Uma matriz de risco cruza a probabilidade de uma ameaça acontecer com o impacto que ela causaria. O resultado mostra quais riscos pedem ação imediata e quais podem esperar. É a ferramenta que transforma uma lista interminável de ameaças em uma ordem de prioridades que se sustenta diante do board. Este guia mostra como construir uma matriz consistente, definir probabilidade e impacto sem achismo, escolher a escala e evitar os erros que esvaziam o exercício.
O ponto de partida costuma ser desconfortável. Uma planilha com dezenas de riscos, todos marcados como "altos", e nenhuma forma clara de decidir por onde começar. A matriz resolve isso dando a cada risco uma posição relativa. A conversa deixa de ser "tudo é urgente" e passa a ser "estes cinco riscos vêm primeiro, e por estas razões".
O que é matriz de risco e para que serve no GRC
A matriz de risco é uma representação visual, normalmente em formato de grade, que posiciona cada risco segundo dois eixos: a probabilidade de ocorrência e a severidade do impacto. A combinação desses dois valores gera um nível de risco, que costuma ser traduzido em faixas de cor. O resultado é um mapa que mostra, em um único olhar, onde está concentrada a exposição da organização.
Dentro de um programa de GRC, a matriz cumpre três funções práticas. Primeiro, ela cria uma linguagem comum: a equipe técnica, o jurídico e a diretoria passam a discutir o mesmo risco com os mesmos critérios. Segundo, ela orienta a priorização de recursos, porque orçamento e tempo são finitos e precisam ir para onde a exposição é maior. Terceiro, ela gera rastreabilidade, já que cada decisão de aceitar, mitigar, transferir ou evitar um risco fica registrada com sua justificativa.
O contexto torna esse trabalho cada vez mais exigente. No Brasil, o custo médio de uma violação de dados foi de R$ 7,19 milhões na edição 2025 do relatório Cost of a Data Breach, da IBM, que cobriu violações de março de 2024 a fevereiro de 2025 (comunicado da IBM). A edição 2026 elevou o valor para R$ 7,44 milhões. Com cifras dessa ordem, priorizar risco deixa de ser um exercício de conformidade e passa a ser uma decisão financeira. Só que a matriz, sozinha, não diz quanto cada risco custa. Esse limite é o tema do artigo Matriz 5×5 não diz quanto o risco custa, e voltamos a ele adiante.
A base metodológica vem de normas consolidadas. A ISO 31000:2018, norma internacional de diretrizes para gestão de riscos, descreve o processo de avaliação de riscos em três etapas: identificação, análise e avaliação. Ela não impõe uma matriz. As técnicas para executar essas etapas estão na IEC 31010:2019, que complementa a ISO 31000 e trata a matriz de consequência e probabilidade como uma técnica entre várias, útil sobretudo para classificar e triar riscos. Ancorar os critérios da matriz nesse processo evita que ela seja vista como opinião e facilita defendê-la em auditorias. Em segurança da informação, a ISO 27005 aplica a mesma lógica à análise de riscos exigida pela ISO 27001.
Como definir probabilidade e impacto de forma consistente
Consistência é o que separa uma matriz útil de um exercício de achismo. O problema mais comum raramente está na estrutura da grade, e sim na falta de critérios escritos para os dois eixos. Quando "probabilidade média" significa coisas diferentes para cada avaliador, a matriz inteira perde valor. A regra prática é simples: defina faixas objetivas para cada nível, documente-as e exija que todos as apliquem.
Para a probabilidade, prefira faixas ancoradas em frequência sempre que possível. Um exemplo de escala de cinco níveis, sem lacunas entre as faixas:
- Muito baixa (1): menos de uma vez a cada cinco anos.
- Baixa (2): uma vez a cada dois a cinco anos.
- Média (3): uma vez a cada um ou dois anos.
- Alta (4): de duas a onze vezes por ano.
- Muito alta (5): mensalmente ou com maior frequência.
Para o impacto, o erro recorrente é medir tudo apenas em dinheiro. Um critério robusto combina dimensões distintas e usa a mais severa delas para classificar o risco. As dimensões mais comuns são:
- Financeira: perda direta, multas e custos de recuperação.
- Operacional: tempo de interrupção de processos críticos.
- Regulatória: exposição a sanções da LGPD, a exigências do CMN e do Banco Central ou de outros reguladores aplicáveis.
- Reputacional: erosão de confiança de clientes, parceiros e mercado.
Os vetores de ameaça também devem informar a probabilidade. Segundo o Data Breach Investigations Report 2026, da Verizon, 31% das violações começaram pela exploração de vulnerabilidades, que pela primeira vez em 19 anos superou o roubo de credenciais como principal porta de entrada. O mesmo relatório aponta que 48% das violações envolveram um terceiro, o que pesa na probabilidade dos riscos ligados a fornecedores (veja o artigo sobre risco de terceiros e a Resolução CMN 4.893). Para vulnerabilidades específicas, sinais como EPSS e o catálogo KEV ajudam a calibrar a probabilidade com evidência, não com percepção, como mostra o guia sobre priorizar vulnerabilidades com CVSS, EPSS e KEV.
A matriz 5x5 e os critérios de priorização
A escala 5x5 é uma das mais usadas em programas de GRC porque equilibra granularidade e simplicidade. Com cinco níveis em cada eixo, ela produz 25 combinações, o suficiente para distinguir riscos próximos sem a falsa precisão de escalas de dez níveis, nas quais a diferença entre um 7 e um 8 é impossível de justificar. A 3x3, por outro lado, costuma ser grosseira demais e empilha riscos diferentes na mesma célula.
Na prática, a nota de cada risco costuma resultar da multiplicação dos dois eixos. Um risco de probabilidade 4 e impacto 5 recebe 20; outro de probabilidade 2 e impacto 3 recebe 6. Um exemplo de faixas de severidade, que cada organização deve ajustar ao seu apetite ao risco:
- Verde (baixo, 1 a 4): risco aceitável, monitoramento de rotina.
- Amarelo (moderado, 5 a 9): exige plano de mitigação com prazo definido.
- Laranja (alto, 10 a 15): requer tratamento prioritário e aprovação de nível gerencial.
- Vermelho (crítico, 16 a 25): demanda ação imediata e visibilidade executiva.
A nota é uma ordem, não uma quantidade. Probabilidade e impacto em cinco degraus são rótulos ordinais: 20 não é o dobro de 10, e somar as notas de trinta riscos não dá a exposição total. Dentro de "impacto 5" cabem perdas que diferem em duas ordens de grandeza. A matriz funciona bem para triagem e ordenação. Quando a decisão é de orçamento, entre riscos que já estão no vermelho, vale quantificar em dinheiro e probabilidade, como explicam os artigos Matriz 5×5 não diz quanto o risco custa e Cyber Risk Quantification (CRQ).
A priorização, portanto, não deve parar na nota. Dois riscos com a mesma pontuação podem ter urgências diferentes. Critérios de desempate úteis incluem a velocidade com que o risco pode se materializar, o custo e a viabilidade do controle disponível e a concentração de exposição, ou seja, se um mesmo controle falho afeta vários riscos ao mesmo tempo. Priorizar só pela pontuação é um começo; considerar esses fatores é o que diferencia um programa maduro.
Vale distinguir, na própria matriz, risco inerente de risco residual. O inerente é a exposição antes de qualquer controle; o residual é o que sobra depois dos controles aplicados. Uma matriz que mostra apenas o inerente superestima a exposição; uma que mostra apenas o residual pode esconder a dependência de um único controle. Programas sólidos representam os dois e acompanham a distância entre eles.
Erros frequentes na elaboração e como corrigi-los
Alguns erros se repetem com frequência e esvaziam o valor da matriz. Reconhecê-los é metade da correção.
- Escalas subjetivas. Quando "alto" e "médio" não têm definição escrita, cada avaliador classifica de um jeito. Corrija documentando faixas objetivas e treinando os avaliadores com exemplos.
- Impacto medido só em reais. Riscos regulatórios e reputacionais ficam subestimados quando o único critério é financeiro. Corrija usando várias dimensões de impacto e classificando pela mais severa.
- Matriz estática. Uma matriz montada uma vez e nunca revisada envelhece rápido, porque o ambiente muda. Corrija definindo um ciclo de reavaliação e gatilhos de atualização, como a entrada de um fornecedor crítico ou uma mudança regulatória.
- Concentração artificial no centro. Avaliadores tendem a evitar os extremos e empilham tudo na faixa "média". Corrija exigindo justificativa por escrito para cada classificação e revisando os casos fora do padrão.
- Matriz desconectada dos controles. Uma matriz que não se liga aos controles existentes vira um documento decorativo. Corrija associando cada risco aos controles que o tratam e ao responsável por eles.
O quinto erro é o mais caro no longo prazo. Sem conexão entre riscos, controles e responsáveis, a organização perde a capacidade de responder a uma pergunta simples do board: "este risco está sob controle hoje?". Essa rastreabilidade é o que uma gestão de riscos corporativos madura precisa sustentar, e o tema é explorado no guia sobre software de gestão de riscos corporativos no Brasil.
Automatizando a matriz de risco com plataformas de GRC
A planilha funciona para começar, mas não escala. Quando o inventário cresce para centenas de riscos espalhados por unidades de negócio, fornecedores e frameworks, manter a matriz atualizada à mão consome tempo e introduz erros. É aí que uma plataforma de GRC passa a ser uma necessidade operacional.
Uma boa plataforma muda a matriz de três formas. Primeiro, conecta cada risco aos ativos, controles e responsáveis correspondentes, de modo que a classificação reflete o estado atual dos controles, e não uma foto antiga. Segundo, facilita manter a priorização viva: quando um controle falha ou surge um novo vetor de ameaça, fica claro quais riscos precisam ser reavaliados, sem refazer a grade inteira. Terceiro, reaproveita o mesmo inventário de controles entre frameworks como ISO 27001, LGPD, SOC 2 e NIST CSF, em vez de manter a mesma informação em vários lugares.
É essa integração que o Eagle, plataforma de Enterprise Risk Intelligence da Futture, foi pensado para oferecer. Em vez de tratar a matriz como um documento isolado, o Eagle reúne taxonomia de riscos, apetite, tolerância e heatmaps em um mesmo modelo e conecta os cenários de risco a ativos, fornecedores, controles e exposição cibernética, do risco inerente ao residual. A IA apoia a classificação e a priorização por contexto, mas o modelo é human-in-the-loop: o usuário revisa, aprova, rejeita ou ajusta cada resultado relevante, e a decisão de aceitar ou tratar um risco continua humana e rastreável.
A automação não substitui o julgamento. Ela reduz o trabalho mecânico que hoje consome boa parte do tempo das equipes de risco, como coletar evidências, atualizar planilhas e conciliar frameworks, e devolve esse tempo para a análise que de fato exige experiência. Uma matriz conectada é uma matriz que a organização consegue manter confiável mês após mês, não apenas no dia da auditoria.
Próximo passo
Comece auditando a matriz que você já tem. Escolha os cinco riscos classificados como mais altos e verifique três coisas em cada um: se os critérios de probabilidade e impacto estão documentados, se há um controle associado com responsável nomeado e se a classificação foi revisada dentro do ciclo definido pela sua política, por exemplo nos últimos três meses. Onde qualquer resposta for "não", você encontrou a próxima prioridade do seu programa de risco e um caso concreto para justificar a passagem da planilha para uma plataforma conectada.
Para aprofundar: Como o CISO deve reportar risco cibernético ao board.
Perguntas frequentes
O que é uma matriz de risco?
É uma ferramenta visual que cruza a probabilidade de um risco ocorrer com o impacto que ele causaria e classifica cada ameaça em uma escala de severidade. Serve para priorizar onde a organização deve investir atenção e recursos primeiro.
Qual a diferença entre matriz 3x3 e 5x5?
A 3x3 usa três níveis de probabilidade e impacto e é mais simples, porém grosseira. A 5x5 usa cinco níveis em cada eixo, o que dá granularidade suficiente para distinguir riscos próximos sem a falsa precisão de escalas maiores. A 5x5 é uma das escalas mais usadas em programas de GRC, mas continua sendo ordinal: serve para ordenar, não para dizer quanto um risco custa.
Como definir probabilidade e impacto de forma objetiva?
Defina por escrito faixas claras para cada nível. A probabilidade pode usar frequência esperada por ano; o impacto pode combinar perda financeira, interrupção operacional, exposição regulatória e dano reputacional, classificando pela dimensão mais severa. O objetivo é que dois avaliadores diferentes cheguem ao mesmo resultado.
Com que frequência a matriz de risco deve ser revisada?
Não há um prazo único. A ISO 31000 pede que o monitoramento e a análise crítica sejam planejados como parte do processo, e muitas organizações adotam ciclos trimestrais ou semestrais. O essencial é definir o ciclo na política e reavaliar sempre que houver mudança relevante, como um novo fornecedor crítico, uma alteração regulatória ou um incidente.
Referências oficiais
- IBM — Custo médio de uma violação de dados no Brasil atinge R$ 7,19 milhões (Cost of a Data Breach 2025)
- IBM — Cost of a Data Breach Report 2026
- Verizon — 2026 Data Breach Investigations Report (comunicado, maio de 2026)
- ISO 31000:2018 — Risk management — Guidelines
- IEC 31010:2019 — Risk management — Risk assessment techniques