Nesta fase, foi definido o protocolo da revisão da literatura conforme Kitchenham et al. (2009). Inicialmente, foi definida a string de busca: “gerenciamento de risco” AND “desenvolvimento de software”. De posse da string de busca, foram selecionadas as seguintes bases de dados, apresentadas no quadro 1.

Em seguida, foram definidas as questões de pesquisa (QPs):

Logo após, foram definidos os critérios de inclusão e exclusão dos trabalhos.

Após a definição do protocolo, realizada na fase de planejamento, nesta fase da condução, o protocolo será aplicado. Assim, a string de busca foi inserida em cada uma das bases de dados, de forma que a string foi ajustada conforme o mecanismo de busca de cada base. No gráfico 1, é possível observar a quantidade de artigos após a aplicação da string de busca nas bases de dados, a quantidade de artigos obtidos ao realizar o download e após a aplicação dos critérios de inclusão e exclusão. Esta etapa de condução foi realizada em agosto de 2025 e, ao final desta fase, foi possível identificar 8 trabalhos primários alinhados ao problema.

Nesta seção, apresentam-se os principais resultados obtidos a partir dos oito trabalhos selecionados. No gráfico 2, é possível observar um gráfico de barras que corresponde à QP1, que trata da estratégia adotada nos trabalhos primários analisados. Ao observar esse gráfico, pode-se notar que quatro trabalhos utilizaram como estratégia principal o desenvolvimento de um sistema ou aplicativo, evidenciando, assim, uma ênfase na prática voltada à criação de soluções tecnológicas aplicáveis ao gerenciamento de riscos.

Os quatro trabalhos foram: no trabalho de Filippetto, Lima e Barbosa (2020), os autores desenvolveram um sistema que se utiliza de Bots que monitoram a aplicação e geram recomendações de novos riscos para o projeto; o trabalho de Moraes (2021) buscou a melhoria do processo de reengenharia de software, tendo como apoio um sistema que gerencia os riscos do processo; já o trabalho de Dantas Filho e Sousa Neto (2023) apresenta a ferramenta Risk Control, que se utiliza de dados históricos e Redes Bayesianas para tornar o gerenciamento de riscos em projetos de software mais objetivo e sistemático; outro trabalho que também adotou a prática de desenvolver um sistema foi do Wanderley, Menezes Junior e Gusmão (2014), que criaram o ClassRiskIndicator, uma ferramenta móvel voltada ao apoio no gerenciamento de riscos em projetos de software. Seu propósito é simplificar a gestão para os gerentes de projeto, condensando o nível de exposição em um único indicador. Validada em projetos reais, a ferramenta demonstrou melhorar a compreensão dos riscos e facilitar o acompanhamento das ações de mitigação.

Na alternativa sobre análise conceitual sobre gerenciamento de riscos, foi possível identificar o trabalho de Filippetto, Lima e Barbosa (2020), o qual apresenta uma análise teórica que sistematiza práticas de gerenciamento de riscos em projetos usando o PMBOK e a ISO 31000 como referências principais.

No item da revisão da literatura, foi possível destacar o trabalho de Marcantonio (2022), que realiza uma análise detalhada do gerenciamento de riscos em projetos de Tecnologia da Informação, destacando a baixa maturidade das organizações brasileiras nesse aspecto. O estudo combina revisão da literatura com pesquisa de campo, propondo um modelo para elevar a maturidade organizacional e melhorar a eficiência dos processos de risco.

No que se refere à análise comparativa de ferramentas, Pereira et al. (2006) propõe um processo de gerenciamento de riscos em projetos de software, fundamentado em abordagens do RUP, CMMI-SW, PMBOK, IEEE Std 1540 e AS/NZS 4360. O estudo apresenta a especialização e implantação desse processo em uma organização, com o objetivo de atender aos requisitos do CMMI nível 3, contribuindo para uma prática mais sistemática de gestão de riscos.

Por fim, um dos trabalhos foi classificado na categoria “Outra”, sendo ele: o trabalho de Dias, Kodama e Petrilli (2020), que abordou a aplicação prática de um processo de gestão de riscos em um caso real na área da saúde, no qual observaram que a mitigação e a prevenção dos riscos é imprescindível para uma implantação de sucesso.

De forma geral, os resultados mostram que, mesmo que haja uma diversidade nas estratégias adotadas pelos autores, também há uma tendência que prioriza o desenvolvimento de sistemas, o que reforça a busca por soluções práticas e aplicáveis no contexto da gestão de riscos em projetos.

No gráfico 3, pode-se observar um gráfico de barras que corresponde à PQ2, que trata dos processos de gerenciamento de riscos abordados em cada um desses oito trabalhos selecionados. Pode-se notar que o PMBOK foi o processo que foi mais relatado pelos trabalhos primários, aparecendo em cinco desses estudos, confirmando, assim, a sua adoção como um guia de boas práticas em projetos. Além disso, verifica-se que dois trabalhos fizeram referência à ISO 31000, evidenciando a importância dessa norma internacional como complemento para a definição de princípios e diretrizes voltadas à gestão de riscos. Os demais processos foram menos recorrentes: CMMI, RUP, IEEE Std 1540 e AS/NZS 4360, que foram mencionados uma vez cada, demonstrando que, embora reconhecidos, têm aplicação mais restrita nos estudos analisados. Por fim, um dos trabalhos não deixou explícito o processo de gerenciamento de riscos adotado, o que poderia indicar uma limitação metodológica ou uma opção dos autores em priorizar outros aspectos do estudo.

O primeiro passo realizado neste estudo foi a revisão da literatura, conforme a descrição mostrada na seção 3. Esse passo foi realizado com o intuito de identificar os principais trabalhos relacionados, bem como verificar os principais processos de gerenciamento de risco em projetos de software adotados nos trabalhos primários. Adicionalmente, foi possível observar as lacunas para possíveis caminhos de pesquisa; por exemplo, o uso de um processo de gerenciamento de risco para sugerir aos especialistas no desenvolvimento de projeto de software quais os riscos que podem surgir com base nas especificações do processo. Dessa forma, foi selecionada a norma ISO 31000 para apoiar no processo de sugestões de riscos a serem fornecidas pelo framework.

Tendo em vista que a engenharia de software abrange várias atividades, esta pesquisa deu ênfase ao gerenciamento de riscos em aplicações de software, adotando como referência principal a norma ISO 31000, cujo objetivo é auxiliar na identificação, na avaliação e no tratamento de riscos por meio de princípios e diretrizes previamente definidos. Com o intuito de desenvolver um framework que possibilite que os especialistas obtenham as recomendações de riscos em potenciais alinhados ao seu projeto, nessa etapa foi realizado o planejamento conceitual do framework. Na Figura 2, é possível observar uma visão geral das principais partes do framework.

Na Figura 2, é possível observar um protótipo de média fidelidade definido durante o planejamento do framework. A Figura 2, item A, apresenta a tela inicial do framework. Nela serão listados todos os projetos de software a serem monitorados pelo usuário. Adicionalmente, o especialista poderá adicionar um novo projeto ao clicar no botão “Novo Projeto”, de forma que o usuário será redirecionado para a tela de cadastro de um novo projeto, conforme mostra a Figura 2, item B. Na tela de cadastro de projeto, haverá um questionário com as perguntas sobre o software que está sendo desenvolvido ou, até mesmo, um sistema que já está em uma etapa mais avançada de desenvolvimento. Entre as perguntas, é possível destacar:

Entre outras perguntas necessárias para a análise de riscos do projeto, seguem-se os princípios e as diretrizes da norma ISO 31000. Ao finalizar as questões, o usuário poderá clicar em “Salvar projeto”, e o framework irá redirecioná-lo para a tela inicial com todos os projetos monitorados, adicionando o novo projeto definido.

Outra funcionalidade que deverá ser provida pelo framework é que, ao clicar em um dos projetos monitorados, o usuário seja direcionado para a tela de riscos do projeto e os riscos sugeridos pelo framework. Na Figura 2, item C, é possível observar a tela com os riscos. A lista de riscos localizada no lado esquerdo corresponde aos que estão vinculados ao projeto, já a lista no lado direito são riscos sugeridos pelo framework com base na ISO 31000.

Com base na lista de riscos sugerida pelo framework, o especialista poderá consultar cada um deles ao clicar no seu nome e, em seguida, será direcionado para a tela com as informações sobre o risco selecionado. Na Figura 2, item D, é possível notar um exemplo de uma tela com as informações principais do risco escolhido; dessa forma, o especialista poderá optar por incluí-lo no projeto conforme a sugestão, mas também permite a edição do risco conforme sua expertise; além da possibilidade de sugestão para apoiar o usuário, também permite que ele insira sua personalização.

Após a validação ou a edição do risco pelo especialista, este poderá adicionar o item presente na lista de recomendações à lista de riscos do projeto, clicando no botão “Incluir no projeto”. A partir dessa ação, os riscos exibidos no lado esquerdo da interface passam a ser monitorados pelo usuário. Cada um deles apresenta informações como nome, probabilidade de ocorrência, descrição e status. Este último corresponde à situação do evento analisado, podendo assumir as seguintes classificações: identificado, ativo ou resolvido.

Após a etapa de planejamento apresentada na Figura 2, foi iniciada a etapa de implementação do framework com o intuito de obter uma prova de conceito e verificar o comportamento dele. Dessa forma, o framework foi desenvolvido na plataforma web para facilitar seu acesso a toda a equipe envolvida. No que se refere ao front-end, foi usado o Next JS para a criação das telas e das rotas de cada página; o Tailwind CSS para a estilização das páginas e o Axios para fazer as requisições à API desenvolvida. No back-end, foi usada a biblioteca Json Server para manipular os dados da aplicação.

Na figura 3, é possível observar a tela inicial do sistema de gerenciamento de riscos desenvolvido neste trabalho. Nela, é possível notar todos os projetos que estão sendo monitorados no momento, sendo possível deletar qualquer projeto caso desejado.

Ao clicar em “Cadastrar”, o usuário será direcionado para a próxima página correspondente ao cadastro de um novo projeto. Na figura 4, apresenta-se a tela, a qual permite que o usuário insira as informações do projeto, como o nome, e uma descrição breve sobre o projeto. Em seguida, ele poderá clicar no botão de avançar e ir para a página com as perguntas sobre o projeto, inspirada na norma ISO 31000.

Na Figura 5, nota-se a tela responsável pela análise do projeto cadastrado. Com base na ISO 31000, foi criado um formulário com 7 etapas, em que cada etapa criada segue os princípios sugeridos na norma, de tal forma que seja possível abranger o maior número de riscos associados aos produtos de software.

Ao clicar em uma das etapas, o sistema apresenta um conjunto de perguntas e alternativas associadas à etapa selecionada. Na figura 6, é possível observar a expansão da etapa 2 sobre Identificação de Ativos e Pontos Críticos. A norma possui os princípios, como melhoria contínua, personalizada, estruturada e abrangente, dinâmica, fatores humanos e culturais, e entre outros.

Todas as outras etapas seguem esse mesmo modelo de perguntas e alternativas. Com base neste formulário, será possível identificar os riscos da aplicação, pois cada opção selecionada possui um risco associado. É importante destacar que o especialista só deverá marcar as opções alinhadas a seu projeto cadastrado. Após preencher todo o formulário e clicar no botão de salvar que pode ser visto na Figura 5, o usuário será redirecionado para a próxima página inicial.

Ao voltar para a tela inicial com os projetos, pode-se notar que o projeto foi adicionado na lista de projetos gerenciados do sistema e está pronto para ser tratado, conforme mostra a figura 7. Ao clicar sobre o card do projeto criado, o usuário será redirecionado para a tela de exibição dos riscos.

Na figura 8, é apresentada a tela que permite realizar o gerenciamento dos riscos da aplicação que foi cadastrada previamente. Essa página está dividida em duas colunas, sendo a coluna de Recomendação de Riscos e a coluna de Riscos monitorados no projeto.

Na coluna de recomendação de riscos, podem-se notar todos os riscos que foram identificados pelo sistema de gerenciamento de riscos, em que cada card de risco possui a probabilidade de o risco acontecer, o nível do risco que está associado ao impacto, caso ele precise ser tratado, e o status que, inicialmente, está identificado para todos os riscos. Além dessa informação, tem-se o título do risco, uma breve descrição e uma recomendação do que fazer para solucionar esse possível problema.

Após o usuário verificar todos os riscos que foram recomendados pelo framework, o especialista poderá aceitar ou não a recomendação deles. Ao clicar no botão de check (seta verde localizada na parte superior direita de cada card), o risco passa para a coluna do lado esquerdo, e o status dele muda para monitorado, pois, ao fazer isso, o usuário confirma que esse é um risco em potencial para sua aplicação. Caso ele não faça sentido para sua aplicação, o especialista poderá deletá-lo ou alterá-lo. Dessa forma, o framework permite que o especialista tenha uma visão geral dos riscos identificados de forma visual e seus fluxos na aplicação.

Após a realização da implementação do framework, foi iniciado o quarto passo correspondente à avaliação com os usuários, com o intuito de verificar a sua aceitação com os especialistas. Para a coleta de dados, foi utilizado um questionário com o objetivo de obter feedbacks dos participantes, permitindo verificar a aceitação e a eficácia do software. O questionário, o qual possuía cinco perguntas, foi respondido, de forma presencial e remota, por pessoas da área de tecnologia. Os detalhes dos resultados obtidos nesta avaliação com os usuários serão apresentados na seção 5.