Um sistema de gestão de riscos corporativos é o conjunto de políticas, papéis, processos e ferramentas com que uma organização identifica, avalia, trata e monitora todos os seus riscos com um mesmo critério, conectando-os à sua estratégia. Em inglês, é conhecido como ERM (Enterprise Risk Management). A palavra que importa é «todos»: os riscos financeiros, operacionais, tecnológicos, de terceiros ou de compliance entram no mesmo registro e são medidos com a mesma régua.
O oposto é o que muitas empresas têm hoje: cada área mantém a própria lista na própria planilha. Segurança mede de 1 a 5, Finanças em euros e Compliance com cores. Cada lista faz sentido isoladamente, mas ninguém consegue responder à pergunta do conselho: quais são os dez riscos mais graves da empresa e se eles estão dentro do que estamos dispostos a assumir.
As peças de um sistema de gestão de riscos corporativos
Não existe um modelo único, mas todos os sistemas que funcionam têm estas peças, e costumam falhar justamente pela que está faltando:
- Governança e apetite a risco. Quem decide qual risco é aceitável e onde fica essa linha. Sem um apetite a risco aprovado pela diretoria, o sistema mede, mas não ajuda a decidir.
- Taxonomia. As categorias em que cada risco é classificado, para que o mesmo problema tenha o mesmo nome em todas as áreas. Explicamos isso em taxonomia de riscos.
- Metodologia comum. As mesmas escalas de probabilidade e impacto para todos e a mesma matriz de riscos para representar o resultado.
- Registro com responsáveis. Cada risco com um responsável com nome e sobrenome, e não com um departamento.
- Controles e indicadores. O que se faz para reduzir cada risco e como saber a tempo que ele está piorando, com indicadores de risco (KRI).
- Reporte à diretoria. Um relatório periódico que compare o risco inerente e o residual e mostre o que mudou desde a última vez.
ISO 31000 ou COSO ERM: qual usar como referência
Quase todos os sistemas se apoiam em um desses dois frameworks. Nenhum deles é certificável nem obrigatório por si só: são guias. O que muda é o enfoque.
| ISO 31000:2018 | COSO ERM (2017) | |
|---|---|---|
| O que é | Norma internacional com diretrizes para gerenciar riscos de qualquer tipo. | Framework do Committee of Sponsoring Organizations, Enterprise Risk Management: Integrating with Strategy and Performance. |
| Como se organiza | Princípios, estrutura e processo. | Cinco componentes e vinte princípios. |
| Seu ponto forte | Um processo claro e fácil de levar a todas as áreas. | A conexão do risco com a estratégia e o desempenho. |
| Onde é mais usado | Empresas de qualquer porte e setor, muitas vezes junto com outras ISO. | Grupos de capital aberto e setor financeiro, próximo ao controle interno. |
Nossa recomendação: se você já trabalha com normas ISO (27001, 22301, 37301), parta da ISO 31000, porque vai compartilhar vocabulário e estrutura. Se quem pede o sistema é o conselho ou o comitê de auditoria e a prioridade é amarrar o risco aos objetivos de negócio, o COSO ERM se encaixa melhor. Um não exclui o outro: muitas organizações usam o processo da ISO 31000 e a linguagem de governança do COSO.
O que a regulamentação exige na Espanha
Para a maioria das empresas o sistema é voluntário, mas em alguns casos ele é exigido:
- Companhias abertas. O Código de Bom Governo da CNMV recomenda uma política de controle e gestão de riscos que cubra os riscos financeiros e não financeiros e defina o nível de risco aceitável (recomendação 45), e uma função interna de controle e gestão de riscos supervisionada pelo comitê de auditoria (recomendação 46). Aplica-se pelo critério de «cumprir ou explicar».
- Seguradoras. A Diretiva Solvência II exige, no artigo 44.º, um sistema eficaz de gestão de riscos.
- Entidades financeiras. O Regulamento DORA obriga a ter um quadro de gestão do risco associado às TIC (artigo 6.º), que precisa se encaixar no sistema geral de gestão de riscos.
Como implementar, passo a passo
- Definir o apetite e a governança. Quem é o dono do sistema, qual comitê o revisa e com que frequência, e qual nível de risco é aceitável.
- Definir taxonomia e metodologia. Categorias, escalas com definições concretas e a matriz. É o passo mais discutido e o que mais economiza tempo depois.
- Fazer o primeiro mapa com os principais riscos. Comece pelos vinte ou trinta riscos que realmente preocupam a diretoria, e não por um inventário de quatrocentos.
- Atribuir controles, responsáveis e indicadores. Cada risco acima do apetite precisa de um plano com responsável e prazo.
- Reportar e repetir. Um relatório periódico para a diretoria e uma revisão que parta do que mudou.
O erro que mais vemos é começar pelo passo três: um grande workshop para levantar riscos sem ter combinado a escala antes. O resultado é um registro enorme que ninguém consegue comparar e que é abandonado na segunda revisão.
Planilha ou ferramenta de gestão de riscos
Um sistema pequeno pode começar no Excel, e para isso você tem o nosso modelo de matriz de riscos. O problema aparece quando várias áreas preenchem o registro: surgem versões cruzadas, escalas que cada um interpreta do seu jeito e um relatório consolidado que precisa ser montado à mão antes de cada comitê.
Esse é o momento de migrar para um software de gestão de riscos corporativos. No GlobalSuite® Risk Management, a metodologia já vem carregada (ISO 31000, COSO ERM ou a sua), cada área avalia seus riscos com a mesma escala, e o mapa de calor, os KRI e o relatório para a diretoria saem automaticamente, com simulação de Monte Carlo se você quiser quantificar em valores monetários.
Quer ver como ficaria o seu sistema de gestão de riscos? Mostramos com um caso parecido com o seu.
Solicite uma demoConteúdo revisado em outubro de 2026.
