Gestão de riscos

Matriz de riscos e indicadores

Matriz que serve para decidir: critério de escala, dado por trás do indicador e ligação direta com limite e ação.

Matriz de riscos organiza riscos, causas, controles, donos e avaliação de impacto e probabilidade. Indicadores medem exposição e desempenho de controle ao longo do tempo. Juntos, sustentam o reporte à administração. O serviço redesenha os dois quando viram burocracia. A matriz que não decide nada tem sinais claros: escala sem critério escrito, avaliação feita em oficina anual, risco descrito como categoria genérica e controle listado sem teste. O indicador com o mesmo problema mostra série sem meta, sem limite e sem responsável pela ação. O reporte resultante ocupa páginas, não muda comportamento e desgasta o comitê e o próprio processo de gestão.

Em instituição regulada, o reporte de riscos à administração decorre da Resolução CMN 4.557, e a qualidade da informação prestada ao Banco Central tem exigência própria na Resolução Conjunta 18, de 2025, que fixa política, dimensões de qualidade e rastreabilidade. Isso muda a régua do indicador: número apresentado ao conselho precisa ter origem identificável, cálculo documentado e trilha até o sistema de origem. O erro de implantação é montar indicador a partir do que já existe em relatório, e não do que a decisão exige. Outro é usar escala qualitativa sem ancoragem financeira, o que impede comparar risco entre áreas e priorizar orçamento de controle.

A MERC começa pelas decisões que a administração precisa tomar e trabalha de trás para frente até o dado. Reescreve riscos em linguagem de evento, com causa e efeito, e liga cada um a controle testável. Depois define poucos indicadores com fonte, fórmula, meta, limite e responsável. Cada indicador recebe teste de linhagem, do painel até o sistema de origem. A prática de auditoria estabelece o padrão de evidência que o número precisa atender. Quando o cliente quer matriz com cores confortáveis para apresentar ao conselho, a MERC entrega a avaliação que os dados sustentam e discute a divergência abertamente com a administração.

O que examinamos

• Critério escrito das escalas de impacto
• Riscos descritos como evento, causa e efeito
• Controles associados e testados por amostra
• Indicadores com fonte, fórmula e responsável
• Limites, metas e regra de escalonamento
• Linhagem do dado até o sistema de origem

Norma aplicável

Resolução CMN 4.557 para o reporte de riscos à administração e Resolução Conjunta 18, de 2025, para política de qualidade, dimensões e rastreabilidade das informações prestadas ao Banco Central.

Entregável

Matriz de riscos reescrita com controles testáveis e painel de indicadores com fonte, limite, responsável e trilha de dados.