Matriz de Risco 5×5 ISO 31000: Como Aplicar

Por que a ISO 9001 exige gestão de riscos?

A ISO 9001:2015 introduziu o conceito de pensamento baseado em risco em toda a norma. A cláusula 6.1 é explícita: "A organização deve determinar riscos e oportunidades a serem abordados, planejar ações e avaliar sua eficácia."

A norma não obriga uma metodologia específica, mas a maioria das empresas adota a Matriz 5×5 da ISO 31000 por sua simplicidade e robustez.

As 5 escalas de Probabilidade

• 1 — Raro — pode ocorrer em circunstâncias excepcionais (1x a cada 5+ anos)
• 2 — Improvável — pode ocorrer ocasionalmente (1x a cada 2-5 anos)
• 3 — Possível — pode ocorrer em algum momento (1x ao ano)
• 4 — Provável — provavelmente ocorrerá (semestralmente)
• 5 — Quase Certo — esperado ocorrer (mensal ou mais frequente)

As 5 escalas de Impacto

• 1 — Insignificante — sem impacto material (atraso de horas)
• 2 — Pequeno — impacto local, recuperável rapidamente
• 3 — Moderado — impacto departamental, dias para recuperar
• 4 — Grande — impacto na operação, semanas para recuperar, perda financeira significativa
• 5 — Catastrófico — ameaça a continuidade do negócio, danos a pessoas, processos legais

A Matriz 5×5 visual

Multiplicando os dois eixos:

• 1-4 (Baixo) 🟢 — aceitar e monitorar
• 5-9 (Médio) 🟡 — mitigar quando possível, plano de ação
• 10-15 (Alto) 🟠 — mitigar prioritariamente, ação imediata
• 16-25 (Crítico) 🔴 — eliminar ou transferir; bloquear operação se necessário

Como classificar um risco — exemplo prático

Risco: "Falha no fornecimento de matéria-prima crítica X"

• Probabilidade: 3 (Possível — fornecedor único, histórico de atraso)
• Impacto: 4 (Grande — para linha de produção por dias, perda de faturamento)
• Score: 3 × 4 = 12 (Alto)
• Ação: mitigar prioritariamente. Plano de ação: qualificar fornecedor B alternativo até Out/2026.

As 4 estratégias de tratamento

1. Aceitar — risco baixo, custo de mitigar maior que o impacto. Apenas monitorar.
2. Mitigar — implementar controles que reduzam Probabilidade ou Impacto (ex: contratar 2º fornecedor, instalar sensores, treinar equipe).
3. Transferir — passar o risco para terceiro (seguro, terceirização). Não reduz o risco, transfere a consequência.
4. Evitar — eliminar a atividade que gera o risco. Ex: descontinuar produto com alto risco de recall.

Revisão periódica

A Matriz não é estática. Revise trimestralmente (no mínimo) e sempre que houver:

• Mudança no contexto externo (regulamentação, fornecedores, tecnologia)
• Novo produto ou serviço lançado
• Incidente que evidencie risco não mapeado
• Análise crítica pela direção (cl. 9.3)

Erros comuns

• Listar 200 riscos — perde foco. Concentre-se nos 15-30 mais relevantes por setor.
• Classificação só pelo gestor — envolva a equipe operacional, eles veem riscos invisíveis para a gerência.
• Plano sem prazo nem responsável — vira lista de boas intenções.
• Nunca revisar — riscos mudam com o contexto.

Artigos relacionados