Gestão de riscos na operação: como identificar, priorizar e controlar o que pode dar errado

Pergunte a qualquer gestor de operação o que pode dar errado no próximo mês e a resposta vem rápida: fornecedor que atrasa, equipe desfalcada, sistema que cai, fiscalização que aparece sem aviso, chuva que trava o cronograma. A dificuldade quase nunca está em enxergar o risco. Está em decidir quais desses riscos merecem atenção agora, o que exatamente será feito e como alguém vai comprovar, dali a seis meses, que a decisão foi tomada e cumprida.

É essa a diferença entre ter preocupações e ter gestão de riscos. E, no Brasil, ela deixou de ser assunto exclusivo de auditoria: tanto o setor público quanto as empresas já operam sob normas que cobram processo e registro, não apenas boa intenção.

O que é risco (e o que não é)

A Instrução Normativa Conjunta MP/CGU nº 01, de 10 de maio de 2016, que dispõe sobre controles internos, gestão de riscos e governança no âmbito do Poder Executivo federal, define risco como a "possibilidade de ocorrência de um evento que venha a ter impacto no cumprimento dos objetivos", acrescentando que "o risco é medido em termos de impacto e de probabilidade". A mesma norma trata gestão de riscos como o "processo para identificar, avaliar, administrar e controlar potenciais eventos ou situações, para fornecer razoável certeza quanto ao alcance dos objetivos".

Duas consequências práticas saem dessa definição. A primeira: risco só existe em relação a um objetivo. Sem saber o que a operação precisa entregar, qualquer coisa vira risco e nada é prioridade. A segunda: a norma não promete eliminar o risco, promete "razoável certeza". Operação sem risco não existe; existe operação que sabe quais riscos aceitou correr.

Por que isso deixou de ser tema só de auditoria

No setor público, a IN Conjunta MP/CGU nº 01/2016 estabeleceu que os órgãos e entidades do Poder Executivo federal deveriam instituir sua política de gestão de riscos no prazo de doze meses contados da publicação da norma. Ela também fixou princípios (art. 14) e objetivos (art. 15) para essa gestão, entre eles o de "agregar valor à organização por meio da melhoria dos processos de tomada de decisão". Dois anos depois, o Tribunal de Contas da União publicou o Referencial Básico de Gestão de Riscos (2018), reunindo os principais modelos adotados pelo mercado, o processo básico de gestão de riscos, técnicas de uso corrente e orientações para estruturar a governança de riscos, com acesso gratuito e utilidade declarada tanto para o setor público quanto para o privado.

Nas empresas, o caminho veio pela segurança do trabalho. A Norma Regulamentadora nº 1, cuja redação vigente foi dada pela Portaria MTE nº 1.419, de 27 de agosto de 2024, e que entrou em vigor em 26 de maio de 2026, incorporou o Gerenciamento de Riscos Ocupacionais (GRO) à estrutura geral das Normas Regulamentadoras. O GRO é descrito como processo contínuo e sistemático de identificação de perigos, avaliação e controle dos riscos ocupacionais, e sua implementação deve ser formalizada por meio do Programa de Gerenciamento de Riscos (PGR). Detalhamos o que isso muda no dia a dia de quem trabalha fora do escritório na matéria sobre ordem de serviço e NR-1.

Os dois recortes são diferentes em escopo, mas convergem em um ponto que interessa a quem opera: a exigência não é ter um documento bonito. É ter um processo contínuo, com avaliação registrada e controle verificável.

Passo 1: montar o inventário de riscos da operação

O inventário é a lista estruturada dos riscos relevantes. Ele começa pelo objetivo, não pela lista de medos. Escolha um processo crítico (atendimento em campo, execução de contrato, manutenção de ativos), escreva o que ele precisa entregar e só então pergunte o que pode impedir essa entrega.

Como descrever um risco sem ambiguidade

Risco escrito como "falta de recursos" não gera ação, porque não diz o que fazer. Uma descrição útil encadeia três elementos: causa, evento e consequência.

• Vago: "risco de atraso nos atendimentos".
• Útil: "Devido à dependência de um único fornecedor de peças (causa), pode faltar material para reparos corretivos (evento), o que atrasa o atendimento e descumpre o prazo contratado (consequência)."

A versão útil já sugere onde agir: no fornecedor, no estoque mínimo ou no prazo acordado. A versão vaga só gera reunião.

Onde procurar candidatos ao inventário: histórico de ocorrências e reclamações, ordens de serviço reabertas, atrasos recorrentes por região ou tipo de serviço, apontamentos de auditoria e fiscalização, quase acidentes relatados pela equipe e, principalmente, a conversa com quem executa. Quem está em campo costuma saber o que vai dar errado antes de qualquer painel.

Passo 2: priorizar por probabilidade e impacto

Como a própria norma indica, o risco é medido em termos de impacto e de probabilidade. Na prática, isso vira duas escalas simples e uma matriz que cruza as duas. O importante não é a sofisticação da escala, e sim que ela signifique a mesma coisa para todo mundo. Defina os níveis por escrito antes de pontuar:

Multiplicar os dois números dá uma nota de 1 a 25, que serve para ordenar a fila. Faixas usuais: até 6, risco baixo (monitorar); de 8 a 12, risco médio (plano de ação com prazo); de 15 a 25, risco alto (ação imediata e acompanhamento pela liderança). Escolha as faixas que fizerem sentido para o seu contexto e mantenha-as estáveis, senão a comparação entre um ciclo e outro perde valor.

Uma ressalva honesta: a matriz organiza a conversa, não a substitui. Riscos de baixa probabilidade e impacto catastrófico costumam receber nota média e, ainda assim, merecem tratamento. Trate a nota como ponto de partida da discussão, não como veredito.

Passo 3: escolher a resposta ao risco

Priorizar sem decidir não muda nada. A IN Conjunta MP/CGU nº 01/2016 orienta que a organização identifique qual estratégia seguir diante dos riscos mapeados e avaliados: evitar, transferir, aceitar ou tratar. São quatro caminhos distintos, e o erro comum é usar sempre o mesmo.

Aceitar é uma decisão legítima e frequentemente a mais racional. O que separa aceitação consciente de omissão é o registro: quem decidiu, com base em qual avaliação, em que data e sob qual alçada. Sem isso, a organização não aceitou o risco, apenas não olhou para ele.

Passo 4: transformar a resposta em controle que roda na rotina

Aqui mora a maior parte das falhas. O plano de ação existe, está aprovado, e mesmo assim nada muda, porque o controle não foi embutido no fluxo de trabalho de ninguém. Um controle só é real quando tem dono, momento definido, evidência e consequência quando não é feito.

Vale distinguir três tipos, que se complementam:

• Preventivo: impede o evento. Campo obrigatório no formulário, bloqueio de abertura de ordem de serviço sem endereço válido, dupla aprovação acima de um valor.
• Detectivo: avisa que o evento ocorreu ou está prestes a ocorrer. Alerta de prazo perto do vencimento, relatório de ordens paradas há mais de 48 horas, conferência por amostragem.
• Corretivo: reduz o dano depois do fato. Plano de contingência, equipe reserva, procedimento de reexecução com prazo próprio.

Repare que quase todos esses exemplos são, na verdade, regras dentro de um processo padronizado. É por isso que gestão de riscos e governança de atividades caminham juntas: sem processo definido não há onde encaixar o controle, e sem registro automático não há como comprovar que ele rodou. O mesmo raciocínio vale para prazos, tema que tratamos ao explicar como calcular e acompanhar o SLA.

Passo 5: monitorar, revisar e registrar

Risco não é foto, é filme. A norma federal descreve a gestão de riscos como processo, e a NR-1 usa a expressão "processo contínuo e sistemático" exatamente para afastar a leitura de que basta um documento anual. Na prática, isso significa combinar duas rotinas:

• Revisão periódica: um ciclo fixo (trimestral costuma funcionar) em que o inventário é reavaliado, os controles são verificados e as notas são atualizadas com o que aconteceu desde a última rodada.
• Revisão por gatilho: sempre que algo muda de forma relevante. Novo contrato, nova região de atendimento, troca de fornecedor crítico, mudança de sistema, alteração normativa ou uma ocorrência grave. Esses eventos mudam o mapa e não esperam o calendário.

Em ambos os casos, o que sustenta a gestão de riscos ao longo do tempo é a trilha: quem avaliou, quando, o que decidiu, qual evidência anexou. É esse histórico que responde a uma auditoria, a uma fiscalização de contrato ou, simplesmente, à pergunta interna mais desconfortável de todas: "por que ninguém viu isso chegando?".

Cinco erros que esvaziam a gestão de riscos

• A planilha que ninguém reabre: o inventário é feito uma vez, aprovado e arquivado. Sem ciclo de revisão, ele envelhece em semanas.
• Riscos escritos sem causa nem consequência: descrições genéricas geram planos de ação genéricos, que ninguém sabe executar nem cobrar.
• Matriz usada como argumento político: quando a nota é ajustada para justificar a prioridade que já se queria, a ferramenta perde a função de comparar.
• Controle sem evidência: "a equipe confere antes de sair" não é controle enquanto não houver registro de que a conferência foi feita naquele atendimento.
• Confundir gestão de riscos com seguro: transferir a consequência financeira não reduz a probabilidade do evento nem o impacto operacional sobre o cliente.