O que é apetite de risco?

Por que apetite de risco é importante?

Sem apetite definido, cada decisão de risco é negociada caso a caso. O mesmo risco é aceito numa área e escalado noutra, o comitê discute cores em vez de decisões, e o critério de aceitação exigido pela ISO/IEC 27001 vira formalidade. O apetite é o que transforma a gestão de riscos em um sistema de decisão: ele diz, antes do fato, onde está a linha.

Ele também evita o erro oposto. Apetite não é apenas quanto risco evitar; é também quanto risco a organização aceita correr para crescer, lançar produtos ou operar com custo competitivo. Apetite zero para risco cibernético não existe na prática — e declará-lo só garante que a declaração será ignorada.

Como funciona

O apetite é um dos níveis de uma estrutura que vai do limite que a organização suporta até a regra que o analista aplica:

A regra estrutural: o apetite fica abaixo da capacidade, e tolerâncias e limites derivam do apetite. A tradução da frase aprovada pelo conselho em limites que a equipe aplica está detalhada em apetite ao risco: da frase ao número. Vale notar que o vocabulário varia: o ISO Guide 73 descreve tolerância como a disposição de suportar o risco após o tratamento, enquanto muitos programas de ERM usam o termo para a faixa numérica em torno do apetite. O importante é que a política escolha uma definição e a mantenha.

Exemplo prático

Uma declaração de apetite para risco cibernético pode combinar métricas financeiras e operacionais (exemplo ilustrativo):

• Financeira: probabilidade inferior a 5% de perdas cibernéticas acima de R$ 20 milhões em um ano, considerando o conjunto dos cenários.
• Continuidade: nenhum serviço classificado como crítico sem plano de recuperação testado nos últimos 12 meses dentro do seu RTO.
• Exposição: nenhuma vulnerabilidade com exploração confirmada (KEV) aberta por mais de 14 dias em ativo exposto à internet.
• Dados pessoais: nenhum cenário de vazamento de base de clientes com risco residual acima do limite aprovado sem plano de tratamento com prazo e dono.

A primeira linha só pode ser verificada com quantificação. A curva de excedência de perda, produzida por Cyber Risk Quantification, mostra para cada valor a probabilidade de ultrapassá-lo em um ano. Se a curva agregada indica 9% de chance de perder mais de R$ 20 milhões, a organização está fora do apetite — e a pergunta passa a ser qual tratamento traz essa probabilidade para menos de 5% pelo menor custo.

Como calcular ou avaliar

Avaliar um apetite de risco é verificar se ele cumpre quatro condições:

1. Cobertura: existe expressão para cada categoria relevante — financeira, operacional, regulatória, dados pessoais, terceiros?
2. Mensurabilidade: cada tolerância tem métrica, fonte de dado, responsável e frequência de medição?
3. Coerência: os limites das áreas, somados, cabem no apetite global, e o apetite global cabe na capacidade?
4. Uso: o apetite aparece nas decisões — aceites de risco, priorização de orçamento, exceções — ou apenas na política?

Revise o apetite pelo menos uma vez por ano e após eventos relevantes, como incidente material, aquisição ou entrada em mercado regulado. Compare as decisões de aceite do período com os limites: aceites recorrentes logo abaixo do limite indicam que ele está apertado demais ou que o tratamento está sendo adiado.

Apetite de risco na gestão de cyber risk

Em cyber risk, o apetite tem uma dificuldade específica: o impacto é muito desigual entre cenários e mal representado em escalas ordinais. Um limite como “nada acima de risco alto” trata da mesma forma cenários que diferem em duas ordens de grandeza. Por isso, organizações que usam matriz para triagem costumam reservar limites financeiros ou operacionais para os cenários que disputam orçamento, comparando-os ao risco residual de cada um.

O apetite também se desdobra para domínios vizinhos: define a profundidade de avaliação de fornecedores no TPRM, os prazos de correção na gestão de exposição e os objetivos de recuperação da continuidade de negócios. Quando esses desdobramentos não existem, cada área cria o seu, e a organização passa a ter vários apetites sem saber.

Relação com frameworks

• NIST CSF 2.0: GV.RM-02 — declarações de apetite e de tolerância ao risco são estabelecidas, comunicadas e mantidas. Veja NIST CSF 2.0: as seis funções.
• ISO Guide 73:2009: define apetite de risco como a quantidade e o tipo de risco que a organização está disposta a buscar ou reter.
• COSO ERM — Integrating with Strategy and Performance: trata a definição do apetite como parte da definição de estratégia e objetivos de negócio.
• ISO/IEC 27001:2022: a cláusula 6.1.2 exige critérios de aceitação de risco definidos — o ponto em que o apetite vira regra aplicada.
• NIST IR 8286: usa apetite e tolerância como ponte entre a gestão de riscos corporativos e a gestão de riscos de cibersegurança.