O risco inerente é o nível de risco antes de considerar os controles; o risco residual é o que sobra depois de aplicá-los. A diferença entre os dois mostra quanto trabalho os seus controles estão fazendo, e é o residual que se compara com o apetite de risco para decidir se o que existe basta ou se é preciso fazer mais.
Os dois são calculados da mesma forma, com probabilidade vezes impacto. O que muda é a pergunta feita na avaliação: no inerente, o que poderia acontecer se não houvesse nenhum controle; no residual, o que pode acontecer com os controles que existem hoje e funcionam.
Um exemplo com números
Vamos pegar um risco que aparece em quase qualquer registro de riscos financeiros: pagamento a um terceiro não autorizado porque alguém se passa por um fornecedor e pede a troca da conta bancária. Usamos uma escala de 1 a 5 para probabilidade e impacto, então o nível vai de 1 a 25.
Risco inerente. Sem nenhum controle, qualquer e-mail pedindo troca de conta seria processado. Essas tentativas chegam com frequência às áreas de contas a pagar, então a probabilidade é 4. O impacto também é alto, porque um pagamento desviado raramente é recuperado e pode ser o valor inteiro de uma fatura grande: 5. Nível inerente: 4 × 5 = 20.
Controles. A empresa tem dois. O primeiro: toda alteração de dados bancários é confirmada ligando para o fornecedor no telefone que já está no cadastro, nunca no que vem no e-mail. O segundo: a alteração é aprovada por uma segunda pessoa antes que o primeiro pagamento saia para a conta nova.
Risco residual. Os dois controles são preventivos, então atuam sobre a probabilidade: para a fraude passar, os dois precisam falhar. Se sabemos que eles são aplicados (há registro das ligações e das aprovações), a probabilidade cai para 2. O impacto não muda: se a fraude passar, o dinheiro se perde do mesmo jeito. Nível residual: 2 × 5 = 10.
Esse é o detalhe que mais passa despercebido. Um controle preventivo reduz a probabilidade; para reduzir o impacto é preciso outra coisa: um seguro contra fraude, um acordo com o banco para reter transferências suspeitas ou um limite de valor para pagamentos a contas novas. Se na sua matriz todos os controles reduzem os dois eixos ao mesmo tempo, revise como eles estão sendo avaliados.
As duas formas mais comuns de calcular o residual
Na prática convivem dois métodos, e os dois são válidos se forem aplicados com coerência.
- Reavaliar probabilidade e impacto. É o que fizemos no exemplo: o responsável pelo risco pontua de novo cada eixo considerando qual controle atua sobre ele. É mais lento, mas obriga a explicar por que cada número cai.
- Aplicar um percentual conforme a eficácia do controle. Avalia-se a eficácia dos controles (por exemplo, 60%) e o nível inerente é reduzido nessa proporção: 20 × (1 − 0,60) = 8. É mais rápido e gera resultados comparáveis entre áreas, mas depende totalmente de a eficácia estar bem medida.
Na nossa leitura, o percentual funciona quando a eficácia vem de testes de controle documentados. Quando vem da opinião de quem desenhou o controle, ele passa uma precisão que não existe: um 8 parece mais exato que um 10, e não é. Se você está começando, reavaliar os dois eixos é mais honesto e mais fácil de defender diante de um auditor.
| Risco inerente | Risco residual | |
|---|---|---|
| O que mede | A exposição sem controles | A exposição com os controles que existem e funcionam |
| Para que serve | Priorizar onde colocar controles e onde não é preciso | Decidir se o risco é aceitável ou se precisa de mais tratamento |
| Com o que se compara | Com o residual, para ver quanto os controles contribuem | Com o apetite e a tolerância a risco |
| Quando muda | Quando mudam o negócio, o processo ou a ameaça | Também quando um controle é criado, falha ou deixa de ser aplicado |
| Nome na MAGERIT (Espanha) | Risco potencial | Risco residual |
Erros que distorcem a comparação
- Avaliar o inerente com os controles já considerados. É o mais frequente. Se, ao pontuar o inerente, alguém pensa «bom, isso a gente já revisa», o inerente sai baixo, a diferença para o residual some e parece que os controles não contribuem em nada. Ajuda escrever na própria ficha do risco: «avaliar como se não existisse nenhum controle».
- Contar controles que ninguém testou. Um controle documentado numa política não reduz o risco até haver evidência de que é aplicado. Se o último teste falhou, o residual deveria voltar a subir.
- Somar controles que fazem a mesma coisa. Duas revisões do mesmo dado pela mesma pessoa não reduzem o dobro. Para que dois controles se acumulem, eles precisam ser independentes.
- Residual zero. Nenhum controle elimina um risco. Se o residual dá zero, ou o risco estava mal descrito ou foi evitado por completo (por exemplo, deixando de realizar a atividade), e aí convém dar baixa nele em vez de continuar avaliando.
- Inflar o inerente para valorizar a redução. É tentador nos relatórios ao comitê: um inerente de 25 em tudo faz qualquer controle parecer um grande avanço. O comitê precisa de um inerente razoável e de um residual crível.
O que fazer com o residual
O residual é comparado com o apetite de risco aprovado pela direção. Se estiver dentro, é aceito e monitorado. Se estiver fora, precisa ser tratado: reduzido com mais controles, compartilhado (um seguro, um contrato) ou evitado deixando de realizar a atividade. E se a organização decidir aceitar um residual fora do apetite, essa decisão precisa ficar assinada por quem tem autoridade para tomá-la.
Em segurança da informação isso é um requisito explícito. A ISO/IEC 27001:2022 exige, no item 6.1.3, que os proprietários dos riscos aprovem o plano de tratamento e aceitem os riscos residuais. Numa auditoria de certificação, a evidência dessa aceitação será solicitada. Se quiser ver como isso se encaixa na metodologia de análise, explicamos em a relação entre a ISO 27005 e a ISO 27001.
Na Espanha, quem trabalha com o Esquema Nacional de Segurança (ENS) costuma usar a MAGERIT, a metodologia de análise de riscos da administração pública espanhola. A MAGERIT não fala em risco inerente: chama de risco potencial o que é calculado sobre os ativos e as ameaças sem salvaguardas, e de risco residual o que sobra depois de aplicá-las. É a mesma ideia com outro nome, então, se você herdar uma análise feita com a MAGERIT, não precisa refazê-la para falar em inerente e residual.
Quando a escala de 1 a 5 não basta
Uma matriz 5 × 5 serve para ordenar riscos, mas não diz quanto dinheiro está em jogo. Dois riscos de nível 10 podem estar a várias ordens de grandeza de distância. Para os riscos de nível mais alto, quantificar em reais ou dólares o inerente e o residual permite comparar o custo de um controle com a perda que ele evita. Contamos isso com mais detalhe em quantificação de riscos: o que é e como aplicar.
No módulo de Gestão de riscos do GlobalSuite®, cada risco tem sua avaliação inerente e residual com o seu mapa de calor, e cada controle traz o responsável, o status e o resultado do último teste. Quando um teste falha, você vê quais riscos dependem daquele controle. Se quiser ver isso com os seus próprios riscos, peça uma demonstração.
Fontes: página da ISO/IEC 27001:2022 em iso.org e MAGERIT v3 no Portal de Administración Electrónica da Espanha. O exemplo é ilustrativo e não corresponde a nenhum cliente. Conteúdo revisado em outubro de 2026.
