Matriz de riscos é uma tabela que cruza a probabilidade de um evento acontecer com o impacto que ele teria na empresa, para decidir quais riscos tratar primeiro. É a ferramenta central da gestão de riscos, também chamada de gerenciamento de riscos. Na pequena e média empresa, ela cabe em uma página: de dez a quinze riscos, cada um com nota, dono, tratamento e data de revisão. E é o material de que o conselho, ou os sócios onde não há conselho, precisa para decidir quanto risco a empresa aceita e acompanhar como cada um está sendo tratado.
O que é a matriz de riscos
A ISO 31000, norma internacional de gestão de riscos adotada no Brasil pela ABNT, define risco como o efeito da incerteza nos objetivos. O processo que ela descreve passa por identificar os riscos, analisá-los, avaliá-los, tratá-los, monitorá-los e registrar e relatar o que foi feito. A norma não impõe ferramenta; a matriz de probabilidade e impacto é a forma mais usada de fazer a análise e a avaliação, porque mostra numa folha o que pede atenção.
Probabilidade e impacto: as escalas
A matriz 5x5 usa cinco níveis para cada eixo. A nota do risco é a probabilidade multiplicada pelo impacto, de 1 a 25. Um exemplo de régua, para um horizonte de 12 meses:
| Nível | Probabilidade | Impacto | |---|---|---| | 1 | Rara: sem registro na empresa nem no setor nos últimos anos | Insignificante: menos de 0,5% do faturamento, sem efeito em cliente | | 2 | Improvável: já aconteceu no setor, não na empresa | Menor: até 2% do faturamento, resolvido pela própria área | | 3 | Possível: já aconteceu na empresa ou há sinal de que pode acontecer | Moderado: até 5% do faturamento, atraso a clientes | | 4 | Provável: há sinais concretos e recentes | Maior: até 15% do faturamento, perda de cliente relevante ou multa | | 5 | Quase certa: está em curso ou acontece todo ano | Crítico: acima de 15% do faturamento ou ameaça à continuidade |
Os percentuais são ilustrativos: calibre o impacto pelo caixa da sua empresa e escreva a régua antes da primeira nota. Sem ela, cada pessoa pontua com um critério diferente.
E a matriz, com as faixas de prioridade:
| Probabilidade / Impacto | 1 | 2 | 3 | 4 | 5 | |---|---|---|---|---|---| | 5 | 5 | 10 | 15 | 20 | 25 | | 4 | 4 | 8 | 12 | 16 | 20 | | 3 | 3 | 6 | 9 | 12 | 15 | | 2 | 2 | 4 | 6 | 8 | 10 | | 1 | 1 | 2 | 3 | 4 | 5 |
Uma divisão usual: de 1 a 4, baixo; de 5 a 9, moderado; de 10 a 16, alto; de 20 a 25, crítico. Para começar, a matriz 3x3 (baixa, média e alta) funciona bem.
Exemplo: a matriz de riscos de uma PME
O caso: uma fabricante de embalagens com 80 funcionários, que vende para redes de supermercado e indústrias de alimentos. A diretoria listou 12 riscos; estes são cinco deles.
| Risco | Sinal | P | I | Nota | Dono | Tratamento | |---|---|---|---|---|---|---| | Cliente que responde por 22% do faturamento entrar em recuperação judicial | Atrasos de pagamento recentes e processos publicados contra o cliente | 3 | 5 | 15 | Diretor financeiro | Limite de crédito por cliente, seguro de crédito e meta de reduzir a concentração abaixo de 15% | | Fornecedor único de resina parar de entregar | Um só fornecedor homologado para a principal matéria-prima | 3 | 4 | 12 | Gerente de compras | Homologar um segundo fornecedor e manter estoque de segurança de 20 dias | | Norma nova da Anvisa para embalagens em contato com alimentos | Consulta pública aberta pelo regulador | 2 | 4 | 8 | Responsável pela qualidade | Acompanhar o Diário Oficial e a consulta pública; reservar verba para adaptar a linha | | Sócio fundador sair de repente, sem sucessor | Concentra a relação com os cinco maiores clientes e as assinaturas bancárias | 2 | 5 | 10 | Presidente do conselho | Plano de sucessão com sucessor de emergência, procurações em dia e o segundo nome apresentado aos clientes | | Vazamento de senha de banco ou do sistema | Senhas compartilhadas em planilha e em mensagens; acessos de ex-funcionários ativos | 4 | 4 | 16 | Diretor administrativo | Cofre de senhas, login de dois fatores e revisão trimestral de acessos |
Dois desses riscos têm consequência definida em lei. Na recuperação judicial, estão sujeitos ao processo todos os créditos existentes na data do pedido, ainda que não vencidos (Lei 11.101/2005, art. 49): o que o cliente deve à empresa entra na fila. E, se o vazamento expuser dados pessoais e puder causar risco ou dano relevante aos titulares, a LGPD obriga a comunicar a Autoridade Nacional de Proteção de Dados e os titulares (Lei 13.709/2018, art. 48).
Como priorizar os riscos
- Pela nota. No exemplo, o vazamento de senha (16) e o cliente concentrado (15) vêm primeiro.
- No empate, pelo impacto. Entre dois riscos de mesma nota, trate antes o de impacto maior.
- Pelo custo do tratamento. Um risco alto com tratamento barato (revogar acessos de quem saiu) não deve esperar o orçamento do ano seguinte.
- Pelo apetite a risco. É o limite que o conselho define: “nenhum cliente acima de 15% do faturamento”, “nenhuma senha de banco fora do cofre”. Risco acima do limite pede tratamento, ainda que a nota seja moderada.
Para cada risco, há quatro caminhos: evitar (deixar de fazer a atividade), reduzir (mudar a probabilidade ou o impacto), compartilhar (seguro, contrato) ou aceitar, com a decisão registrada, o motivo e a data da próxima revisão.
Gestão de riscos: o dono de cada risco e a revisão
O dono do risco é uma pessoa identificada pelo nome na matriz, que acompanha os sinais, executa ou cobra o tratamento e presta contas.
Uma frequência que funciona na PME:
- Riscos críticos e altos: revisão mensal pelo dono e relato ao conselho a cada reunião.
- Moderados: revisão trimestral.
- Baixos: revisão semestral.
- A matriz inteira: uma vez por ano, junto com o planejamento.
- Revisão extraordinária: sempre que um sinal muda a nota, como a recuperação judicial de um cliente, a sanção de um fornecedor ou uma norma publicada.
Dê a cada risco alto um indicador que o dono atualiza, como a participação do maior cliente no faturamento ou os dias de estoque da resina. A evolução do indicador mostra se o tratamento surte efeito.
Como levar a matriz de riscos ao conselho
O Código das Melhores Práticas de Governança Corporativa do IBGC (6.ª edição, 2023) dá ao conselho de administração a tarefa de definir o apetite a riscos e assegurar que os riscos sejam identificados, analisados, mitigados e monitorados. Recomenda uma política de gestão de riscos aprovada pelo conselho, com os limites aceitáveis de exposição, e que conselho e diretoria revisem juntos o mapa de riscos. Onde não existe conselho, essa atribuição passa aos sócios.
Na prática, o rito tem quatro passos:
- Pauta. Riscos como item fixo, ao menos uma vez por trimestre, e em reunião extraordinária quando um risco crítico se materializa.
- Material prévio. Uma página por reunião: os cinco maiores riscos, o que mudou desde a última reunião (riscos novos, que subiram ou que foram encerrados), os indicadores e as decisões pedidas. O IBGC recomenda que o material chegue com antecedência e venha com um sumário e o posicionamento da diretoria.
- Discussão e deliberação. A discussão parte do que mudou desde a reunião anterior. O conselho aprova o apetite a risco, aprova tratamentos que custam dinheiro (o seguro de crédito, o segundo fornecedor) e aceita formalmente os riscos que não serão tratados.
- Ata e acompanhamento. A ata registra as decisões, as responsabilidades atribuídas e os prazos fixados, além dos votos divergentes, como pede o Código. Cada decisão vira tarefa com dono e prazo, e o andamento chega à reunião seguinte.
Como o Sonarview Boards e o Sonarview Monitor ajudam
No Sonarview Boards, o rito do conselho fica em um só lugar: pauta, materiais de leitura prévia, votação com quórum e ata assinada com ICP-Brasil, com validade jurídica e conferência por QR Code. As decisões viram tarefas com responsável e prazo, e o conselho acompanha cada marco e cada tarefa contra o prazo, com o farol de cada atualização: no prazo, em risco ou atrasada. Antes do voto, a IA explica a deliberação em linguagem simples. Dois riscos do exemplo têm lugar na mesma plataforma: a sucessão registra, por sócio, os sucessores e o sucessor de emergência, e o cofre guarda senhas e certificados digitais dentro da governança.
O Sonarview Monitor é a fonte dos sinais de fora: acompanha clientes e fornecedores em sanções e publicações judiciais, concorrentes e regulação, com 18 órgãos reguladores e o Diário Oficial, e cada sinal chega com a leitura de ameaça ou oportunidade, o impacto e o que fazer. Com ele, os riscos e as oportunidades chegam à mesa do conselho com a fonte ao lado. Veja também a página para conselheiros e colegiados e o diagnóstico do conselho.