Uma taxonomia de riscos é a lista ordenada de categorias em que uma organização classifica todos os seus riscos, com uma definição para cada uma. Ela serve para que o mesmo risco tenha o mesmo nome em todas as áreas e para que seja possível somar: quantos riscos de cibersegurança estão acima do apetite, que área concentra as fraudes ou o que mudou desde o último comitê.
Sem taxonomia, cada área monta o seu registro do seu jeito. O Financeiro anota “fraude em pagamentos”, Compras anota “fornecedor falsificado” e TI anota “phishing direcionado a contas a pagar”. É o mesmo risco avaliado três vezes, com três notas diferentes, e o relatório consolidado não percebe.
Três níveis costumam bastar
O formato mais comum é uma hierarquia. O nível 1 tem poucas categorias amplas, as que a diretoria entende. O nível 2 divide essas categorias em subcategorias com as quais cada responsável trabalha. O nível 3 é o risco concreto, como aparece no registro, com seu dono e sua avaliação.
Mais de três níveis quase nunca compensa. Cada nível a mais é uma decisão a mais na hora de cadastrar um risco, e quando a decisão é difícil as pessoas acabam escolhendo “outros”. Para o nível 1, entre seis e dez categorias costumam ser suficientes: com menos, tudo cai em “operacional”; com mais, o comitê já não consegue ler o relatório de relance.
Não comece do zero: Basileia e ORX
A classificação mais usada vem dos bancos. O marco de Basileia define o risco operacional como o risco de perdas resultantes de falhas ou deficiências em processos, pessoas e sistemas internos, ou de eventos externos. A definição inclui o risco legal e deixa de fora o estratégico e o reputacional (OPE10.1). Para classificar as perdas, o mesmo marco usa sete tipos de evento de nível 1 (OPE25.17, tabela 2), que servem para quase qualquer empresa, mesmo que não seja um banco.
| Tipo de evento (nível 1) | O que entra |
|---|---|
| Fraude interna | Atos para fraudar, apropriar-se de bens ou burlar a lei ou as normas da empresa com a participação de pelo menos uma pessoa de dentro. |
| Fraude externa | O mesmo, cometido por um terceiro: roubo, falsificação, ataques cibernéticos com perda financeira. |
| Relações trabalhistas e segurança no trabalho | Descumprimento de normas trabalhistas, de saúde ou de segurança, indenizações por danos pessoais e casos de discriminação. |
| Clientes, produtos e práticas de negócio | Deixar de cumprir, por negligência, uma obrigação profissional com clientes específicos, ou um produto mal desenhado. |
| Danos a ativos físicos | Perda ou dano de bens físicos por desastres naturais ou outros eventos. |
| Interrupção do negócio e falhas de sistemas | Falhas de hardware, software, telecomunicações ou serviços de utilidade pública. |
| Execução, entrega e gestão de processos | Erros no processamento de operações, prazos perdidos e falhas com contrapartes e fornecedores. |
O problema dessa lista é a época em que foi feita. Ela não separa a cibersegurança, a conduta nem a dependência de terceiros, que hoje são as perguntas que mais chegam ao comitê. Para cobrir essa lacuna, a associação setorial ORX publicou em novembro de 2019, com a Oliver Wyman, uma taxonomia de referência de tipos de evento que incorpora esses riscos sem romper com os tipos de Basileia. A própria ORX esclarece que ela não foi pensada para ser adotada como está, e sim como ponto de partida para cada organização construir a sua.
Se a sua empresa não é um banco, o que nós faríamos é isto: usar os sete tipos de Basileia como esqueleto do risco operacional e acrescentar ao nível 1 o que Basileia deixa de fora, como o risco estratégico e o financeiro. Tecnologia e terceiros merecem categoria própria assim que pesarem no negócio; se não, ficam como subcategorias de operacional.
Evento, causa e consequência: não misture
É o erro que mais estraga uma taxonomia. No mesmo registro aparecem como riscos diferentes “falta de treinamento da equipe”, “pagamento a um fornecedor falsificado” e “dano reputacional”. O primeiro é uma causa, o segundo é um evento e o terceiro é uma consequência. Quando eles se misturam, o mesmo problema é contado várias vezes e os controles são atribuídos ao nível errado.
A taxonomia classifica eventos. As causas servem para escolher controles preventivos e as consequências, para avaliar o impacto. A ORX chegou à mesma conclusão: em 2020 publicou separadamente uma taxonomia de causas e impactos, que complementa a de tipos de evento. O risco reputacional se encaixa melhor como consequência do que como categoria, o que é coerente com o fato de Basileia deixá-lo fora da sua definição.
Regras para que a taxonomia seja usada
- Uma definição por categoria. Uma ou duas frases, com um exemplo do que entra e outro do que não entra. Sem definição, cada área interpreta a categoria do seu jeito.
- Categorias que não se sobreponham. Se um risco cabe em duas, o problema está nas definições, e não em quem classifica.
- Um responsável por categoria de nível 1. É quem decide em caso de dúvida e quem apresenta essa categoria ao comitê.
- Ficar de olho em “outros”. Se cada vez mais riscos vão parar ali, está faltando uma categoria.
- Normas não são categorias. ISO 27001, DORA ou a LGPD se relacionam com os riscos por meio de etiquetas ou dos controles. Se “LGPD” for uma categoria, o risco de incidente com dados pessoais acaba duplicado em “LGPD” e em “Proteção de dados”.
- Versionar. Revisar uma vez por ano e, se mudar, reclassificar o histórico. Se não, a comparação com o ano anterior perde o sentido.
A taxonomia é a base da análise de riscos. Com ela, a avaliação de risco inerente e residual e a comparação com o apetite de risco também podem ser feitas por categoria.
O módulo de Gestão de riscos do GlobalSuite® já vem com catálogos de riscos e controles carregados para ISO 31000, COSO ERM e ISO 27005, e aceita também a metodologia própria de cada organização. Se você quiser ver como ficaria a sua taxonomia, peça uma demonstração.
Fontes: marco de Basileia do Comitê de Supervisão Bancária, capítulos OPE10 e OPE25 (em vigor desde 1º de janeiro de 2023), e ORX Reference Taxonomy. Os nomes dos tipos de evento de Basileia foram traduzidos por nós. Os exemplos são ilustrativos e não correspondem a nenhum cliente. Conteúdo revisado em outubro de 2026.
