Durante o CONGESQUA 2026, na palestra “Gestão de riscos em ambientes digitais e de alta velocidade”, fizemos uma enquete ao vivo com a plateia. A pergunta era simples e desconfortável: há quanto tempo a sua organização não revisa o mapeamento de riscos?

O resultado foi honesto, e por isso mesmo revelador. A maior parte das respostas ficou entre seis meses e um ano. Cerca de 28% admitiram que a última revisão aconteceu há mais de um ano. E apenas 4%, ou seja, uma ou duas pessoas entre dezenas de respondentes, tinham revisado sua matriz nos últimos trinta dias.

Poderíamos ter sido mais provocativos e incluído as opções “há mais de dois anos” e “há mais de cinco anos”. Quem audita sistemas de gestão sabe que essas alternativas também seriam marcadas. E aqui não vale tapar o sol com a peneira: reconhecer o problema é a única forma de resolvê-lo.

A boa notícia é que ninguém está sozinho nesse diagnóstico. A má notícia é que o mundo não esperou pela sua próxima revisão.

O mundo não esperou você revisar a planilha

Faça o exercício com o seu próprio calendário.

Nos últimos 30 dias, mudaram cenários geopolíticos, oscilaram preços de commodities e câmbio, surgiram novas ameaças cibernéticas (inclusive com uso de inteligência artificial para invadir sistemas de segurança) e ocorreram eventos climáticos relevantes. Se a sua última revisão tem mais de um mês, todos esses fatores ficaram de fora da sua tomada de decisão.

Nos últimos 90 dias, entram no caldo mudanças tarifárias internacionais, eventos climáticos extremos em diferentes regiões do país e alterações de cenário político com efeito direto sobre marcos regulatórios.

Nos últimos 180 dias, o conjunto de variáveis já se recombinou tantas vezes que a comparação perde sentido.

Em 12 meses, o veredito é mais duro: você não está decidindo sobre a sua empresa. Está decidindo sobre uma empresa que não existe mais. Na linguagem das normas ISO, o contexto da organização mudou por completo, e a análise que sustenta suas decisões continua ancorada em um cenário que já passou.

E não pense que revisar ontem resolve. A apresentação usada nessa palestra foi montada duas semanas antes do evento. No dia da exibição, vários exemplos já estavam defasados e precisariam ser trocados. É assim mesmo: a pressão sobre quem decide é permanente, não periódica.

Risco não é evento. Risco é fluxo

Essa é a mudança conceitual central.

A prática mais comum trata o risco como um evento a ser catalogado: identifica-se um cenário, atribui-se uma probabilidade, atribui-se uma severidade, multiplica-se, arquiva-se. Uma fotografia.

Só que o risco se comporta como um processo contínuo. Ele se modifica a cada nova variável: uma decisão política, um movimento mercadológico, uma alteração socioeconômica, uma mudança climática, uma nova tecnologia. Esses ingredientes se combinam e se transformam, e a cada momento formam um cenário diferente para a tomada de decisão.

Manter o risco como fotografia periódica, num ambiente que se comporta como fluxo, produz um desalinhamento estrutural: quanto mais rápido o negócio anda, mais atrás fica o sistema que deveria protegê-lo.

É como dirigir olhando pelo retrovisor. Você enxerga apenas o que já aconteceu, e quando enxerga, a chance de se antecipar já passou. Junto com ela, passou também a chance de usar o risco a favor do negócio, porque todo risco carrega uma oportunidade do outro lado.

O mal-entendido que trava todo mundo

A conclusão lógica parece ser “então preciso revisar a matriz toda semana”. Não é isso, e é importante deixar claro.

Se hoje o seu procedimento prevê revisão a cada dois anos, migrar para revisão diária não é solução, é armadilha. Sua equipe deixaria de fazer todo o resto para fazer apenas gestão de risco. E, mesmo assim, continuaria desatualizada, porque nenhuma frequência de revisão manual acompanha a velocidade das variáveis externas.

O ponto não é revisar mais vezes. O ponto é parar de depender da revisão para decidir.

Isso significa migrar de um modelo em que a decisão espera a atualização da matriz para um modelo em que a decisão é disparada pelo comportamento dos fatores que afetam o risco. Em vez de perguntar “quando devemos revisar essa matriz?”, a pergunta passa a ser “o que precisa mudar no mundo para que esse risco mude, e como eu percebo isso acontecendo?”.

É uma mudança de chave, não de frequência.

O que dá para fazer já na próxima semana

1. Assuma o diagnóstico. Levante a data da última revisão de cada mapeamento de risco da organização. Só esse número já costuma provocar a conversa certa na diretoria.
2. Priorize. Não tente cobrir tudo. Selecione os cenários mais relevantes, os seus dez riscos críticos, ou o tema que mais dói hoje (acidentes, segurança da informação, dependência de fornecedores).
3. Troque o gatilho de tempo por gatilho de evento. Na norma interna de gestão de riscos, substitua ou complemente “revisar anualmente” por critérios que reflitam mudanças reais de contexto.
4. Olhe para o que já existe. A maior parte das empresas já monitora desvios, quase acidentes, reclamações, atrasos de fornecedores e vulnerabilidades críticas. O problema raramente é falta de dado. É falta de conexão entre esses dados e a matriz.
5. Leve o assunto para a reunião de análise crítica. Se a diretoria nunca discute risco fora do calendário de auditoria, a matriz é um documento protocolar, não uma ferramenta de gestão.

O critério final

Uma ferramenta de gestão só se justifica se o negócio se beneficia dela: reduzindo desperdício, reduzindo acidentes, protegendo reputação, aumentando faturamento ou tornando a decisão mais lúcida. Se o seu mapeamento de riscos existe apenas para ser mostrado ao auditor uma vez por ano, ele não está cumprindo a função para a qual foi criado.

Fica a pergunta para levar embora: a sua gestão de risco acompanha o seu negócio, ou está lá atrás, observando o negócio seguir em frente sem ela?

Nos próximos artigos desta série, saímos do diagnóstico e entramos no método. No artigo 2, mostramos por que monitorar o número final da matriz é insuficiente e como trabalhar com fatores de risco e indicadores-chave de risco (KRIs). No artigo 3, tratamos da relação entre risco e oportunidade e de como levar o tema para a rotina estratégica da organização.

Fale com a PM Analysis

Quer avaliar o grau de atualização e de conexão do seu mapeamento de riscos? Fale com um especialista da PM Analysis ou conheça o PM Driver, plataforma que conecta requisitos legais, riscos, planos de ação e indicadores em um único ambiente.

Conteúdo baseado na palestra “Gestão de riscos em ambientes digitais e de alta velocidade”, apresentada por Flávio Oliveira, diretor e sócio da PM Analysis, no CONGESQUA 2026.