Matriz de risco: como organizar probabilidade e impacto

Definições essenciais

Risco

Efeito da incerteza sobre um objetivo. Uma descrição útil liga evento, causas possíveis e consequências, sem tratar problema já ocorrido como possibilidade futura.

Probabilidade

Avaliação da chance de o evento ocorrer dentro de um horizonte definido, apoiada em critérios, registros, indicadores e conhecimento do processo.

Impacto

Avaliação da consequência do evento sobre objetivos como continuidade, pessoas, conformidade, finanças, informação ou reputação, segundo parâmetros previamente acordados.

Risco residual

Nível de risco que permanece quando são considerados os controles existentes e efetivamente em funcionamento; não deve ser confundido com a mera existência de um procedimento no papel.

A análise começa pelo objetivo e pelo contexto

A matriz só é comparável quando os participantes avaliam o mesmo horizonte, objetivo e escala. Antes de pontuar, registre o processo analisado, o resultado que precisa ser protegido, as partes afetadas e as fontes disponíveis. O Referencial Básico do TCU apresenta a gestão de riscos como apoio à governança e à tomada de decisão; a página de gestão de riscos do MJSP relaciona a análise à avaliação de probabilidade e impacto.

Evite descrições vagas como “risco de falha”. Uma formulação rastreável informa o evento e sua relação com o objetivo: “indisponibilidade do fornecedor único pode interromper o atendimento porque não existe alternativa testada”. Causas e consequências podem ser revisadas separadamente, e cada nota deve ter justificativa.

• Objetivo, processo e horizonte de análise estão definidos?
• O evento é incerto e está escrito sem conclusão ou culpado embutido?
• Causas e consequências relevantes foram separadas?
• As escalas possuem critérios observáveis, não apenas rótulos?
• Controles existentes foram confirmados na prática?
• Fonte, data, responsável e incerteza da avaliação serão registrados?

Como construir uma matriz útil

Escalas de três ou cinco níveis podem funcionar, desde que cada nível tenha significado para o contexto. Probabilidade pode combinar frequência observada, exposição e sinais de mudança; impacto pode considerar a maior consequência relevante ou dimensões separadas. Multiplicar números sem critérios consistentes produz falsa precisão.

1. Liste riscos ligados aos objetivos e consolide duplicidades sem apagar diferenças de causa ou consequência.
2. Defina critérios de probabilidade e impacto antes de classificar os casos conhecidos.
3. Atribua cada avaliação com justificativa, fonte, data e grau de incerteza.
4. Considere apenas controles comprovadamente ativos ao estimar o risco residual.
5. Posicione os riscos, compare resultados e teste se casos semelhantes receberam tratamento coerente.
6. Escolha resposta, responsável, prazo, indicador e condição de reavaliação.

Da prioridade ao tratamento e ao monitoramento

A posição na matriz não é uma resposta. Reduzir, evitar, compartilhar, aceitar ou preparar contingência exige decisão compatível com competência, custo, prazo e apetite a risco. Cada ação precisa de responsável e evidência de conclusão. Depois, o risco residual deve ser reavaliado; marcar a ação como concluída não prova que o efeito esperado ocorreu.

A matriz também precisa de manutenção. Mudança de fornecedor, tecnologia, norma, demanda ou incidente pode alterar probabilidade, impacto ou eficácia dos controles. Uma data de revisão e indicadores de alerta evitam que o documento se torne apenas um retrato antigo.

• A resposta foi formalmente decidida por quem tem autoridade?
• A ação possui responsável, prazo, recurso e resultado esperado?
• Existe indicador para verificar a efetividade do controle?
• Há um gatilho para reavaliar antes da revisão periódica?
• Risco aceito tem justificativa e acompanhamento compatíveis com o impacto?