Matriz de riscos: contratar consultoria ou construir internamente?

A decisão entre contratar uma matriz de riscos consultoria externa ou desenvolvê-la com equipe própria costuma travar na diretoria por falta de critérios claros, não por falta de metodologia. Sem parâmetros objetivos, a escolha vira disputa entre quem quer economizar e quem teme assumir o projeto. Este texto propõe um caminho de decisão: o que cada modelo exige, onde um supera o outro, como avaliar propostas e como manter a matriz viva depois da entrega.

O que é matriz de riscos e o que ela resolve na prática

Matriz de riscos é um instrumento visual e analítico que cruza a probabilidade de um evento ocorrer com o impacto que ele geraria caso se concretizasse. Cada risco identificado recebe uma posição em um quadrante, geralmente variando de baixo a extremo, o que permite priorizar respostas com critério em vez de intuição. No contexto jurídico, ela traduz incertezas regulatórias, contratuais, trabalhistas e reputacionais em uma linguagem que a diretoria consegue comparar e decidir.

O que a matriz resolve na prática é a dispersão do debate sobre riscos. Sem ela, cada área enxerga o próprio problema como o mais urgente; com ela, a organização passa a discutir riscos com base em escala comum, documentada e revisável. Uma matriz bem construída também serve de evidência de diligência em negociações societárias, auditorias e investigações internas.

Matriz de riscos, gestão de riscos e compliance: onde cada uma começa e termina

Matriz de riscos é um artefato — o mapa que organiza e classifica os riscos. Gestão de riscos é o processo contínuo que inclui identificação, análise, tratamento, monitoramento e comunicação, do qual a matriz é apenas uma fotografia em determinado momento. Compliance, por sua vez, é um recorte específico: o conjunto de controles e políticas para garantir conformidade com leis, normas e compromissos assumidos.

A confusão entre os três termos gera expectativa errada na contratação. Uma consultoria de compliance entrega políticas, treinamentos e canais de denúncia; uma consultoria de riscos entrega método, classificação e priorização. A matriz pode abrigar riscos de compliance, mas não substitui o programa de conformidade — assim como auditoria e consultoria de compliance atendem a necessidades distintas.

Quando a matriz deixa de ser documento e passa a orientar decisão

A matriz vira instrumento de decisão quando é consultada antes de aprovar um contrato relevante, entrar em um novo mercado ou definir o orçamento de controles. O teste prático: se a diretoria não muda nenhuma decisão por causa da matriz, ela ainda é decoração de governança. Em empresas reguladas, a matriz costuma ser exigida ou fortemente recomendada por reguladores e por normas como a ISO 31000, o que pressiona o uso efetivo.

Um indicador objetivo de que a matriz orienta decisão é a existência de gatilhos de escalonamento: riscos classificados como altos ou extremos disparam revisão imediata por comitê, com plano de resposta e responsável nomeado. Sem esse mecanismo, o documento tende a ser arquivado após a apresentação inicial.

Construir internamente: o que a empresa precisa ter antes de começar

Construir a matriz com equipe própria exige três recursos que nem sempre aparecem no orçamento: pessoas com método, tempo protegido para oficinas e patrocínio de quem pode cobrar as áreas envolvidas. A ausência de qualquer um desses três costuma produzir uma matriz superficial, preenchida por e-mail e abandonada em poucos meses.

O caminho interno faz sentido quando a empresa já tem cultura de gestão de riscos madura ou quando o escopo é restrito a uma única área — por exemplo, riscos trabalhistas de um departamento específico. Para escopo corporativo, o esforço interno raramente é menor do que o de um projeto de consultoria bem dimensionado.

Competências, tempo de equipe e patrocínio da liderança

As competências necessárias incluem facilitação de oficinas, técnicas de identificação de riscos (entrevistas, análise de causa raiz, cenários), conhecimento das normas de referência e capacidade de redigir escalas de probabilidade e impacto que façam sentido para o negócio. Não basta um analista de controles internos: é preciso alguém que conduza discussões com sócios e diretores sem se intimidar.

O tempo de equipe é o item mais subestimado. Uma matriz corporativa minimamente consistente demanda dezenas de horas de entrevistas e workshops, além da consolidação posterior. Se as pessoas designadas continuam com a rotina normal, o projeto se arrasta por trimestres e nasce com informações de momentos diferentes — condição ideal para inconsistências.

O patrocínio da liderança define se as áreas vão abrir riscos reais ou esconder fragilidades. Quando o CEO ou o sócio majoritário não participa da primeira oficina e não cobra publicamente as entregas, os gestores tendem a reportar apenas riscos de baixa exposição pessoal.

Metodologia própria versus referências de mercado (ISO 31000, COSO)

A ISO 31000 oferece princípios e diretrizes genéricas para gestão de riscos, sem prescrever escala ou formato de matriz. O COSO ERM, por sua vez, estrutura a gestão de riscos em componentes ligados à estratégia e ao desempenho, com foco maior em governança corporativa. Nenhum dos dois entrega uma matriz pronta: ambos exigem adaptação ao porte, setor e apetite a risco da empresa.

Metodologia própria só compensa quando há volume e recorrência — grupos com várias unidades ou setores muito específicos, como concessionárias sujeitas a auditorias regulatórias da ANEEL. Para a maioria das empresas, adaptar uma referência consolidada é mais rápido e reduz o risco de inventar escalas incomparáveis entre áreas.

Os erros que fazem a matriz interna nascer desatualizada

• Escalas de probabilidade sem definição numérica ou temporal clara
• Riscos descritos como “falta de treinamento” em vez de eventos com causa e consequência
• Ausência de dono nomeado para cada risco mapeado
• Matriz construída em planilha sem controle de versão nem trilha de alterações
• Primeira versão validada apenas pelo time que a construiu, sem contraste com outras áreas

O erro mais estrutural é tratar a matriz como entrega única, e não como processo. Sem ciclo de revisão definido no momento da construção, qualquer matriz — interna ou contratada — perde validade em menos de um ano, especialmente em setores com mudança regulatória frequente.

Contratar consultoria: o que de fato se compra além do documento

O produto visível da consultoria é a matriz preenchida, mas o que se compra de fato é método de condução, leitura externa e velocidade de consolidação. Um consultor experiente já conduziu dezenas de oficinas semelhantes e sabe quais perguntas destravam a discussão de riscos que os gestores evitam mencionar espontaneamente.

Há também um componente de legitimidade: riscos apontados por terceiro independente costumam ser melhor recebidos por conselhos e sócios do que os levantados por um colega de outra diretoria. Essa neutralidade é especialmente útil quando a matriz precisa embasar decisões delicadas, como reestruturação societária ou resposta a exigências de investidores.

Facilitação, método e leitura externa dos riscos

A facilitação é o coração do projeto. O consultor conduz entrevistas individuais antes das oficinas coletivas, identifica divergências de percepção entre áreas e cria ambiente seguro para que riscos de compliance, fraude ou conflito societário apareçam. Sem essa etapa individual, a oficina coletiva tende a reproduzir a hierarquia e silenciar quem enxerga problemas.

A leitura externa agrega porque o consultor compara o que vê na empresa com padrões de outras organizações do mesmo setor, sem quebrar confidencialidade. Ele reconhece, por exemplo, que determinada exposição regulatória é típica de operadoras de saúde ou de entidades de previdência e sabe dimensioná-la — conhecimento que uma equipe interna sem histórico em outras casas dificilmente possui.

Transferência de conhecimento: como evitar dependência permanente

Dependência permanente ocorre quando o consultor entrega a matriz sem documentar critérios, sem treinar a equipe e sem deixar instruções de atualização. A empresa fica refém para qualquer revisão, e o custo da consultoria se transforma em despesa recorrente disfarçada de projeto pontual.

Para evitar isso, o contrato deve prever sessões de transferência: critérios de classificação documentados, gabarito das escalas, roteiro das oficinas e um ciclo de revisão testado com a equipe interna. Algumas empresas incluem cláusula de acompanhamento por um ou dois ciclos de revisão, com participação decrescente do consultor, até a internalização completa do processo.

O que define o custo de cada caminho

O custo do caminho interno não se resume a salários. Ele inclui horas de equipe desviadas da operação, alongamento do prazo, retrabalho por falta de método e o custo de oportunidade de decisões adiadas enquanto a matriz não fica pronta. Em muitas empresas, esse custo invisível supera o honorário de uma consultoria de escopo equivalente.

O custo da consultoria, por sua vez, é função de escopo, profundidade e prazo — não de uma tabela fixa. Projetos que envolvem dezenas de entrevistas, múltiplas unidades ou integração com planejamento estratégico custam mais do que uma matriz departamental com duas oficinas.

Esforço interno, horas de equipe e custo de oportunidade

O esforço interno concentra-se em três frentes: preparação de materiais e escalas, participação em oficinas e validação com as áreas. Uma matriz corporativa pode consumir de 80 a 200 horas somadas de equipe, dependendo da quantidade de riscos e do número de áreas envolvidas — estimativa em faixa, pois o número exato varia com a complexidade do negócio.

O custo de oportunidade aparece quando diretores e gerentes passam dias em workshops em vez de tocar a operação. Em setores regulados, esse custo é ainda maior: atrasar a matriz pode significar postergar respostas a exigências de órgãos como ANS, CVM ou Banco Central, com consequências que vão além do financeiro.

Escopo, profundidade e prazo como variáveis do projeto de consultoria

• Escopo: uma unidade de negócio ou toda a organização
• Profundidade: apenas riscos operacionais ou inclusão de riscos estratégicos e de imagem
• Prazo: projeto concentrado em semanas ou diluído em meses para acomodar agendas
• Entregáveis: matriz simples ou matriz com planos de resposta, indicadores e integração a sistemas
• Transferência: entrega seca ou com treinamento e acompanhamento de ciclos de revisão

Prazo comprimido geralmente eleva o custo porque exige mais consultores alocados simultaneamente e oficinas em sequência intensa. Prazo alongado, por outro lado, reduz o custo direto, mas aumenta o risco de a matriz nascer defasada se houver mudança regulatória ou societária durante o projeto.

Comparativo: consultoria externa versus construção interna

A comparação honesta não é entre “bom” e “ruim”, mas entre perfis de necessidade. A consultoria entrega mais rápido, com método testado e leitura externa; a construção interna entrega mais autonomia e menor custo direto, desde que a empresa tenha competência e tempo para sustentar o processo sem atalhos.

O critério decisivo costuma ser a maturidade de gestão de riscos. Empresas que nunca fizeram matriz tendem a se beneficiar mais do modelo externo no primeiro ciclo, justamente porque o consultor instala o método e treina a equipe. Empresas que já têm matriz rodando há anos podem evoluir internamente sem perder qualidade.

Velocidade, profundidade, custo de manutenção e autonomia

Velocidade favorece a consultoria: um projeto externo bem conduzido entrega matriz validada em semanas, enquanto o interno frequentemente se arrasta por trimestres. Profundidade depende mais do método do que da origem: uma equipe interna com competência em ISO 31000 pode alcançar profundidade equivalente à de um consultor, mas raramente na primeira tentativa.

Custo de manutenção tende a ser menor no modelo interno, pois não há honorários recorrentes — desde que a equipe absorva o método. Autonomia é a grande vantagem interna: a empresa revisa a matriz quando quiser, sem depender de agenda ou de novo orçamento de terceiro. A consultoria pode mitigar essa perda com transferência de conhecimento bem contratada.

Em que cenários cada modelo tende a fazer mais sentido

• Primeira matriz corporativa, sem método interno estabelecido: consultoria externa
• Matriz setorial com exigência regulatória específica: consultoria com experiência no setor
• Equipe interna já treinada e matriz madura: construção interna
• Orçamento restrito e escopo pequeno: interno, com apoio pontual de especialista
• Necessidade de legitimidade perante conselho ou investidor: consultoria externa

Empresas de setor regulado que já contratam auditoria independente podem aproveitar a sinergia: o auditor conhece os controles e os riscos relevantes, mas não pode construir a matriz por conflito com a independência. Nesse caso, a consultoria de riscos é contratada à parte, e a auditoria habilitada no regulador valida depois a aderência dos controles.

Modelo híbrido: consultoria para desenhar, equipe para manter

O modelo híbrido concentra o consultor na concepção do método, condução das primeiras oficinas e consolidação da matriz inicial, enquanto a equipe interna assume progressivamente a atualização. É o arranjo que melhor equilibra velocidade inicial com autonomia de longo prazo, e por isso vem ganhando espaço em médias e grandes empresas.

O risco do híbrido é a transição mal feita: o consultor entrega a matriz e a equipe não consegue replicar o raciocínio de classificação nos ciclos seguintes. Por isso, o desenho de papéis precisa estar explícito desde a proposta, com marcos de transferência e responsabilidades nomeadas.

Como dividir papéis entre consultoria e áreas internas

O consultor responde por método, facilitação, consolidação técnica e documentação dos critérios. As áreas internas respondem por fornecer informações verdadeiras, validar a redação dos riscos e indicar os responsáveis por cada plano de resposta. A diretoria responde por arbitrar divergências e aprovar o apetite a risco que definirá os limites da matriz.

Uma divisão funcional é a seguinte: o consultor conduz entrevistas e oficinas; um ponto focal interno organiza agendas e garante presença; o comitê de riscos valida a matriz consolidada; e a área de controles internos ou gestão de riscos assume a manutenção após o segundo ciclo de revisão acompanhado.

Governança da matriz depois da entrega: dono, ciclo de revisão e gatilhos

• Dono: um executivo com autoridade para convocar revisões e cobrar planos de resposta
• Ciclo de revisão: semestral para riscos altos, anual para a matriz completa
• Gatilhos extraordinários: mudança societária, nova regulação, incidente relevante, entrada em novo mercado
• Registro: ata ou log com data, participantes e alterações feitas em cada revisão
• Escalonamento: riscos extremos sobem ao conselho ou comitê de auditoria na revisão seguinte

Sem dono nomeado, a matriz morre na primeira troca de gestão. Sem gatilhos, ela só é revisada quando alguém lembra — e a lembrança costuma vir depois do incidente, não antes. A governança pós-entrega é o que separa a matriz que previne da matriz que apenas documenta o que já aconteceu.

Como escolher e avaliar uma consultoria de riscos

A seleção começa pela leitura crítica da proposta. Consultorias que entregam “matriz de riscos completa” sem descrever método, etapas e critérios de classificação provavelmente vendem template adaptado, não diagnóstico. O mesmo vale para propostas que não preveem entrevistas individuais antes das oficinas coletivas.

O segundo filtro é a experiência setorial. Uma consultoria que nunca trabalhou com operadoras de saúde dificilmente conhecerá as especificidades de quem audita operadora de plano de saúde ou os riscos típicos de ressarcimento ao SUS, por exemplo. Experiência setorial reduz o tempo de curva de aprendizado e aumenta a precisão da leitura externa.

Sinais de alerta em propostas e metodologias genéricas

• Proposta sem cronograma de entrevistas individuais
• Escalas de probabilidade e impacto copiadas de material genérico, sem adaptação ao setor
• Prazo de entrega incompatível com o número de áreas a serem ouvidas
• Ausência de previsão de transferência de conhecimento
• Equipe alocada sem currículo ou com profissionais juniores em todas as etapas
• Promessa de “zero risco” ou de eliminação total de riscos — tecnicamente impossível

Metodologia genérica se revela também na linguagem: propostas que falam em “entregar a matriz” sem descrever como os riscos serão identificados, quem participará e como as divergências serão tratadas indicam entrega de documento, não de processo. O valor está no método e na adaptação, não no artefato final.

Perguntas que separam consultoria de entrega de template

1. Como os riscos serão identificados além das oficinas coletivas?
2. Qual referência metodológica será usada e como será adaptada ao nosso setor?
3. Quem conduzirá as entrevistas individuais e qual a senioridade da equipe?
4. Como as divergências de classificação entre áreas serão arbitradas?
5. O que está previsto em termos de transferência de conhecimento e autonomia pós-entrega?
6. Como a matriz se conectará ao planejamento estratégico e ao orçamento?
7. Qual o formato de atualização e quem poderá operá-la sem depender de vocês?

Respostas evasivas às perguntas 5 e 7 são o sinal mais forte de que a consultoria pretende manter dependência. Consultoria séria descreve com naturalidade o processo de internalização, inclusive com marcos e critérios de saída.

Erros que comprometem os dois caminhos

Alguns erros independem de a matriz ser interna ou contratada. O mais comum é tratar a matriz como projeto com data de término, e não como processo contínuo. A matriz pronta é o começo da gestão de riscos, não o fim — e empresas que comemoram a entrega sem planejar a manutenção perdem o investimento em poucos meses.

Outro erro transversal é a desconexão com o planejamento estratégico. A matriz que não dialoga com os objetivos do negócio vira lista de preocupações genéricas, sem prioridade real. Riscos estratégicos — perda de mercado, dependência de cliente, obsolescência de modelo — ficam de fora, e sobram apenas riscos operacionais de baixa relevância.

Matriz sem dono, sem revisão e desconectada do planejamento estratégico

Matriz sem dono é matriz de ninguém: ninguém é cobrado quando um risco se materializa, ninguém atualiza as classificações, ninguém convoca revisão. O resultado é um documento que perde credibilidade rapidamente e deixa de ser consultado nas decisões — exatamente o oposto do propósito da ferramenta.

A desconexão com o planejamento estratégico aparece quando os riscos mapeados não correspondem aos objetivos declarados da empresa. Se o plano prevê expansão para nova região e a matriz não contempla riscos regulatórios, tributários e de mão de obra dessa região, há um desalinhamento que compromete tanto a matriz quanto o plano. Empresas obrigadas a realizar auditoria independente sentem esse descompasso com mais intensidade, pois a matriz desalinhada fragiliza também a governança exigida pelo regulador.

Riscos estratégicos tratados como riscos operacionais

Risco estratégico é aquele que afeta a capacidade de a empresa atingir seus objetivos de longo prazo: perda de licença, mudança regulatória estrutural, dependência de um único cliente, sucessão societária. Risco operacional é o que afeta a execução do dia a dia: falha de sistema, erro de processo, rotatividade de equipe.

Tratar risco estratégico como operacional significa aplicar-lhe a mesma régua de probabilidade e impacto dos problemas cotidianos. O resultado é subdimensionar ameaças existenciais e superdimensionar incômodos rotineiros. A matriz perde a capacidade de orientar decisão justamente onde ela seria mais valiosa: nas escolhas que definem a continuidade do negócio.

Como decidir no seu contexto

A decisão entre consultoria externa, construção interna ou modelo híbrido não se resolve por preferência, mas por diagnóstico de três variáveis: maturidade de gestão de riscos, disponibilidade real de equipe e urgência regulatória ou estratégica. Empresas com as três variáveis favoráveis podem seguir internamente; as demais se beneficiam de apoio externo em algum grau.

O comitê ou a diretoria precisa responder às perguntas de decisão com honestidade, sem otimismo de fachada. Superestimar a própria capacidade de conduzir o processo é o erro mais caro dessa etapa, porque só se manifesta meses depois, quando a matriz já nasceu inconsistente e desacreditada.

Perguntas de decisão para o comitê ou a diretoria

1. Já conduzimos algum processo estruturado de identificação de riscos antes?
2. Existe alguém na equipe com método de facilitação e conhecimento de ISO 31000 ou COSO?
3. As áreas envolvidas têm horas disponíveis nas próximas semanas ou o projeto competirá com a operação?
4. Há exigência regulatória com prazo que force a conclusão rápida da matriz?
5. Precisamos de leitura externa para legitimar riscos sensíveis perante sócios ou conselho?
6. Temos condições de manter a matriz atualizada depois da entrega, com dono e ciclo definidos?
7. O custo de uma decisão errada por falta de matriz é maior do que o investimento em consultoria?

Se a resposta às perguntas 1, 2 e 6 for negativa, o modelo híbrido ou externo tende a ser a escolha racional. Se houver exigência regulatória com prazo, a consultoria externa ganha ainda mais peso, pois a velocidade de entrega se torna critério decisivo — como ocorre em contratações de auditor do balanço com antecedência adequada.

Primeiros passos depois da escolha

• Nomear um responsável interno pelo projeto, com autoridade para convocar áreas
• Definir o escopo da matriz: unidades, categorias de risco e nível de profundidade
• Alinhar expectativa com a diretoria sobre participação obrigatória nas oficinas
• Se for contratar consultoria, solicitar propostas com método detalhado e marcos de transferência
• Estabelecer desde já o dono da matriz e o primeiro ciclo de revisão pós-entrega

O primeiro passo concreto é escrever o escopo em uma página: quais áreas entram, quais categorias de risco serão mapeadas e qual decisão a matriz precisa subsidiar nos próximos doze meses. Esse documento orienta tanto a equipe interna quanto a seleção de consultoria, e evita que o projeto comece sem critério — o erro que condena a matriz antes mesmo da primeira oficina.