Como este tema funciona no porte da sua empresa
O levantamento de riscos é feito em uma ou duas conversas com o sócio e os responsáveis pelas áreas principais — comercial, operação e financeiro. Não exige metodologia complexa: uma lista estruturada com as principais ameaças ao negócio já é um avanço significativo. O gestor administrativo pode conduzir o processo sozinho, com uma planilha simples.
O inventário precisa cobrir múltiplas áreas e níveis hierárquicos. O gestor coordena workshops ou entrevistas estruturadas com líderes de área, consolida as respostas e cria o inventário de riscos corporativos. Formulários digitais e planilhas compartilhadas agilizam a coleta e a consolidação.
Processo formal com metodologia definida, facilitadores treinados e mapeamento por unidade de negócio ou processo crítico. Frequentemente integrado ao ciclo de planejamento estratégico e à auditoria interna, com revisão obrigatória na virada do ciclo de governança.
Identificação de riscos é a primeira etapa do ciclo de gestão de riscos — o processo pelo qual o gestor levanta, de forma sistemática, todos os eventos que podem impedir a empresa de atingir seus objetivos operacionais e estratégicos. Sem essa etapa, as demais (análise, priorização, tratamento e monitoramento) não têm base: não se avalia nem trata o que não se conhece. A ISO 31000:2018 posiciona a identificação como pré-requisito de todo o ciclo.
Por que a identificação é a etapa mais crítica do ciclo de riscos
A identificação de riscos é a etapa mais crítica porque um risco que não foi levantado nunca será tratado — independentemente da sofisticação das ferramentas usadas nas etapas seguintes. O gestor que pula ou faz o levantamento de forma incompleta constrói um processo de gestão de riscos com pontos cegos.
O erro mais comum não é identificar riscos demais, mas identificar de menos — e de forma enviesada. A tendência natural é listar os riscos que já causaram problema antes ou os que estão no radar da diretoria. Riscos de categorias menos visíveis — como dependência de pessoas-chave, risco de conformidade ou risco de fornecedor — ficam de fora justamente porque nunca causaram crise ainda.
Um inventário robusto combina diferentes fontes: as áreas da empresa, o histórico de eventos, as dependências externas e os processos críticos. Nenhuma fonte isolada é suficiente.
Fontes de risco a considerar: internas e externas
O levantamento de riscos precisa cobrir tanto as fontes internas quanto as externas — cada uma gera categorias distintas de eventos e exige perguntas diferentes durante o mapeamento.
Fontes internas:
- Processos: fluxos não documentados, ausência de controles, etapas manuais sujeitas a erro, aprovações sem critério claro.
- Pessoas: dependência de colaboradores específicos, turnover em posições críticas, falta de treinamento, erro humano recorrente.
- Tecnologia: sistemas sem backup testado, integração frágil entre plataformas, acesso sem segregação, dados sem proteção adequada.
- Finanças: concentração de receita, prazo médio de recebimento elevado, capital de giro insuficiente, endividamento crescente.
Fontes externas:
- Mercado: mudança de demanda, entrada de concorrente com preço agressivo, queda no setor de atuação.
- Regulação: nova legislação que impacta a operação, mudança em alíquota, nova exigência de licença ou certificação.
- Fornecedores: dependência de fornecedor único, deterioração financeira de parceiro crítico, interrupção de supply chain.
- Ambiente: desastre natural, interrupção de energia ou infraestrutura, crise econômica que afeta o setor.
Técnicas para identificar riscos na prática
Há técnicas simples e acessíveis para conduzir o levantamento — e a escolha depende do porte da empresa e do tempo disponível. O mais importante é usar mais de uma técnica para evitar pontos cegos.
- Brainstorming estruturado por categoria: reunião com os responsáveis de cada área, conduzida com a lista de categorias de risco como guia (financeiro, operacional, legal, pessoas, fornecedores, tecnologia). Para cada categoria, a pergunta é: "o que poderia dar errado aqui que afetaria a operação ou o resultado da empresa?"
- Entrevistas com responsáveis de área: conversas individuais de 30 a 45 minutos com os líderes das áreas críticas, usando as perguntas-guia do levantamento. Permitem capturar riscos que as pessoas não mencionariam em grupo — por constrangimento ou por achar que "não é o lugar certo para falar".
- Análise de eventos passados: revisão de problemas, incidentes e perdas que já aconteceram na empresa. A pergunta é: "o que já deu errado aqui nos últimos dois ou três anos?" Eventos passados são a fonte mais confiável de riscos reais — já ocorreram uma vez e podem ocorrer de novo.
- Revisão de processos críticos: mapear os processos que, se interrompidos, pararam ou comprometem significativamente a operação ou a entrega ao cliente. Para cada processo crítico: quais são as dependências (pessoas, sistemas, fornecedores)? O que acontece se cada dependência falhar?
- Análise de dependências externas: listar fornecedores, sistemas, clientes e regulações dos quais a empresa depende para operar. Para cada um: qual o impacto se houver falha ou mudança? Há alternativa disponível?
Uma reunião de 2 horas com o sócio e os 2 ou 3 responsáveis pelas áreas principais, conduzida com as perguntas-guia por categoria, já entrega um inventário inicial útil. A análise de eventos passados é especialmente valiosa — em empresas pequenas, o gestor geralmente lembra dos problemas que aconteceram.
Combinar entrevistas individuais com os líderes de área (1 semana) e um workshop de consolidação com toda a liderança (meio dia). O gestor ou controller facilita, consolida as respostas e devolve o inventário para validação antes de fechar.
Processo sistematizado integrado ao planejamento estratégico: formulário digital por área, facilitadores treinados por unidade de negócio, consolidação pela área de risco e revisão com o comitê de riscos. O levantamento alimenta o inventário corporativo e é integrado ao reporting para o conselho.
Perguntas-guia para conduzir o levantamento por categoria
Perguntas bem formuladas são o principal instrumento do levantamento — elas direcionam a conversa para riscos concretos e evitam respostas genéricas. As perguntas a seguir podem ser usadas diretamente nas entrevistas e no brainstorming.
| Categoria | Perguntas-guia para o levantamento |
|---|---|
| Financeiro | "Quais clientes, se deixarem de pagar, comprometem o caixa do mês?" / "A empresa consegue operar por 60 dias se o principal cliente atrasar?" |
| Operacional | "Quais processos só uma pessoa sabe executar?" / "O que acontece se o sistema principal ficar fora do ar por 2 dias?" |
| Legal/Regulatório | "Quais licenças ou alvarás precisamos manter e quem monitora os prazos?" / "Já recebemos notificação ou multa por obrigação que não conhecíamos?" |
| Pessoas-chave | "Se essa pessoa saísse amanhã, quanto tempo levaríamos para repor a função?" / "Ela carrega relacionamentos comerciais que a empresa não controla?" |
| Fornecedores | "Temos alternativa se o principal fornecedor parar de entregar?" / "Algum fornecedor deu sinais de dificuldade financeira recentemente?" |
| Estratégico | "O que poderia tornar nosso modelo de negócio menos competitivo nos próximos 2 anos?" / "Qual mudança de mercado nos pegaria mais desprevenidos?" |
Como estruturar o inventário de riscos
O inventário de riscos é o documento que consolida o resultado do levantamento — e a forma como é estruturado determina se ele vai ser útil ou ficar em uma gaveta. Os campos mínimos garantem que o inventário contenha informação suficiente para a próxima etapa: análise e priorização.
- Código do risco: identificador único para referência e rastreabilidade (ex.: R-FIN-01, R-OP-03).
- Descrição do risco: o evento em si, descrito de forma concreta — não "risco financeiro", mas "inadimplência acima de 10% da carteira de clientes ativos".
- Categoria: financeiro, operacional, legal, estratégico, pessoas, fornecedores, cibernético, reputacional.
- Área afetada: qual área ou processo sofre o impacto direto se o risco se materializar.
- Causa provável: o que desencadeia o evento — concentração de receita, falta de backup, processo não documentado.
- Consequência potencial: o que acontece se o evento ocorrer — perda financeira, interrupção operacional, autuação, dano reputacional.
- Responsável pelo monitoramento: quem na empresa acompanha esse risco e aciona o plano de resposta se necessário.
Erros comuns na identificação de riscos
O levantamento de riscos perde valor quando é feito de forma incompleta ou enviesada. Conhecer os erros mais comuns ajuda o gestor a evitá-los no processo.
- Foco exclusivo em riscos financeiros: riscos operacionais, de pessoas e de fornecedores têm impacto financeiro indireto mas frequentemente são mais urgentes — e ficam de fora do radar.
- Não ouvir a operação: levantar riscos apenas com a diretoria deixa de fora os eventos que os colaboradores da linha de frente já percebem no dia a dia.
- Registrar sintomas em vez de causas: "atraso na entrega" é sintoma; "dependência de fornecedor único sem alternativa homologada" é a causa — e é sobre a causa que o controle precisa agir.
- Omitir riscos de pessoas-chave: são vistos como "assunto de RH" e ficam fora do inventário do gestor administrativo — mas têm impacto direto na continuidade operacional.
- Não atualizar o inventário: o levantamento feito uma vez e nunca revisado perde relevância rapidamente — novos riscos surgem com mudanças de processo, de equipe ou de mercado.
Sinais de que sua empresa precisa estruturar o levantamento de riscos
Se você se reconhece em três ou mais cenários abaixo, o inventário de riscos da empresa provavelmente está incompleto ou desatualizado.
- A empresa não tem uma lista formal dos riscos que enfrenta — o conhecimento está disperso entre as áreas ou na memória das pessoas.
- Problemas recorrentes acontecem sem que as causas tenham sido registradas ou analisadas para evitar a repetição.
- Cada área conhece os seus riscos, mas nunca houve uma consolidação em visão corporativa.
- O levantamento de riscos foi feito uma vez, mas nunca foi revisado nem atualizado após mudanças relevantes.
- Novos projetos ou produtos são lançados sem análise prévia dos riscos envolvidos.
- A empresa já sofreu perdas por eventos que eram previsíveis, mas não estavam mapeados.
Caminhos para mapear os riscos do negócio
O levantamento de riscos pode ser conduzido internamente ou com apoio especializado. A escolha depende da complexidade da operação, do volume de áreas e processos e da necessidade de metodologia formal.
O gestor administrativo conduz o levantamento usando as perguntas-guia por categoria, entrevistas com os responsáveis de área e análise de eventos passados.
- Perfil necessário: gestor administrativo com capacidade de facilitar conversas e consolidar informações de áreas diferentes.
- Tempo estimado: 1 a 2 semanas para o levantamento inicial em empresas de pequeno porte; 3 a 4 semanas para médias.
- Faz sentido quando: a empresa precisa começar do zero com baixo investimento e os riscos são gerenciáveis sem metodologia externa sofisticada.
- Risco principal: inventário incompleto por viés do facilitador ou resistência das áreas em revelar vulnerabilidades.
Consultoria conduz o levantamento com metodologia estruturada, facilitadores neutros e entrega inventário revisado e priorizado.
- Tipo de fornecedor: Consultoria de Gestão de Riscos, Auditoria.
- Vantagem: metodologia testada, menor viés, cobertura mais abrangente e resultado que atende exigências de auditoria ou certificação.
- Faz sentido quando: o volume de processos e áreas é alto, há exposição regulatória específica ou o levantamento precisa atender exigências externas formais.
- Resultado típico: inventário de riscos completo e priorizado em 3 a 6 semanas, com metodologia documentada para revisões futuras.
Precisa de apoio para mapear os riscos do negócio de forma estruturada?
Se identificar e organizar os riscos da empresa virou prioridade, o oHub conecta sua empresa, de forma gratuita, a fornecedores de consultoria de gestão de riscos e auditoria. Em menos de 3 minutos você descreve a necessidade e recebe propostas, sem compromisso.
Encontrar fornecedores de Gestão no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
Como fazer um levantamento de riscos empresariais?
O levantamento combina cinco técnicas: brainstorming estruturado por categoria de risco, entrevistas com os responsáveis de área, análise de eventos que já aconteceram na empresa, revisão dos processos críticos e análise das dependências externas (fornecedores, sistemas, regulação). O resultado é consolidado em um inventário com descrição, categoria, causa, consequência e responsável por cada risco.
Quais são as técnicas para identificar riscos em uma empresa?
As principais técnicas são: brainstorming estruturado por categoria, entrevistas individuais com líderes de área, análise de histórico de incidentes, revisão de processos críticos e análise de dependências externas. Usar mais de uma técnica reduz os pontos cegos — riscos que uma técnica não captura, outra frequentemente captura.
O que é brainstorming de riscos?
Brainstorming de riscos é uma reunião estruturada com os responsáveis das áreas da empresa, conduzida com a lista de categorias de risco como guia. Para cada categoria, o facilitador faz perguntas específicas — "o que poderia dar errado aqui que afetaria a operação?" — e registra todos os eventos levantados, sem julgamento inicial. A filtragem e priorização acontecem na etapa seguinte.
Como envolver as áreas no mapeamento de riscos?
Envolver as áreas começa por explicar o propósito do levantamento — não é auditoria, é proteção da operação. Entrevistas individuais são mais eficazes do que formulários genéricos para capturar riscos que as pessoas não revelariam em grupo. O facilitador deve garantir que o resultado não será usado para responsabilizar individualmente quem levantou um risco.
O que é inventário de riscos?
Inventário de riscos é o documento que consolida todos os riscos identificados no levantamento, com campos mínimos: código, descrição do evento, categoria, área afetada, causa provável, consequência potencial e responsável pelo monitoramento. É a base para as etapas seguintes do ciclo de gestão de riscos — análise, priorização e tratamento.
Fontes e referências
- ABNT — Associação Brasileira de Normas Técnicas. ISO 31000:2018 — Gestão de Riscos: Princípios e Diretrizes. Rio de Janeiro: ABNT, 2018.
- IBGC — Instituto Brasileiro de Governança Corporativa. Gerenciamento de Riscos Corporativos. São Paulo: IBGC.