Existe um teatro corporativo chamado “gestão de riscos”: uma planilha 5×5 pintada de verde-amarelo-vermelho, atualizada uma vez por ano, dias antes da auditoria. A ISO 31000 — principal referência internacional do tema — descreve outra coisa: riscos integrados à decisão, não arquivados ao lado dela.
As três palavras que separam gestão de coleção
Apetite: quanto risco a organização aceita correr para cumprir seus objetivos — decisão da alta direção, formalizada, que dá régua a todas as outras. Dono: cada risco relevante com um responsável nominal por monitorar e agir (não “a área”). Resposta: para cada risco acima do apetite, uma ação com prazo — mitigar, transferir, evitar ou aceitar conscientemente. Sem os três, a matriz é decoração.
Risco integrado à decisão, não paralelo a ela
O teste de maturidade é simples: nas decisões importantes (novo produto, contratação grande, mudança de sistema), a análise de risco aparece ANTES da aprovação? No setor público federal, a IN Conjunta MP/CGU nº 1/2016 e o Decreto nº 9.203/2017 exigem exatamente essa integração — e os órgãos de controle já aprenderam a pedir as evidências.
A ISO 31000 propositalmente não é certificável: seus autores queriam evitar que a gestão de riscos virasse indústria de selo desconectada da prática. A certificação existe indiretamente — via 27001, 22301, 37301 — todas construídas sobre o mesmo processo de risco.
Referências e legislação
- ISO 31000:2018 · Gestão de riscos — diretrizes
- IN Conjunta MP/CGU nº 1/2016 · Controles internos, gestão de riscos e governança no Executivo federal — acessar
- Decreto nº 9.203/2017 · Gestão de riscos como mecanismo de governança — acessar
- COSO ERM · Framework de gestão de riscos corporativos (referência)
Se a sua matriz tem 80 riscos, ela tem nenhum: atenção de gestão é recurso escasso. Prefira 12 riscos com dono, resposta e revisão trimestral a 80 linhas dormindo em planilha.
— Núcleo Técnico EBAEM · Empresa Brasileira de Assessoria Executiva e Multidisciplinar
Como a EBAEM ajuda: fale com nosso time e transforme este tema em plano de ação na sua organização.