Entenda como estruturar uma matriz de riscos em projetos de Engenharia, definir critérios de probabilidade e impacto, classificar criticidade, tratar riscos e monitorar a exposição residual.
Confira!
Uma matriz de riscos é uma técnica de avaliação e priorização que posiciona riscos segundo critérios previamente definidos de probabilidade ou verossimilhança e consequência sobre os objetivos. Em projetos de Engenharia, esses objetivos podem envolver prazo, custo, escopo, desempenho técnico, qualidade, segurança, meio ambiente, conformidade, disponibilidade, operação, contratação e obrigações perante terceiros.
Na prática, a matriz ajuda a responder uma pergunta gerencial: quais exposições exigem tratamento imediato, quais precisam de monitoramento e quais podem ser aceitas dentro dos critérios do empreendimento? Ela não elimina a incerteza, não prevê o futuro e não substitui análise técnica especializada. Sua função é transformar avaliações dispersas em uma lógica comparável de decisão.
A matriz também não é uma fórmula universal. A ABNT NBR ISO 31000 estabelece princípios, estrutura e processo para gestão de riscos, mas não obriga o uso de matriz 5 × 5, não fixa uma escala única e não determina uma regra universal de multiplicação entre probabilidade e impacto. Escalas, faixas de criticidade e critérios de decisão precisam ser calibrados ao contexto, aos objetivos e à capacidade de tratamento do projeto.
Por isso, a qualidade de uma matriz depende menos de suas cores e mais da rastreabilidade do raciocínio que levou à classificação. Uma avaliação tecnicamente defensável precisa deixar claro o que pode acontecer, por que pode acontecer, quais consequências são plausíveis, quais controles já existem, qual é a exposição atual, quem responde pelo risco e o que será feito a seguir.
Também convém distinguir conceitos que frequentemente aparecem misturados. Risco é o efeito da incerteza sobre objetivos; problema ou issue é uma condição que já ocorreu e exige tratamento; achado técnico é uma constatação baseada em evidência; não conformidade é o não atendimento a um requisito; e perigo é uma fonte ou situação com potencial de dano. Esses elementos podem estar relacionados, mas não são sinônimos.
Onde a matriz de riscos entra no processo de gestão de riscos
A matriz é uma técnica de apoio à análise e avaliação, e não o processo completo de gestão de riscos. A lógica da ISO 31000 começa pela definição de escopo, contexto e critérios; avança para identificação, análise e avaliação; segue para tratamento; e permanece conectada à comunicação, consulta, monitoramento, revisão, registro e reporte.
Isso altera a forma de usar a ferramenta. Classificar um risco como “alto” não conclui o trabalho. A classificação precisa provocar uma decisão compatível com a exposição: tratar, evitar determinada condição, modificar probabilidade ou consequência, compartilhar a exposição, aceitar de forma informada ou aprofundar a análise quando a incerteza ainda é material.
Quando a organização precisa estruturar esse ciclo de forma permanente, o serviço de Gerenciamento de Riscos de Engenharia pode integrar identificação, avaliação, tratamento, contingência e acompanhamento dentro da governança do empreendimento.
O que uma matriz de risco precisa representar
A representação mais difundida utiliza probabilidade em um eixo e consequência no outro. Cada risco ocupa uma célula e recebe uma classe de criticidade. Essa classe pode ser apresentada por níveis — baixo, moderado, alto e crítico, por exemplo — ou por faixas numéricas associadas a regras de decisão.
Uma matriz útil precisa preservar pelo menos quatro elementos de interpretação:
- evento de risco: o que pode ocorrer;
- probabilidade: quão plausível é a ocorrência dentro do horizonte analisado;
- consequência: quais objetivos podem ser afetados e em que magnitude;
- critério de decisão: qual resposta ou alçada é exigida para aquela combinação.
O último elemento é frequentemente esquecido. Uma matriz sem regra de decisão apenas classifica. Se uma célula “crítica” não exige responsável, prazo, escalonamento, tratamento e acompanhamento, a cor tem pouco valor operacional.
Em Engenharia, a matriz precisa funcionar junto com o registro de riscos, os planos de ação, as decisões do projeto e as evidências que sustentam a avaliação. O quadro visual é somente uma parte desse sistema.
Uma matriz só é confiável quando os critérios são definidos antes da pontuação. Se cada disciplina usa uma régua diferente, a criticidade deixa de ser comparável e a priorização perde valor.
Antes de pontuar: defina escopo, contexto e critérios
A qualidade da pontuação depende do que foi definido antes dela. Um mesmo evento pode ter criticidade distinta em dois projetos porque os objetivos, tolerâncias, restrições e consequências são diferentes.
Um atraso de cinco dias pode ser absorvível por uma atividade com folga e extremamente grave quando atinge uma parada industrial, uma janela de energização, um marco regulatório ou o caminho crítico. Da mesma forma, uma variação de custo considerada pequena em um programa de grande porte pode ser material em um contrato de menor valor.
Por isso, critérios devem ser definidos antes de avaliar riscos específicos. Isso reduz o viés de ajustar a régua conforme o resultado desejado e melhora a comparabilidade entre avaliações.
O contexto de um projeto de Engenharia normalmente envolve objetivos técnicos e de negócio, baseline de prazo e custo, limites contratuais, requisitos normativos, condições de aceite, segurança, ambiente operacional, interfaces, disponibilidade de recursos e horizonte temporal de exposição.
A Gestão de Requisitos, Evidências e Critérios de Aceite está diretamente relacionada a esse ponto. Critérios de risco frágeis frequentemente começam com requisitos vagos, não rastreáveis ou sem condição objetiva de verificação.
Como definir a escala de probabilidade
Probabilidade representa a plausibilidade de ocorrência dentro de um horizonte definido. A escala pode ser qualitativa, semiquantitativa ou quantitativa, mas seus níveis precisam ser interpretáveis e consistentes entre avaliadores.
Usar apenas termos como “raro”, “possível” ou “provável” pode gerar divergência porque cada profissional atribui significado diferente a essas palavras. Para reduzir subjetividade, cada nível deve possuir descritores compatíveis com a realidade do projeto e, quando possível, referências objetivas.
| Nível ilustrativo | Interpretação | Evidência que pode apoiar a avaliação |
| 1 — Rara | ocorrência excepcional no horizonte analisado | ausência de precedentes e controles robustos |
| 2 — Improvável | possível, mas pouco esperada | poucos casos comparáveis e baixa exposição atual |
| 3 — Possível | ocorrência plausível | precedentes, sinais ou condições favoráveis ao evento |
| 4 — Provável | ocorrência esperada em determinadas condições | histórico recorrente ou controles insuficientes |
| 5 — Quase certa | forte expectativa de ocorrência | evidência atual, recorrência elevada ou condição já em formação |
A tabela é ilustrativa, não normativa. Em um empreendimento, os descritores podem ser associados a faixas percentuais. Em outro, pode fazer mais sentido usar frequência, histórico de falhas, maturidade de fornecedor, disponibilidade de material, estabilidade de requisito ou outra evidência adequada.
O ponto técnico é que o número deve representar um critério previamente compreendido, e não uma impressão intuitiva registrada depois da discussão.
Como definir a escala de impacto ou consequência
Impacto não deve ser tratado como uma gravidade genérica. Um único evento pode afetar diversos objetivos ao mesmo tempo. Atraso de um equipamento crítico, por exemplo, pode provocar efeito sobre prazo, custo, mobilização, testes, desempenho contratual e capacidade operacional.
Uma matriz mais robusta diferencia dimensões de consequência e estabelece descritores próprios para cada uma. O projeto então define como combinar ou prevalecer essas dimensões.
| Dimensão | Baixo | Médio | Alto | Crítico |
| Prazo | absorvível pela folga | exige replanejamento local | afeta marco relevante | compromete caminho crítico ou data mandatória |
| Custo | absorvível pela gestão corrente | exige remanejamento | consome contingência relevante | ameaça limite contratual ou viabilidade |
| Técnico | sem efeito funcional material | retrabalho localizado | degrada desempenho ou exige redesign | impede função essencial ou aceite |
| Qualidade | desvio menor corrigível | não conformidade localizada | recorrência ou falha de processo | compromete conformidade sistêmica |
| Segurança e meio ambiente | consequência limitada e controlável | exposição relevante | potencial severo | consequência intolerável segundo critérios aplicáveis |
| Contratual | sem efeito material | exige formalização | potencial pleito ou penalidade | compromete obrigação essencial |
| Operação | sem perda relevante | degradação localizada | indisponibilidade significativa | impede operação ou continuidade crítica |
Sempre que possível, os descritores devem ser traduzidos em limites mensuráveis. Para prazo e custo, percentuais, dias ou valores podem reduzir ambiguidade. Para segurança, ambiente ou conformidade, critérios legais e normativos podem exigir regras próprias e impedir que uma consequência intolerável seja “diluída” pela média de outras dimensões.
Matriz 3 × 3, 4 × 4 ou 5 × 5: qual usar?
Não existe um tamanho universalmente correto. Uma matriz 3 × 3 é mais simples, exige menos distinções e pode funcionar bem quando a informação é limitada ou quando a organização ainda está amadurecendo seus critérios. Uma matriz 5 × 5 oferece maior granularidade, mas só agrega valor se os avaliadores conseguirem distinguir de forma consistente cinco níveis de probabilidade e cinco de consequência.
Mais células não significam automaticamente melhor análise. Uma matriz sofisticada alimentada por critérios vagos pode produzir falsa precisão: o resultado parece matemático, mas a diferença real entre uma classificação 12 e uma classificação 15, por exemplo, talvez não seja sustentada pela qualidade das entradas.
A escolha deve considerar a maturidade dos dados, a quantidade de riscos, a capacidade de discriminação dos critérios, a velocidade de decisão e a consequência de uma classificação equivocada.
Para riscos críticos ou decisões de alto valor, a matriz frequentemente funciona melhor como triagem. O resultado indica quais exposições precisam seguir para métodos de análise mais detalhados.
Probabilidade × impacto: multiplicar é obrigatório?
Não. A multiplicação de escores é uma convenção semiquantitativa bastante utilizada, mas não constitui exigência universal da ISO 31000. Se uma equipe atribui probabilidade 4 e consequência 5 e registra “20”, esse produto só faz sentido como mecanismo de ordenação se as escalas, as faixas e as regras de decisão tiverem sido concebidas para esse uso.
Há uma limitação matemática relevante: escalas 1, 2, 3, 4 e 5 são normalmente ordinais. Elas ordenam categorias, mas não garantem que a distância entre 1 e 2 seja igual à distância entre 4 e 5. Por isso, o produto não deve ser interpretado automaticamente como uma grandeza física precisa.
Outra dificuldade é a equivalência de produtos. Uma combinação de baixa probabilidade e consequência muito alta pode gerar o mesmo número de uma combinação de alta probabilidade e consequência moderada, embora as decisões necessárias sejam diferentes.
A organização pode, portanto, definir diretamente a classe de cada célula ou estabelecer regras de prevalência. Em certos contextos, qualquer consequência intolerável pode exigir escalonamento independentemente da probabilidade. O objetivo não é defender um cálculo específico, mas construir uma regra de priorização coerente com os objetivos e com a natureza dos riscos.
Como construir uma matriz de riscos passo a passo
Uma sequência tecnicamente consistente começa pela governança e termina com uma decisão verificável:
- Definir objetivos e horizonte de avaliação. Determine quais objetivos estão em jogo e para qual período o risco será analisado.
- Definir critérios de probabilidade e consequência. Documente descritores, limites e fontes de evidência antes de avaliar casos específicos.
- Identificar eventos de risco. Descreva causa, evento e consequência; evite registros genéricos como “risco de atraso”.
- Registrar controles existentes. A exposição depende do estado real de prevenção, detecção e resposta.
- Estimar probabilidade. Use histórico, dados, condições observáveis e julgamento especializado devidamente documentado.
- Estimar consequências. Avalie as dimensões relevantes e aplique a regra de severidade definida.
- Posicionar o risco na matriz. Determine a classe segundo os critérios aprovados.
- Comparar com critérios de aceitação. Decida se a exposição pode ser aceita, precisa de tratamento ou exige aprofundamento.
- Definir proprietário e resposta. Associe responsável pelo risco, ações, recursos e prazos.
- Reavaliar o risco residual. Estime a exposição remanescente depois dos controles adicionais.
- Monitorar e revisar. Atualize a avaliação quando premissas, controles ou contexto mudarem.
A sequência mostra por que uma planilha colorida isolada não é suficiente. A matriz precisa estar ligada ao processo decisório e ao histórico do risco.
Como descrever corretamente um risco de Engenharia
Descrições vagas reduzem a qualidade da avaliação porque tornam probabilidade e consequência difíceis de estimar. “Risco de atraso”, por exemplo, não informa o que pode provocar o atraso nem qual objetivo poderá ser afetado.
Uma formulação útil separa causa → evento → consequência. Considere este exemplo: devido à possibilidade de atraso na aprovação do projeto executivo pelo órgão responsável, a liberação para fabricação pode ocorrer após a data-base, deslocando o fornecimento para além da janela de implantação e afetando o marco contratual de energização.
Agora existem elementos que podem ser avaliados. A equipe pode procurar evidência sobre prazo de aprovação, maturidade do projeto, disponibilidade de revisão preliminar, lead time de fabricação, folga de cronograma e impacto sobre a energização.
Essa estrutura também melhora o tratamento. Em vez de uma ação genérica “acompanhar atraso”, podem surgir medidas como antecipar submissões, criar revisão preliminar, estabelecer marcos intermediários, reservar capacidade fabril ou definir alternativa de suprimento.
Riscos de interface merecem atenção especial porque frequentemente atravessam disciplinas e empresas. A Gestão de Interfaces em Projetos de Engenharia mostra como responsabilidades e pontos de fronteira podem ser explicitados antes de se transformarem em atrasos ou retrabalho.
Exemplo técnico de classificação em um projeto multidisciplinar
Considere a modernização de uma instalação com janela restrita de implantação. A equipe usa uma escala de 1 a 5, previamente calibrada, e registra quatro riscos. Os números abaixo são apenas didáticos; um projeto real precisa aplicar seus próprios critérios.
| Risco | Probabilidade | Consequência | Classe | Decisão inicial |
| atraso de equipamento de longo prazo | 4 | 5 | Crítica | tratamento imediato e escalonamento |
| incompatibilidade entre disciplinas | 3 | 4 | Alta | coordenação técnica e design review antecipado |
| indisponibilidade da janela operacional | 2 | 5 | Alta | contingência e negociação antecipada |
| divergência documental sem efeito funcional | 2 | 2 | Baixa | correção no fluxo e monitoramento |
O primeiro risco pode exigir estratégia de procurement, fornecedor alternativo, aprovação antecipada de submittals ou reserva de prazo. O segundo pode ser tratado com compatibilização, revisão de interfaces e congelamento de requisitos. O terceiro exige governança operacional e alternativa de execução. O quarto pode permanecer em acompanhamento sem consumir a mesma energia gerencial dos riscos críticos.
O ganho da matriz está justamente em diferenciar esforço, urgência e alçada de decisão.
Risco inerente, controles existentes e risco residual
Uma avaliação madura não registra apenas a criticidade inicial. Ela também precisa mostrar o efeito dos controles e a exposição que permanece.
O risco inerente representa a exposição em um cenário de referência definido pela organização antes de considerar determinados tratamentos adicionais. Já o risco residual é a exposição remanescente depois de considerar medidas de controle ou tratamento.
A distinção evita um erro frequente: considerar um risco “resolvido” simplesmente porque existe uma ação prevista. Uma ação não implementada ainda pode atrasar, falhar ou entregar redução menor que a esperada.
Um registro consistente pode acompanhar classificação inicial, controles existentes, tratamento proposto, responsável, prazo, exposição residual esperada, exposição residual efetivamente observada e evidências de eficácia.
Em projetos de Engenharia, isso é relevante quando a aceitação da exposição remanescente depende de restrições de prazo, orçamento, tecnologia ou condição operacional.
Tratamento: o que fazer depois de classificar
Classificar o risco não encerra a decisão. Riscos altos e críticos precisam ser convertidos em tratamento tecnicamente executável, com responsável, prazo, recurso, critério de eficácia e reavaliação da exposição residual.
Apoie decisões críticas com Consultoria Técnica de Engenharia →
Depois de avaliar a criticidade, a organização seleciona uma opção de tratamento. Dependendo da natureza do risco, isso pode envolver evitar determinada condição, eliminar uma fonte, modificar a probabilidade, reduzir a consequência, compartilhar a exposição ou reter o risco por decisão informada.
A resposta precisa ganhar forma de Engenharia. Um risco de incompatibilidade pode exigir revisão de projeto. Um risco de fornecedor pode exigir estratégia alternativa de procurement. Um requisito indefinido pode exigir decisão formal do contratante. Um risco de indisponibilidade pode demandar redundância, testes adicionais ou plano de contingência.
Tratamentos também criam riscos secundários. Substituir um fornecedor reduz uma exposição de prazo, mas pode introduzir nova incerteza de homologação; adicionar redundância reduz risco operacional, mas pode ampliar complexidade de integração. Por isso, o tratamento deve ser analisado como decisão, não como simples item de checklist.
A Consultoria Técnica de Engenharia é aplicável quando a decisão exige avaliação independente, comparação de alternativas ou definição de uma resposta tecnicamente defensável antes de comprometer recursos.
Risk owner, action owner e alçadas de decisão
Todo risco relevante precisa de um proprietário do risco (risk owner) com responsabilidade por acompanhar a exposição e assegurar que a resposta avance. Isso não significa que a mesma pessoa executará todas as ações.
O responsável por uma ação específica pode ser outro profissional ou empresa. Um gerente de projeto pode ser proprietário do risco de atraso de um equipamento, enquanto a ação de emitir a especificação antecipadamente cabe à Engenharia, a negociação com o fabricante cabe ao Procurement e a aprovação cabe ao contratante.
Essa distinção reduz riscos “sem dono” e evita que uma equipe considere o assunto encerrado porque uma tarefa foi atribuída a alguém.
A governança também deve definir quem pode aceitar cada nível de risco. Exposições baixas podem ser administradas na disciplina; riscos altos podem exigir decisão do gerente do projeto; situações críticas podem demandar comitê técnico, patrocinador, diretoria ou contratante.
Matriz de riscos, registro de riscos e plano de ação não são a mesma coisa
A matriz é uma representação de classificação e priorização. O registro de riscos mantém os atributos e a história de cada exposição. O plano de resposta descreve as ações selecionadas para modificar ou administrar o risco.
| Elemento | Função principal | Informação típica |
| Matriz de riscos | comparar criticidade | probabilidade, consequência e classe |
| Registro de riscos | manter rastreabilidade | causa, evento, consequência, owner, status, histórico |
| Plano de resposta | controlar execução do tratamento | ação, responsável, prazo, recurso e evidência |
Um registro útil pode conter identificador, categoria, causa, evento, consequência, controles existentes, probabilidade, impacto, criticidade, proprietário, estratégia, ações, prazos, status, risco residual e gatilhos de revisão.
A matriz, portanto, não deve ser uma imagem desconectada. A Governança de Projetos, Programas e Portfólios é uma rota natural quando o controle precisa ser integrado a marcos, decisões, indicadores e responsabilidades do PMO.
Matriz de riscos em Due Diligence Técnica
Na Due Diligence, a matriz pode converter uma grande quantidade de evidências em prioridades de intervenção. Inspeções, documentos, entrevistas, cadastro de ativos e testes geram achados; a avaliação de risco esclarece quais consequências esses achados podem produzir.
O cuidado técnico é preservar a rastreabilidade. Não basta rotular uma condição como “alta”. O relatório precisa indicar qual evidência sustenta o achado, qual sistema ou ativo está afetado, qual consequência é plausível, qual critério levou à classificação e qual tratamento é recomendado.
O conteúdo sobre Relatório de Due Diligence Técnica: evidências, matriz de riscos e plano de ação detalha essa conexão entre diagnóstico, evidência, criticidade e priorização.
Matriz de riscos em procurement e contratação
Riscos de Engenharia não se limitam ao projeto técnico. Procurement, fabricação, logística, contrato e interfaces comerciais podem alterar diretamente prazo, custo e desempenho.
Uma avaliação de procurement pode considerar fornecedor único, equipamento de longo prazo, capacidade fabril, importação, homologação, obsolescência, disponibilidade de componentes, documentação do fabricante, FAT, logística, armazenagem, assistência técnica e garantia.
No contrato, a matriz pode revelar exposições ligadas a responsabilidades mal distribuídas, critérios de aceite vagos, dependências do contratante, limites de escopo, condições de mudança, garantias, marcos de pagamento e mecanismos de comunicação.
O objetivo não é transformar a matriz em interpretação jurídica do contrato, mas torná-la uma interface entre engenharia, procurement, gestão e jurídico. A solução de Gestão de Contratos, Escopo e Entregáveis permite conectar essas exposições ao controle de obrigações, mudanças e entregas.
Matriz de riscos em projeto, obra e comissionamento
A natureza dos riscos muda ao longo do ciclo do empreendimento. Na concepção, predominam incertezas de requisito, alternativa técnica e premissa. No projeto básico e executivo surgem interfaces, incompatibilidades e critérios de dimensionamento. Durante a implantação, aparecem produtividade, logística, campo, segurança, mudanças e qualidade. No comissionamento, ganham relevância prontidão, integração, evidências de teste, documentação e critérios de aceite.
Por isso, uma matriz inicial não deve ser copiada sem revisão até o final. A mesma categoria de risco pode mudar de probabilidade e consequência conforme o projeto amadurece.
Um risco de “definição tardia da arquitetura” pode ser crítico na fase de concepção e tornar-se encerrado após aprovação formal. Em contrapartida, um risco de “falha de integração” pode surgir somente quando interfaces de fornecedores começam a ser testadas.
Segurança, integridade e confiabilidade exigem técnicas proporcionais
Nem todo risco deve ser governado apenas por uma matriz corporativa. Segurança de processo, integridade de ativos, confiabilidade e sistemas críticos podem exigir técnicas específicas e critérios especializados.
A IEC 31010 fornece orientação sobre seleção e aplicação de técnicas de avaliação de riscos em diversas situações. Dependendo do problema, podem ser adequadas abordagens como FMEA/FMECA, HAZOP, Bow Tie, árvores de falhas, cenários ou outros métodos estruturados.
A matriz pode continuar útil como elemento de priorização, mas não substitui uma análise que precisa compreender mecanismo de falha, desvio de processo, barreiras ou cadeia causal. O conteúdo sobre FMEA e FMECA na Engenharia de Manutenção mostra um exemplo de análise com maior resolução sobre modos de falha e criticidade.
Quando a matriz qualitativa é insuficiente
A matriz é eficiente para triagem e comunicação, mas pode ser insuficiente quando a decisão exige quantificar distribuição de resultados, estimar reservas ou medir a probabilidade de cumprimento de prazo e custo.
Sinais de que a avaliação precisa avançar incluem riscos com grande exposição financeira, decisões irreversíveis de CAPEX, vários riscos correlacionados, necessidade de dimensionar contingência, necessidade de estimar confiança em marcos de cronograma e baixa discriminação entre alternativas relevantes.
Nesses casos, análise de cenários, árvores de decisão, distribuições probabilísticas e simulação de Monte Carlo podem acrescentar informação que uma simples classe “alta” não oferece.
O princípio não é usar sempre o método mais complexo, mas selecionar a técnica proporcional à decisão. Sofisticação sem dados adequados também produz falsa confiança.
Interações entre riscos: por que avaliar tudo isoladamente pode falhar
Matrizes tradicionais posicionam cada risco separadamente. Projetos reais, porém, contêm dependências. Atraso de projeto pode deslocar compras; atraso de compras pode reduzir a janela de instalação; uma janela menor pode comprimir testes; testes comprimidos aumentam exposição de comissionamento e operação.
Ao avaliar cada item isoladamente, a equipe pode subestimar a exposição agregada. O registro deve permitir identificar dependências, causas comuns, efeitos em cascata e riscos sistêmicos.
Esse ponto é particularmente relevante em empreendimentos multidisciplinares, onde uma única decisão de interface pode afetar elétrica, automação, telecomunicações, civil, procurement e operação ao mesmo tempo.
Como lidar com oportunidades dentro da gestão de riscos
A definição de risco da ISO 31000 considera que o efeito da incerteza pode ser positivo, negativo ou ambos. Em projetos, portanto, a gestão de riscos não precisa ser limitada a ameaças.
Uma oportunidade pode ser a disponibilidade de uma tecnologia que reduz CAPEX, a possibilidade de antecipar uma compra, uma janela operacional adicional ou a padronização de um equipamento que reduz estoque e manutenção.
A matriz pode ser adaptada para avaliar oportunidades, mas convém evitar misturar ameaças e oportunidades em uma escala desenhada somente para “severidade”. Os critérios precisam refletir o tipo de efeito e a decisão pretendida.
Como manter a matriz viva durante o projeto
Risco é dinâmico. A probabilidade de atraso de um fornecimento aumenta se desenhos não são aprovados e diminui quando a fabricação avança e o FAT é concluído. O impacto de uma interface cresce quando o cronograma consome sua folga. Um risco inicialmente moderado pode se tornar crítico após mudança de escopo.
A revisão pode ocorrer em cadência definida e também por gatilhos. Mudança de requisito, troca de fornecedor, revisão de baseline, nova não conformidade, atraso de aprovação, mudança regulatória, falha em teste ou alteração de premissa são exemplos de eventos que justificam reavaliação.
A frequência deve ser proporcional à dinâmica do projeto. Revisar semanalmente uma carteira estável pode gerar burocracia; revisar trimestralmente um empreendimento em implantação acelerada pode ser insuficiente. O objetivo é manter a avaliação aderente à exposição real.
Indicadores úteis para acompanhar a carteira de riscos
O acompanhamento não deve ser reduzido ao número total de itens. Uma carteira com cinquenta riscos baixos pode exigir menos atenção executiva que outra com três riscos críticos sem resposta efetiva.
Indicadores úteis podem incluir evolução de riscos altos e críticos, quantidade de tratamentos vencidos, tempo médio sem atualização, distribuição por categoria, exposição residual acima do critério de aceitação e riscos sem proprietário definido.
Também pode ser útil acompanhar tendência: risco subindo, estável ou caindo. Essa leitura permite distinguir um item crítico em processo de redução de outro cuja exposição continua aumentando.
Erros mais comuns ao usar uma matriz de riscos
A matriz perde valor quando se transforma em exercício burocrático. Entre os erros mais frequentes estão:
- copiar uma matriz genérica sem calibrar critérios para o empreendimento;
- atribuir números sem evidência ou justificativa;
- confundir risco futuro com problema já ocorrido;
- registrar apenas “risco de atraso”, sem causa e consequência;
- utilizar cor como substituto de decisão;
- tratar o produto probabilidade × impacto como medida quantitativa exata;
- ignorar controles existentes e sua eficácia;
- não diferenciar exposição inicial e residual;
- não atribuir proprietário, ação e prazo;
- manter a matriz congelada após o workshop inicial;
- avaliar riscos isoladamente sem observar interações;
- permitir que consequências intoleráveis sejam diluídas por uma regra inadequada de média ou soma.
Uma revisão independente frequentemente encontra mais problemas de critério, evidência e governança do que de preenchimento das células.
Critérios para uma matriz de riscos tecnicamente defensável
Uma matriz é defensável quando outro profissional qualificado consegue compreender por que determinado risco recebeu sua classificação e qual decisão decorreu dela.
Para isso, convém verificar em sequência:
- os critérios foram definidos e aprovados antes da classificação;
- os níveis possuem descritores claros;
- as fontes de informação estão registradas;
- a descrição separa causa, evento e consequência;
- controles existentes foram considerados;
- a regra de combinação entre probabilidade e consequência está documentada;
- existem regras especiais para consequências intoleráveis quando aplicável;
- o risco residual é reavaliado depois do tratamento;
- proprietários, prazos e alçadas estão claros;
- a avaliação é revisada quando o contexto muda.
Esse conjunto transforma a matriz em registro auditável de decisão técnica, em vez de simples apresentação visual.
Considerações finais
A matriz de riscos é simples na aparência, mas exige critérios consistentes para apoiar decisões confiáveis. Seu valor não está na escolha entre 3 × 3 ou 5 × 5 nem na cor atribuída a cada célula. Está na capacidade de traduzir incerteza em prioridade, responsabilidade, tratamento e monitoramento.
Em projetos de Engenharia, isso significa conectar a classificação a requisitos, interfaces, cronograma, custos, fornecedores, decisões técnicas, contratos, segurança, qualidade, comissionamento e operação. A matriz precisa funcionar como parte do processo de gestão de riscos, e não como documento isolado.
Quando os critérios são calibrados, as evidências são rastreáveis, os riscos têm proprietários e o residual é reavaliado, a ferramenta passa a apoiar decisões de forma muito mais consistente. E quando a decisão exige maior resolução, ela cumpre outra função importante: indicar quais exposições precisam seguir para métodos qualitativos especializados ou análises quantitativas mais profundas.
Risco sem atualização rapidamente deixa de representar a realidade do empreendimento. A governança precisa conectar mudanças de escopo, fornecedores, marcos, requisitos, testes e decisões à revisão da exposição e do plano de resposta.
Referências técnicas
[1] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR ISO 31000: Gestão de riscos — Diretrizes. Rio de Janeiro: ABNT, 2018. Referência internacional oficial. Disponível em: https://www.iso.org/standard/65694.html
[2] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 31010:2019 — Risk management — Risk assessment techniques. Geneva: IEC, 2019. Disponível em: https://webstore.iec.ch/en/publication/59809
[3] PROJECT MANAGEMENT INSTITUTE. Risk Management in Portfolios, Programs, and Projects: A Practice Guide. Newtown Square: PMI, 2024. Disponível em: https://www.pmi.org/standards/risk-management-in-portfolios
Perguntas frequentes
É uma técnica de avaliação e priorização que combina critérios de probabilidade ou verossimilhança e consequência para classificar exposições e orientar decisões de tratamento, monitoramento ou aceitação.
Não. A ISO 31000 estabelece princípios, estrutura e processo para gestão de riscos, mas os critérios e técnicas de avaliação devem ser adaptados ao contexto. Uma matriz 5 × 5 é uma escolha metodológica, não uma exigência universal.
A multiplicação é uma convenção semiquantitativa possível, mas não deve ser interpretada automaticamente como medida quantitativa exata. A regra de combinação e as faixas de decisão precisam ser previamente definidas e coerentes com as escalas utilizadas.
O risco inerente representa a exposição em um cenário de referência antes de tratamentos adicionais considerados pela organização. O risco residual é a exposição que permanece após os controles e tratamentos, devendo continuar documentado, monitorado e revisto.
Quando a decisão exige quantificar incerteza de prazo ou custo, avaliar riscos correlacionados, dimensionar contingências ou comparar alternativas de grande impacto, técnicas quantitativas ou métodos especializados podem ser necessários.
Cada risco relevante deve possuir um risk owner responsável por acompanhar a exposição, assegurar que as respostas avancem e escalar decisões quando necessário. A execução de ações específicas pode ser atribuída a outros responsáveis.
Não. A matriz representa classificação e priorização. O registro de riscos mantém causa, evento, consequência, controles, owner, respostas, prazos, status, risco residual e histórico de revisão.
A frequência depende da dinâmica do empreendimento. Além de uma cadência definida, mudanças de escopo, fornecedor, baseline, requisito, condição operacional, resultado de teste ou outra premissa relevante devem funcionar como gatilhos de revisão.
Materiais técnicos complementares
Soluções relacionadas
- Governança de Projetos, Programas e Portfólios
- Gestão de Contratos, Escopo e Entregáveis
- Gestão de Requisitos, Evidências e Critérios de Aceite
Serviços relacionados
- Gerenciamento de Riscos de Engenharia
- Planejamento Técnico de Contratações de Engenharia
- Consultoria Técnica de Engenharia
Conteúdos principais sobre o tema
- Relatório de Due Diligence Técnica: evidências, matriz de riscos e plano de ação
- FMEA e FMECA na Engenharia de Manutenção
- Gestão de Interfaces em Projetos de Engenharia
Conteúdos técnicos correlatos
- Gestão de Requisitos em Engenharia
- Gerenciamento de Projetos: guia completo para engenharia, governança e controle
- Gestão de Engenharia: processos, governança, projetos e desempenho
- Owner’s Engineering: framework executivo para contratação, governança e aceite
- Governança Técnica Digital para Empresas de Engenharia
