Riscos – Registro de riscos: como ler a matriz e a pontuação
O registro de riscos é a lista do que pode dar errado na sua empresa, com o tamanho de cada coisa e quem responde por ela. Praticamente toda norma pede esse registro, e quase toda auditoria começa por ele.
A tela abre com uma frase que resume o propósito: identifique, avalie e gerencie riscos em sua organização. As três palavras são etapas, e a maioria das empresas para na primeira.
O que a lista mostra
Cada risco aparece com estas informações:
| Coluna | O que significa |
|---|---|
| Nome | O risco em uma frase |
| Categoria | O tipo de risco, conforme as categorias que você define |
| Severidade | O tamanho do dano se acontecer |
| Probabilidade | A chance de acontecer |
| Status | Em que ponto do tratamento ele está |
| Responsável | Quem responde por ele |
| Vencimento | A data acordada para o tratamento |
Riscos criados pela própria plataforma trazem a marca Gerado automaticamente. Vale saber distinguir, porque eles chegam com uma avaliação padrão que precisa da sua revisão. O tutorial Riscos gerados automaticamente por controles falhando explica.
Como ler a pontuação
Cada risco recebe uma Pontuação de Risco e um Nível de Risco. A tela de cadastro mostra como ela se forma: a pontuação combina Severidade e Probabilidade.
A lógica é a que se usa em gestão de risco desde sempre. Um problema devastador que quase nunca acontece e um problema pequeno que acontece toda semana podem exigir atenção parecida, e a pontuação é o que permite comparar os dois na mesma régua.
As escalas disponíveis:
Severidade: Crítico, Alto, Médio, Baixo.
Probabilidade: Muito Alta, Alta, Média, Baixa, Muito Baixa.
Um ponto de cuidado que vale mais que a mecânica: a pontuação só é útil se as avaliações forem consistentes. Se cada pessoa classifica com critério próprio, a lista ordenada não significa nada. Combine internamente o que é “Alto” antes de cadastrar muita coisa.
Como ler a matriz
A Matriz de Risco cruza probabilidade e severidade e posiciona cada risco nesse cruzamento. Ela responde à pergunta que a lista não responde bem: onde está a concentração?
O que procurar:
- Canto de alta severidade com alta probabilidade. É onde a atenção deveria estar. Se houver algo ali sem responsável ou sem data, esse é o primeiro trabalho.
- Aglomerado no meio. Muito comum, e quase sempre sinal de avaliação preguiçosa. Quando quase tudo é “Médio e Média”, ninguém decidiu nada.
- Vazio na severidade alta. Pode ser bom sinal, ou pode significar que a empresa ainda não olhou para o que dói de verdade.
Os outros três gráficos
Distribuição por Criticidade mostra quantos riscos há em cada nível de severidade. Útil para uma conversa rápida com a liderança.
Tendências de Risco, últimas 12 semanas compara riscos abertos com riscos fechados ou mitigados. É o gráfico mais honesto do módulo: se a linha de abertos cresce e a de fechados fica parada, o registro está virando um depósito.
Riscos por Responsável mostra a distribuição por pessoa, incluindo a coluna Não atribuído. Uma barra grande em “Não atribuído” é o achado mais comum e o mais fácil de corrigir.
Status, e o que cada um comunica
| Status | Significado |
|---|---|
| Aberto | Identificado, ainda sem tratamento concluído |
| Mitigado | Tratado, com o nível reduzido |
| Aceito | Decidiu-se conviver com ele, de forma consciente |
| Fechado | Encerrado |
Aceito merece uma observação. Ele não é o status de quem desistiu, é o status de quem decidiu. Um risco aceito com justificativa registrada e responsável definido é uma resposta legítima em qualquer norma. Um risco aberto há dois anos sem nada não é.
Filtros que ajudam de verdade
Além de busca por texto, é possível filtrar por status, severidade, categoria, departamento e responsável, incluindo os atalhos Atribuído e Não atribuído.
Três combinações que valem virar rotina:
- Não atribuído, para acabar com o problema mais básico.
- Aberto com severidade Crítico ou Alto, que é a sua fila real de trabalho.
- Por departamento, quando a conversa é com uma área específica.
Já tem um registro em planilha?
Existe Importar riscos, para trazer o que já está em planilha em vez de redigitar. É o caminho recomendado quando a empresa chega com um inventário pronto.
Problemas comuns
A lista cresce e nada fecha. Olhe o gráfico de tendências. Registro que só recebe não é gestão de risco, é arquivo.
Quase tudo é Médio. Sinal de que a avaliação não está sendo feita com critério. Vale revisar os itens de maior impacto com alguém que conheça o negócio.
Muitos riscos sem responsável. Risco sem dono não é tratado. Use o filtro Não atribuído e resolva em lote.
Muitos riscos com a mesma avaliação e a marca Gerado automaticamente. Esperado. Eles chegam com uma avaliação padrão e dependem da sua revisão para valerem algo.
Este artigo foi útil?