structured questionnaire with rice farmers, according to a non-probabilistic sample. The results indicated that rice farmers attach greater relevance to economic and social risks in their current perception, rather than to production related ones. Comparing rice growers’ current perception with that of five years ago, an increase on the relevance of market and institutional risks was observed. Thus, one realizes the importance of business management by rice farmers in Rio Grande do Sul, in order to organize their activity to take place in an integrated manner with others links of the rice production chain. The lowest relevance ascribed to production-related risks in the current perception may indicate that production techniques have already been consolidated. Regarding measures for risk management, information seeking is adopted for most rice farmers and was considered relevant; however, there is evidence that the applicability of this information can still be improved. Rice growers realize the importance and the need to reduce costs without, however, formalizing a way of doing it. Costs reduction may be an option to mitigate market risks, identified as the most relevant by the rice growers. Rice growers´ perception on the risk sources inherent to their activity and on measures to mitigate them may represent the foundation for formulating risk management strategies.

A gestão de projetos é tema de importância crescente nas organizações, sendo que diversos objetivos organizacionais são realizados por meio de projetos. Na área de Tecnologia da Informação (TI), grande parte das iniciativas são desenvolvidas por meio dessa forma de trabalho. Desenvolvimento, melhorias e adaptações em Sistemas de Informações (SI) fazem parte desse contexto, onde a gestão por projetos é utilizada para cumprir com os objetivos de negócios através dos SIs. Apesar da importância desse tema para as organizações, é conhecido que esses projetos apresentam falhas com alta frequência. Assim, a gestão de riscos é vista como um dos principais componentes para o sucesso dos projetos de SI. Nesse trabalho, realizou-se estudo de casos em projetos de SI, com o objetivo de analisar como a atividade de gestão de riscos é realizada na prática. Foram levantadas as atividades de gestão de riscos propostas pelos padrões de mercado e identificados os temas de risco apontados como relevantes pela literatura. Foram analisados três casos de empresas de portes e contextos diferentes. Os resultados mostraram que: as empresas utilizam padrões de mercado, mas não adotaram as técnicas previstas por esses padrões nos projetos; a maioria dos riscos que ocorreram nos projetos não foram reconhecidos como tal pelos gestores; riscos relativos a custo ou prazo foram os riscos mais reconhecidos; as ações em gestão de riscos ocorreram sobre a probabilidade ou sobre os efeitos; e a dificuldade de comunicação entre a equipe do fornecedor e o cliente foi um elemento comum aos riscos ocorridos nos casos. O trabalho buscou trazer contribuições para o tema gestão de riscos, analisando como essa atividade é realizada nos projetos de SI. Os resultados convidam tanto a academia quanto os profissionais a reflexão sobre o papel das abordagens de mercado na área, já que os mesmos não apontam a melhor decisão a tomar frente a um problema e sobre as competências necessárias para uma efetiva gestão de riscos. / The project management topic is of increasing importance in the organizations, and many organizational objectives are achieved through projects. Most initiatives in the Information Technology (IT) area are developed through this type of work. Development, improvement and adaptation of Information Systems (IS) are part of that context, where project management is used to meet business objectives through ISs. Despite of the importance of this issue for organizations, it is known that IS projects have a high fault rate. Therefore, risk management is seen as a key component to their success. This reserarch conducted case studies in IS projects, aiming on examining how the risk management activity is actually performed. The paper examined the risk management activities proposed by the industry standards to the area, and identified the risk issues pointed as relevant by the literature. Three cases were analyzed, consisting on three companies of different sizes and backgrounds. The results showed that companies do use market standards, but did not adopt the techniques contained in those standards in projects; most risks that occurred in the projects were not acknowledged as such by management; risks related to cost or longer-term risks were the most recognized; the risk management actions have occurred on the likelyhood or on the effects of the risks; and the communication difficulties between the supplier and the customer team was a common element to the risks incurred in the cases. The research aimed to contribute to the risk management topic, analysing how this activity is performed in IS projects. The results invite both, academy and professionals, to reflect upon the role of industry standards in the area, since they do not point the best decision to make about a problem and the necessary skills for an effective risk management.

A análise do impacto das ações de marketing nos resultados financeiros - bem como a produtividade em marketing - tornaram-se assuntos que têm preocupado os acadêmicos devido à falta de estudos que investiguem essas áreas. Para abordar os referidos temas, o presente estudo objetivou analisar a relação entre gastos com propaganda e o valor da ação das empresas através da comparação de portfólios de empresas com diferentes políticas de investimento em propaganda com os de outras empresas listadas na Bolsa de Valores de São Paulo (Bovespa). Para tanto, além da revisão bibliográfica sobre os assuntos que compõem o tema, o estudo realizou uma análise de 10 (dez) anos dos portfólios em termos de risco e retorno, através do modelo Fama e French (1993), tomando como base os estudos de Srinivasan et al. (2009) e Joshi e Hanssens (2010) nos contextos internacionais. Os resultados desse estudo permitiram concluir que o portfólio de empresas que possuem maior percentual de gastos em propaganda apresenta um menor risco no mercado acionário brasileiro frente aos demais portfólios estudados. O simples somatório dos retornos já remete a esse portfólio uma vantagem clara sobre os demais, além do fato de que outras variáveis relativas ao tamanho e book-to-market das empresas também vão ao encontro do que foi estudado na revisão de literatura. Essa possível associação de uma carteira formada por empresas altamente investidoras em propaganda, com a obtenção de menores riscos e maiores retornos aos acionistas, fornece ricos insumos para os gestores das empresas e também acaba fortalecendo a importância da área de Marketing na esfera acadêmica e empresarial. Além disso, a integração entre as áreas de Marketing e Finanças que esse estudo realizou permitiu medir a produtividade em marketing através da união de diferentes campos teóricos. / The analysis of the impact of marketing actions in the financial results – as well the marketing productivity – became subjects which have been concerning scholars due the lack of studies which investigate these fields. In order to approach these topics, the present study aimed to analyze the relation between the advertising expenditures and the company’s stock prices through the comparison of portfolios with different advertising’s investments and other portfolios of companies listed on the Stock Exchange of Sao Paulo State (BOVESPA). Hence, in addition to a review of the topics which compose the issue, the study performed a ten-year-analysis of the portfolios in terms of risk and return, by applying the three-factor model of Fama and French (1993), built upon the studies by Srinivasan et al. (2009) and Joshi e Hanssens (2010) in the international contexts. The results conclude that the portfolio of the companies which invest a higher percentage of advertising spending presents a lower risk in the Brazilian market compared to the others. The simple sum of the returns shows a higher advantage of this portfolio over the others, beyond the fact that other variables regarding the companies’ size and book to market also agree to what was reviewed in past studies. This possible relationship of companies which are higher advertising investors with the obtainment of lower risks and higher returns, supplies rich inputs to managers and strengthens the importance of Marketing in the academic and corporative sphere. Moreover, the integration of Finances and Marketing in this study allowed to measure the marketing productivity through the union of different theoretical fields.

A produção agrícola apresenta características particulares, se comparada a outras atividades da economia, sendo uma das mais marcantes a extensão dos riscos aos quais está exposta. O cultivo de arroz (Oryza sativa L.) irrigado, embora pareça menos suscetível a riscos do que as culturas de sequeiro, também está exposto aos riscos inerentes ao exercício da atividade agrícola. Maior produtor mundial de arroz fora da Ásia, o Brasil tem no estado do Rio Grande do Sul seu principal estado produtor, com 65% do total. O objetivo deste trabalho foi analisar como o orizicultor do Rio Grande do Sul percebe os riscos inerentes à sua atividade e quais medidas adota para gerir estes riscos. O método empregado envolveu a aplicação presencial de questionários semiestruturados em orizicultores, de acordo com uma amostra não probabilística definida. Os resultados indicaram que os orizicultores atribuem maior relevância aos riscos socioeconômicos do que aos de produção, na percepção atual. Quando comparada a percepção atual dos orizicultores em relação à de cinco anos atrás, observou-se um aumento da relevância dos riscos de mercado e institucionais. Evidencia-se, assim, a importância da gestão do negócio por parte dos orizicultores do Rio Grande do Sul, para que sua atividade produtiva esteja organizada de modo a ocorrer de forma integrada com os demais elos da cadeia produtiva do arroz. A menor relevância atribuída pelos orizicultores aos riscos de produção, na percepção atual, pode indicar que as técnicas produtivas já estejam consolidadas. Em se tratando de medidas de gestão de riscos, a busca de informação é adotada pela maioria dos orizicultores e foi considerada relevante; no entanto, há indicativos de que a aplicação desta informação ainda pode ser melhorada. Os orizicultores percebem a importância e a necessidade de reduzir custos sem, no entanto, formalizar a maneira de fazê-lo. A redução de custos pode ser uma alternativa para mitigação de riscos de mercado, apontados como os mais relevantes pelos orizicultores. A percepção dos orizicultores sobre as fontes de risco inerentes à sua atividade e sobre as medidas para mitigá-las pode representar o alicerce na formulação de estratégias de gestão de riscos. / Agricultural production has many different influencing factors compared to other economic areas. One of the most striking is the extent of the risks to which it is exposed. Irrigated rice (Oryza sativa L.) cultivation, although seeming less susceptible to risk than non-irrigated crops, is also exposed to risks related to agricultural practices. World's largest producer of rice outside Asia, Brazil has the state of Rio Grande do Sul as its main producer, reaching 65% of the total amount. The aim of this study was to analyze how rice farmers in Rio Grande do Sul realize the risks of their activity and what measures they take to manage such risks. Methodology involved the administration of a semi-structured questionnaire with rice farmers, according to a non-probabilistic sample. The results indicated that rice farmers attach greater relevance to economic and social risks in their current perception, rather than to production related ones. Comparing rice growers’ current perception with that of five years ago, an increase on the relevance of market and institutional risks was observed. Thus, one realizes the importance of business management by rice farmers in Rio Grande do Sul, in order to organize their activity to take place in an integrated manner with others links of the rice production chain. The lowest relevance ascribed to production-related risks in the current perception may indicate that production techniques have already been consolidated. Regarding measures for risk management, information seeking is adopted for most rice farmers and was considered relevant; however, there is evidence that the applicability of this information can still be improved. Rice growers realize the importance and the need to reduce costs without, however, formalizing a way of doing it. Costs reduction may be an option to mitigate market risks, identified as the most relevant by the rice growers. Rice growers´ perception on the risk sources inherent to their activity and on measures to mitigate them may represent the foundation for formulating risk management strategies.

In the last years more vulnerabilities and threats have emerged, compromising information security in Information and Communication Technology (ICT) systems. In addition, many organizations are unprepared to deal with the risks of information security, making them the most vulnerable to such threats. Thus the negative impact caused by security incidents tends to be more frequent. The implementation of information security risk management based on a set of best practices is critical, but still a challenge for most companies. This work proposes a methodology for managing risks based on NBR ISO/IEC 27005:2008. The methodology presents a sequence of activities and a series of guidelines and goals that must be achieved to make the risk management effective. As with most standards and reference models, the methodology does not describe how activities should be implemented, which makes it difficult to implement for organizations less experienced in security procedures. The reuse of solutions already tested and consolidated to recurring security problems it can assist in ensuring the use of best practices. These solutions can be found in security standards that capture and document the knowledge of security experts, but its application to develop standards for risk management activities is unknown. Thus, this work reviews the guidelines of NBR ISO/IEC 27005:2008 standards and pattern catalogs in order to identify security patterns to develop activities in accordance with the guidelines described by the standard. Therefore, the main contribution of this work is to develop a methodology for risk management centered in solutions, tasks and techniques described by 22 security standards. An analysis and risk assessment using security standards was applied to a DC (Data Center) of a private university, whose result shows the final risk for each asset, meeting the guidelines of NBR ISO/IEC 27005:2008. / Nos últimos anos, cada vez mais novas ameaças e vulnerabilidades surgem comprometendo a segurança das informações em sistemas de Tecnologia da Informação e Comunicações (TIC), e muitas organizações encontram-se despreparadas para lidar com os riscos de segurança da informação, tornando-as mais vulneráveis às ameaças, e os impactos negativos causados pelos incidentes de segurança tendem a ser mais frequentes. A implantação de uma gestão de riscos de segurança da informação baseada no conjunto das melhores práticas é fundamental, porém ainda um desafio para a maioria das empresas. Este trabalho propõe uma metodologia de gestão de riscos baseada na norma NBR ISO/IEC 27005:2008, que apresenta uma sequência de atividades e uma série de diretrizes e objetivos que devem ser alcançados para que o gerenciamento dos riscos seja efetivo. Como na maioria das normas e modelos de referência, elas não descrevem como as atividades devem ser implementadas, o que acaba dificultando a sua adoção por organizações menos experientes em processos de segurança. A reutilização de soluções já testadas e consolidadas para resolver problemas recorrentes de segurança pode auxiliar na garantia de utilização de melhores práticas. Estas soluções podem ser encontradas em padrões de segurança que capturam e documentam o conhecimento de especialistas em segurança, mas se desconhece a sua aplicação para desenvolver atividades das normas de gestão de riscos. Desta forma, este trabalho faz uma revisão das diretrizes da norma NBR ISO/IEC 27005:2008 e de catálogos de padrões, a fim de identificar padrões de segurança para desenvolver as atividades de acordo com as diretrizes descritas pela norma. Portanto, a principal contribuição deste trabalho é o desenvolvimento de uma metodologia de gestão de riscos centrada em soluções, tarefas e técnicas descritas por 22 padrões de segurança. Uma análise e avaliação de riscos utilizando padrões de segurança foi aplicada em um CPD de uma instituição privada de ensino superior, cujo resultado mostra o risco final de cada ativo, atendendo as diretrizes da norma NBR ISO/IEC 27005:2008.

Submitted by Fabio Sobreira Campos da Costa (fabio.sobreira@ufpe.br) on 2017-07-28T14:17:30Z No. of bitstreams: 2 license_rdf: 811 bytes, checksum: e39d27027a6cc9cb039ad269a5db8e34 (MD5) Dissertação _2016_ - Cosmo Alves (versão final).pdf: 1791510 bytes, checksum: 88b79efb065d2308e81db5208508b5bf (MD5) / Made available in DSpace on 2017-07-28T14:17:30Z (GMT). No. of bitstreams: 2 license_rdf: 811 bytes, checksum: e39d27027a6cc9cb039ad269a5db8e34 (MD5) Dissertação _2016_ - Cosmo Alves (versão final).pdf: 1791510 bytes, checksum: 88b79efb065d2308e81db5208508b5bf (MD5) Previous issue date: 2016-02-29 / Controle interno é um processo integrado efetuado pela direção e corpo de funcionários, e é estruturado para enfrentar os riscos e fornecer razoável segurança de que, para a consecução da missão da entidade, os seguintes objetivos gerais serão alcançados: execução ordenada, ética, econômica, eficiente e eficaz das operações; cumprimento das obrigações de accountability; cumprimento das leis e regulamentos aplicáveis; e salvaguarda dos recursos para evitar perdas, mau uso e dano. Como o estabelecido pela AS/NZS 4360 – Standards Australia e Standards New Zealand; o do COSO – Committee of Sponsoring Organizations of The Treadway Commission; o CoCo – Criteria of Control Committee of Canadian Institute of Chartered Accountants e o Turnbull Report. Dentre as metodologias existentes, o framework COSO é um dos mais recomendados por vários estudiosos. Historicamente, estes modelos foram emitidos para as entidades privadas, contudo, recentemente, diversas pesquisas tem se voltado para a análise da aplicabilidade na administração pública. Com vistas à melhoria dos processos de planejamento, gestão e controle, o Tribunal de Contas da União (TCU) vem avaliando os órgãos públicos com base nas premissas e orientações do COSO, sendo um destes trabalhos o Acórdão nº 1.074/2009 que proferiu diversas determinações às instituições integrantes do Poder Judiciário. Com fulcro nesta decisão, os Tribunais, por meio de suas Unidades de Auditoria Interna, passaram a adotar medidas necessárias ao cumprimento do citado Acórdão. Por esta razão, tornou-se imprescindível avaliar se o sistema de controles internos do Tribunal Regional Eleitoral da Paraíba encontra-se adequado aos pilares mestres do framework COSO, o qual foi fundamento para as determinações do TCU. Para orientar a referida avaliação, foi lançado como objetivo geral: verificar o grau de adequabilidade à metodologia COSO ERM do sistema de controles internos do Tribunal Regional Eleitoral da Paraíba. Para tanto, realizou-se uma pesquisa survey com todos os 340 servidores, dos quais 195 responderam. As respostas foram convertidas e examinadas utilizando-se o coeficiente de Jaccard, o qual calcula o grau de semelhança e dessemelhança entre o Modelo referencial COSO e o sistema de controles internos do Tribunal, captado pelo questionário. Os resultados demonstraram baixo nível de adequabilidade para todos os componentes (Ambiente de Controle (15,78%), Definição de Objetivos (14%), Identificação de Eventos (0%), Avaliação de Riscos (8,3%), Resposta aos Riscos (0%), Procedimentos de Controle (7,6%), Informação e Comunicação (18,18%) e (0%) para o Monitoramento) e para todo o sistema (10,55%), o que demonstra, na perspectiva do COSO ERM, fragilidade de controles e da gestão riscos corporativos. / Internal control is an integrated process carried out by the management and personnel, and is structured to address the risks and provide reasonable assurance that, to achieve the organization's mission, the following general objectives will be achieved: orderly execution, ethical, economic, efficient and effective operations; fulfillment of accountability obligations; compliance with applicable laws and regulations; and safeguarding of resources to prevent loss, misuse and damage. For better inter-relate these objectives, various international bodies have issued documents defining theoretical and practical framework for implementation, which are referred to in the literature as models of internal controls, as established by AS / NZS 4360 - Standards Australia and Standards New Zealand; the COSO - Committee of Sponsoring Organizations of the Treadway The Commission; CoCo - Criteria of Control Committee of the Canadian Institute of Chartered Accountants and the Turnbull Report. Among the existing methodologies, the COSO framework is one of the most recommended by various scholars. Historically, these models have been issued to private entities, however, recently, several studies have focused on the analysis of the applicability of the public administration. In order to improve the planning, management and control, the Tribunal de Contas da União (TCU) has been evaluating public bodies based on assumptions and COSO guidelines, one of them works the Judgment nº. 1,074 / 2009 issued several determinations to the Judiciary member institutions. Fulcrum with this decision, the courts, through its Internal Audit Units have adopted necessary measures to comply with the said judgment. For this reason, it has become essential to assess whether the system of internal controls of the Tribunal Regional Eleitoral da Paraíba is appropriate for teachers pillars of the COSO framework, which was the basis for TCU determinations. To guide this evaluation, was released as a general objective: to verify the degree of appropriateness of the methodology COSO ERM system of internal controls of the Tribunal Regional Eleitoral da Paraíba. To this end, we carried out a survey research on all 340 servers, of which 195 responded. The answers were converted and examined using the coefficient of Jaccard, which calculates the degree of similarity and dissimilarity between the reference model and the COSO internal control system of the Court, captured by the questionnaire. The results showed a low level of fitness for all components (Control Environment (15.78%), Objective Setting (14%), Event Identification (0%), Risk Assessment (8.3%), risk Response (0%) Control activities (7.6%), Information and Communication (18.18%) and (0%) for monitoring) and for the entire system (10.55%), which demonstrates, in view of the COSO ERM, weak controls and enterprise risk management.

A Gestão de Riscos Corporativos (GRC) tem despertado interesse da academia desde a década de 1990, quando foi definida como uma administração abrangente e holística dos riscos empresariais, em contraste à Gestão Tradicional de Riscos que objetiva proteção. Desde então, a maior parte dos estudos empíricos disponíveis sobre a GRC pretenderam associá-la a desempenho ou eficiência e pouco há sobre sua relação com o processo de internacionalização de empresas. O menor foco da literatura sobre essa relação desperta atenção, uma vez que o processo de internacionalização implica na exposição a riscos inerentes às diversas geografias e frequentemente atípicos nos países de origem das empresas. Dessa forma, a GRC pode ser uma vantagem competitiva no processo de internacionalização. Nesse contexto, esta dissertação investigou a relação entre Grau de Internacionalização (GI) e Nível de Maturidade em Gestão de Riscos Corporativos (NMGRC) de empresas brasileiras. Para isso, utilizou-se de análise de conteúdo dos Formulários de Referência de 72 empresas listadas nos três níveis de governança corporativa da BM&F Bovespa no ano fiscal de 2013. Por meio da técnica estatística multivariada de Análise de Componentes Principais foram definidos três construtos para a composição do GI (Receita do Exterior, Recursos Físicos e Humanos no Exterior e Participação em Sociedades no Exterior) e três para NMGRC (Liderança na Gestão de Riscos, Suporte Externo para Gestão de Riscos e Prática de Gestão de Riscos). Os construtos então foram agrupados em um índice composto para NMGRC e GI, seguidos de propostas métricas aplicáveis a dados primários. As análises estatísticas foram realizadas de forma associativa, por meio de correlações, entre grupos, com a análise de quatro agrupamentos ordenados por GI; e de forma preditiva, com emprego de Regressão Logística Ordinal. Os resultados mostraram uma relação direta e proporcional entre o Nível de Maturidade em Gestão de Riscos Corporativos e o Grau de Internacionalização das empresas pesquisadas pelos três métodos de análise. Quanto ao efeito da GRC no GI, esta última teve maior relação com Liderança na Gestão de Riscos, seguida em importância por Prática de Gestão de Riscos. O construto Suporte Externo para Gestão de Riscos não foi conclusivo. Quanto ao efeito da internacionalização no NMGRC, a maior relação foi encontrada para Receita do Exterior, seguida de Recursos Físicos e Humanos no Exterior. O construto Participação em Sociedades no Exterior não foi conclusivo. Com esses resultados, esta dissertação encontrou indícios de que o engajamento da alta direção com a GRC pode trazer vantagem no atingimento dos objetivos de internacionalização das empresas brasileiras de capital aberto, principalmente quando as receitas do exterior aumentam ou há alocação de recursos físicos e humanos fora do país. / The Enterprise Risk Management (ERM) has been of academic interest since the 90´s when it was defined as a wider and holistic management of business risks, in contrast to the Traditional Risk Management practice, which intends to protection. Since then, the vast majority of available empirical researches on ERM aimed to associate it with performance and efficiency and scarce literature is found on its relationship with the internationalisation process. The absence of this connection draws attention as the internationalisation process involves the exposition of a firm to risks derived from the array of involved geographies, frequently unusual in its origin country. Then, the ERM is potentially a competitive advantage in the internationalisation process of a firm. This research investigated the relationship between the Degree of Internationalisation (DI) and the Maturity Level of Enterprise Risk Management (MLERM) thru empirical data. To meet this objective, a documental research on 72 listed companies in the three top tier corporate governance index of the Brazilian Stock Exchange was conducted. Data was extracted from the forms officially submitted to the government market authority in the fiscal year of 2013 by an extensive content analysis. Using the multivariate statistic method of Principal Component Analysis, three constructs were defined to DI (Revenues from Abroad, Physical and Human Resources Abroad and Interest in Societies Abroad) and three to MLERM (Leadership in Risk Management, External Support to Risk Management and Risk Management Practices). These constructs were then used to build composite indexes to MLERM and DI, followed by a proposition of counterpart indexes applicable to primary data. The statistical analysis were made in three ways: associative, with use of correlations; between groups, with the analysis of four clusters ranked by their DI; and predictive, with the use of Ordinal Logistic Regression. The results have shown a proportional and direct relation between the Maturity Level of Enterprise Risk Management and the Degree of Internationalization of researched companies by the three applied methods. As for the effect of ERM on ID, the later shown greater relation to Leadership in Risk Management, followed in importance by Risk Management Practices. The construct External Support to Risk Management was inconclusive. As for the effect of internationalization on MLERM, the greater relation was found to Revenues from Abroad, followed in importance by Physical and Human Resources Abroad. The construct Interest in Societies Abroad was inconclusive. With these results this research has found indications that the engagement of the higher directive board towards ERM may be an advantage in achieving the internationalization targets of Brazilian public companies, mainly when the revenues from abroad increase or there are human or physical resources invested out of the borders.