Como mapear riscos da empresa numa matriz simples: identificar, pontuar probabilidade × impacto e definir controles

Gestão de riscos costuma aparecer nos relatórios de grandes empresas como algo sofisticado demais para o dia a dia de uma PME. Não é. Uma transportadora que depende de um único cliente, uma padaria que compra farinha de um único fornecedor ou um escritório de contabilidade que guarda dados sensíveis sem política de acesso — todos convivem com riscos concretos que podem ser mapeados numa planilha simples e revisados uma vez por ano.

Por que isso importa para governança e ESG

A ISO 37000, norma internacional de diretrizes sobre governança de organizações, lista a gestão de riscos como um de seus onze princípios estruturantes. Em paráfrase: cabe ao órgão de governança assegurar que riscos e oportunidades relevantes — incluindo os de natureza ambiental, social e ética — sejam identificados, avaliados e tratados de forma estruturada.

O Código de Melhores Práticas de Governança Corporativa do IBGC (6ª edição, 2023) vai na mesma direção: gerenciamento de riscos, controles internos e compliance fazem parte dos mecanismos de fiscalização e controle que qualquer organização deve organizar, independentemente do porte. O Código é voluntário e orientativo — não é lei nem norma certificável —, mas representa a referência nacional para o pilar "G" do ESG.

Para quem está montando um diagnóstico ESG ou definindo indicadores, o mapeamento de riscos é o ponto de partida lógico: você não consegue definir indicadores de controle sem antes saber o que precisa controlar.

Passo a passo: montando a matriz

1. Defina as categorias de risco

Antes de listar riscos soltos, organize-os em categorias. Sugestões práticas para uma PME:

• Operacional: falha de equipamento, perda de pessoal-chave, interrupção de fornecimento.
• Ético e de conduta: conflito de interesses, favorecimento indevido em compras, uso indevido de informação.
• Ambiental: descarte irregular de resíduos, consumo excessivo de recursos, passivos de licenciamento.
• Fornecedor e cadeia: dependência de um único fornecedor, fornecedor com práticas trabalhistas irregulares, atraso crônico de entrega.
• Legal e regulatório: mudança de legislação, não conformidade fiscal ou trabalhista.
• Reputacional e de partes interessadas: reclamação pública, perda de contrato por questão ESG, exposição em mídia.

Não precisa cobrir tudo de uma vez. Comece com as categorias mais relevantes para o seu negócio.

2. Levante os riscos em equipe

Reúna as pessoas que conhecem a operação — não apenas a liderança. Uma sessão de uma a duas horas com perguntas diretas resolve: O que pode dar errado aqui? Já aconteceu antes? O que depende de uma única pessoa ou fornecedor?

Registre cada risco numa linha da planilha: descrição objetiva, categoria e origem (interna ou externa).

3. Pontue probabilidade e impacto

Para cada risco, atribua duas notas numa escala simples — por exemplo, de 1 a 3 ou de 1 a 5:

• Probabilidade: qual a chance de isso ocorrer no próximo ano? (1 = baixa, 3 = alta)
• Impacto: se ocorrer, quão grave seria para a operação, finanças ou reputação? (1 = leve, 3 = grave)

Multiplique as duas notas: Risco = Probabilidade × Impacto. Esse número é o índice de prioridade. Um risco com probabilidade 3 e impacto 3 (resultado 9) exige atenção imediata; um com resultado 2 pode ficar para depois.

Não busque precisão científica. O objetivo é comparar riscos entre si e ordenar a atenção da equipe — não produzir um número exato.

4. Priorize e classifique

Ordene os riscos pelo índice. Defina três faixas:

• Alta prioridade (índices mais altos): exigem controle ativo e monitoramento frequente.
• Média prioridade: merecem controle, mas podem ser revistos em ciclo semestral.
• Baixa prioridade: registre e revise anualmente; não mobilize recursos agora.

5. Atribua responsável e controle

Para cada risco de alta e média prioridade, defina:

• Responsável: nome de uma pessoa, não de um departamento.
• Controle existente: o que já está sendo feito (mesmo que informalmente).
• Ação de melhoria: o que falta implementar e até quando.

Exemplo: risco de dependência de um único fornecedor de embalagens → responsável: gerente de compras → controle existente: nenhum → ação: cadastrar dois fornecedores alternativos até o próximo trimestre.

6. Revise ao menos uma vez por ano

Uma matriz desatualizada é pior do que nenhuma: passa falsa sensação de controle. Reserve uma revisão anual — e atualize sempre que houver mudança relevante no negócio, na regulação ou no ambiente externo.

Erros comuns

• Fazer a matriz sozinho: riscos operacionais reais aparecem quando quem executa participa da conversa.
• Pontuar todos os riscos como "alto": isso elimina a priorização e paralisa a ação. Force a distinção.
• Confundir risco com problema já ocorrido: risco é potencial; se já aconteceu, vire lição aprendida e veja se o controle falhou.
• Criar a planilha e arquivar: sem responsável e prazo, a matriz não muda nada. O valor está no processo, não no documento.
• Ignorar riscos ESG por achá-los "intangíveis": risco de fornecedor com trabalho irregular, por exemplo, é risco de contrato e reputação — muito concreto.

O que isso significa para uma PME

Uma empresa pequena não precisa de software especializado nem de consultoria cara para começar. Uma planilha com seis colunas (descrição, categoria, probabilidade, impacto, índice, responsável/controle) já cumpre a função. O que importa é a regularidade e a honestidade do processo.

Do ponto de vista ESG, o mapeamento de riscos é a base para definir indicadores que façam sentido: você só consegue medir o que importa quando sabe onde está a exposição real da empresa.

Por onde seguir

• Consulte o Código IBGC (6ª edição, 2023) — disponível no site do instituto — para entender como gerenciamento de riscos se encaixa na estrutura maior de governança.
• A ISO 37000:2021 oferece o referencial conceitual de governança, incluindo o princípio de gestão de riscos; é um documento pago, mas seus princípios são de acesso público em resumos oficiais.
• Para aprofundar a parte técnica de avaliação de riscos, busque profissionais habilitados em gestão de riscos ou auditoria interna — este artigo é educativo e não substitui assessoria especializada.