Gestão & Liderança

Matriz de risco: o que é, para que serve e como fazer com exemplo

Probabilidade vezes impacto dá a nota. O que protege o projeto é o corte escolhido antes e a resposta com dono cobrada a cada marco.

Vinicius Piaceski
Publicado em 13 de jul de 2020  ·  Atualizado em 6 de out de 2026  ·  21 min de leitura
Thiago Coutinho de camiseta preta trabalhando em pé diante de um iMac na sala de ensino da Voitto, com uma colaboradora sentada ao lado, com o texto Matriz de risco: o que é, para que serve e como fazer com exemplo sobre fundo escuro à esquerda

Todo projeto chega a um ponto em que alguém pergunta o que pode dar errado. A matriz de risco é o jeito mais simples de transformar essa conversa em lista: cada ameaça recebe uma nota de probabilidade e outra de impacto, e o cruzamento das duas diz o que merece atenção primeiro.

Com as notas dadas, a equipe ainda precisa decidir onde fica o corte entre o que se trata agora e o que só se acompanha, e depois cobrar a resposta de quem ficou com cada risco. Uma planilha caprichada com riscos altos sem dono protege o projeto tão pouco quanto planilha nenhuma.

Neste artigo eu explico as escalas de 1 a 5, o cálculo do score, as faixas de corte, a resposta planejada e a revisão ao longo do cronograma. O exemplo é a P07 da Rede Vitalfarma, caso ilustrativo do Kit de Ferramentas para Gestão de Projetos, com oito riscos de um projeto de ERP, três deles em nível ALTO.

Escrevi o Guia Prático Lean Seis Sigma Black Belt e sou Master Black Belt. No capítulo 21, o livro apresenta a Matriz de Gravidade de Risco, que classifica em cinco zonas. A planilha do kit usa três faixas. Mostro as duas réguas e digo em que tipo de trabalho cada uma rende mais.

O que é matriz de risco

Matriz de risco é uma tabela que cruza a probabilidade de um evento acontecer com o impacto que ele teria no projeto ou no negócio. Cada risco recebe uma nota nas duas dimensões, e a combinação define sua classe, de baixo a alto. O resultado mostra onde agir primeiro e onde apenas vigiar.

A ferramenta circula com vários nomes. Há quem diga matriz de probabilidade e impacto, mapa de calor de riscos ou matriz de gravidade de risco, que é o termo do livro. De um nome para outro muda o rótulo dos eixos; a lógica do cruzamento continua a mesma.

Risco, aqui, é um evento incerto que ainda não aconteceu. A primeira instrução da planilha do kit pede para escrever cada linha como evento, no formato 'escopo crescer sem controle', e nunca como problema já instalado. Problema instalado pede outra ferramenta, e a comparação com a matriz GUT, mais adiante, volta a esse ponto.

A grade é uma peça do gerenciamento de riscos, o processo que identifica, analisa, responde e monitora ameaças durante o projeto. A norma ISO 31000 considera probabilidade e consequência ao analisar um risco, e a grade é a forma mais visual de juntar as duas. Um resumo da norma está no artigo sobre gestão de riscos pela ISO 31000. O PMBOK, do Project Management Institute organiza isso em processos de identificação, análise qualitativa e resposta, que é a sequência que a matriz materializa em uma tabela.

Para que serve a matriz de risco e onde ela é usada

Qual é a função mais direta da grade? Ordenar. Uma lista com vinte ameaças escritas com o mesmo peso paralisa a equipe. Na grade, a mesma lista separa as poucas que pedem ação imediata das muitas que só pedem acompanhamento.

A grade também vira linguagem comum. Patrocinador, equipe técnica e área financeira nem sempre concordam sobre o que é grave, mas conseguem discutir uma nota de 1 a 5 com critério escrito. A conversa sai do 'acho perigoso' e chega a 'probabilidade 4, impacto 3, com base em quê?'.

Existe ainda o uso para alocar recursos. Reserva de contingência, horas de especialista e atenção da gerência são limitadas, e a matriz de risco indica onde colocá-las. Riscos em nível alto recebem resposta com dono e prazo; os de nível baixo entram numa lista de observação.

Quanto ao lugar de uso, o mais comum é o gerenciamento de projetos, no planejamento e em cada marco. Operações contínuas, como segurança do trabalho, logística e TI, usam a mesma grade. Programas de compliance recorrem a ela para mostrar que a empresa avaliou suas exposições, e a gestão de riscos corporativa aplica a lógica aos riscos do negócio inteiro.

Fluxo da fase Melhorar do DMAIC em seis passos: gerar ideias, priorizar e avaliar riscos, testar, ajustar, avaliar metas e implantar em larga escala
Num projeto de melhoria, a avaliação de risco tem lugar marcado: vem junto com a priorização das soluções e antes do teste delas. Adaptado da formação Green Belt Lean Seis Sigma da Voitto.

Para uma empresa, o maior ganho de implementar a matriz de risco é o hábito que ela cria. Quem preenche precisa pensar no que pode falhar antes de começar, e quem revisa precisa perguntar a cada marco o que mudou. Esse hábito reduz surpresas, e surpresa costuma sair cara em qualquer projeto.

Probabilidade e impacto: como dar as notas de 1 a 5

As duas dimensões usam a mesma escala. A planilha do kit pede notas de 1 (baixo) a 5 (alto) para probabilidade e impacto, e o livro dá nome aos cinco degraus de cada eixo na Figura 21.14. O livro não numera os degraus; a correspondência com a escala de 1 a 5 na tabela abaixo é minha, assim como a leitura prática, que você pode adaptar.

NotaProbabilidade (rótulo do livro)Impacto (rótulo do livro)Leitura prática sugerida
1RaraDesprezívelnão se espera que ocorra no horizonte do projeto; o efeito cabe na rotina
2Pouco provávelMarginalpode ocorrer, mas não há sinal; atinge uma entrega sem mexer no prazo final
3PossívelMédiajá ocorreu em projetos parecidos; obriga a replanejar uma fase
4ProvávelCríticahá sinal concreto de que vai ocorrer; compromete prazo, custo ou requisito importante
5Quase certoExtremaocorre salvo ação preventiva; ameaça o objetivo do projeto ou a segurança

O cuidado que mais pesa aqui é a régua: a gente escreve o critério de cada nível antes de pontuar. Quando falta critério combinado, cada pessoa da sala usa a própria intuição, e o 4 de um vira o 2 de outro. Com a régua à vista, a divergência vira pergunta objetiva: qual evidência sustenta essa probabilidade?

O impacto quase sempre tem mais de um eixo. Um risco pode atingir prazo, custo, qualidade, segurança ou imagem. A saída mais usada é dar a nota pela pior consequência entre esses eixos e anotar qual foi, para que a leitura possa ser refeita depois.

Outra regra que eu aplico sem exceção: nada de tirar a média dos votos. Se três pessoas dão 2 para o impacto e uma dá 5, a média de 2,75 apaga justamente a informação que interessa: alguém enxerga um cenário grave que os outros não viram. Ouça o argumento antes de fechar a nota.

Score e faixas de corte: quando o risco vira ALTO

Na planilha do kit, o score é uma multiplicação simples de probabilidade por impacto. Com as duas notas de 1 a 5, o resultado vai de 1 a 25. Nem todo número do intervalo aparece: só 14 valores são possíveis, porque 7, 11, 13 e outros não saem de nenhum par de notas.

Multiplicar em vez de somar tem um motivo. Na soma, um risco com probabilidade 5 e impacto 1 empataria com outro de 3 e 3, os dois com 6. No produto, o primeiro fica em 5 e o segundo em 9: a matriz de risco rebaixa o evento frequente e inofensivo e sobe o que combina chance e estrago razoáveis.

A classificação vem de dois cortes fixos. Score a partir de 15 é ALTO, a partir de 8 é MÉDIO e abaixo disso é BAIXO. Na grade 5 x 5, isso dá 6 células em ALTO, 7 em MÉDIO e 12 em BAIXO.

O corte é uma decisão da equipe, e convém tratá-lo assim. Um score 15 pode vir de probabilidade 3 com impacto 5 ou de probabilidade 5 com impacto 3. As duas combinações caem na mesma faixa e pedem respostas diferentes: a primeira pede proteção contra um golpe forte, a segunda pede prevenção contra algo que tende a acontecer.

Por isso eu recomendo olhar a célula junto com o score quando dois riscos empatam. Recomendo também fixar os cortes por escrito antes de dar as notas. Ajustar a régua depois de ver o resultado é um jeito discreto de fazer a matriz dizer o que alguém queria ouvir.

Há equipes que adotam regras extras, como classificar em ALTO todo impacto 5, qualquer que seja a probabilidade. É uma variação legítima quando fica registrada ao lado da planilha, para que todos leiam a grade do mesmo jeito.

A grade 5 x 5 como mapa de calor

A tabela com score é ótima para filtrar e ordenar. Numa reunião, a leitura fica mais rápida quando os riscos aparecem desenhados na grade, com a probabilidade subindo no eixo vertical e o impacto crescendo no horizontal. Cada célula recebe a cor da sua faixa, e o canto superior direito concentra o que pede ação.

Grade 5 x 5 com probabilidade de 1 a 5 no eixo vertical e impacto de 1 a 5 no horizontal, cada célula com o score e a cor da faixa: ALTO de 15 a 25, MÉDIO de 8 a 12, BAIXO de 1 a 6. Escopo está na célula 25, Infraestrutura na 16, Regulatório na 15 de probabilidade 3, Dados na 9, Fornecedor e Operacional juntos na 8 de impacto 4, Pessoas e Financeiro em duas células diferentes de score 6
Os oito riscos da P07 da Vitalfarma posicionados pela nota. Desenho deste artigo a partir da planilha do caso; a planilha do kit traz um gráfico de dispersão.

Olha só dois detalhes que a gente enxerga na figura e a tabela esconde. Fornecedor e Operacional ocupam a mesma célula, com probabilidade 2 e impacto 4, e num gráfico de dispersão virariam um ponto só. Pessoas e Financeiro têm o mesmo score 6 em células diferentes: um risco mais provável e leve, outro menos provável e mais pesado.

Para o patrocinador, a figura costuma bastar. Em vez de percorrer oito linhas de texto, ele vê em segundos quantos riscos estão no vermelho e quais são. A tabela continua sendo a fonte, porque é nela que ficam a resposta, o dono e o gatilho de cada linha.

O mapa de calor também deixa visível a assimetria dos cortes. A faixa ALTO só começa na linha 3 e na coluna 3, e nenhum risco de probabilidade 1 ou 2 chega lá, por maior que seja o impacto. Se o seu projeto tem eventos raros com consequência extrema, como acidente grave, vale a regra extra da seção anterior.

Tamanho da grade: 3 x 3, 4 x 4 ou 5 x 5

Cinco níveis por eixo é o formato mais comum, mas há outros. Uma matriz de risco 3 x 3, com baixo, médio e alto em cada eixo, é rápida de preencher e basta para projetos pequenos ou para uma primeira triagem. O preço é a perda de resolução: muitos riscos acabam na célula do meio, e a conversa sobre prioridade volta a depender de opinião.

A grade 4 x 4 tem uma vantagem pouco lembrada. Sem nível central, quem pontua não consegue se esconder no 3 e precisa dizer se o risco pende para cima ou para baixo. Algumas equipes adotam esse formato justamente para forçar a decisão.

A 5 x 5, usada no P07 e no livro, equilibra resolução e esforço. Dá espaço para separar o provável do quase certo e o crítico do extremo, sem exigir uma régua tão fina que ninguém consiga aplicar. Escalas de 1 a 10 aparecem mais na FMEA do que numa matriz de risco de projeto.

Seja qual for o tamanho, os cortes precisam ser refeitos. Os valores 15 e 8 só fazem sentido com notas de 1 a 5. Numa grade 3 x 3, o score máximo é 9, e a faixa alta precisa de outro limite.

Resposta planejada e responsável por risco

Depois da classificação vêm as duas últimas colunas da P07, a resposta planejada e o responsável. A terceira instrução da planilha é taxativa: todo risco ALTO precisa de resposta com responsável antes de o projeto começar a rodar.

As estratégias mais conhecidas para ameaças são quatro. Evitar é mudar o plano para que o evento não possa ocorrer. Mitigar é reduzir probabilidade ou impacto. Transferir é passar a consequência a terceiros, por contrato ou seguro. Aceitar é reconhecer o risco e reservar tempo ou dinheiro para ele. O PMBOK acrescenta escalar, quando a decisão foge da alçada do projeto.

O livro fala em mitigar ou transferir os riscos altos antes que ocorram (p. 195). Na prática, uma resposta boa é uma ação verificável, com verbo, prazo e alguém que possa ser cobrado. 'Monitorar de perto' não passa nesse teste; 'homologar a integração um mês antes da primeira implantação' passa.

O responsável deve ser uma pessoa ou um papel com autoridade para executar a resposta. A matriz RACI ajuda a conferir se quem aparece como dono do risco tem mesmo esse poder. Quando a resposta se desdobra em tarefas, ela entra num plano de ação com datas próprias.

Riscos MÉDIO e BAIXO também merecem uma linha de resposta, mesmo curta. O mínimo é dizer o que dispara a revisão: um gatilho observável que, se aparecer, faz o risco subir de faixa.

Oportunidades também entram na matriz de risco

Na definição mais ampla, risco é incerteza que afeta objetivos, e a incerteza pode jogar a favor. Um fornecedor entregar antes do prazo, um câmbio favorável ou uma licença sair mais cedo são eventos incertos com impacto positivo. Há equipes que registram essas oportunidades na mesma matriz de risco, numa aba separada ou com a cor invertida.

As estratégias mudam de sinal. Para oportunidades, o PMBOK fala em explorar, quando se age para garantir que o evento aconteça; compartilhar, quando um parceiro ajuda a capturá-lo; melhorar, quando se aumenta a probabilidade ou o benefício; e aceitar, quando se aproveita sem esforço ativo. Escalar também vale aqui.

A planilha do kit não tem essa aba, e o caso da Vitalfarma lista só ameaças. Para a maioria dos projetos de gestão, começar pelas ameaças é o caminho sensato. As oportunidades entram quando a equipe já tem o hábito de revisar a matriz e quer usar o mesmo ritual para buscar ganhos.

Como fazer uma matriz de risco em 6 passos

O roteiro abaixo segue a lógica da P07 e serve para projetos de qualquer tamanho. Reserve uma sessão com a equipe e com quem conhece as restrições do negócio.

  1. Liste os riscos como eventos. Uma sessão de brainstorming funciona bem, com as premissas do termo de abertura e as ressalvas da viabilidade na mesa. Cada linha começa pelo que pode acontecer.
  2. Agrupe por categoria. Escopo, prazo, fornecedor, dados, pessoas, regulatório e financeiro são pontos de partida. Se uma categoria ficou vazia, pergunte por quê.
  3. Combine a régua e dê as notas. Escreva o que significa cada nível de probabilidade e de impacto antes de pontuar. Discuta as divergências grandes em vez de tirar média.
  4. Calcule o score e aplique os cortes. Multiplique as duas notas e classifique pelos cortes combinados. Na planilha, as duas colunas são fórmulas.
  5. Defina resposta e responsável. Comece pelos riscos ALTO, que não podem ficar sem dono. Depois registre ao menos um gatilho para os demais.
  6. Revise a cada marco. Leve a matriz de risco a cada marco do cronograma, atualize notas, feche o que deixou de existir e inclua o que apareceu.

Os passos 1 e 3 são os que mais pedem gente diferente na sala. Os stakeholders costumam enxergar riscos que a equipe técnica não vê, principalmente os regulatórios e os comerciais.

Na primeira versão, prefira uma lista curta e bem escrita a uma lista longa e vaga. Oito a quinze riscos bem descritos, com nota discutida e dono definido, rendem mais do que quarenta linhas que ninguém revisa.

Matriz de risco no Excel: fórmulas e formatação condicional

A planilha em branco do kit já traz as fórmulas, mas entender como elas funcionam ajuda a adaptar ou montar a sua. A tabela começa na linha 13, com oito linhas de riscos, e as colunas vão de Categoria a Responsável.

O score, na coluna E, é uma multiplicação protegida contra células vazias. No Excel em português, a fórmula de E13 fica assim: =SE(OU(C13="";D13="");"";C13*D13). Enquanto uma das notas estiver em branco, a célula fica vazia em vez de mostrar zero.

A classificação, na coluna F, aninha dois testes: =SE(E13="";"";SE(E13>=15;"ALTO";SE(E13>=8;"MÉDIO";"BAIXO"))). Para mudar os cortes, basta trocar o 15 e o 8. Melhor ainda é apontar para duas células de parâmetro no topo da folha, que qualquer pessoa enxerga.

Para o mapa de calor, aplique formatação condicional na coluna F com três regras de texto, uma cor por faixa. Quem quiser a grade 5 x 5 pode montá-la em outra aba com CONT.SES, contando quantos riscos caem em cada par de notas. O artigo sobre Excel cobre o básico dessas funções.

Vale também travar as notas com validação de dados. Nas colunas C e D, a regra de número inteiro entre 1 e 5 impede que alguém digite 3,5 ou 6 e desalinhe o score da matriz de risco inteira.

Matriz de risco, matriz GUT e FMEA: qual usar

As três ferramentas multiplicam notas, e por isso são confundidas. A diferença está no objeto. A matriz de risco trata de eventos que ainda não aconteceram e cruza probabilidade com impacto.

A matriz GUT prioriza problemas que já existem, pelos critérios gravidade, urgência e tendência. No livro, cada critério vai de 1 a 5 e o produto vai de 1 a 125 (seção 21.3, p. 185). Urgência e tendência só fazem sentido para algo instalado, e é por isso que a GUT não substitui a grade de probabilidade.

Matriz GUT: gravidade, urgência e tendência pontuadas de 1 a 5, resultado G × U × T e maior produto como maior prioridade
As perguntas-guia mostram a diferença de objeto: qual o prazo para agir e como evolui se nada for feito só se perguntam sobre algo que já está instalado.

A FMEA desce ao modo de falha de um produto ou processo. Pontua severidade, ocorrência e detecção. A terceira dimensão, a chance de a falha ser percebida antes de chegar ao cliente, não existe na matriz de riscos. A FMEA rende quando o projeto mexe num processo com muitas etapas e falhas conhecidas.

Matriz de riscoMatriz GUTFMEA
Objetoevento que pode acontecerproblema que já existemodo de falha de produto ou processo
Critériosprobabilidade e impactogravidade, urgência e tendênciaseveridade, ocorrência e detecção
Produto das notas1 a 25, com notas de 1 a 51 a 125, com notas de 1 a 5costuma ir de 1 a 1.000, com notas de 1 a 10
Momento típicoplanejamento e marcos do projetopriorização de problemas na execuçãoanálise detalhada de um processo

Uma sequência comum é usar a matriz de risco no planejamento, a GUT para ordenar os problemas que surgem na execução e a FMEA quando um processo específico pede análise detalhada. O texto sobre análise de riscos em projetos Seis Sigma mostra como isso se encaixa num projeto de melhoria.

Matriz de gravidade de risco: o que o livro diz

No capítulo 21 do livro, dedicado às ferramentas de planejamento e definição, a matriz aparece com o nome de Matriz de Gravidade de Risco. A definição está na p. 195. "A Matriz de Gravidade de Risco é uma ferramenta que permite avaliar e priorizar os riscos enfrentados por uma organização, e é desenvolvida atribuindo classes de risco a combinações entre a probabilidade de ocorrer determinado evento associado à sua potencial consequência."

No lugar de um score, o livro classifica por zonas: "A matriz é dividida em zonas de risco intolerável, substancial, moderado, aceitável e trivial". A Figura 21.14, na p. 196, põe a possibilidade num eixo, de rara a quase certo, e a consequência no outro, de desprezível a extrema.

O texto também diz o que fazer com o topo da grade. Os riscos altos são prioridade, e "a equipe deve trabalhar para mitigá-los ou transferi-los antes que ocorram" (p. 195).

O exemplo do livro é de um engenheiro de segurança numa indústria química, que lista cinco riscos de um processo com produtos perigosos. Dois ficam no quadrante intolerável: o desabamento da estrutura e as lesões ou morte de trabalhadores. Acidentes com equipamentos e danos ambientais ficam no substancial, e os atrasos por clima adverso, no moderado. Para o topo, o livro sugere medidas de segurança adicionais contra o desabamento; para o clima, um plano de contingência (p. 197).

Livro e planilha medem com réguas diferentes. O livro usa cinco zonas qualitativas; a planilha do kit calcula um score e corta em três faixas. Nenhuma das duas é a versão certa da matriz de risco.

As cinco zonas dão mais nuance em ambientes de segurança, em que separar intolerável de substancial muda a decisão de parar ou seguir. As três faixas funcionam melhor em projetos de gestão, em que a pergunta prática é quem precisa de resposta com dono antes do início.

Revisar a matriz a cada marco do cronograma

A quarta instrução da P07 resume a razão de revisar: "Risco mapeado e não tratado é o mesmo que risco não mapeado". A planilha pede revisão a cada marco do cronograma, que no kit é a ferramenta P06.

Na revisão, cada linha tem quatro destinos possíveis. A nota muda porque surgiu informação nova. O risco é encerrado porque a janela em que podia ocorrer passou. O evento acontece e vira problema, com tratamento imediato. Ou uma linha nova entra, porque o projeto mudou.

O caso da Vitalfarma mostra o custo de pular essa etapa. O risco de escopo tinha a maior nota da planilha, resposta escrita e dono. Quando os pedidos de mudança começaram a chegar, três de quatro entraram sem passar pelo comitê, e ninguém acionou a resposta. O artigo sobre controle de mudanças acompanha esse desdobramento.

Mudança aprovada também pede revisão. Se o escopo cresce com aprovação formal, a matriz de riscos precisa refletir as ameaças novas que a mudança trouxe. No encerramento, os riscos que se materializaram viram material de lições aprendidas para o projeto seguinte.

A revisão fica com o gerente do projeto, e a grade ganha franqueza quando cada dono apresenta a própria linha. Uma rodada curta por risco ALTO basta para dizer se a resposta foi executada, se o gatilho apareceu e se a nota ainda vale.

Entre um marco e outro, os indicadores de custo e prazo funcionam como alarme. Uma curva S que se afasta do plano costuma ser o primeiro sinal de que algum risco saiu do papel.

Erros comuns ao montar a matriz de risco

Boa parte dos problemas com a ferramenta aparece em planilhas preenchidas com cuidado e depois esquecidas. Estes são os mais frequentes.

  • Escrever o risco como problema. 'Falta de verba' descreve uma situação; 'o orçamento ser cortado na revisão trimestral' descreve um evento, com probabilidade que se pode discutir.
  • Pontuar sem régua escrita. Sem descrição de cada nível, o mesmo risco recebe 2 numa reunião e 4 na seguinte.
  • Mexer nos cortes depois de ver as notas. A faixa passa a refletir o desejo de alguém, e o mapa perde valor.
  • Deixar risco ALTO sem dono claro. 'Todos' não responde por prazo. Quando o dono é uma área, como TI, vale nomear o papel que lidera a resposta dentro dela.
  • Registrar resposta que não se verifica. 'Acompanhar' e 'ficar atento' não dizem o que será feito, nem quando.
  • Ler o score como medida exata. As notas são posições numa régua, e um score 12 não representa o dobro do risco de um 6. A matriz de risco serve para ordenar prioridades e decidir quem precisa de resposta; para estimar valor em dinheiro existem análises quantitativas próprias.
  • Arquivar a matriz depois do planejamento. O guia do kit aponta como erro comum da P07 mapear o risco ALTO com resposta planejada e nunca cobrar essa resposta quando ele se materializa.
  • Listar só riscos técnicos. Regulatório, comercial, pessoas e terceiros ficam de fora quando só a equipe técnica preenche. Contratos com parceiros são um bom lugar para buscar os riscos que vêm de fora.

Exemplo de matriz de risco preenchida: a P07 da Vitalfarma

O exemplo abaixo é a P07 preenchida no caso do kit, um projeto de implantação de ERP numa rede de farmácias. O PDF reproduz a folha inteira, com instruções, tabela e rodapé.

1. Vitalfarma: oito riscos do projeto de ERP na matriz P07 (caso ilustrativo)

Matriz de Riscos (P07) preenchida pela Vitalfarma, caso ilustrativo: instruções no topo, tabela com oito riscos, cada um com categoria, probabilidade, impacto, score, classificação, resposta planejada e responsável, e rodapé com a regra de corte das faixasA Rede Vitalfarma vai trocar os sistemas de todas as suas farmácias por um ERP único, implantado em ondas. O critério de sucesso traz uma exigência regulatória sem margem: envio automático ao SNGPC em todas as lojas. O problema que a P07 resolve é apontar, antes da primeira onda, quais ameaças pedem ação já. Esta matriz de risco foi preenchida na fase de planejamento. São oito linhas, uma por categoria: escopo, infraestrutura, regulatório, fornecedor, dados, operacional, pessoas e financeiro. Probabilidade e impacto foram digitados; score e classificação saem das fórmulas da folha.

Três riscos chegam a ALTO. O de escopo, com 5 nas duas notas e score 25, descreve o projeto crescendo em lojas, módulos ou integrações sem passar pelo controle de mudanças formal. O rodapé registra que ele é o único com nota máxima nas duas dimensões. A resposta manda toda solicitação ao comitê antes de entrar no cronograma, com a PMO como responsável.

O de infraestrutura soma 16: lojas sem link de internet redundante podem ficar sem faturar durante a migração. A equipe de TI deve antecipar o upgrade de link nas 12 lojas apontadas pela análise de viabilidade. O regulatório fecha o grupo com 15, pela chance de a integração com o SNGPC falhar na homologação e atrasar a liberação da Anvisa. A resposta é homologar na loja piloto com 30 dias de antecedência da Onda 1.

Esse terceiro risco merece uma segunda leitura. Sua probabilidade é só 3, e ele entra em ALTO no limite exato do corte, porque o impacto 5 puxa o score sozinho. Com o corte em 16, a mesma linha cairia para MÉDIO e deixaria de exigir resposta antecipada. É um bom motivo para escolher a régua antes das notas.

Na faixa MÉDIO estão três riscos. Fornecedor e operacional empatam com probabilidade 2 e impacto 4, score 8: o implantador pode não dar conta das 3 ondas ao mesmo tempo, e um pico de vendas da campanha de vacinação pode coincidir com uma onda. O de dados, com 3 e 3, trata da divergência de estoque entre o sistema legado e o ERP novo.

Para esse risco de estoque, a folha prevê contagem física em cada loja nas 48h antes do go-live da onda, a cargo dos farmacêuticos RT. Os dois riscos BAIXO têm score 6 por caminhos opostos: resistência dos operadores de caixa, com probabilidade 3 e impacto 2, e reajuste de licenciamento por variação cambial, com 2 e 3.

Mesmo abaixo da faixa que exige resposta, os dois ganharam uma: treinamento presencial com reforço nos primeiros 5 dias e cláusula de reajuste travada em contrato. Na coluna de responsáveis, a PMO fica com três linhas, a equipe de TI com duas, e as outras três com farmacêuticos, RH com o implantador e a controladoria. Nenhuma linha ficou sem dono. O desafio do caso apareceu na execução: a linha de escopo tinha resposta e responsável, e mesmo assim a resposta não foi cumprida quando o risco se materializou, como a seção sobre revisão conta. A lição que a Vitalfarma deixa é bloquear qualquer mudança de escopo até ela passar pelo comitê, em vez de só registrar a resposta na planilha.

A resposta de infraestrutura se apoia numa leitura feita antes, na análise de viabilidade do mesmo projeto. É assim que as ferramentas do kit se encadeiam: cada ressalva da fase anterior chega à matriz como uma linha com dono.

Modelo de matriz de risco em branco para baixar (XLSX)

O modelo é a mesma planilha do caso, sem os lançamentos. Traz as quatro instruções no topo, a tabela com oito linhas prontas e as fórmulas de score e classificação já ligadas. A legenda da folha separa as células que você preenche das que a planilha calcula.

Modelo em branco da Matriz de Riscos (P07): quatro instruções de preenchimento no topo, tabela com as colunas Categoria, Risco, Probabilidade de 1 a 5, Impacto de 1 a 5, Score, Classificação, Resposta planejada e Responsável, e rodapé com a regra de corte das faixasColunas da folha: Categoria, Risco, Probabilidade (1-5), Impacto (1-5), Score, Classificação, Resposta planejada e Responsável. Score e faixa já saem calculados por fórmula.

Abrir e baixar o P07 em branco (XLSX)

Oito linhas servem de ponto de partida. Para listas maiores, insira linhas dentro da tabela, antes da última, e confira se as fórmulas das colunas E e F acompanharam. Se a sua régua de corte for outra, troque o 15 e o 8 na coluna F e registre a mudança no rodapé.

Achou bacana acompanhar a Vitalfarma por dentro? A gente reuniu o caso inteiro na formação em gestão de projetos da Voitto. Quem lidera a revisão de riscos costuma ser o gerente de projetos, papel com texto próprio no blog. Para certificação em Lean Seis Sigma, o caminho é a Academia de Certificação da Voitto.

Perguntas frequentes

O que é matriz de risco?
É uma tabela que cruza a probabilidade de cada risco com o impacto que ele teria, normalmente em notas de 1 a 5. A combinação das notas classifica o risco em faixas, e as faixas altas indicam onde a equipe deve agir primeiro.
Para que serve a matriz de risco?
Serve para ordenar ameaças, criar uma linguagem comum entre equipe e patrocinador e decidir onde colocar reserva, tempo e atenção. Também registra a resposta planejada e o responsável por cada risco.
Por que implementar a matriz de risco em uma empresa?
Porque ela obriga a pensar no que pode falhar antes de começar e a revisar essa lista durante a execução. Com critério escrito, a decisão sobre risco deixa de depender da intuição de quem fala mais alto.
Em quais situações a matriz de risco é útil?
No planejamento de projetos e em cada marco do cronograma, em operações como segurança do trabalho, TI e logística, em programas de compliance e na gestão de riscos corporativos.
Como calcular o score da matriz de risco?
Multiplique a nota de probabilidade pela de impacto. Com escalas de 1 a 5, o score vai de 1 a 25. Na planilha do kit, 15 ou mais é ALTO, de 8 a 12 é MÉDIO e até 6 é BAIXO.
Qual a diferença entre matriz de risco e matriz GUT?
A matriz de risco avalia eventos que ainda podem acontecer, por probabilidade e impacto. A matriz GUT prioriza problemas que já existem, por gravidade, urgência e tendência, com produto de 1 a 125.
Quais são as zonas da matriz de gravidade de risco?
No Guia Prático Lean Seis Sigma Black Belt, as zonas são intolerável, substancial, moderado, aceitável e trivial. A planilha do kit simplifica em três faixas calculadas pelo score.
Com que frequência revisar a matriz de risco?
A cada marco do cronograma, no mínimo, e sempre que uma mudança de escopo for aprovada ou um risco se materializar. Uma matriz sem revisão deixa de refletir o projeto real.
Vinicius Piaceski
Escrito por
Engenheiro Mecânico formado pela UTFPR - Campus Cornélio Procópio, atuando como especialista em SEO. Professor voluntário no projeto de extensão "Olhinhos Brilhantes", lecionando c…

Veja também