Uma matriz de riscos ajuda a diretoria a decidir o que corrigir primeiro. Para orientar essa decisão, cada linha deve indicar um evento concreto, a consequência para o negócio, o controle existente e a evidência usada para avaliar se ele funciona.

O que registrar em cada linha da matriz?

Descreva o processo e o evento de risco de modo que a equipe consiga verificar a situação. Em vez de registrar apenas “risco contratual”, descreva “renovação automática de contrato sem revisão das condições ou decisão registrada antes do prazo de aviso”. Depois, indique os possíveis efeitos, como a manutenção de um custo relevante por outro período.

• Evento e impacto. O que pode ocorrer e quais são os efeitos financeiros, jurídicos ou operacionais.
• Controle e evidência. Qual medida existe, quem a executa e que registro permite verificar sua aplicação.
• Prioridade. Qual é a probabilidade e a gravidade, considerando os controles verificados, a qualidade das informações e os prazos relevantes.

Como decidir o que tratar primeiro?

Defina critérios simples para avaliar probabilidade e impacto. Considere a frequência do processo, as ocorrências conhecidas, a qualidade do controle e a consequência se o evento acontecer. Registre a justificativa da classificação. Se faltam evidências para avaliar um controle, marque a informação como pendente e defina como verificá-la.

Use a classificação para ordenar o trabalho, levando em conta também vencimentos e dependências. Um prazo contratual próximo pode exigir ação imediata mesmo quando outro risco tem impacto maior. No contexto da Lei Anticorrupção, o Decreto nº 11.129/2022 inclui análise e reavaliação periódica dos riscos entre os parâmetros de avaliação de programas de integridade. Decreto nº 11.129/2022, art. 57, V.

Como levar a prioridade ao plano de ação?

No exemplo das renovações automáticas, a primeira medida pode ser levantar os contratos críticos e os próximos prazos de aviso. Depois, a empresa pode designar responsáveis, definir alertas e exigir que a decisão de renovar fique registrada. A verificação pode incluir uma amostra de contratos cujo prazo de aviso venceu após a adoção do controle.

Para cada medida, registre o responsável, o prazo, a evidência esperada e a data de revisão. Reavalie a prioridade após testar o novo controle e quando houver mudança relevante no negócio. Esse acompanhamento permite identificar pendências e demonstrar à diretoria o que já foi executado. Diretrizes de integridade da CGU.

Veja o escopo e as entregas do serviço de Diagnóstico de Riscos Empresariais e Compliance.