Gestão de riscos: o que é, etapas e como aplicar na prática

Gestão de riscos é o processo de identificar, avaliar e tratar as incertezas que podem afetar os objetivos de um projeto ou de uma empresa, antes que elas virem problema. A ISO 31000 define risco como o efeito da incerteza sobre os objetivos, e esse efeito pode ser uma ameaça (o fornecedor atrasa) ou uma oportunidade (o cliente quer comprar mais do que você previu).

Neste guia, você entende o que é gestão de riscos, conhece as 6 etapas da ISO 31000, aprende as 5 respostas a ameaças do PMBOK, monta uma matriz de probabilidade e impacto e vê como aplicar tudo isso em projetos ágeis.

O que é gestão de riscos? (E gerenciamento de riscos, é a mesma coisa?)

Gestão de riscos é a prática de antecipar o que pode dar errado (ou certo) e decidir o que fazer a respeito antes de acontecer. Em vez de apagar incêndio, você trabalha com probabilidade, impacto e plano de ação.

"Gestão de riscos" e "gerenciamento de riscos" descrevem o mesmo processo. A diferença é só de vocabulário: "gerenciamento" aparece mais em projetos (como no PMBOK), e "gestão" aparece mais em governança e compliance. Neste texto, usamos "gestão de riscos" para os dois casos.

Pensa em dois projetos de lançamento. No primeiro, ninguém pergunta "e se a entrega do fornecedor atrasar?" e a equipe descobre o problema na semana do lançamento. No segundo, o risco está na lista desde o início, tem dono, tem gatilho e tem plano B. O segundo projeto pode atrasar do mesmo jeito. A diferença é que a equipe dele já sabe o que fazer quando o atraso acontece.

Por que a gestão de riscos importa?

A gestão de riscos importa porque projeto e negócio lidam com incerteza o tempo todo, e ignorar a incerteza não faz ela sumir. Uma gestão de riscos bem feita traz:

• Decisões com mais informação: você escolhe entre alternativas sabendo o que pode dar errado em cada uma.
• Menos surpresa em prazo, custo e escopo: o que é previsível entra no plano, e o que não é ganha uma reserva.
• Prioridade clara: nem todo risco merece o mesmo esforço, e a gestão de riscos mostra onde investir tempo.
• Aproveitamento de oportunidades: risco positivo também entra na conta.
• Conversa melhor com patrocinadores e liderança: risco no papel vira pauta objetiva, não opinião.

Quais são as principais referências de gestão de riscos?

Três referências aparecem em quase toda conversa séria sobre o tema, e ISO 31000, COSO ERM e PMBOK se complementam:

A ISO 31000 foi lançada em 2009 e revisada em 2018. Segundo a própria ISO, a versão de 2018 traz um texto mais curto e mais claro, com foco na liderança e no caráter contínuo da gestão de riscos (ISO, 15/02/2018). A norma traz diretrizes, não requisitos, e por isso não serve para certificação.

A ISO 31000 se apoia em 3 componentes: princípios, estrutura e processo. Os 8 princípios descrevem uma gestão de riscos eficaz: integrada às atividades, estruturada e abrangente, personalizada, inclusiva, dinâmica, baseada na melhor informação disponível, atenta a fatores humanos e culturais e voltada à melhoria contínua.

Atualização: a ISO já tem uma 3ª edição em desenvolvimento, ainda em fase de comitê, e a versão vigente continua sendo a de 2018 (catálogo ISO/TC 262, consultado em 03/11/2026).

Quais são as etapas da gestão de riscos?

O processo da ISO 31000 tem 6 etapas e é contínuo, não linear. Você volta nas etapas sempre que o contexto muda:

1. Comunicação e consulta. Fale com as partes interessadas durante todo o processo. Quem vive o dia a dia da operação enxerga riscos que a liderança não vê.
2. Escopo, contexto e critérios. Defina o que está dentro da análise, entenda o contexto interno e externo e estabeleça os critérios para avaliar o risco (o que é "grave" para o seu projeto?).
3. Avaliação de riscos. Essa etapa tem três partes: identificar (listar o que pode acontecer), analisar (estimar probabilidade e impacto) e avaliar (comparar com os critérios e decidir o que merece ação).
4. Tratamento de riscos. Escolha a resposta para cada risco priorizado, como evitar, mitigar, transferir ou aceitar.
5. Monitoramento e análise crítica. Acompanhe se os riscos mudaram, se os controles funcionam e se apareceram riscos novos.
6. Registro e relato. Documente tudo e comunique os resultados com mecanismos adequados. Risco que não está registrado não tem dono.

Dica prática: comece pequeno. Uma lista viva de 10 riscos bem priorizados vale mais do que uma planilha de 80 linhas que ninguém abre.

Como priorizar riscos com a matriz de probabilidade e impacto?

A matriz de riscos é a ferramenta mais usada para analisar e avaliar riscos. Você dá uma nota de 1 a 5 para a probabilidade e outra para o impacto, e multiplica as duas. O resultado é o nível do risco.

A tabela abaixo mostra uma faixa de leitura ilustrativa, criada para este exemplo. Ela não vem de nenhuma norma, então adapte os cortes aos critérios do seu projeto:

O corte exato muda de empresa pra empresa. O que define a faixa é o apetite a risco: quanto de incerteza a organização aceita carregar para chegar ao resultado que quer.

Quais são as estratégias de resposta a riscos?

Depois de priorizar, você decide o que fazer. O PMBOK Guide, 6ª edição (PMI, 2017), lista 5 respostas para ameaças e 5 para oportunidades (resumo da 4PMTI, consultado em 03/11/2026):

Um erro comum é usar só "aceitar" e "mitigar" em tudo. Vale se perguntar também se dá pra evitar ou transferir, principalmente no início do projeto, quando mudar o escopo ainda é barato.

Como fica um registro de riscos na prática?

O registro de riscos abaixo é um exemplo hipotético, para o lançamento de um produto digital:

Nesse registro, as colunas Dono e Gatilho são as que mais pesam. O dono é a pessoa que responde pelo risco. O gatilho é o sinal de que o risco está virando realidade. Um registro sem dono e sem gatilho vira planilha de enfeite.

Como aplicar a gestão de riscos em projetos ágeis?

Projetos ágeis trabalham com ciclos curtos, então a gestão de riscos também precisa ser curta. Na prática:

• Mantenha uma lista de riscos visível para o time, no mesmo lugar do backlog.
• Revise os riscos em cada ciclo (planejamento e retrospectiva são bons momentos).
• Use entregas pequenas e feedback frequente como forma de mitigar: errar cedo custa menos.
• Dê ao time a autonomia de levantar riscos, sem esperar o gerente.

O ágil não elimina a gestão de riscos. Ele distribui a gestão de riscos entre o time e a torna mais frequente.

Quais são os erros mais comuns na gestão de riscos?

• Fazer uma vez e esquecer. Lista de riscos que ninguém revisa envelhece rápido, porque o contexto muda.
• Listar risco sem dono. Risco que é de todo mundo não é de ninguém.
• Confundir risco com problema. Risco é o que pode acontecer. Problema é o que já aconteceu.
• Olhar só para ameaças. Oportunidade também é risco, e ignorar oportunidade custa resultado.
• Descrever o risco de forma vaga. "Problemas com o fornecedor" não ajuda. "Fornecedor X entrega a integração depois da semana 3" ajuda.
• Tratar a gestão de riscos como burocracia. Registro de riscos que ninguém usa para decidir não tem função.

Qual é a nossa visão sobre gestão de riscos?

Na Conquer, a gente enxerga gestão de riscos como decisão, não como documento. Três posições que defendemos:

1. Um risco com dono e gatilho vale mais do que uma matriz bonita. Matriz sem responsável não muda nada no projeto. Ter dono e ter gatilho é o que transforma risco em ação.
2. Antes feito do que perfeito. Uma lista simples de 10 riscos, revisada toda semana, protege mais o projeto do que um plano completo que nasce em três meses e morre na gaveta.
3. Gestão de riscos também é soft skill. O risco aparece cedo quando as pessoas se sentem à vontade para falar de problema cedo. Por isso, comunicação com as partes interessadas, feedback e gestão de conflitos pesam tanto quanto a técnica da matriz.

Perguntas frequentes sobre gestão de riscos

O que é gestão de riscos? Gestão de riscos é o processo de identificar, analisar, avaliar e tratar incertezas que podem afetar os objetivos de um projeto ou de uma organização, de forma contínua e com responsáveis definidos.

Qual a diferença entre gestão de riscos e gerenciamento de riscos? Na prática, não há diferença: os dois termos descrevem o mesmo processo. "Gerenciamento" é mais comum em projetos e "gestão" em governança e compliance.

Quais são as etapas da gestão de riscos? Segundo a ISO 31000:2018, as etapas são: comunicação e consulta; escopo, contexto e critérios; avaliação de riscos (identificação, análise e avaliação); tratamento; monitoramento e análise crítica; e registro e relato.

O que é a ISO 31000? A ISO 31000 é uma norma internacional com diretrizes de gestão de riscos para qualquer tipo de organização. Foi publicada em 2009 e atualizada em 2018. No Brasil, a versão é a ABNT NBR ISO 31000:2018.

A ISO 31000 tem certificação? A ISO 31000 não é certificável. Segundo a ISO, a norma traz diretrizes e não requisitos, o que dá flexibilidade para cada organização aplicar a gestão de riscos do seu jeito.

Quais são as estratégias de resposta a riscos? Para ameaças, o PMBOK (6ª edição) lista: evitar, mitigar, transferir, aceitar e escalar. Para oportunidades, lista: explorar, melhorar, compartilhar, aceitar e escalar.

O que é mitigação de risco? A mitigação de risco reduz a probabilidade de o risco acontecer, o impacto caso ele aconteça, ou os dois. Ela é diferente de evitar, que elimina a causa do risco.

O que é um plano de gerenciamento de riscos? O plano de gerenciamento de riscos é o documento que define como a gestão de riscos vai funcionar: métodos, papéis e responsabilidades, critérios de avaliação (como a matriz de probabilidade e impacto), frequência de revisão e formato de relato.

Quem faz a gestão de riscos? Todo mundo participa, mas alguém precisa coordenar. Em projetos, a coordenação fica com o gerente ou a gerente do projeto, junto do time e das partes interessadas. Em empresas maiores, a área de riscos e compliance também participa.

A gestão de riscos serve só para grandes empresas? A gestão de riscos serve para organizações de qualquer porte, e a ISO 31000 foi escrita com essa abrangência. Uma lista simples de riscos, com dono e gatilho, já melhora as decisões de um projeto pequeno.

Quer dominar gestão de riscos e conduzir projetos com mais segurança? Conheça as Trilhas do Conquer Plus e a pós-graduação em Gestão de Projetos e Metodologias Ágeis da Conquer. São 360 horas, 100% online, com aulas ao vivo e gravadas, sem TCC, acesso ao Conquer Plus e um módulo dedicado a imprevistos e riscos, que cobre gestão de riscos, gestão da mudança e Design Thinking. As aulas são com professores que atuam em empresas como Renault, Suzano e Votorantim. Aprenda com quem vive projeto de verdade e aplique no dia seguinte.