A matriz 5×5 não decide nada

A matriz de calor é uma ferramenta de comunicação que virou, por acidente, uma ferramenta de decisão. O resultado são reuniões em que todos concordam que o risco é “alto” e ninguém sabe dizer o que fazer na segunda-feira.

O problema aritmético

Multiplicar uma escala ordinal por outra escala ordinal não produz uma quantidade. Quando você define probabilidade de 1 a 5 e impacto de 1 a 5, o “15” de um risco não é a metade do dobro de um “7,5”; as posições são rótulos, não medidas. Some a isso a prática comum de calcular a média entre avaliações de pessoas diferentes e você obtém um número que não representa a visão de ninguém.

Há um efeito colateral mais grave: a matriz achata a cauda. Um evento de baixa probabilidade e impacto catastrófico — o que efetivamente quebra empresas — cai na mesma célula de um evento frequente e irrelevante.

O que a ISO 31000 realmente pede

A norma de 2018 não prescreve matriz nenhuma. Ela pede critérios de risco definidos antes da análise: o que a organização considera consequência significativa, que horizonte de tempo importa, como a incerteza será expressa e como riscos combinados serão tratados. Definir isso é mais trabalhoso do que colorir células — e é o que transforma avaliação em decisão.

Apetite, tolerância e limite: três coisas distintas

• Apetite é a quantidade de risco que a organização está disposta a assumir na busca dos seus objetivos. É uma escolha estratégica, do conselho, expressa em frases que orientam trade-offs.
• Tolerância é a variação aceitável em torno do desempenho esperado de um objetivo específico. Tem número e unidade.
• Limite é o ponto a partir do qual alguém precisa ser avisado e uma ação precisa ocorrer. Tem dono e prazo.

Exemplo de uma declaração que funciona: “Aceitamos risco de crédito para crescer na carteira de pequenas empresas, com inadimplência acima de 90 dias tolerada até 3,5% do saldo. A partir de 4,2%, a concessão nesse segmento é suspensa até deliberação do comitê de crédito.” Compare com “temos apetite moderado a risco de crédito” — a segunda frase não produz nenhuma consequência verificável.

Como calibrar uma escala que sirva

1. Ancore o impacto em números da sua realidade. Percentual do EBITDA, dias de interrupção, número de titulares de dados afetados, multa máxima aplicável — nunca “alto / médio / baixo”.
2. Expresse probabilidade como frequência esperada. “Uma vez a cada dez anos” é avaliável; “improvável” é interpretável.
3. Avalie separadamente risco inerente e residual, e registre em que controles você está confiando para chegar do primeiro ao segundo. É essa lista que a auditoria vai testar.
4. Trate incerteza alta como informação. Quando a faixa de estimativa é muito larga, a primeira resposta não é mitigar: é reduzir a incerteza.
5. Force a priorização. Se o mapa tem 180 riscos, ele tem zero prioridades. Um conselho consegue acompanhar de oito a doze riscos com profundidade real.

O ritual importa mais que o artefato

Um processo de riscos que não está amarrado ao calendário de planejamento e orçamento é um processo paralelo — e processos paralelos morrem. O encaixe mínimo: revisão de riscos antes da definição de metas, limites revisados quando o orçamento é aprovado, e reporte trimestral ao comitê com o que mudou, não com o mapa inteiro repetido.

A pergunta que encerra toda boa reunião de risco é simples: o que decidimos diferente por causa disso? Se a resposta for “nada” por três trimestres seguidos, o processo virou ritual vazio — e vale mais reconstruí-lo pequeno do que mantê-lo grande.