Matriz de Riscos Corporativos: Como Mapear, Avaliar e Priorizar Riscos na Prática

O problema não é a planilha: é o que acontece depois dela

A maioria das empresas brasileiras tem uma Matriz de Riscos. O problema é que a maioria dessas matrizes vive em uma planilha que ninguém atualiza, foi preenchida às vésperas de uma auditoria e não influencia nenhuma decisão de gestão.

Isso não é gestão de riscos. É aparência de gestão de riscos.

A diferença entre uma empresa que usa a Matriz de Riscos como ferramenta real de gestão e uma que a usa como documento de conformidade fica evidente quando algo dá errado. A primeira já identificou o risco, avaliou sua probabilidade e impacto, designou um responsável e tem um plano de resposta ativo. A segunda descobre o problema quando ele já se materializou.

Este artigo apresenta a metodologia completa para construir, aplicar e manter uma Matriz de Riscos Corporativos que funcione na prática, com base nos frameworks internacionalmente reconhecidos (ISO 31000:2018 e COSO ERM) e adaptada à realidade das empresas brasileiras de médio porte, incluindo as novas exigências de riscos psicossociais trazidas pela NR-1 atualizada e em plena fiscalização punitiva desde maio de 2026.

O que é uma Matriz de Riscos Corporativos

A Matriz de Riscos Corporativos é uma ferramenta de visualização e priorização que cruza dois eixos fundamentais de qualquer risco: a probabilidade de ocorrência e o impacto potencial caso o risco se materialize.

O resultado dessa combinação é uma grade que classifica os riscos identificados em zonas de criticidade: tipicamente: baixo, moderado, alto e crítico. Essa classificação orienta onde concentrar os esforços de mitigação e quais riscos podem ser aceitos, monitorados ou transferidos.

Mas a matriz é apenas uma ferramenta dentro de um processo mais amplo. Ela não existe sozinha. Para ter valor real, precisa estar integrada a um Programa de Gestão de Riscos que inclua identificação sistemática, avaliação estruturada, planos de resposta e monitoramento contínuo.

Os frameworks de referência: ISO 31000 e COSO ERM

Antes de entrar na metodologia prática, é importante entender os dois principais frameworks que orientam a gestão de riscos corporativos, e como eles se complementam.

ISO 31000:2018: o guia de princípios

A ISO 31000, adotada no Brasil como ABNT NBR ISO 31000, é a norma internacional de referência para gestão de riscos. Ela não é certificável: funciona como um guia de melhores práticas flexível, aplicável a qualquer organização independentemente de porte ou setor.

A versão 2018 da norma estrutura o processo de gestão de riscos em cinco etapas interativas:

1. Comunicação e consulta: alinhamento com partes interessadas internas e externas
2. Estabelecimento do escopo, contexto e critérios: definição do apetite por risco e dos parâmetros de avaliação
3. Avaliação de riscos: identificação, análise e avaliação
4. Tratamento de riscos: definição das respostas aos riscos priorizados
5. Monitoramento e análise crítica: acompanhamento contínuo e revisão periódica

Um ponto que a ISO 31000 enfatiza e que frequentemente é negligenciado na prática: risco não é apenas ameaça. É incerteza, o que inclui oportunidades que a empresa deixa de capturar por excesso de conservadorismo.

COSO ERM: o framework de governança

O COSO ERM (Enterprise Risk Management), desenvolvido pelo Committee of Sponsoring Organizations of the Treadway Commission, complementa a ISO 31000 com foco na integração entre gestão de riscos, estratégia e performance organizacional.

O COSO ERM é especialmente relevante para empresas que precisam demonstrar maturidade em governança: inclusive para fins de avaliação de Programas de Integridade pela CGU e para processos de due diligence de investidores e grandes clientes.

O Modelo das Três Linhas (atualização IIA 2026)

Uma atualização relevante de 2026: o IIA (Institute of Internal Auditors) publicou a versão revisada do Modelo das Três Linhas, que orienta a distribuição de responsabilidades na gestão de riscos:

A novidade de 2026 é o reconhecimento explícito do papel do órgão de governança (conselho, diretoria) como principal destinatário das informações de risco, não apenas a gestão executiva.

As 8 categorias de risco que sua empresa precisa mapear

Um mapeamento de riscos corporativos completo precisa cobrir pelo menos oito categorias. Cada uma tem vetores específicos e exige abordagens distintas de mitigação.

1. Riscos estratégicos

Decisões de negócio que podem comprometer os objetivos de longo prazo: entrada em mercados errados, perda de vantagem competitiva, fusões malsucedidas, mudanças regulatórias que afetam o modelo de negócio.

2. Riscos operacionais

Falhas em processos, sistemas, pessoas ou eventos externos que impactam a continuidade das operações: interrupção de sistemas críticos, falhas de fornecedores, erros de processo, acidentes operacionais.

3. Riscos de compliance e regulatórios

Descumprimento de leis, regulações ou padrões aplicáveis ao setor: LGPD, Lei Anticorrupção, NR-1, NR-5, NR-6, regulações do BACEN, CVM, ANVISA, COAF. Esses riscos têm crescido em importância com o aumento da fiscalização por parte de múltiplos órgãos reguladores simultaneamente.

4. Riscos financeiros

Liquidez, crédito, câmbio, inadimplência de clientes, exposição a fraudes financeiras e variações de mercado que afetam a saúde financeira da empresa.

5. Riscos trabalhistas e psicossociais

Esta categoria ganhou nova dimensão com a atualização da NR-1 (Portaria MTE 1.419/2024), que incluiu os fatores de riscos psicossociais no rol de riscos ocupacionais obrigatórios no PGR. Desde 26 de maio de 2026, a fiscalização punitiva está ativa.

Os riscos psicossociais que precisam constar explicitamente na Matriz de Riscos incluem:

• Assédio moral e assédio sexual no ambiente de trabalho
• Sobrecarga de trabalho e metas inatingíveis
• Liderança autoritária e gestão por intimidação
• Falta de autonomia e trabalho excessivamente repetitivo
• Insegurança no emprego e instabilidade organizacional
• Exposição a situações emocionalmente desgastantes (saúde, atendimento ao público)

Para cada risco psicossocial identificado, a empresa precisa de um plano de ação documentado, e de um canal de denúncias que permita a detecção precoce de ocorrências. O Eticonfidencial opera exatamente nessa função: canal seguro e anônimo para relato de situações de assédio e risco psicossocial, com rastreabilidade auditável para demonstrar conformidade com a NR-1 em fiscalizações.

6. Riscos de reputação e imagem

Crises que comprometem a percepção pública da empresa: escândalos éticos, falhas de produto, gestão inadequada de crises, exposição negativa em redes sociais, associação com parceiros de má reputação.

7. Riscos de segurança da informação e dados pessoais

Vazamentos de dados, ataques cibernéticos, acesso não autorizado a sistemas, falhas na proteção de dados pessoais de clientes e colaboradores. Com a ANPD intensificando as fiscalizações em 2026, essa categoria tem peso crescente, especialmente para empresas que tratam dados sensíveis.

8. Riscos de terceiros e cadeia de fornecimento

Fornecedores que praticam atos ilícitos em nome da empresa, parceiros com reputação comprometida, dependência crítica de um único fornecedor, falhas na cadeia de suprimentos. O serviço de due diligence de terceiros aprofunda esse vetor específico.

Como construir a Matriz de Riscos: passo a passo

Passo 1: Definir o contexto e o apetite por risco

Antes de mapear qualquer risco, a empresa precisa responder a duas perguntas fundamentais:

Qual é o contexto? Setor de atuação, porte da empresa, modelo de negócio, principais mercados, obrigações regulatórias, histórico de incidentes. O contexto determina quais categorias de risco são mais relevantes.

Qual é o apetite por risco? A quantidade de risco que a empresa está disposta a assumir para alcançar seus objetivos. Empresas mais conservadoras têm apetite baixo: qualquer risco moderado já exige resposta. Empresas mais arrojadas aceitam riscos maiores em troca de oportunidades de crescimento.

O apetite por risco precisa ser definido pela alta direção e documentado formalmente. Ele será o critério que determinará o que é "risco aceitável" e o que exige plano de ação obrigatório.

Passo 2: Identificar os riscos

A identificação de riscos não deve ser feita apenas pela área de compliance ou gestão de riscos: precisa envolver as áreas de negócio, que conhecem os riscos operacionais reais.

Técnicas eficientes de identificação incluem:

Workshops com lideranças: sessões estruturadas por área, onde gestores identificam o que pode dar errado nos seus processos, quais obrigações regulatórias se aplicam e quais eventos passados causaram problemas.

Entrevistas com colaboradores-chave, especialmente para riscos psicossociais, que frequentemente são invisíveis para a liderança mas conhecidos pelos colaboradores da linha operacional.

Análise de incidentes históricos, o que já aconteceu na empresa e no setor? Incidentes anteriores são os melhores indicadores de riscos futuros.

Consulta a regulações aplicáveis: quais são as obrigações legais da empresa? Cada obrigação descumprida é um risco de compliance que precisa constar no inventário.

Análise SWOT: as fraquezas identificadas na análise estratégica são vetores diretos de risco. As ameaças externas também.

O resultado desta etapa é o Inventário de Riscos: a lista completa de riscos identificados antes da avaliação. Neste momento, não descarte nenhum risco por parecer improvável. A triagem acontece na próxima etapa.

Passo 3: Avaliar os riscos (construir a matriz)

A avaliação de cada risco ocorre em dois eixos:

Probabilidade, com que frequência ou qual é a chance de este risco se materializar?

Impacto: quais são as consequências caso o risco se materialize?

O nível de risco é calculado multiplicando os dois eixos:

Nível de risco = Probabilidade × Impacto

O resultado varia de 1 a 25 e se distribui em quatro zonas:

Na leitura visual, riscos no canto superior direito exigem resposta prioritária, porque combinam alta probabilidade com alto impacto. Riscos nas faixas verde e amarela podem ser monitorados ou tratados com controles proporcionais, desde que estejam dentro do apetite por risco definido pela organização.

Passo 4: Definir as respostas aos riscos

Para cada risco avaliado, a empresa precisa definir uma das quatro estratégias de resposta:

Evitar: eliminar a atividade que gera o risco. Exemplo: descontinuar uma linha de produto que cria obrigações regulatórias que a empresa não tem condições de cumprir.

Mitigar/Reduzir: implementar controles que reduzam a probabilidade ou o impacto do risco. É a estratégia mais comum para riscos de compliance, operacionais e psicossociais.

Transferir/Compartilhar: repassar o impacto financeiro do risco para um terceiro. Exemplo: contratar seguro para riscos de responsabilidade civil; incluir cláusulas de compliance em contratos com fornecedores.

Aceitar: reconhecer o risco e não tomar nenhuma ação adicional. Válido apenas para riscos de baixo nível que estão dentro do apetite por risco da empresa.

Para riscos classificados como Alto ou Crítico, a estratégia de "aceitar" não é uma opção viável, especialmente em riscos regulatórios, onde a aceitação passiva pode configurar negligência.

Passo 5: Elaborar o Plano de Ação

Para cada risco que exige mitigação, o Plano de Ação precisa conter:

• O quê: a medida de controle a ser implementada
• Quem: o responsável pela implementação e pelo monitoramento
• Quando: prazo para implementação
• Como: recursos necessários e forma de execução
• Indicador, como será medida a eficácia do controle

Planos de ação sem responsável e sem prazo não são planos: são intenções.

Passo 6: Monitorar e revisar

A Matriz de Riscos não é um documento estático. Ela precisa ser revisada:

• Periodicamente: ao menos semestralmente para riscos de alto nível e anualmente para riscos menores
• Após eventos relevantes: incidentes, mudanças regulatórias, fusões, expansões, crises setoriais
• Após mudanças organizacionais: reestruturações, troca de liderança, mudanças no modelo de negócio

A revisão periódica é o que diferencia um programa de gestão de riscos vivo de uma planilha desatualizada.

Risco residual, o que fica depois dos controles

Um conceito frequentemente ignorado na construção de matrizes de riscos é o risco residual: o nível de risco que permanece após a implementação dos controles de mitigação.

A diferença entre o risco inerente (antes dos controles) e o risco residual (depois dos controles) é a medida da eficácia do programa de controles internos.

Por exemplo: uma empresa identifica o risco de fraude em compras (risco inerente: Alto: probabilidade 4 × impacto 4 = 16). Implementa controles como aprovação dupla para compras acima de determinado valor, due diligence de fornecedores e canal de denúncias. Com esses controles, o risco residual cai para Moderado (probabilidade 2 × impacto 3 = 6).

O risco residual precisa ser avaliado em relação ao apetite por risco da empresa: se ainda estiver acima do nível aceitável, novos controles são necessários.

A conexão entre Matriz de Riscos e Programa de Integridade

Para empresas que precisam demonstrar um Programa de Integridade estruturado: seja para participar de licitações (Lei 14.133/2021), para demonstrar conformidade com a Lei Anticorrupção ou para atender a exigências de grandes clientes: a Matriz de Riscos é o documento central.

O Decreto 11.129/2022 e o Guia de Programas de Integridade da CGU (2ª edição, 2024) são explícitos: o Programa de Integridade deve ser baseado em uma análise de riscos individualizada, proporcional ao perfil e às atividades da empresa.

Um programa de integridade que não tem uma matriz de riscos como fundamento não demonstra que as políticas e controles foram desenhados para os riscos reais do negócio, e isso pesa negativamente na avaliação da CGU.

Os riscos que tipicamente merecem atenção especial em um Programa de Integridade incluem:

• Interface com agentes públicos e processos licitatórios
• Relacionamento com Pessoas Politicamente Expostas (PEP)
• Operações em setores de alto risco (financeiro, saúde, defesa)
• Uso de agentes comerciais e representantes externos
• Presença em jurisdições com alto índice de corrupção

Treinamento e disseminação: o elo que fecha o ciclo

A Matriz de Riscos não pode ser um documento de uso exclusivo da área de compliance. Para ser eficaz, os riscos identificados precisam ser comunicados às pessoas que têm contato com eles no dia a dia.

Isso significa que:

• Gestores precisam conhecer os riscos de suas áreas e os controles pelos quais são responsáveis
• Colaboradores da linha operacional precisam saber identificar situações de risco, especialmente nos vetores de compliance, psicossocial e ético
• A alta direção precisa receber relatórios periódicos sobre o status dos principais riscos

O Intrx da Compliance Brazil permite estruturar esse treinamento com rastreabilidade completa: cada colaborador recebe o conteúdo adequado ao seu papel na gestão de riscos, com registro de conclusão e geração de certificados. Em uma fiscalização da CGU ou do MTE, a empresa consegue demonstrar que não apenas identificou os riscos, mas que treinou as pessoas para reconhecê-los e reagir a eles.

Erros comuns que tornam a Matriz de Riscos ineficaz

Com base na experiência em programas de gestão de riscos em diferentes setores, estes são os erros que se repetem:

1. Fazer a matriz uma vez e nunca atualizar O ambiente de negócios muda. Regulações mudam. A empresa muda. Uma matriz desatualizada é pior do que não ter matriz: cria falsa sensação de segurança.

2. Excluir riscos por serem "improváveis" A probabilidade raramente é zero. E riscos de baixa probabilidade com impacto catastrófico merecem atenção desproporcional: são exatamente esses que as empresas não estão preparadas para absorver.

3. Não envolver as áreas operacionais Uma matriz construída apenas pelo compliance ou pelo jurídico captura os riscos legais mas perde os riscos operacionais reais. As pessoas que operam o negócio conhecem o que pode dar errado melhor do que qualquer consultor externo.

4. Confundir controles existentes com riscos mitigados Ter uma política não significa que o risco foi mitigado. A política precisa ser implementada, conhecida pelos colaboradores e eficaz na prática.

5. Ignorar os riscos psicossociais Com a NR-1 em plena fiscalização punitiva desde maio de 2026, empresas que não incluíram os fatores psicossociais no seu PGR estão em desconformidade. Essa não é mais uma "boa prática": é uma obrigação legal.

6. Não definir responsáveis para cada risco Um risco sem dono não é gerenciado. Para cada risco identificado, precisa haver um responsável formal pelo monitoramento e pela execução do plano de ação.

7. Usar a mesma escala para todos os riscos Empresas em setores regulados (financeiro, saúde, energia) têm parâmetros diferentes de probabilidade e impacto em relação a uma empresa de serviços. A escala precisa ser calibrada para o contexto específico.

Checklist: sua Matriz de Riscos está completa?

Estrutura e metodologia

• Apetite por risco definido e aprovado pela alta direção
• Escala de probabilidade e impacto documentada e calibrada para o contexto da empresa
• As 8 categorias de risco (estratégico, operacional, compliance, financeiro, trabalhista/psicossocial, reputação, dados/segurança, terceiros) foram mapeadas
• Risco residual avaliado após a identificação dos controles existentes

Conteúdo e cobertura

• Riscos psicossociais (NR-1 atualizada) incluídos no inventário e avaliados
• Riscos de compliance específicos do setor identificados
• Riscos de terceiros e fornecedores mapeados
• Riscos de segurança da informação e LGPD incluídos

Plano de ação

• Todos os riscos Alto e Crítico têm plano de ação com responsável e prazo
• Estratégia de resposta (evitar, mitigar, transferir, aceitar) definida para cada risco
• Indicadores de eficácia dos controles definidos

Governança e monitoramento

• Responsável designado para cada risco identificado
• Periodicidade de revisão definida (semestral para riscos Alto/Crítico, anual para demais)
• Relatório de riscos sendo apresentado à liderança periodicamente
• Canal de denúncias ativo para relato de situações de risco (especialmente psicossociais)
• Colaboradores treinados sobre os riscos de sua área

FAQ: Perguntas frequentes sobre Matriz de Riscos

1. Qual a diferença entre o PGR da NR-1 e a Matriz de Riscos Corporativos?

O PGR (Programa de Gerenciamento de Riscos) da NR-1 é um documento de Segurança e Saúde no Trabalho, obrigatório por lei, que mapeia os riscos ocupacionais dos trabalhadores: incluindo os fatores psicossociais desde a atualização de 2024. A Matriz de Riscos Corporativos é mais ampla: cobre também riscos estratégicos, financeiros, de compliance, reputacionais e de terceiros que não são riscos ocupacionais. Na prática, as duas ferramentas se complementam: os riscos psicossociais identificados no PGR devem constar também na Matriz de Riscos Corporativos da empresa.

2. Com que frequência a Matriz de Riscos deve ser atualizada?

A frequência mínima recomendada pela ISO 31000 é anual para revisão completa. Mas riscos classificados como Alto ou Crítico merecem revisão semestral. Além disso, qualquer evento relevante: incidente, mudança regulatória, reestruturação, entrada em novo mercado: deve acionar uma revisão pontual dos riscos afetados.

3. A Matriz de Riscos precisa ser auditada externamente?

Não há uma obrigação legal geral de auditoria externa da Matriz de Riscos. Mas para empresas que precisam demonstrar maturidade em governança: para fins de avaliação da CGU, due diligence de investidores ou certificações: uma avaliação externa periódica agrega credibilidade ao programa. O Decreto 11.129/2022 prevê que o Programa de Integridade pode ser avaliado pela CGU a qualquer momento.

4. Pequenas empresas também precisam de uma Matriz de Riscos?

Sim, mas com proporcionalidade. Uma PME com 50 colaboradores não precisa de uma metodologia COSO ERM completa, mas precisa ter, no mínimo, um inventário dos principais riscos do seu negócio, uma avaliação básica de probabilidade e impacto e planos de ação para os riscos mais críticos. A ISO 31000 é explícita na sua flexibilidade para diferentes portes.

5. Como integrar a Matriz de Riscos ao Programa de Integridade?

A Matriz de Riscos é o ponto de partida do Programa de Integridade, não um documento separado. As políticas, procedimentos e controles do programa devem ser desenhados especificamente para mitigar os riscos identificados na matriz. Uma política anticorrupção que não está ancorada nos vetores de risco mapeados para aquela empresa é genérica demais para ser eficaz.

Conclusão: a Matriz de Riscos como instrumento de gestão, não de conformidade

A Matriz de Riscos Corporativos tem valor quando influencia decisões. Quando o CEO usa os dados de risco para priorizar investimentos em controles. Quando o gestor de RH inclui os riscos psicossociais na pauta da CIPA. Quando o jurídico revisa contratos à luz dos riscos de terceiros identificados. Quando o compliance officer apresenta o mapa de riscos ao conselho trimestralmente.

Quando a matriz existe apenas para estar disponível em caso de auditoria, ela perdeu sua razão de ser.

Construir uma Matriz de Riscos Corporativos que funcione como ferramenta real de gestão exige metodologia, envolvimento das áreas de negócio, tecnologia para manutenção e monitoramento, e uma cultura organizacional que trate o risco como informação estratégica, não como assunto de compliance.

A Compliance Brazil apoia empresas de médio e grande porte na estruturação completa do programa de gestão de riscos corporativos: desde o diagnóstico inicial e a construção da matriz até a integração com o Programa de Integridade, o PGR da NR-1 e os programas de treinamento das equipes.

Agende um diagnóstico gratuito e descubra quais são os riscos mais críticos do seu negócio, e o que ainda precisa ser feito para gerenciá-los de forma estruturada.

Referências

• ABNT NBR ISO 31000:2018: Gestão de riscos: princípios e diretrizes
• COSO ERM: Gerenciamento de Riscos Corporativos: Integrado com a Estratégia e Performance (2017)
• IIA: Modelo das Três Linhas (atualização 2026)
• Decreto nº 11.129/2022: Regulamenta a Lei Anticorrupção
• Portaria MTE nº 1.419/2024: NR-1 com fatores de riscos psicossociais
• Portaria MTE nº 765/2025: Fiscalização punitiva a partir de 26/05/2026
• CGU: Guia de Programas de Integridade para Empresas Privadas (2ª edição, 2024)
• Lei nº 14.133/2021: Nova Lei de Licitações (Programa de Integridade)