Matriz de Risco – Uma Ferramenta para Avaliação de Riscos

Avaliação dos Fatores de Risco é um das etapas componentes de qualquer modelo de Gerenciamento do Risco Corporativo. Existem diversas formas de proceder tal avaliação, e uma das mais conhecidas é a Matriz de Risco.

Algumas das qualidades da Matriz de Risco são um grande poder de comunicação visual (ela será usualmente montada de acordo com um sistema do tipo verde/amarelo/vermelho), e simplicidade (aparente?) de elaboração e gestão.

Discutiremos a seguir as principais características dessa técnica, e alguns dos desafios para sua aplicação prática.

Como funciona a Matriz de Risco?

Basicamente, a Matriz de Risco apresenta nos seus eixos escalas de probabilidade de ocorrência e impacto corporativo para um dado fator de risco (não existe alocação formal para as escalas entre horizontal e vertical). Observe o exemplo a seguir:

Desenhada a estrutura da matriz, cada um dos fatores de risco identificado (a identificação dos fatores de risco é a primeira etapa de um sistema de Gerenciamento do Risco Corporativo) deve ser avaliado (qualitativamente, a priori) em termos de probabilidade e impacto, e posicionado na Matriz de Risco. A região vermelha engloba os riscos que devem ser tratados prioritariamente.

Sob essa concepção simples, entretanto, muitas perguntas emergem quando da aplicação dessa técnica. Existe uma “escala” padronizada para os eixos? Quantos “níveis” a avaliação qualitativa deve apresentar? Eventuais controles existentes devem ser considerados ao definir Probabilidade e/ou Impacto (ex. seguros ou estruturas de investimento diversificadas)?

Eixo da Probabilidade

A escala das probabilidades é regra geral, mais facilmente associável a técnicas quantitativas ou histórico de eventos. A maior parte das referências existentes sugere escalas com 3 a 9 classes de probabilidade. A AS/NZS 4360, por exemplo, sugere uma escala de 5 classes: A – Quase certo, B – Provável, C – Possível, D – Improvável, E – Raro.

Naturalmente, essa escala deve ser ajustada às particularidades da organização, mas uma prática interessante é associar uma escala quantitativa. Observe um exemplo:

Eixo do Impacto

A escala de Impacto deveria levar em conta, como um mínimo, as consequências econômico-financeiras (fluxo de caixa, valor para o acionista e lucro) e as consequências estratégico-operacionais (político, comunidade, imagem, participação no mercado, viabilidade e objetivos) de um dado evento de risco. Para as consequências econômico-financeiras, também é possível associar uma escala quantitativa (ex. uma fração do patrimônio líquido, ou dos ativos totais da organização, uma fração da receita ou do lucro etc.). Já os eventos com efeitos estratégico-operacionais costumam ficar restritos a uma avaliação de impacto puramente qualitativa, como no exemplo a seguir:

Quando da avaliação do Impacto, o usual é que não se levem em conta eventuais contramedidas existentes (é sempre importante lembrar que a matriz trata os riscos de acordo com sua natureza inerente). Por essa razão, é comum associar ao risco algum tipo de código que identifique se ele já tem algum mitigador em ação.

Observe a seguir um exemplo:

Fonte: Adaptado de IFAC (1999, 21)

E um interessante modelo de ajuste de escalas, extraído de ACTIA (2004, 20):

Autor: Ricardo Bertolucci