Um risco tem duas leituras, e confundi-las é a origem de boa parte das discussões numa reunião de gestão de riscos. O risco inerente é o tamanho do risco como se a organização não fizesse nada a respeito. O risco residual é o tamanho que sobra depois de considerar tudo o que já está de pé para contê-lo. Esses dois números só fazem sentido juntos: é a distância entre eles que mede o trabalho da organização. Este artigo explica os dois conceitos, mostra um exemplo numérico completo e diz o que o Qualiex registra em cada etapa.
✦ Antes de começar
Este é um artigo conceitual — não há nada a configurar para lê-lo. Para acompanhar os exemplos, ajuda conhecer os dois eixos que o módulo Riscos usa na análise, probabilidade e impacto, e a efetividade do controle, que é o percentual de redução que ele aplica a cada eixo. Entenda a efetividade.
Risco inerente: o tamanho do risco sem contar os controles
O risco inerente é avaliado com uma pergunta desconfortável: se nada do que fazemos hoje existisse, qual seria a chance de isso acontecer e o quanto doeria? Ele é deliberadamente pessimista, e é assim que deve ser — serve de linha de base.
Tome o risco "Erro de medicação" num pronto atendimento, numa escala de 1 a 5 nos dois eixos:
- Probabilidade inerente: 4 (Alta). Sem nenhuma conferência, com prescrição manuscrita e rótulos parecidos, o erro é frequente.
- Impacto inerente: 5 (Muito alto). O dano possível ao paciente é grave.
Muita gente resiste a avaliar assim, porque parece exagero. É justamente o ponto: o inerente não descreve a sua realidade atual, descreve o cenário do qual você se afastou.
Risco residual: o que sobra depois dos controles
O residual responde à pergunta seguinte: considerando o que já está funcionando, qual é o risco de verdade hoje? Cada controle vinculado ao risco carrega uma efetividade — o percentual com que reduz aquele eixo naquele risco — e os controles se combinam. Mantendo o mesmo exemplo, suponha três controles vinculados:
- "Conferência de dupla checagem na dispensação de medicamentos" — reduz a probabilidade em 60%.
- "Confirmação do nome do paciente antes da administração" — reduz a probabilidade em 25%.
- "Monitorização do paciente após a administração" — reduz o impacto em 40%.
Cada eixo combina apenas os controles que atuam nele, e os percentuais não se somam: eles se aplicam em sequência, um sobre o que sobrou do outro.
- Probabilidade residual: 4 × (1 − 0,60) × (1 − 0,25) = 4 × 0,40 × 0,75 = 1,2. De Alta para Muito baixa.
- Impacto residual: 5 × (1 − 0,40) = 3. De Muito alto para Moderado.
Duas leituras importantes saem daí. A primeira: somar 60% e 25% daria 85% de redução, mas a redução real combinada é de 70% — a segunda conferência age sobre os 40% de casos que a primeira deixou passar, não sobre o total. A segunda: o residual nunca chega a zero. Por mais controles que se acrescentem, sempre sobra alguma coisa, e por isso o nível máximo de efetividade de um controle no Qualiex é de 80%.
Por que os dois eixos andam separados
Um erro comum é tratar o controle como se ele "abaixasse o risco" em bloco. Não é assim: um controle age em um eixo, no outro, ou nos dois, e isso muda o desenho da resposta.
- A conferência dupla não muda em nada a gravidade de um erro de medicação que passe por ela. Ela só faz o erro acontecer menos. Atua na probabilidade.
- A monitorização após a administração não impede o erro — ele já aconteceu. Ela faz o desfecho ser menos grave. Atua no impacto.
- A vacinação, em outro domínio, faz as duas coisas: adoece-se menos, e quem adoece adoece mais leve.
No Qualiex, essa decisão é tomada controle a controle, risco a risco, nos dois campos de efetividade do vínculo — e há a opção "Não atua neste eixo" justamente para o controle que só mexe em um deles. Veja como definir a efetividade por eixo.
O que o Qualiex registra em cada etapa
O caminho do inerente ao residual, no produto, é feito de três registros distintos e independentes:
- A análise do risco guarda a avaliação dos eixos — é onde o inerente é informado. Veja como realizar a análise do risco.
- O vínculo do controle ao risco guarda a efetividade configurada: quanto se espera que aquele controle reduza em cada eixo daquele risco.
- A avaliação do controle guarda a efetividade concluída: quanto ele está reduzindo de fato, segundo a última verificação, com justificativa e evidência anexada. Veja como avaliar a efetividade de um controle.
A regra que amarra os três está escrita na própria tela: "A análise puxa a última efetividade aprovada de cada controle (probabilidade e impacto) e calcula o residual. Ela não reavalia o controle." Ou seja, analisar o risco e avaliar o controle são momentos separados, com ritmos próprios — o controle costuma ser verificado com muito mais frequência do que o risco é reanalisado.
⚠️ Comportamentos importantes
Vale a efetividade avaliada, não a esperada. Um controle vinculado mas ainda não avaliado entra na conta com redução zero, mesmo que tenha sido cadastrado com efetividade "Forte (60%)". O percentual do vínculo é uma expectativa; o que conta é a última avaliação registrada. Enquanto ela não existir, o controle não abate nada.
Sem controle avaliado, a análise não fecha. Ao tentar concluir uma análise com controles vinculados e sem verificação, o Qualiex recusa e exibe: "Não é possível concluir a análise enquanto houver controles internos vinculados sem verificação. Verifique todos os controles internos vinculados ao risco e tente novamente." Nenhuma análise é gravada. É proposital: um residual apoiado em controles que ninguém conferiu seria uma conta sem lastro.
Inerente e residual não são "antes e depois no tempo". Não se trata de um risco que era grande no ano passado e ficou pequeno. Os dois convivem na mesma análise, hoje: o inerente é a referência permanente, e é o que permite perceber, se um controle cair, que o risco volta imediatamente ao tamanho original.