Matriz de risco elaborada por consultoria e arquivada não reduz risco nenhum. A que funciona é curta, revisada e ligada a responsáveis.
Avaliação periódica de riscos é exigência expressa do Decreto 11.129/2022. Na prática, a maior parte das matrizes falha por excesso: cem linhas, escalas de cinco níveis e nenhum dono.
Uma matriz utilizável começa pelo inventário de processos, não pelo inventário de riscos. Para cada processo relevante — compras, contratação, faturamento, relacionamento com poder público, tecnologia —, identifica-se o que pode dar errado, como isso já deu errado no setor, e o que hoje impede que aconteça.
A avaliação combina impacto e probabilidade. Impacto medido em consequência concreta: valor financeiro, interrupção operacional, sanção, dano reputacional. Probabilidade estimada a partir de histórico interno e do setor, não de intuição.
O resultado precisa gerar três colunas de ação: controle existente, lacuna identificada e plano de tratamento com responsável e prazo. Linha sem responsável nomeado é linha que não será tratada.
A revisão deve ser anual, com revisão extraordinária por gatilho: novo mercado, nova linha de produto, aquisição, incidente. E a matriz precisa ser lida pela alta direção — a evidência dessa leitura, em ata, é justamente o que demonstra o comprometimento exigido pelo decreto.
Matrizes boas costumam ter entre quinze e trinta linhas. Além disso, ninguém acompanha.
Referências
- Decreto 11.129/2022, art. 57, IV
- COSO ERM 2017
- ABNT NBR ISO 31000:2018
Conteúdo informativo. Não constitui parecer nem substitui análise do caso concreto.
