A regra "Matriz de probabilidade e impacto" é o modelo padrão de análise disponibilizado no módulo Riscos. Ela já vem configurada no sistema e utiliza os critérios de Probabilidade e Impacto para avaliar a criticidade dos riscos. Neste artigo, você vai conhecer o funcionamento dessa regra, entender como os critérios são relacionados e como as criticidades são definidas.
✦ Antes de começar
Como a regra é do tipo "Modelo", sua configuração não pode ser alterada. Se precisar utilizar uma regra com critérios ou configurações diferentes, é possível contratar o recurso de Regras de análise customizadas. Para saber mais sobre essa possibilidade, entre em contato com nossa equipe.
Acessando o módulo
Entendendo os critérios
A regra utiliza a visualização "Matriz", que define a criticidade do risco a partir da combinação de dois critérios: Impacto e Probabilidade. Durante a análise, primeiro é selecionado o nível de Impacto e, em seguida, o de Probabilidade. O cruzamento dessas duas informações determina a criticidade do risco.
O critério "Impacto" mede a gravidade das consequências que podem ocorrer caso o risco se concretize. As opções representam diferentes níveis de impacto, do menor para o maior. Cada uma possui um valor correspondente, utilizado no cálculo da análise:
- Muito baixo: consequências de pouca gravidade — valor 1.
- Baixo: consequências de baixa gravidade — valor 2.
- Moderado: consequências de gravidade intermediária — valor 3.
- Alto: consequências graves — valor 4.
- Muito alto: consequências de grande gravidade — valor 5.
O critério "Probabilidade" mede a chance de o risco acontecer. As opções são identificadas pelos números 10, 30, 50, 70 e 90, que representam diferentes níveis de probabilidade, do menor para o maior. Esses números são os nomes das opções, não percentuais. Para o cálculo da análise, cada opção possui um valor correspondente:
- 10: menor probabilidade de ocorrência — valor 1.
- 30: probabilidade baixa — valor 2.
- 50: probabilidade moderada — valor 3.
- 70: probabilidade alta — valor 4.
- 90: maior probabilidade de ocorrência — valor 5.
Entendendo como os critérios se combinam
A matriz combina os valores de Probabilidade e Impacto para definir a criticidade do risco. A Probabilidade é representada no eixo vertical (Eixo Y) e o Impacto no eixo horizontal (Eixo X).
O cruzamento desses critérios forma 25 combinações possíveis. Cada célula apresenta:
- Nota: corresponde à soma dos valores de Probabilidade e Impacto. O resultado pode variar de 2 a 10. Por exemplo, ao combinar Probabilidade 10 (valor 1) com Impacto Muito baixo (valor 1), a nota é 2.
- Criticidade: indica o nível atribuído ao risco de acordo com a combinação dos critérios naquela célula.
Por exemplo, ao combinar Probabilidade 90 (valor 5) com Impacto Muito baixo (valor 1), a nota é 6 e a criticidade é "Baixa".
Entendendo as criticidades
A regra possui três níveis de criticidade, do mais grave ao mais leve. Cada nível tem uma cor que o identifica na matriz do grupo de risco e no quadrado da "Criticidade inerente" durante a análise:
- Alta: vermelho.
- Média: amarelo.
- Baixa: verde.
Entendendo as estratégias de resposta
As estratégias definem como a organização pretende agir diante de um risco, considerando se ele representa uma ameaça ou uma oportunidade.
-
Ameaças: estratégias para lidar com riscos que podem gerar efeitos negativos:
- Prevenir: adotar ações para evitar que o risco aconteça.
- Mitigar: reduzir a probabilidade de ocorrência ou o impacto do risco.
- Transferir: repassar a responsabilidade pelo tratamento do risco a terceiros.
- Aceitar: reconhecer o risco e decidir não adotar ações para alterá-lo.
-
Oportunidades: estratégias para aproveitar riscos que podem gerar efeitos positivos:
- Explorar: adotar ações para garantir que a oportunidade aconteça.
- Melhorar: aumentar a probabilidade de ocorrência ou os benefícios da oportunidade.
- Compartilhar: envolver terceiros para aproveitar a oportunidade.
- Aceitar: reconhecer a oportunidade, sem adotar ações específicas para aproveitá-la.
Vendo a regra em uma análise
Quando um risco pertence a um grupo que utiliza essa regra, a análise considera os critérios "Impacto" e "Probabilidade" para determinar sua criticidade.
Após selecionar os dois critérios, o campo "Criticidade inerente" apresenta automaticamente o resultado correspondente na matriz, exibindo o nível de criticidade e sua cor. Por exemplo, ao selecionar Impacto "Moderado" e Probabilidade "50", o resultado é "Média".
Depois de identificar a criticidade, o campo "Estratégia" permite definir como a organização pretende agir diante do risco, selecionando a estratégia mais adequada entre as opções disponíveis para ameaças ou oportunidades.
E quando a unidade tem Controles de Riscos?
Se a extensão Controles de Riscos estiver habilitada para sua unidade, a regra também considera os controles vinculados ao risco no cálculo da criticidade residual.
A escala de efetividade do controle
Nos dois critérios da regra, "Impacto" e "Probabilidade", além da "Escala de risco", há a "Escala de efetividade do controle". Ela apresenta os níveis utilizados para indicar o percentual de redução do risco proporcionado pelo controle em cada critério:
- Inexistente: não reduz o risco (0%).
- Muito fraco: reduz o risco em 10%.
- Fraco: reduz o risco em 25%.
- Moderado: reduz o risco em 40%.
- Forte: reduz o risco em 60%.
- Robusto: reduz o risco em 80%, percentual máximo da escala.
Como o residual é calculado
Ao vincular um controle ao risco, você seleciona um nível de efetividade para cada critério: Probabilidade e Impacto. Também é possível indicar que o controle não atua em um dos critérios.
Para calcular a criticidade residual, o sistema considera a efetividade registrada na última avaliação de cada controle vinculado ao risco. O cálculo segue estas regras:
- Cada eixo é reduzido só pelos controles que atuam nele. O valor do eixo é multiplicado por (1 − redução) de cada controle, um após o outro. As reduções não se somam.
- O resultado é levado ao nível mais próximo da escala. Quando o resultado está exatamente no meio entre dois níveis, como 1,5, o sistema usa o nível de baixo. O menor nível possível é o de valor 1.
- A criticidade residual é a da célula da matriz que cruza os dois níveis residuais, a mesma matriz usada para o risco inerente.
Por exemplo, um risco com Probabilidade "70" (valor 4) e Impacto "Alto" (valor 4) tem criticidade inerente "Alta":
- Com um controle de efetividade "Forte (60%)" na Probabilidade, que não atua no Impacto: 4 × (1 − 0,60) = 1,6. O nível mais próximo é o 2, a Probabilidade "30". O Impacto continua "Alto", e a criticidade residual é "Média".
- Com mais um controle de efetividade "Fraco (25%)" na Probabilidade: 4 × (1 − 0,60) × (1 − 0,25) = 1,2. O nível mais próximo é o 1, a Probabilidade "10". O Impacto continua "Alto", e a criticidade residual é "Baixa".
Enquanto você preenche a análise, o bloco "Prévia da criticidade residual" mostra a conta de cada eixo e o nível a que ela leva. Depois de salvar, a criticidade residual aparece no campo "Criticidade residual", abaixo da "Criticidade inerente", com o valor residual de cada eixo ao lado.
🔎 Veja O que é risco inerente e risco residual?
⚠️ Comportamentos importantes
A regra modelo não pode ser alterada. Ela não pode ser editada, inativada nem removida e é a mesma para toda a organização. Quando a metodologia da sua empresa usar outros critérios, outras faixas de probabilidade ou outra distribuição de criticidades, você pode utilizar regra de análise customizada, que é contratada à parte.
Duplicar cria uma regra nova. A cópia nasce do tipo "Customizada", com o nome da regra seguido de "- Cópia", e passa a contar para o limite de regras customizadas do plano contratado. Se a cópia foi criada só para consultar a configuração, ela pode ser removida depois pelo menu de contexto, na opção "Remover".
Os números da Probabilidade são nomes, não percentuais. A tela mostra 10, 30, 50, 70 e 90, mas não os apresenta como porcentagem, e o valor de cada opção é de 1 a 5. Se a sua organização interpreta esses números de outra forma, registre a convenção na sua metodologia.