O que é risco inerente?

Por que risco inerente é importante?

O risco inerente parece um número teórico — afinal, nenhum ambiente real opera sem controle algum. Seu valor está na comparação. A distância entre o inerente e o risco residual mede a dependência de controles: quanto risco desaparece porque determinados controles funcionam. Se esses controles falharem, é para perto do inerente que o risco volta.

Três decisões dependem dessa leitura: quais controles são controles-chave e precisam de teste mais frequente; onde a auditoria interna deve concentrar esforço; e quais riscos merecem monitoramento contínuo porque uma única falha de controle os leva de aceitáveis a críticos.

Como funciona

Avalia-se o cenário com a mesma escala usada para o residual — probabilidade e impacto, ou frequência e perda —, mas retirando o efeito dos controles que tratam aquele cenário. A questão prática é definir quais controles saem da conta. Há duas convenções comuns:

• Ausência total de controles: simples de enunciar, mas produz avaliações irrealistas — quase tudo vira crítico — e pouco discriminantes.
• Sem os controles específicos do cenário: mantém os controles de ambiente (governança básica, perímetro físico) e retira os que atuam diretamente sobre o cenário. Costuma gerar avaliações mais úteis para decidir onde testar.

A escolha importa menos que a consistência. A convenção precisa estar escrita na metodologia e ser aplicada da mesma forma por todas as áreas; caso contrário, os riscos inerentes não são comparáveis entre si.

Exemplo prático

Dois cenários avaliados em uma matriz 5×5 (exemplo ilustrativo):

Os dois cenários terminam com o mesmo residual. Mas o cenário A só está nesse nível porque três controles funcionam ao mesmo tempo; o B estaria perto do aceitável mesmo sem eles. Consequência prática: os controles do cenário A são candidatos a controles-chave, com teste de eficácia periódico e alerta quando degradam; o cenário B pode seguir com revisão anual. Um relatório que mostra apenas o residual esconde essa diferença.

Na matriz 5×5, multiplicar probabilidade por impacto é uma convenção de ordenação, não uma conta com significado físico. Para decisões de investimento, veja por que a matriz 5×5 não diz quanto o risco custa.

Como calcular ou avaliar

1. Descreva o cenário de risco: ameaça, ativo ou processo, caminho de ataque e consequência.
2. Liste os controles que atuam sobre o cenário e marque os que ficam fora da avaliação inerente, conforme a convenção adotada.
3. Estime a probabilidade, ou a frequência anual, considerando ameaça e exposição sem esses controles.
4. Estime o impacto, ou a perda por evento. Controles corretivos, como backup e plano de resposta, também afetam o impacto e saem da conta.
5. Registre premissas, fontes e responsável por cada estimativa.
6. Avalie o residual com os mesmos critérios, considerando apenas controles com evidência de eficácia.

Em abordagens quantitativas, o raciocínio é o mesmo. No modelo FAIR, por exemplo, controles reduzem a chance de uma ação da ameaça ter sucesso e a magnitude da perda; o inerente é a estimativa sem essas reduções.

Risco inerente na gestão de cyber risk

Em cyber risk, o inerente muda mais rápido do que em outros domínios, porque a exposição muda: um sistema publicado na internet, uma vulnerabilidade passando a ser explorada em massa ou um fornecedor novo com acesso privilegiado alteram o ponto de partida mesmo sem mudança nos controles. Por isso faz sentido reavaliar o inerente quando o contexto do cenário muda, e não só no ciclo anual.

Ele também orienta a gestão de exposição e a validação de controles: ativos ligados a cenários de inerente alto e residual baixo são os que mais perdem quando um controle falha — e onde testar controles traz o maior retorno.

Relação com frameworks

• NIST CSF 2.0: a subcategoria ID.RA-05 cita explicitamente o uso de ameaças, vulnerabilidades, probabilidades e impactos para entender o risco inerente e orientar a priorização da resposta ao risco.
• ISO/IEC 27001:2022: não exige separar inerente e residual como etapas formais. Exige critérios de avaliação e de aceitação definidos (6.1.2) e o aceite dos riscos residuais pelos donos dos riscos (6.1.3). Registrar o inerente é uma escolha metodológica compatível com esses requisitos.
• NIST SP 800-30 Rev. 1: ao estimar probabilidade e impacto, considera as condições predisponentes e os controles existentes — a base para distinguir o risco antes e depois dos controles.
• Auditoria baseada em risco: a distinção entre inerente e residual é usada para decidir escopo e o grau de confiança depositado nos controles.