Este é o terceiro e último artigo da série Gestão de riscos em alta velocidade. No artigo 1, fizemos o diagnóstico: a matriz revisada por calendário já nasce desatualizada. No artigo 2, entramos no método: fatores de risco, KRIs e limites de controle. Agora fechamos o ciclo, tratando da relação entre risco e oportunidade e de como levar o tema para a mesa onde as decisões acontecem.

A definição que muda a conversa

Risco costuma provocar aversão. É um assunto que a maioria das pessoas prefere tratar como obrigação normativa, algo que se resolve com uma planilha e se guarda numa pasta de auditoria.

Mas há uma definição que reposiciona o tema por completo: risco é a incerteza na busca de uma oportunidade. Sempre que uma organização tenta realizar alguma coisa, alguma coisa pode dar errado.

Risco e oportunidade não são temas opostos que convivem por acaso nas normas de sistema de gestão. São duas faces do mesmo movimento. Um não existe sem o outro.

Quando esse entendimento se instala, a gestão de riscos deixa de ser um mecanismo de defesa e passa a ser um instrumento de decisão.

O apartamento na planta e o apartamento pronto

Um exemplo cotidiano ajuda a fixar a ideia. Imagine que você decidiu trocar de casa e vai comprar um apartamento. Existem dois caminhos.

Comprar na planta costuma oferecer preço melhor. Em troca, você aceita uma incerteza relevante: pode receber um imóvel diferente do que foi vendido, com defeitos, com atraso, ou não receber. Você está comprando uma promessa.

Comprar pronto custa mais. Em troca, você pode visitar o imóvel, avaliar acabamento, testar o caimento do ralo do banheiro com uma bolinha de gude, verificar tudo o que, no papel, é impossível antecipar.

Nenhuma das duas opções é a correta. A gestão de risco é exatamente isso: uma troca consciente entre a oportunidade e a incerteza de obtê-la. A decisão depende do quanto de incerteza aquela pessoa, ou aquela organização, está disposta a carregar. Isso tem nome técnico: apetite ao risco.

Toda melhoria troca um risco por outro

Uma pergunta frequente em treinamentos e auditorias é se oportunidades de melhoria também podem ter riscos. A resposta é sim, e quase sempre têm.

O exemplo clássico: uma equipe é responsável por trocar lâmpadas no topo de postes. O procedimento tradicional envolve escada, subida, troca e descida, com risco evidente de queda. Alguém propõe uma melhoria: fazer a inspeção e parte da operação com drone.

O risco de queda desaparece. Mas surgem outros. Risco tecnológico, dependência de equipamento e de operador qualificado, necessidade de autorização para voo dependendo do local, e até exposição relacionada a captura e uso indevido de dados e imagens.

A melhoria não eliminou o risco. Ela trocou um conjunto de riscos por outro, provavelmente melhor, mas diferente. Quem avalia oportunidades sem reavaliar os riscos associados está tomando meia decisão.

Nem todo risco precisa de controle

Outra dúvida recorrente, e uma das mais úteis de esclarecer: todo risco identificado precisa obrigatoriamente ter um controle associado? Não.

Uma das formas legítimas de tratar um risco é aceitá-lo, decidir conscientemente correr aquele risco. Outros precisam ser controlados. O que separa um caso do outro é o critério definido pela organização, ancorado no seu apetite e na sua tolerância ao risco. A ISO 31000 oferece boa orientação sobre esse tema para quem quiser aprofundar.

E existe uma categoria intermediária, muito subestimada: o controle que é, na prática, monitoramento. Pense em um risco de mudança na composição da diretoria. Você não impede que ela ocorra, não faria sentido tentar. Mas pode acompanhar sinais, antecipar cenários e preparar respostas para lidar com as decorrências quando a mudança acontecer.

São três decisões válidas: aceitar, controlar ou monitorar. O erro não é escolher uma delas: é não decidir e deixar o risco registrado numa planilha, como se registrar fosse tratar.

O teste decisivo: essa ferramenta beneficia o negócio?

É impressionante quantas atividades sérias são executadas dentro das organizações apenas como protocolo. A matriz de risco existe, é atualizada na véspera da auditoria, é apresentada, é aprovada, e não muda absolutamente nada na forma como a empresa decide.

O critério que vale é simples e implacável: se a ferramenta não faz sentido para o negócio, ela deveria ser descartada imediatamente.

Ela só se justifica se o negócio se beneficia dela de alguma forma concreta: melhorando a reputação, reduzindo desperdício, reduzindo acidentes, aumentando faturamento, encurtando o tempo de decisão. Não existe terceira opção entre ser útil e ser desperdício de energia organizacional.

Vale o mesmo para indicadores. Muitas empresas mantêm dezenas deles porque o auditor vai pedir ou porque um cliente exige, e nenhum deles gera informação para decisão. O indicador que ninguém usa para decidir é custo, não controle.

Risco pertence à rotina executiva, não à pasta de auditoria

Aqui está a pergunta que separa as organizações que fazem gestão de risco das que fazem documentação de risco:

• Quantas reuniões de análise crítica da sua diretoria acontecem com o mapeamento de riscos na mesa?
• Quantas discutem os incidentes recentes ao lado dos cenários mapeados?
• Quantas decisões estratégicas do último trimestre foram tomadas olhando explicitamente para o perfil de risco atual da organização?

Se a resposta for baixa, não é o documento que está errado. É o lugar que ele ocupa.

Levar risco para a rotina estratégica significa que a discussão de novos mercados, novos fornecedores, novos investimentos e novas tecnologias passa pela pergunta “o que isso muda no nosso perfil de risco?”. E significa que a resposta a essa pergunta está disponível na hora, e não daqui a três meses, quando o comitê conseguir concluir a revisão.

Um bom sinal de maturidade, aliás, aparece em detalhes simples. Quando um auditor abre um mapeamento de riscos e encontra vinte, quarenta revisões, ou mapeamentos fragmentados por processo, cada área cuidando do seu, isso indica que o documento está vivo e que alguém o usa de verdade. Uma matriz na revisão 02, com quatro anos de existência, conta a história oposta.

Antifrágil: mais do que aguentar, melhorar

Nassim Nicholas Taleb popularizou o conceito de antifragilidade: sistemas que não apenas resistem ao estresse, mas melhoram por causa dele.

É esse o horizonte de uma gestão de riscos madura. Não se trata de eliminar a incerteza, o que é impossível, nem de suportar solavancos com estoicismo. Trata-se de usar cada evento, cada incidente, cada variação de cenário, como insumo para tornar a organização melhor do que era antes.

Sistemas estáticos e parados não fazem isso. Eles registram o passado e chegam sempre depois. E quem chega depois perde a chance de ser disruptivo, de ganhar mercado e de se beneficiar da oportunidade que todo risco carrega.

Uma observação honesta para encerrar

Ninguém está fora desse problema, inclusive quem trabalha com o tema profissionalmente. Consultorias, auditores e especialistas também estão o tempo todo reagindo a mudanças de cenário. Ninguém provoca as tendências: acompanha-se o mercado, tenta-se entender como ele funciona e responde-se da melhor maneira possível.

O sucesso possível, nesse contexto, começa por uma lucidez desconfortável: reconhecer que o modelo estático já não corresponde à realidade e que continuar dirigindo pelo retrovisor é uma escolha, não uma fatalidade.

A partir daí, o caminho é conhecido. Entender os fatores que movem cada risco, monitorá-los com indicadores e limites claros, conectar o sistema de gestão à matriz e trazer o assunto para a mesa onde as decisões acontecem.

Fale com a PM Analysis

Sua gestão de riscos acompanha a velocidade do seu negócio ou observa o negócio de longe? A PM Analysis apoia organizações na estruturação, revisão e digitalização da gestão de riscos. Fale com um especialista ou conheça o PM Driver.

Conteúdo baseado na palestra “Gestão de riscos em ambientes digitais e de alta velocidade”, apresentada por Flávio Oliveira, diretor e sócio da PM Analysis, no CONGESQUA 2026.