“Esse risco estava na matriz. Amarelo, probabilidade baixa, plano de resposta: acompanhar.” Foi o que a gerente do projeto de ampliação de uma linha de envase respondeu quando a diretoria perguntou por que a partida tinha atrasado cinco semanas. O molde da máquina nova chegou 34 dias depois da data combinada com o fornecedor.
A matriz estava certa pelo manual: o risco tinha sido identificado, classificado, colocado na cor certa e assinado na reunião de abertura. O problema não foi falta de gerenciamento de riscos no papel. Foi que o número que sustentava a cor (probabilidade de 10% de atraso) tinha sido estimado na reunião, e ninguém voltou a olhar para ele.
O que é gerenciamento de riscos
Gerenciamento de riscos é o processo contínuo de identificar o que pode afetar um objetivo, avaliar a chance e o efeito de cada evento e decidir o que fazer antes que ele aconteça. A palavra que mais pesa na definição é “contínuo”: risco não é uma lista fechada no início do projeto, é uma estimativa que muda conforme os dados chegam.
| Etapa (ISO 31000:2018) | Pergunta que responde | Erro comum |
|---|---|---|
| Escopo, contexto e critérios | Qual objetivo está em jogo e que nível de risco aceitamos? | Pular e começar pela lista de riscos |
| Identificação | O que pode acontecer, e por quê? | Listar só o que a equipe já viu acontecer |
| Análise | Com que probabilidade e com que efeito? | Estimar a probabilidade na reunião, sem dado |
| Avaliação | Isso está acima do que aceitamos? | Cor da matriz decidida por consenso |
| Tratamento | Evitar, reduzir, transferir ou aceitar? | “Acompanhar” sem dizer o quê nem com que número |
| Monitoramento e análise crítica | A estimativa continua valendo? | A matriz não é aberta depois da abertura |
| Comunicação, consulta, registro e relato | Quem precisa saber, e onde fica a evidência? | O registro existe, mas ninguém decide com ele |
A tabela segue a estrutura do processo descrito na ISO 31000:2018, a diretriz internacional de gestão de riscos. O detalhamento da norma, com princípios e estrutura, está na página da ISO 31000; aqui o foco é a decisão de quem gerencia um projeto ou uma operação.
Dois gerentes, o mesmo fornecedor
Numa outra unidade da mesma empresa, um segundo gerente montava um projeto parecido, com o mesmo fornecedor de moldes e seis entregas críticas no cronograma. Ele colocou o mesmo risco na matriz, mas antes de escolher a cor foi buscar o histórico de pedidos: 48 entregas desse fornecedor nos 12 meses anteriores, 11 atrasadas. Proporção de atraso: 22,9%, mais que o dobro dos 10% da outra matriz.
A diferença parece pequena até virar a pergunta que interessa ao projeto: qual a chance de pelo menos uma das seis entregas atrasar? Com 10% por entrega, a conta dá 1 − 0,9⁶ = 47%. Com os 22,9% medidos, dá 1 − 0,771⁶ = 79%. O risco que a primeira matriz chamava de baixo era, na prática, quase certo de acontecer pelo menos uma vez no projeto. Os atrasos do histórico tinham média de 19 dias, o que bastava para empurrar a partida.
Com esse número, o tratamento deixou de ser “acompanhar”. O segundo gerente antecipou em três semanas os dois pedidos que estavam no caminho crítico, qualificou um segundo fornecedor para um deles e definiu um indicador simples: a proporção mensal de entregas atrasadas do fornecedor, num gráfico ao longo do tempo, revisado na reunião do projeto. A predição registrada foi “no máximo uma entrega crítica atrasada, absorvida pela folga”.
Gerenciamento de riscos: conceito e definição completa
O que é gestão de riscos, então? O conceito de gestão de riscos que sai desse caso é mais preciso que o da maioria dos manuais. Risco é o efeito da incerteza sobre um objetivo. Gerenciar riscos é tratar essa incerteza como uma variável que se mede, e não como um rótulo que se dá. A probabilidade de um evento não é uma opinião sobre o fornecedor; é uma proporção que o processo do fornecedor produz, e que muda com o tempo.
Por isso o gerenciamento dos riscos tem duas metades. A primeira é a avaliação: identificar, analisar e classificar. A segunda é a que costuma faltar: o monitoramento de riscos, ou monitorização de risco, como se diz em Portugal, que reabre a estimativa sempre que chega dado novo. Avaliação e gerenciamento de riscos sem a segunda metade produzem um documento correto no dia em que foi feito e cada vez menos verdadeiro a partir dali.
O risco também pode ser positivo. Uma entrega que chega antes, um preço de insumo que cai, uma equipe que aprende mais rápido do que o previsto. A ISO 31000 trata essas incertezas favoráveis como oportunidades, com a mesma lógica: estimar, decidir e acompanhar.
Processos de gerenciamento de risco: como fazer
Na prática, os processos de gerenciamento de risco cabem em cinco passos que qualquer equipe consegue repetir:
- Escrever o objetivo e o critério. “Partida da linha até 30/03, com até 5% de variação no orçamento.” Sem isso, não se sabe o que é um risco relevante.
- Identificar com quem conhece o processo. Brainstorming, histórico de projetos anteriores, lições aprendidas e a pergunta “o que fez o último projeto atrasar?”.
- Estimar probabilidade e impacto com dado sempre que existir. Histórico de entregas, de falhas de equipamento, de rotatividade. A matriz de risco organiza o resultado; ela não substitui a estimativa.
- Escolher a resposta e o indicador. Evitar, reduzir, transferir ou aceitar, sempre com uma medida que diga se a resposta está funcionando.
- Monitorar em ritmo fixo. O risco volta à pauta com o indicador atualizado; o que mudou de patamar muda de cor.
Plano de gerenciamento de riscos
O plano de gerenciamento de riscos é o documento que registra esses cinco passos para um projeto: critérios de aceitação, responsáveis, frequência de revisão, a lista de riscos com estimativa e resposta, e os indicadores de acompanhamento. Na gestão de projetos, ele costuma ser um anexo do plano do projeto; o que separa um plano útil de um protocolo é a última coluna, a do indicador, ter dado novo a cada revisão.
Controle de riscos em projetos e medidas de controle de risco
Controle de risco é o conjunto de ações que reduzem a chance ou o efeito de um evento. As medidas de controle de risco mais usadas em projetos são quatro: evitar (mudar o plano para que o evento não possa ocorrer, como trocar a tecnologia), reduzir (antecipar pedido, criar folga, testar antes), transferir (seguro, cláusula contratual, terceirização) e aceitar (com reserva de contingência e gatilho definido).
| Resposta | Exemplo no caso do molde | Indicador que diz se funcionou |
|---|---|---|
| Reduzir | Pedido antecipado em 3 semanas | Folga restante no caminho crítico |
| Evitar | Segundo fornecedor qualificado | Proporção de pedidos com alternativa pronta |
| Transferir | Multa contratual por atraso | Custo de atraso recuperado |
| Aceitar | Reserva de 10 dias no cronograma | Dias de reserva consumidos |
O controle de riscos em projetos falha, quase sempre, na mesma etapa: a resposta é escolhida e nunca medida. “Acompanhar o fornecedor” não é controle; controle é saber, todo mês, se a proporção de atrasos dele está no patamar de 23% ou mudou. Para isso, o instrumento certo é um gráfico ao longo do tempo com limites calculados, como a carta de controle, que separa a oscilação normal de uma mudança real de patamar.
Importância do gerenciamento de riscos
Por que é a gestão de risco tão importante? Porque a maior parte das surpresas de um projeto não é surpresa: estava no histórico. A importância do gerenciamento de riscos está em trocar a reação pela decisão antecipada, enquanto ainda há opções baratas (antecipar um pedido custa pouco; acelerar uma obra parada custa muito). Para a organização, o efeito acumulado aparece no portfólio de projetos: menos projetos atrasados ao mesmo tempo, menos recurso deslocado às pressas de um para outro.
Diferenças entre gestão de riscos e gerenciamento de riscos
No uso corrente em português, os dois termos aparecem como sinônimos. Quando se faz distinção, gestão de riscos é o sistema da organização (política, estrutura, papéis, apetite a risco), e gerenciamento de riscos é o processo aplicado a um projeto, área ou operação. A gestão de risco corporativo (em inglês, ERM) olha a carteira inteira de riscos da empresa: estratégicos, financeiros, operacionais e de conformidade. O gerenciamento de riscos de um projeto é uma das peças que alimentam essa carteira. Gerência de riscos é outra forma de dizer a mesma função.
Gerenciamento de riscos na segurança do trabalho
Na segurança do trabalho, o gerenciamento de riscos de segurança tem nome e regra própria: o Programa de Gerenciamento de Riscos, exigido pela NR-1. Quem procura gerência de riscos em segurança do trabalho encontra o que precisa no artigo sobre o PGR; a lógica é a mesma desta página, aplicada a perigos ocupacionais e com inventário de riscos obrigatório.
Ferramentas que se conectam ao gerenciamento de riscos
Cada ferramenta responde a uma parte do processo. A análise preliminar de risco é a primeira varredura, antes de uma atividade nova. O mapa de risco mostra os riscos no espaço físico, para quem trabalha no local. O FMEA desce ao nível de cada modo de falha de um processo ou produto e é a ferramenta mais usada em projetos de melhoria. Nos projetos conduzidos por um Black Belt, o FMEA e o plano de controle são justamente o ponto em que a análise de risco vira rotina de processo, e não documento do projeto.
O que aconteceu com os dois projetos
No projeto do segundo gerente, uma das seis entregas críticas atrasou, 8 dias, e foi absorvida pela antecipação: a partida saiu na data. Ao longo dos seis meses, a proporção mensal de atrasos do fornecedor ficou entre 18% e 27%, sem sinal de mudança de patamar. A predição se confirmou, e o indicador mostrou que o risco nunca tinha sido baixo.
No projeto da primeira gerente, a matriz não estava errada no formato. Estava errada no número, e o formato escondia isso. O próximo projeto dela começou pelo histórico de entregas, e o risco do molde abriu vermelho. A frase da diretoria mudou de “por que atrasou?” para “o que fizemos com o vermelho?”, que é a única pergunta que um gerenciamento de riscos bem feito permite responder antes do fato.
Conteúdo revisado pelo Master Black Belt Marcelo Petenate, estatístico, formado pela Unicamp, mestre pela USP e especialista em Lean Six Sigma e melhoria contínua. Nesta revisão, o foco foi a probabilidade de risco como proporção medida no tempo, e não como cor escolhida em reunião.
Estimar risco com dado e acompanhá-lo em gráfico de controle é método, não intuição. A certificação Green Belt da Escola EDTI ensina esse método dentro de um projeto conduzido do início ao fim.
Perguntas frequentes
O que é gerenciamento de riscos em poucas palavras?
É o processo contínuo de identificar o que pode afetar um objetivo, estimar probabilidade e impacto, escolher uma resposta e acompanhar se a estimativa continua valendo. A parte contínua, o monitoramento, é a que mais falta na prática.
Quais são as etapas do gerenciamento de riscos?
Pela ISO 31000:2018: estabelecer escopo, contexto e critérios; identificar, analisar e avaliar os riscos; tratá-los; monitorar e analisar criticamente; e, em todas as etapas, comunicar, consultar, registrar e relatar.
Qual a diferença entre risco e problema?
Risco é um evento incerto que ainda não aconteceu; problema é o que já aconteceu e precisa de solução. O gerenciamento de riscos existe para que menos riscos virem problemas, e o histórico de problemas é a melhor fonte para estimar riscos.
O que é monitoramento de riscos?
É a revisão periódica de cada risco com dado atualizado: a probabilidade estimada continua a mesma? a resposta está funcionando? Um gráfico ao longo do tempo do indicador do risco mostra se houve mudança de patamar ou só oscilação normal.
Quem é responsável pelo gerenciamento de riscos de um projeto?
O gerente do projeto coordena o processo, mas cada risco precisa de um responsável que acompanhe o indicador e acione a resposta. O patrocinador decide sobre os riscos que passam do nível aceito.
Matriz de risco é suficiente?
Não. A matriz organiza e comunica a avaliação, mas a qualidade dela depende da estimativa de probabilidade e impacto que está por trás de cada célula, e essa estimativa precisa ser revista conforme os dados chegam.
Qual a diferença entre saber gerenciar riscos e saber melhorar processos?
Gerenciar riscos é antecipar o que pode dar errado num objetivo; melhorar processos é mudar o sistema que produz esses eventos, como o processo de entrega de um fornecedor. As duas competências usam o mesmo raciocínio estatístico, e a formação Green Belt da Escola EDTI trabalha as duas dentro do mesmo método.