Este é o segundo artigo da série Gestão de riscos em alta velocidade. No artigo anterior, tratamos do diagnóstico: a matriz revisada por calendário já nasce desatualizada. Agora entramos no método.
O número 15 não significa nada sozinho
Toda organização que faz gestão de riscos chega, em algum momento, ao mesmo ritual. Monta-se a matriz cruzando severidade e probabilidade, aplica-se a fórmula, e o sistema devolve um número. Risco 15.
E aí? Quinze é muito ou pouco? Depende do apetite e da tolerância ao risco definidos na sua política. Tudo bem, isso está resolvido: existe um critério, existe um limite, existe uma classificação entre tolerável e não tolerável.
O problema não é o número. O problema é que ele é a única coisa que a maioria das empresas monitora.
Você pode ter mil cenários mapeados e, ainda assim, estar olhando apenas para o resultado de cada um deles. É o equivalente a acompanhar a saúde de um paciente medindo somente a temperatura no dia da consulta anual.
O erro silencioso: monitorar o efeito e ignorar as causas
O que praticamente ninguém monitora com regularidade são os fatores causadores do risco, ou seja, as variáveis que fazem aquela probabilidade subir ou descer e aquela severidade aumentar ou diminuir.
E existe um problema anterior a esse, ainda mais comum: em muitos casos, a organização sequer sabe quais são esses fatores. Nunca fez o exercício de explicitar a relação de causa e efeito entre o que acontece no mundo e o que acontece na sua matriz.
O custo dessa lacuna aparece sempre da mesma forma. Um fornecedor estratégico começa a acumular ações trabalhistas ou passa a aparecer na mídia por questões reputacionais. Como ele trabalha em nome da sua organização, o risco reputacional já está subindo. Mas você só descobre quando o problema estoura, quando vira notícia, quando o caos já se instalou.
O mercado financeiro oferece exemplos abundantes: instituições que ofereciam rendimentos muito acima da média foram procuradas por milhares de investidores, pessoas físicas e jurídicas. Alguns desconfiaram e ficaram de fora. A maioria só percebeu o tamanho do risco quando o assunto chegou aos jornais. O risco não apareceu do nada naquele dia. Ele vinha se acumulando em fatores observáveis, que ninguém estava observando.
Em uma frase: gestão de risco reativa não é gestão de risco. É registro de ocorrência.
Passo 1: seu mapa de riscos precisa de uma coluna que ele provavelmente não tem
É raro encontrar mapeamentos de risco com um campo dedicado ao fator de risco, isto é, à causa que provoca ou modifica aquele cenário. A maioria das planilhas e sistemas para em cenário, severidade, probabilidade, controle e plano de ação.
Essa coluna é o início de tudo. Sem entender o que altera o risco, não há como monitorar nada além do próprio risco consumado.
Para descobrir esses fatores, existe uma caixa de ferramentas madura e pouco explorada: a ISO 31010, que reúne técnicas aplicáveis à gestão de riscos. Análises do tipo “e se determinada coisa acontecer, como o risco se comporta”, estudos estruturados de perigo e operabilidade, análises de causa e efeito e autoavaliações de risco e controle ajudam exatamente nisso: explicitar a causalidade dos cenários mais relevantes para a sua organização.
Não é necessário aplicar tudo isso a todos os riscos. Aplique aos cenários críticos, aos seus dez principais, ou ao tema que mais pressiona o negócio neste momento.
Passo 2: transformar fatores em indicadores (KRIs)
Uma vez explicitados os fatores, cada um deles precisa de um indicador que permita acompanhar sua variação. São os KRIs, key risk indicators, indicadores-chave de risco.
A diferença em relação aos indicadores tradicionais é de finalidade. O indicador de desempenho conta o que já aconteceu. O KRI acompanha a variável que antecede o acontecimento.
| Cenário de risco | Fatores que alteram o risco | KRIs possíveis |
|---|---|---|
| Ataque cibernético | Exposição e vulnerabilidade dos sistemas, comportamento do usuário | Vulnerabilidades críticas em aberto, tempo sem atualização de sistemas, volume de tentativas de acesso, resultado de simulações de phishing |
| Interrupção na cadeia de suprimentos | Dependência de fornecedores, riscos logísticos, cenário político e tarifário | Entregas no prazo, atrasos acumulados, concentração de compras em um único fornecedor, dependência de uma única rota de escoamento |
| Falha de terceiros e risco reputacional | Situação jurídica, trabalhista e societária do parceiro, exposição na mídia | Alertas de novos processos, presença negativa em mídia e redes sociais, sinalização em ferramentas de due diligence |
| Acidente do trabalho | Condições de campo, aderência a procedimentos, eficácia dos controles | Desvios observados em inspeções, registros de quase acidentes, percentual de controles verificados como eficazes |
| Risco financeiro e cambial | Câmbio, juros, tarifas de transação internacional | Cotações monitoradas com limites definidos, exposição em moeda estrangeira, custo de matéria-prima importada |
Repare em uma coisa: quase todos esses dados já existem dentro das empresas. Praticamente ninguém faz apontamento em caderno hoje. Está tudo em sistema ou, no mínimo, em planilha. O que falta não é o dado. É a conexão entre o dado e a matriz de risco.
Passo 3: limites de controle, ou o indicador vira decoração
Um KRI sem limite de ação é um gráfico bonito que não muda comportamento nenhum.
Todo indicador precisa de faixas que acionem decisão. Se o dólar ultrapassar determinado patamar, a política de compras muda. Se voltar ao patamar anterior, a política anterior é retomada. Se o número de vulnerabilidades críticas passar de um limite definido, a janela de atualização é antecipada. Se a concentração em um fornecedor superar o percentual aceito, o processo de homologação de alternativa é disparado.
É isso que transforma uma tabela estática em painel, farol e alerta. E é isso que permite decisão adaptativa: a resposta acontece quando a variável se move, não na data em que o calendário mandar revisar.
Passo 4: conectar a matriz ao resto do sistema de gestão
Aqui está talvez a maior oportunidade prática, porque envolve informação que a empresa já produz e desperdiça.
Incidentes e a probabilidade
Quando um incidente é registrado e está associado a um cenário mapeado, isso deveria acender um alerta automático: a probabilidade que você classificou como muito baixa não é tão baixa assim, já que o cenário se materializou.
Acidentes e a severidade
Se um risco de queda em trabalho em altura foi classificado com severidade baixa, sob a premissa de que ninguém se machucaria gravemente, e ocorre um acidente com danos permanentes, a severidade estava subestimada. A matriz precisa refletir isso.
Verificação de eficácia dos controles em campo
Toda matriz embute uma premissa: a de que o controle existente reduz o risco potencial a um risco residual aceitável. Se o controle não está implantado ou não é eficaz, essa premissa cai e o risco sobe. Verificar isso em campo, com dispositivo móvel, registro fotográfico e classificação de eficácia, e sincronizar o resultado com o mapeamento, é um dos caminhos intermediários mais eficientes para dar dinamismo à gestão de riscos. É o princípio por trás do módulo GO CHECK do PM Driver, integrado ao módulo de gestão de riscos.
Auditorias, desvios, reclamações e anomalias
Tudo o que o sistema devolve como informação de desempenho é evidência sobre se o risco está ou não onde você imaginava.
O ciclo não é novidade. A ISO 9001 já provoca a atualização de riscos e oportunidades no requisito de não conformidade e ação corretiva. E o setor automotivo, muito antes da mentalidade de risco chegar às normas de sistema de gestão, já exigia que o FMEA fosse atualizado continuamente a partir das reclamações de clientes. O desafio atual não é descobrir o ciclo: é executá-lo em um ritmo compatível com a velocidade do negócio.
O caso mais maduro de monitoramento contínuo: due diligence
Quem trabalha com compliance e integridade, especialmente na implantação da ISO 37001 e da ISO 37301, conhece o dilema da due diligence de terceiros.
O modelo tradicional funciona exatamente como a matriz anual: antes de fechar um contrato relevante, contrata-se um levantamento do histórico do fornecedor, sócios, processos, pendências trabalhistas. Tira-se a fotografia. E só se olha de novo dali a doze meses. Doze meses é tempo suficiente para que praticamente tudo mude.
Já existem ferramentas que fazem monitoramento contínuo desse mesmo escopo: acompanhamento de presença na mídia, atualização de processos judiciais, alterações societárias, com painéis que sinalizam cada terceiro em verde ou vermelho. A consulta deixa de ser um evento pontual e passa a ser uma condição permanente, disponível no momento em que a decisão de compra precisa ser tomada.
O mesmo raciocínio já é rotina em outros contextos sem que ninguém chame de gestão de risco. O agronegócio monitora previsão do tempo quase em tempo real porque o clima afeta diretamente a operação. O mercado financeiro monitora cotações continuamente porque a variável muda a exposição a cada instante. Em ambos os casos, o que se faz é decidir com base na variação do fator, não na revisão periódica de um documento.
O roteiro, em cinco passos
- Revisar o levantamento de riscos incluindo o campo de fatores. Explicitar a causa, não apenas o cenário.
- Definir KRIs para os fatores dos cenários prioritários. Um indicador por variável relevante, começando pelo que já é medido.
- Estabelecer limites de controle e ação para cada indicador. Sem limite, não há alerta. Sem alerta, não há decisão.
- Conectar o resultado ao sistema. Incidentes, desvios, auditorias e verificação de eficácia de controles devem realimentar a matriz.
- Revisar os cenários continuamente, com apoio do monitoramento, em vez de depender exclusivamente da revisão programada.
Nada disso é futurista e nada disso é especialmente difícil. Fica difícil quando se tenta implantar tudo, para todos os riscos, ao mesmo tempo. Por etapas, por cenário crítico ou por tema prioritário, é perfeitamente viável.
No próximo artigo desta série, fechamos o ciclo tratando da relação entre risco e oportunidade e de como levar esse tema para a mesa da diretoria.
Fale com a PM Analysis
Quer estruturar fatores de risco e KRIs conectados ao seu sistema de gestão? Converse com a PM Analysis sobre o módulo de gestão de riscos do PM Driver.
Conteúdo baseado na palestra “Gestão de riscos em ambientes digitais e de alta velocidade”, apresentada por Flávio Oliveira, diretor e sócio da PM Analysis, no CONGESQUA 2026.
