Da matriz à resiliência: por que "saber os riscos" não basta mais em 2026

A matriz que virou ritual

Passei anos vendo o mesmo ritual se repetir em conselhos e comitês de auditoria pelo Brasil. Uma vez por trimestre, alguém apresenta a matriz de riscos, aquele quadro colorido com probabilidade no eixo vertical e impacto no horizontal, cheio de bolinhas verdes, amarelas e vermelhas. Todo mundo olha, alguém comenta sobre o quadrante superior direito, o comitê aprova, e a vida segue. O documento vai para uma pasta e reaparece no trimestre seguinte, muitas vezes com as mesmas bolinhas nas mesmas posições.

O problema não é a matriz em si. A matriz de riscos é uma ferramenta legítima e continua útil para organizar prioridades e comunicar exposição de forma visual. O problema é a ilusão de controle que ela produz. Muitas organizações confundiram o ato de mapear riscos com o ato de estar preparado para eles, como se catalogar uma ameaça já significasse ter reduzido sua capacidade de causar dano. São coisas diferentes, e a distância entre elas é exatamente onde as empresas quebram.

O que vejo com frequência é que o mapa vira um fim em si mesmo. A gestão de riscos se transforma em um exercício de documentação, alimentado por planilhas e reuniões, que gera conforto sem gerar preparo. Em 2026, essa lógica já não sustenta a realidade que estamos enfrentando. Os riscos que mais ameaçam a continuidade das operações não se comportam como as bolinhas se comportam na matriz, e é sobre isso que precisamos conversar com honestidade.

Por que a probabilidade deixou de ser um bom guia

A matriz tradicional depende de duas variáveis: quão provável é o evento e quão grande seria o impacto. Essa lógica funciona razoavelmente bem para riscos com histórico conhecido, aqueles que se repetem com alguma regularidade e permitem estimativas baseadas em experiência passada. Uma fraude interna, um erro operacional recorrente, uma inadimplência de cliente: sobre esses temas conseguimos falar em frequência com alguma segurança.

O drama é que os riscos mais perigosos de hoje não têm histórico útil. Um ataque de ransomware sofisticado, uma ruptura geopolítica que interrompe uma cadeia de suprimentos, uma falha em cascata provocada por um modelo de inteligência artificial que a organização adotou sem entender completamente: esses são eventos de cauda longa, raros o suficiente para parecerem improváveis e severos o suficiente para serem devastadores. Quando você atribui baixa probabilidade a um evento assim, ele desliza para o canto inferior da matriz e some do radar da diretoria.

Há ainda um agravante que a matriz simplesmente não consegue representar: a interdependência. No mundo real, riscos não acontecem isolados. Um incidente cibernético pode paralisar o sistema logístico, que interrompe o faturamento, que dispara uma crise de fluxo de caixa, que gera um problema regulatório, que vira uma crise reputacional. A matriz trata cada risco como uma bolinha independente, mas a disrupção real vem justamente das conexões entre eles, do efeito dominó que nenhuma célula de planilha captura.

Depois de anos trabalhando com organizações brasileiras de médio e grande porte, minha conclusão é direta: continuar governando risco apenas pela lente da probabilidade é apostar que o passado descreve o futuro. E o futuro que estamos construindo, com dependência tecnológica crescente e instabilidade sistêmica, não se parece nada com o passado que alimenta nossas planilhas.

A virada: da identificação para a continuidade

A pergunta que define a gestão de riscos madura em 2026 não é mais "quais são nossos riscos". É outra, mais desconfortável: "o que precisa continuar funcionando de qualquer jeito, e por quanto tempo conseguimos operar quando algo essencial falhar". Essa mudança de pergunta é a mudança de paradigma inteira. Saímos da lógica de identificar e priorizar ameaças para a lógica de garantir que a organização siga entregando seus serviços críticos mesmo sob ataque, sob falha, sob disrupção.

Isso é resiliência operacional, e não é sinônimo elegante para gestão de riscos. É uma disciplina distinta, com foco diferente. A gestão de riscos clássica pergunta como evitar que algo ruim aconteça. A resiliência operacional parte do princípio de que algo ruim vai acontecer, porque é matematicamente inevitável em sistemas complexos, e concentra a energia em garantir que a operação sobreviva e se recupere. A diferença de mentalidade é enorme e muda todas as decisões que se seguem.

Na prática, isso obriga a organização a inverter o ponto de partida. Em vez de começar pela lista de ameaças, você começa pelo que chamo de serviços de negócio críticos, aquelas funções sem as quais a empresa deixa de existir ou entra em crise grave. Para um banco, pode ser a capacidade de processar pagamentos. Para uma varejista, a capacidade de vender e faturar. Para um hospital, o acesso a prontuários e sistemas de suporte à vida. A partir desses serviços críticos, você mapeia para trás: quais sistemas os sustentam, quais fornecedores, quais pessoas, quais dados.

Essa inversão é libertadora porque para de depender de você adivinhar todas as ameaças possíveis. Não importa se a interrupção veio de um hacker, de um incêndio no data center, de um fornecedor que faliu ou de um erro humano. O foco está em quanto tempo o serviço crítico pode ficar indisponível antes que o dano se torne inaceitável, e em como você garante a recuperação dentro desse limite.

O que a Europa já entendeu com a DORA

Quem acompanha regulação internacional já percebeu que os órgãos reguladores mais avançados abandonaram a fé cega na matriz. O exemplo mais claro é a DORA, sigla para Digital Operational Resilience Act, o regulamento europeu de resiliência operacional digital voltado ao setor financeiro. A DORA não pergunta às instituições se elas mapearam seus riscos cibernéticos. Ela pergunta se elas conseguem continuar operando durante e após um incidente grave, e exige provas disso.

O princípio por trás da DORA é filosoficamente diferente do que a maioria das empresas brasileiras pratica. Ele assume que incidentes cibernéticos e falhas tecnológicas vão ocorrer, que a dependência de terceiros é um ponto estrutural de fragilidade, e que a resposta adequada não é apenas prevenir, mas construir capacidade comprovada de resistir, responder e se recuperar. A regulação obriga testes, define expectativas sobre gestão de fornecedores críticos de tecnologia e cobra que a alta administração tenha responsabilidade direta sobre o tema.

Não estou dizendo que precisamos importar a DORA para o Brasil linha por linha. Nosso contexto regulatório tem suas próprias trilhas, e o Banco Central já vem endereçando resiliência e gestão de continuidade em suas normas para o sistema financeiro. O ponto é outro: a direção do vento é inequívoca. Reguladores estão migrando do "prove que você conhece seus riscos" para o "prove que você sobrevive a eles". As organizações que anteciparem esse movimento vão sofrer menos quando ele chegar com força ao seu setor, e ele vai chegar.

O que me preocupa é ver empresas fora do setor financeiro tratando resiliência operacional como assunto de banco. Não é. Qualquer organização que dependa de tecnologia para operar, e hoje isso é praticamente qualquer organização, carrega a mesma fragilidade estrutural. A diferença é que os bancos estão sendo obrigados a encarar o problema, enquanto os demais ainda têm a opção de fingir que a matriz colorida resolve.

Medir tempo de recuperação é medir maturidade

Se existe um único indicador que separa organizações resilientes de organizações que apenas dizem ser resilientes, é a capacidade de responder com números concretos a uma pergunta simples: quanto tempo levaríamos para restaurar cada serviço crítico depois de uma interrupção. A maioria das empresas não sabe responder. Elas têm um plano de continuidade guardado numa gaveta digital, escrito há anos, nunca testado, com contatos de pessoas que já saíram da empresa.

A resiliência operacional trabalha com dois conceitos que precisam sair do jargão técnico e entrar na conversa da diretoria. O primeiro é o tempo objetivo de recuperação, o prazo máximo aceitável para que um serviço volte a funcionar. O segundo é o ponto objetivo de recuperação, que trata de quanto de dados você aceita perder, medido em tempo, quando precisa restaurar a partir de um backup. Esses dois parâmetros definem o quão preparada uma organização realmente está, e ambos precisam ser decididos pela liderança, não pela área técnica sozinha.

O ponto crítico aqui é a diferença entre o tempo que você planejou e o tempo que você realmente consegue. Vejo com frequência planos que prometem recuperação em quatro horas quando a organização nunca conseguiu restaurar nada em menos de dois dias durante um incidente real. Essa distância entre o planejado e o comprovado é onde mora o risco verdadeiro. Um plano não testado é uma hipótese, e hipótese não protege ninguém no dia do desastre.

Por isso insisto com quem me procura: pare de perguntar se existe um plano de continuidade e comece a perguntar quando foi a última vez que ele foi testado de verdade, com pessoas reais executando os passos sob pressão. Um número de recuperação que nunca foi validado em condições próximas do real é ficção corporativa, e ficção não sobrevive ao contato com uma crise.

Testar cenários é ensaiar a crise antes dela chegar

Testar resiliência não é rodar uma simulação de mesa uma vez por ano para cumprir a auditoria. É construir uma prática regular de submeter a organização a cenários severos, mas plausíveis, e observar como ela se comporta. A palavra severo importa. Testar cenários confortáveis, aqueles que você já sabe que vai passar, não ensina nada. O valor está em desenhar o cenário que assusta e verificar honestamente se a operação aguenta.

Alguns tipos de teste merecem entrar na rotina de qualquer organização que leve o tema a sério:

• Simulações de incidente cibernético que assumem comprometimento total de um sistema crítico, forçando a equipe a operar sem ele
• Exercícios de mesa com a alta liderança, colocando diretores diante de decisões reais sob pressão de tempo e informação incompleta
• Testes de recuperação que efetivamente restauram sistemas a partir de backups, medindo o tempo real gasto
• Cenários de falha de fornecedor crítico, especialmente provedores de nuvem e serviços terceirizados essenciais

O que esses exercícios revelam costuma ser desconfortável, e é exatamente por isso que valem tanto. Descobre-se que o backup não estava sendo feito como se imaginava, que ninguém sabia acionar o fornecedor fora do horário comercial, que a decisão sobre pagar ou não um resgate nunca havia sido discutida no nível certo. Cada uma dessas descobertas, feita num ensaio, é um desastre que você evitou na vida

Perguntas frequentes

O que é resiliência organizacional e como ela difere de gestão de riscos tradicional?
Resiliência organizacional é a capacidade de uma empresa absorver impactos, adaptar-se e continuar operando mesmo em cenários adversos, enquanto gestão de riscos tradicional apenas identifica e classifica ameaças em matrizes estáticas. A diferença crucial é que resiliência foca em recuperação rápida e aprendizado contínuo, não apenas em prevenção. Matrizes tradicionais criam falsa sensação de controle, mas não preparam a empresa para o inesperado.

Por que matrizes de riscos trimestrais não funcionam mais em 2026?
O ambiente de negócios em 2026 muda muito mais rapidamente do que ciclos trimestrais conseguem acompanhar, especialmente com transformações digitais, crises geopolíticas e mudanças regulatórias aceleradas. Um risco classificado como baixo no primeiro trimestre pode se tornar crítico no segundo, deixando a empresa desprotegida. Matrizes estáticas geram ritual sem valor real, consumindo recursos e criando apenas documentação que não reflete a realidade operacional.

Como implementar um modelo de gestão de riscos dinâmico e contínuo?
Um modelo dinâmico requer monitoramento em tempo real com indicadores que atualizam continuamente, integração de dados de múltiplas áreas da empresa e revisões ágeis de riscos conforme contexto muda. Envolva áreas operacionais nas discussões de risco regularmente, não apenas em ciclos formais trimestrais. Use tecnologia para automatizar coleta de sinais de alerta e ajuste prioridades rapidamente quando cenários evoluem.

Qual é o impacto financeiro de não ter resiliência em 2026?
Empresas sem resiliência enfrentam interrupções operacionais mais frequentes e prolongadas, resultando em perdas de receita que podem chegar a 10 a 15% do faturamento anual em caso de crise não prevista. Além disso, há custos reputacionais, redução de confiança de investidores e aumento de seguros corporativos. A recuperação após crises sem planos de resiliência pode levar meses ou anos, enquanto concorrentes resilientes retomam operações em dias.

Como medir e monitorar resiliência organizacional?
Resiliência deve ser medida através de indicadores como tempo de recuperação após incidentes, capacidade de continuar operações críticas com redução de recursos, diversidade de fornecedores e flexibilidade operacional. Implemente dashboards que rastreiem esses KPIs continuamente, não apenas em relatórios anuais. Inclua também testes regulares de cenários de crise e métricas de aprendizado dos incidentes passados para evitar repetições.

Quais são os principais riscos que gestores subestimam em 2026?
Riscos de cibersegurança em cadeia de suprimentos, vulnerabilidades em sistemas legados durante transformação digital e concentração de dependência em fornecedores únicos são frequentemente subestimados. Também há negligência com riscos climáticos e suas consequências operacionais indiretas, como deslocamento de funcionários e impacto em logística. Muitas empresas focam apenas em riscos financeiros diretos, ignorando riscos estratégicos de longo prazo que destroem valor ao longo do tempo.

Quando uma empresa deve revisar sua estratégia de gestão de riscos?
A revisão deve ser contínua e não apenas anual, com ciclos de pelo menos trimestrais ou bimestrais dependendo da volatilidade do setor. Regatilhos de revisão urgente incluem mudanças significativas no mercado, alterações regulatórias importantes, crises observadas na concorrência ou feedbacks de incidentes internos. Empresas ágeis revisam riscos semanalmente em reuniões de monitoramento, usando dados em tempo real para ajustes imediatos.

Como engajar lideranças diferentes em torno de resiliência sem criar silos?
Resiliência deve ser responsabilidade compartilhada entre todas as áreas, com reuniões de alinhamento regulares onde TI, Operações, Financeiro e Compliance discutem cenários conjuntamente. Evite centralizar gestão de riscos em uma única área, pois gera silos e reduz engajamento real. Atribua donos de resiliência por processo crítico e meça o desempenho desses times como parte da avaliação de liderança.

Qual tecnologia é essencial para gestão de riscos moderna em 2026?
Plataformas de gestão de riscos integradas com inteligência artificial, analytics em tempo real e automação de workflows são fundamentais para monitorar sinais de alerta continuamente. Cloud computing garante acesso simultâneo e colaboração entre equipes geograficamente distribuídas. Ferramentas de simulação de cenários e machine learning predizem riscos emergentes antes de se materializarem, diferente de matrizes que apenas classificam o que já é conhecido.

Como começar a transição de matrizes tradicionais para modelos resilientes?
Comece com auditoria do status quo, identificando quais riscos maturaram desde última avaliação e quais sinais de alerta foram ignorados. Em seguida, escolha um processo crítico como piloto para implementar monitoramento contínuo e métricas de resiliência em escala reduzida. Após validar o modelo piloto, expanda gradualmente para toda organização e cultive mindset de adaptação rápida ao invés de documentação estática.

A GovSimplix trata a Gestão de Riscos como um dos fundamentos do seu modelo de governança empresarial, integrando o mapeamento de riscos à estrutura de controles internos, às políticas corporativas e aos indicadores de maturidade organizacional, tornando o risco um elemento visível e gerenciável na rotina executiva.

Sobre o autor

Julio César
Fundador e Arquiteto das Soluções, GovSimplix

Julio César é bacharel em Ciências da Computação pela USTJ e graduado em Análise e Desenvolvimento de Sistemas. É especialista pós-graduado em Cibersegurança e Governança de Dados pela PUC Minas e pós-graduado em Gestão Estratégica de Negócios pela Universidade Presbiteriana Mackenzie.

Possui certificação internacional de Lead Auditor para as normas ISO 27001 (Segurança da Informação), ISO 27701 (Privacidade da Informação) e ISO 42001 (Gestão de Inteligência Artificial), além da certificação Lean Six Sigma Black Belt, voltada para melhoria de processos e redução de variabilidade operacional.

Na GovSimplix, é o responsável pela concepção e evolução da arquitetura metodológica que estrutura os 11 domínios de governança empresarial da plataforma. Combina formação técnica, experiência em auditoria de sistemas de gestão e visão executiva para traduzir a complexidade da governança em estrutura operável para organizações de qualquer porte e setor.