O apetite de risco é a quantidade e o tipo de risco que uma organização está disposta a assumir para alcançar seus objetivos. Ele é aprovado pela diretoria ou pelo conselho, é expresso por categorias de risco e funciona como régua: cada risco residual é comparado com ele para decidir se é aceito ou se precisa ser tratado.
Quase sempre vem acompanhado de outros dois conceitos com os quais é confundido. A tolerância é a margem admitida acima do apetite durante um período e com uma justificativa. A capacidade é o máximo que a organização consegue suportar sem colocar em risco a sua continuidade.
Apetite, tolerância e capacidade com um exemplo
Pense numa fábrica de parafusos com uma máquina que já tem alguns anos. A 100 parafusos por hora, a máquina trabalha folgada, quase não dá defeito e a produção atende à demanda. Esse é o apetite de risco: o nível com o qual a empresa está confortável.
Se a demanda aumenta, a empresa pode forçar a máquina a 150 parafusos por hora. A probabilidade de falha cresce bastante, mas isso é aceito durante uma campanha específica e com monitoramento. Está acima do apetite e dentro da tolerância. A 200 parafusos por hora a máquina trabalha no limite e uma falha poderia parar a fábrica por semanas: isso é encostar na capacidade, e a maioria das empresas recusa esses pedidos em vez de se arriscar.
Baixar para 60 parafusos por hora também não é boa ideia. O risco de falha quase desaparece, mas a empresa deixa de atender pedidos. Um apetite baixo demais também tem custo, e é por isso que o objetivo não é levar todos os riscos a zero.
O vocabulário de gestão de riscos da ISO, o Guia ISO 73:2009, define o apetite como a quantidade e o tipo de risco que uma organização está disposta a buscar ou reter. O framework COSO ERM de 2017 trata o tema em termos parecidos: os tipos e a quantidade de risco, em linhas gerais, que uma entidade aceita na busca de valor.
Com a tolerância a confusão é maior. O COSO a define como os limites de variação aceitável no desempenho em relação a um objetivo, enquanto o Guia ISO 73 fala da disposição de suportar o risco depois de tratá-lo. Na nossa leitura, importa menos qual você escolhe e mais que a sua metodologia diga qual usa e que todas as áreas a apliquem da mesma forma. Um comitê de riscos que mistura as duas acaba discutindo palavras em vez de riscos.
Como escrever uma declaração de apetite
O apetite é documentado numa declaração aprovada pelo órgão de governança. A forma mais útil é fixar, para cada categoria de risco, um nível (muito baixo, baixo, moderado, alto) e pelo menos uma métrica com um limite. O nível orienta e a métrica permite decidir.
| Categoria | Apetite | Como se mede |
|---|---|---|
| Conformidade regulatória | Muito baixo | Nenhuma sanção definitiva. Nenhum descumprimento aberto por mais de 90 dias desde a detecção. |
| Cibersegurança | Baixo | Nenhum risco residual acima de 12 numa matriz 5 × 5. Vulnerabilidades críticas corrigidas em menos de 30 dias. |
| Continuidade de negócios | Baixo | Nenhum processo crítico parado além do tempo de recuperação aprovado. |
| Crédito | Moderado | Perdas por inadimplência abaixo de 1,5% do faturamento anual. |
| Novos produtos | Alto | Até 10% do investimento anual em projetos que podem não dar certo. |
Os números da tabela são um exemplo; os de cada organização saem da sua estratégia, da sua regulação e da sua situação financeira. O que se repete em todas é a forma. Uma declaração que só diz «temos um apetite baixo a risco» não ajuda a decidir nada, porque ninguém consegue verificar se um risco concreto está dentro ou fora.
Também convém que o apetite seja diferente por categoria. Uma empresa pode não admitir quase nenhum risco de conformidade e, ao mesmo tempo, aceitar bastante incerteza em inovação. Um apetite único para tudo costuma acabar rígido demais para algumas áreas e frouxo demais para outras.
Do apetite à matriz de riscos
Para que o apetite seja usado no dia a dia, é preciso traduzi-lo para a escala com que os riscos são avaliados. Numa matriz de probabilidade vezes impacto, marca-se uma linha de apetite (abaixo dela fica o nível de risco aceitável) e outra de tolerância. O risco residual de cada risco cai numa das três zonas, e isso define o que fazer com ele.
- Dentro do apetite. É aceito e monitorado. Não precisa de plano de tratamento.
- Entre o apetite e a tolerância. Precisa de um plano de tratamento com responsável e prazo, ou de uma aceitação assinada pelo dono do risco explicando por que ele é assumido.
- Acima da tolerância. É sempre tratado. Se por algum motivo não for possível, a aceitação é decidida pelo comitê de direção, não pela área.
As linhas não precisam ser retas nem iguais em todas as categorias. Muitas organizações são mais rigorosas com os riscos de impacto muito alto, mesmo com probabilidade baixa, e refletem isso baixando a linha na coluna de impacto 5.
O que considerar ao defini-lo
- A situação financeira. Quanto a organização pode perder sem comprometer seus resultados, sua solvência ou sua liquidez. Daqui sai quase sempre a capacidade.
- A estratégia. Uma linha de negócio em crescimento admite mais risco que uma madura. As expectativas de acionistas, clientes e reguladores também contam.
- Os recursos. Pessoas, sistemas e prazos disponíveis para gerenciar o risco assumido. Aceitar risco sem meios para monitorá-lo não é apetite, é descuido.
- A regulação. Em alguns campos o apetite já vem definido: há obrigações legais que não admitem margem.
Erros que tornam o apetite inútil
- Escrevê-lo e guardá-lo. Se ninguém compara os riscos com o apetite ao avaliá-los, a declaração vira só mais um documento. Ela precisa estar na metodologia de análise e nos relatórios ao comitê.
- Não revisá-lo. O apetite muda quando muda a estratégia, entra um novo regulador ou a empresa cresce. O razoável é revisá-lo pelo menos uma vez por ano, junto com o plano estratégico.
- Defini-lo sem a diretoria. Se só a área de riscos o redige, a diretoria não o sente como seu e não o aplica nas decisões de negócio.
- Não conectá-lo a indicadores. Sem métricas que avisem, a organização só descobre que ultrapassou o apetite quando já aconteceu.
Como monitorar
O acompanhamento do apetite é feito com indicadores-chave de risco (KRI). Cada indicador tem limites alinhados ao que você já definiu: o amarelo dispara ao se aproximar do apetite e o vermelho ao chegar à tolerância. Assim o comitê enxerga a tendência antes que o risco se materialize. Veja exemplos em indicadores-chave em um programa de riscos.
No módulo de Gestão de riscos do GlobalSuite®, o nível aceitável faz parte da metodologia: os riscos que o ultrapassam aparecem em vermelho no mapa de calor sem que você precise procurá-los, e os KRI têm limites de alerta que avisam antes de chegar lá. Se quiser ver isso com a sua própria declaração de apetite, peça uma demonstração.
Fontes: ISO Guide 73:2009, Risk management. Vocabulary e COSO, Enterprise Risk Management: Integrating with Strategy and Performance (2017). O exemplo e os números da tabela são ilustrativos. Conteúdo revisado em outubro de 2026.
