Avaliação de riscos: mapa que não muda decisão é decoração

Avaliação de riscos de compliance organiza cenários de desvio a partir da operação real. O Decreto nº 11.129/2022 considera a análise periódica de riscos entre os parâmetros de avaliação do programa de integridade, e o guia da CGU de 2024 trata o tema como base para adaptar controles à realidade da empresa.

O mapa precisa nascer do processo

Em vez de começar por uma lista genérica de “corrupção, fraude e assédio”, vale seguir fluxos: vender, contratar, pagar, reembolsar, conceder acesso, contratar terceiro, tratar denúncia, lidar com autoridade. Em cada etapa, pergunta-se o que pode dar errado, por que, qual consequência e que controle já existe.

Uma matriz útil diferencia risco inerente e risco residual. O primeiro observa a exposição antes dos controles; o segundo considera o que permanece depois deles. Essa diferença ajuda a decidir onde reforçar política, aprovação, treinamento ou monitoramento.

A avaliação só termina quando muda alguma coisa. Se o mesmo documento é aprovado todos os anos sem alterar prioridade, orçamento ou teste, ele provavelmente mede estabilidade do formulário, não do risco. A conexão com políticas internas e treinamento de integridade transforma diagnóstico em ação.

Frequência e impacto não contam a história inteira

Um evento raro pode merecer prioridade alta quando envolve poder público, informação sensível ou consequência difícil de reverter. Da mesma forma, uma falha frequente e de baixo impacto pode revelar controle estruturalmente ignorado. Critérios de pontuação precisam ser explicáveis, não apenas produzir cores.

Mudanças de produto, mercado, liderança, sistema, cadeia de fornecedores ou legislação são gatilhos para revisar o mapa antes do calendário anual. A avaliação deve acompanhar a empresa que existe hoje, não a fotografia tirada na implantação do programa.