Gerenciamento de Riscos Corporativos
Framework estruturado baseado na ISO 31000 e COSO: da matriz de risco à governança integrada.
Riscos não gerenciados custam caro: em multas, em incidentes, em valor de mercado e em reputação. Em empresas de médio e grande porte que operam em setores industriais regulados, a ausência de um framework estruturado de gerenciamento de riscos expõe a organização a decisões mal calibradas e a uma postura reativa diante de eventos que poderiam ter sido antecipados.
A PSM Expert oferece consultoria técnica independente para estruturar, adequar e fortalecer sistemas de Gerenciamento de Riscos Corporativos (GRC / ERM), com base na ISO 31000:2018 e no framework COSO ERM (2017) — da revisão e calibração da matriz de risco corporativa à estruturação da governança de riscos.
Dois frameworks complementares, um objetivo comum
A ISO 31000 fornece o rigor metodológico do processo. O COSO ERM fornece a estrutura de governança e o alinhamento estratégico. Aplicamos ambos de forma integrada.
ISO 31000:2018 — Princípios, Framework e Processo
Norma internacional de referência para gerenciamento de riscos. Não é certificável: é um guia de boas práticas aplicável a qualquer organização, setor ou porte, estruturado em três camadas.
Princípios
- Integração
- Estruturação
- Customização
- Inclusão
- Dinamismo
- Informação disponível
- Melhoria contínua
Framework
- Liderança e comprometimento
- Integração
- Design
- Implementação
- Avaliação
- Melhoria
Processo
- Comunicação e consulta
- Escopo, contexto e critérios
- Identificação de riscos
- Análise e avaliação
- Tratamento
- Monitoramento e registro
COSO ERM 2017 — Enterprise Risk Management
Framework do Committee of Sponsoring Organizations of the Treadway Commission, referência global para gestão de riscos corporativos com foco na criação e proteção de valor. A revisão de 2017 integrou a gestão de riscos à estratégia, superando a visão estritamente de controle interno.
| Componente COSO ERM | Descrição |
|---|---|
| Governança e Cultura | Define o tom da gestão de riscos: estruturas de governança, papéis e responsabilidades, cultura de riscos e comprometimento da liderança. |
| Estratégia e Objetivos | Integração do apetite a risco na formulação da estratégia e no desdobramento de objetivos de negócio. |
| Desempenho | Identificação e avaliação dos riscos que afetam os objetivos, priorização e desenvolvimento de respostas. |
| Revisão e Acompanhamento | Monitoramento contínuo da eficácia do ERM e identificação de mudanças no contexto de riscos. |
| Informação e Reporte | Fluxos de informação sobre riscos entre todos os níveis organizacionais e partes externas relevantes. |
Matriz de Risco Corporativa: Adequação e Governança
A matriz de risco é o instrumento central de priorização e comunicação de riscos. Quando mal calibrada, gera subestimação (falsa segurança) ou superestimação generalizada (paralisia decisória).
Problemas comuns em matrizes corporativas
- Escalas de probabilidade e impacto sem critérios quantitativos claros, gerando inconsistência entre áreas e gestores.
- Ausência de distinção entre risco inerente (antes de controles) e risco residual (após controles).
- Categorias de impacto restritas à dimensão financeira, ignorando segurança, reputação, meio ambiente, continuidade e conformidade.
- Apetite e tolerância a risco não formalizados, impedindo a calibração das escalas e das decisões de tratamento.
- Matriz desatualizada e desconectada do contexto estratégico atual da organização.
- Ausência de integração entre riscos corporativos e riscos de processo / segurança operacional.
O que entregamos na adequação da matriz
Diagnóstico da matriz atual
Avaliação da estrutura vigente: escalas, critérios de classificação, categorias de risco, processo de atualização e uso efetivo pela liderança.
Apetite e tolerância a risco
Workshop com a liderança para formalizar o apetite por categoria e estabelecer limites de tolerância que guiem as escalas da matriz.
Calibração das escalas
Revisão das escalas de probabilidade e impacto com critérios quantitativos e qualitativos consistentes, alinhados ao apetite formalizado.
Estrutura multicritério de impacto
Critérios por dimensão (financeira, segurança de processos, SSO, ambiental, reputacional e regulatória), com ancoragem numérica por nível.
Risco inerente × risco residual
Avaliação em duas etapas (sem e com controles), com identificação dos gaps de controle existentes.
Matriz revisada e documentada
Nova matriz com manual de uso, critérios de classificação, exemplos aplicados e instrução de atualização periódica.
Risco Corporativo e Segurança de Processos: Uma visão integrada
Um diferencial da PSM Expert é integrar a visão de risco corporativo (COSO / ISO 31000) com a perspectiva de risco de processo (PSM, HAZOP, QRA). Em empresas industriais de alto risco, esses dois domínios precisam conversar.
Riscos de processo — como a liberação acidental de substâncias perigosas ou a falha de sistemas críticos de segurança — são frequentemente subestimados em matrizes corporativas porque profissionais de GRC não têm o background técnico para avaliá-los.
Quando sua organização precisa desta consultoria?
- Estruturação de um programa GRC do zero, sem saber por onde começar.
- Revisão e adequação de uma matriz de risco existente que não é usada de forma consistente.
- Exigência de auditores, reguladores ou seguradoras que identificaram lacunas no programa GRC.
- Preparação para requisitos de mercado de capitais (IPO, debêntures, relatórios ESG e divulgação de riscos).
- Integração de riscos corporativos e operacionais ainda não refletidos na visão corporativa.
- Revisão pós-incidente que evidenciou lacunas no programa de GRC.
- Fusões, aquisições e due diligence, com mapeamento de exposições não evidentes.
Entregáveis da consultoria em GRC
Diagnóstico do programa GRC
Avaliação do estado atual frente à ISO 31000 e COSO ERM, com lacunas identificadas e mapa de prioridades para adequação.
Matriz de risco adequada
Nova matriz calibrada, escalas multicritério, critérios documentados e distinção entre risco inerente e residual.
Apetite e tolerância formalizados
Política de apetite a risco validada pela liderança, com limites de tolerância por categoria e ancoragem nas escalas.
Política de gerenciamento de riscos
Documento formal com escopo, princípios adotados, responsabilidades por linha de defesa e processo de revisão periódica.
Catálogo de riscos (Risk Register)
Inventário estruturado com risco inerente e residual, planos de tratamento, proprietários e indicadores de monitoramento.
Modelo de reporte executivo
Template de reporte de riscos para a alta direção e o Conselho, adaptado ao formato e detalhe de cada audiência.
Fundamentação técnica e normativa
Principal norma internacional de gerenciamento de riscos. Define princípios, framework e processo aplicáveis a qualquer organização. Adotada no Brasil como ABNT NBR ISO 31000:2018.
Framework de gestão de riscos corporativos do COSO. Referência global para integração de riscos à estratégia, apetite a risco e governança.
Norma complementar à ISO 31000. Cataloga e orienta a aplicação de mais de 40 técnicas (HAZOP, What-If, Bow-Tie, FMEA, FTA, AHP, Delphi).
Modelo do Institute of Internal Auditors para organização das responsabilidades de gestão de riscos e controle interno em três linhas.
O Gerenciamento de Riscos Ocupacionais da NR-1 exige processos de identificação de perigos e avaliação de riscos. Alinhamos o GRC corporativo ao GRO, evitando duplicidade.
Perguntas frequentes
Sua organização gerencia riscos ou apenas os registra?
Um programa GRC bem estruturado protege valor, orienta decisões e demonstra maturidade para reguladores, auditores e investidores.
Pronto para Iniciar sua Análise de Riscos?
Fale com um especialista. Atendimento imediato.