Gestão de riscos na qualidade: matriz, controles e acompanhamento

A gestão de riscos na qualidade ajuda a decidir onde prevenir falhas, fortalecer controles e concentrar recursos antes que uma incerteza comprometa cliente, processo ou objetivo. A matriz de probabilidade e impacto organiza prioridades, mas não substitui contexto, evidência e julgamento.

Um mapa colorido sem responsável, tratamento e revisão é apenas uma fotografia. A gestão começa quando o risco passa a fazer parte das decisões e do acompanhamento do processo.

O que é risco na gestão da qualidade

Risco é o efeito da incerteza sobre objetivos. Na qualidade, pode envolver ameaças ou oportunidades relacionadas a:

• conformidade de produtos e serviços;
• requisitos de clientes, leis, normas e contratos;
• capacidade, prazo e continuidade do processo;
• fornecedores, transportadoras e outros parceiros;
• competência, tecnologia e informação documentada;
• satisfação do cliente e desempenho do SGQ.

A ISO 31000 apresenta princípios, estrutura e processo para identificar, analisar, avaliar, tratar, monitorar e comunicar riscos. A ISO 9001 aplica o pensamento baseado em riscos ao sistema de gestão, sem exigir uma ferramenta única ou uma matriz específica.

Comece por objetivo, evento, causa e consequência

Descrições genéricas como “risco de fornecedor” dificultam qualquer decisão. Uma formulação útil separa:

• objetivo afetado: o resultado que precisa ser protegido;
• evento incerto: o que pode acontecer;
• causa: condição que pode gerar o evento;
• consequência: efeito caso ele aconteça.

Exemplo: devido à ausência de substituto homologado para uma transportadora em rota crítica (causa), pode ocorrer indisponibilidade de coleta (evento), provocando atraso de embarque e descumprimento do prazo do cliente (consequência).

Essa estrutura evita misturar causa e impacto no mesmo campo e ajuda a escolher controles que atuem no ponto certo.

Defina critérios antes de avaliar

A escala deve ser compreendida da mesma forma por todos. Para uma matriz 5×5, a organização pode definir probabilidade e impacto de 1 a 5.

Nota	Probabilidade — exemplo	Impacto — exemplo
1	raro no horizonte avaliado	efeito pequeno, absorvido pela rotina
2	improvável	desvio limitado, sem efeito relevante no cliente
3	possível	retrabalho, atraso ou reclamação controlável
4	provável	impacto elevado em cliente, custo ou conformidade
5	quase certo	efeito crítico, interrupção ou violação grave

Essas descrições são exemplos. Cada organização deve definir horizonte temporal, valores financeiros, tolerâncias de prazo, gravidade regulatória e efeito no cliente compatíveis com o próprio contexto.

Como usar a matriz de riscos 5×5

Uma fórmula simples é:

pontuação do risco = probabilidade × impacto

O Konvéz Quality usa as seguintes faixas configuradas no fluxo atual:

Pontuação	Nível
1 a 4	baixo
5 a 9	médio
10 a 14	alto
15 a 25	crítico

As faixas ajudam a ordenar a conversa, mas dois riscos com a mesma pontuação podem exigir respostas diferentes. Um evento raro de impacto extremo não é equivalente a uma falha frequente de impacto moderado. Obrigações legais, segurança, cliente estratégico e velocidade de detecção podem mudar a prioridade.

Avalie os controles existentes

Antes de propor novas tarefas, registre o que já reduz probabilidade ou consequência:

• controle preventivo, que impede ou reduz a chance do evento;
• controle detectivo, que identifica o desvio cedo;
• controle corretivo ou de recuperação, que reduz a consequência;
• controle de direção, que estabelece regra, limite ou responsabilidade.

Não confunda existência com eficácia. Um procedimento publicado não comprova que o trabalho segue o padrão. Verifique evidências, frequência, cobertura, responsável e resultados.

Um controle pode ser classificado como adequado, parcialmente eficaz ou ineficaz, desde que existam critérios. A avaliação deve explicar por que a organização confia nele.

Escolha uma estratégia de tratamento

As opções usuais incluem:

• mitigar: reduzir probabilidade ou impacto com controles e ações;
• evitar: eliminar a atividade ou condição que gera o risco;
• aceitar: manter a exposição por decisão informada e revisá-la;
• transferir: deslocar parte da consequência por seguro, contrato ou terceiro;
• compartilhar: distribuir responsabilidades e efeitos entre partes.

Transferir não apaga o risco. Um seguro pode transferir parte do impacto financeiro, mas não transfere integralmente atraso, reputação ou responsabilidade perante o cliente.

Quando a escolha for mitigar, transforme a decisão em um plano de ação 5W2H com responsável, prazo e evidência.

Risco inerente e risco residual

O risco inerente representa a exposição antes de considerar os controles. O risco residual é o que permanece depois que controles e tratamentos foram implementados e avaliados.

Não diminua a nota residual apenas porque o plano foi aprovado. Reavalie probabilidade e impacto com evidências de que o controle existe e funciona. Se a exposição residual permanecer acima do critério de aceitação, defina novo tratamento ou escale a decisão.

Exemplo:

Momento	Probabilidade	Impacto	Pontuação	Nível
Inicial	4	4	16	crítico
Após fornecedor alternativo e alerta de capacidade	2	4	8	médio

O impacto continuou alto: se a indisponibilidade ocorrer, o efeito ainda será relevante. Os controles reduziram a probabilidade. Essa explicação é mais útil que apenas trocar a cor na matriz.

Como acompanhar riscos na qualidade

Cada risco deve ter proprietário, próxima revisão e gatilhos para reavaliação. Revise quando houver:

• mudança de processo, sistema, fornecedor ou requisito;
• nova não conformidade, reclamação ou incidente;
• resultado de auditoria;
• alteração relevante em um indicador de qualidade;
• controle vencido, não executado ou considerado ineficaz;
• mudança no contexto ou no objetivo protegido.

Indicadores úteis incluem riscos acima do limite, tratamentos atrasados, controles ineficazes, tempo sem revisão, exposição residual e ocorrências relacionadas.

Como o Konvéz Quality conecta riscos à operação

O Mapa de Riscos do Konvéz Quality registra título, categoria, causa, consequência, processo, etapa, departamento e responsável. A avaliação combina probabilidade e impacto numa matriz 5×5; a detectabilidade pode ser registrada como informação complementar.

O sistema oferece visão geral, lista, agrupamento por processo e matriz. Em cada risco, é possível registrar controles e sua eficácia, escolher a estratégia de tratamento, criar ações, anexar evidências, vincular documentos e acompanhar a linha do tempo.

Cada estratégia abre informações próprias: plano e percentual concluído para mitigação; justificativa e aprovação para aceitação; parte responsável e documento para transferência; ou responsabilidades para compartilhamento. Depois do tratamento, a equipe registra o risco residual e acompanha os estados Aberto, Em tratamento, Monitorando e Encerrado.

O recurso de sugestões também pode transformar sinais operacionais em candidatos a risco. Na versão atual, ele identifica departamentos com pelo menos três NCs nos últimos 90 dias e requisitos de auditoria “Não atende” classificados como altos ou críticos. A sugestão apoia a triagem; a decisão e a avaliação continuam com a equipe.

Conheça o Mapa de Riscos do Konvéz Quality

Erros comuns

• registrar temas amplos em vez de eventos com causa e consequência;
• definir notas antes dos critérios;
• tratar a matriz como verdade matemática;
• considerar procedimento como controle eficaz sem evidência;
• reduzir o risco residual antes de implementar o tratamento;
• aceitar risco sem aprovador, justificativa ou data de revisão;
• criar ações sem responsável e prazo;
• manter riscos encerrados sem observar mudanças no contexto;
• administrar riscos numa lista separada das ocorrências e auditorias.

Fontes e referências

• ISO 31000:2018 — Risk management guidelines
• ISO — visão geral da gestão de riscos
• ISO/IAF — pensamento baseado em riscos na ISO 9001
• ISO — abordagem de processo, PDCA e pensamento baseado em riscos
• ASQ — fundamentos da avaliação de riscos

A matriz ajuda a comparar. O controle reduz exposição. O acompanhamento mostra se a decisão continua válida. A gestão de riscos só amadurece quando essas três partes permanecem conectadas ao trabalho real.

Perguntas frequentes

O que é gestão de riscos na qualidade?

É o processo de identificar incertezas que podem afetar objetivos e requisitos da qualidade, analisar probabilidade e consequência, avaliar prioridades, tratar exposições e monitorar os resultados.

Como calcular o nível de um risco?

Uma abordagem comum multiplica probabilidade por impacto. As escalas, faixas e critérios devem ser definidos pela organização antes da avaliação e aplicados de forma consistente.

Qual é a diferença entre risco inerente e residual?

O risco inerente representa a exposição antes de considerar controles e tratamentos. O residual é a exposição que permanece depois que os controles foram implementados e tiveram sua eficácia avaliada.

A ISO 9001 exige uma matriz de riscos?

Não exige uma ferramenta específica. A organização precisa aplicar o pensamento baseado em riscos e manter as evidências adequadas ao seu contexto. Uma matriz é uma opção de apoio à priorização.