Aparência
Matriz e respostas a riscos
Matéria: Governança, Riscos e Auditoria
Voltar ao índice da matéria.
Construção da matriz
Matriz cruza probabilidade e impacto para apoiar prioridade. Antes, definem-se escalas com critérios concretos. Impacto pode incluir finanças, segurança, operação, legal, reputação e ambiente; a regra de agregação precisa ser explícita.
Um risco “alto” não é uma cor intuitiva. Deve resultar de descrição, evidência, horizonte e critério. Probabilidade histórica pode não servir a eventos raros; cenários e julgamento documentado complementam.
Inerente, controle e residual
Primeiro estima-se o risco inerente, isto é, a exposição antes de considerar controles específicos. Essa análise mostra a natureza e a magnitude original do risco e evita que um controle apenas formal esconda um evento potencialmente crítico.
Depois são identificados controles preventivos e detectivos relacionados às causas e consequências. O teste de desenho pergunta se, caso executado como previsto, o controle seria capaz de tratar o risco. O teste de operação verifica se ele realmente ocorreu, na frequência e cobertura necessárias, e se as exceções receberam ação.
Com base na efetividade comprovada, estima-se o risco residual. A simples existência de política não autoriza reduzir probabilidade ou impacto. É preciso saber quem executa, quando, sobre qual população, qual evidência permanece e o que acontece quando o controle falha.
Se o risco residual permanece acima do apetite, a organização precisa responder, escalar ou aceitar conscientemente segundo a governança. A matriz não deve produzir falsa precisão: a nota sintetiza julgamento e deve vir acompanhada de premissas e evidências.
Mapa de calor comunica portfólio, mas perde precisão e pode esconder riscos de cauda ou interdependências. Registro deve conservar causas, consequências, controles, respostas, indicadores e vínculo ao objetivo.
Respostas
Para ameaças: evitar, reduzir, transferir/compartilhar e aceitar. Seguro transfere impacto financeiro, não reputação nem responsabilidade. Terceirizar atividade tampouco elimina risco.
Para oportunidades, respostas podem buscar concretizar o ganho, aumentar sua probabilidade ou dimensão, compartilhar sua exploração ou aceitar a possibilidade sem ação adicional. A seleção considera custos, benefícios, incertezas e apetite, além de obrigações e impactos não monetários. Uma comparação financeira isolada não autoriza dispensar um controle obrigatório.
Planos de contingência são acionados por gatilhos; fallback entra se a resposta primária falhar. Reserva cobre exposição conforme governança, não corrige planejamento negligente.
Indicadores
KRI é indicador de risco; KPI, de desempenho; KCI, de controle. Em um exemplo de fornecimento crítico, a proporção de itens dependentes de fonte única sinaliza exposição (KRI), entregas completas no prazo medem atendimento (KPI), e testes de fornecedores alternativos realizados conforme o plano acompanham um controle (KCI). Um teste registrado como concluído ainda precisa de evidência de que o fornecedor consegue atender. O papel do indicador depende da pergunta e da decisão apoiada, não apenas de seu nome.
Priorização madura
Além da pontuação, considere velocidade, persistência, proximidade, capacidade de recuperação e correlação. Risco extremo de baixa frequência pode exigir continuidade mesmo fora do topo aritmético.
Matriz inicia conversa; não decide sozinha. A decisão registra aceitar ou tratar, responsável, prazo, risco residual e instância que aprovou exposição acima da tolerância.
Risco de corrupção com baixa frequência histórica não deve receber nota baixa automaticamente: subnotificação e impacto legal alteram a análise. Cenários extremos e controles de integridade complementam a matriz.
Visual de apoio — Matriz de riscos
Como ler: A posição do risco resulta da combinação entre probabilidade e impacto; a matriz apoia a priorização, não substitui o julgamento.
Fonte: Wikimedia Commons.