Matriz de riscos de TI: como montar, priorizar e revisar

📚 Continue aprendendo sobre este tema:

O problema que a matriz resolve

Em muitas empresas, a conversa sobre risco de TI acontece de dois modos. No primeiro, o gestor de TI apresenta uma lista de preocupações e a diretoria ouve tudo como se fosse do mesmo tamanho. No segundo, o assunto só entra em pauta depois do incidente, quando a discussão já é sobre culpa, não sobre prevenção.

A matriz corrige isso porque força três definições que a conversa informal evita:

Qual é a chance disso acontecer, dito com uma escala combinada, e não com adjetivos.
Quanto dói se acontecer, medido pelo efeito na operação e não pelo trabalho que dá para a TI.
Quem responde por isso, com nome, e o que essa pessoa vai fazer até quando.

Depois que a lista está pontuada, a priorização deixa de ser opinião. Se o risco de perder o banco de dados fiscal pontua mais alto que o risco de lentidão no acesso remoto, o orçamento vai primeiro para o primeiro. E a diretoria participa da decisão com informação, que é o que ela pede.

Passo 1: levantar os riscos a partir do que existe

Risco não se inventa em reunião de brainstorming. Ele sai do que a empresa tem e do que a empresa depende. Por isso a matriz começa no inventário. Se você ainda não tem o seu, o roteiro está em como fazer um inventário de TI.

Com o inventário em mãos, percorra cinco fontes:

Ativos. Para cada servidor, link, aplicação e base de dados relevante, pergunte: o que acontece com o negócio se isto parar por um dia?
Fornecedores e dependências externas. Provedor de internet, provedor de nuvem, fornecedor do ERP, empresa que faz o suporte. A falha deles é risco seu.
Pessoas. Existe alguma tarefa crítica que só uma pessoa sabe executar? Existe senha que só uma pessoa conhece?
Ciclo de vida de software. O que está próximo do fim de suporte, o que já passou dele e o que roda em versão sem atualização disponível.
Histórico. O que já deu errado nos últimos dois anos. O incidente que aconteceu uma vez costuma ser o mais subestimado da lista.

Escreva cada risco como uma frase de causa e efeito, não como um substantivo solto. Em vez de "backup", escreva "o backup do ERP falha sem ser percebido e a empresa descobre no momento da restauração". A frase completa já sugere o tratamento.

Passo 2: definir a escala antes de pontuar

Este é o passo que a maioria pula, e é o que garante que duas pessoas cheguem à mesma nota. Combine o significado de cada número antes de olhar para os riscos.

Escala de probabilidade

Nota	Leitura	Critério prático
1	Raro	Nunca ocorreu na empresa e não há sinal de que vá ocorrer no próximo ano
2	Pouco provável	Ocorreu em empresas parecidas, mas aqui não há histórico
3	Possível	Já ocorreu alguma vez, ou existe uma condição conhecida que favorece
4	Provável	Ocorre de tempos em tempos e nada mudou para impedir a repetição
5	Quase certo	Já está acontecendo, ou tem data marcada para acontecer

Escala de impacto

Nota	Leitura	Critério prático, medido no negócio
1	Insignificante	Incômodo para poucos usuários, contornável, sem efeito em cliente ou obrigação legal
2	Menor	Uma equipe fica improdutiva por algumas horas, sem afetar entrega ao cliente
3	Moderado	Um processo relevante para por horas, com atraso perceptível para o cliente
4	Grave	Faturamento, expedição ou atendimento param por um dia, ou há exposição de dado pessoal
5	Crítico	Operação parada por vários dias, perda de dados sem recuperação ou descumprimento de obrigação legal

Repare que a escala de impacto não fala em servidor nem em disco. Ela fala no que a diretoria enxerga. Essa é a tradução que faz a matriz ser aprovada.

Como classificar o resultado

Multiplique probabilidade por impacto. A nota vai de 1 a 25. Uma faixa simples resolve a leitura:

De 1 a 4, baixo: aceitar e monitorar. Registra e revisa depois.
De 5 a 9, médio: tratar dentro do plano do ano, sem urgência.
De 10 a 14, alto: tratar no próximo trimestre, com dono e prazo definidos.
De 15 a 25, crítico: tratar agora, com acompanhamento da diretoria.

Um cuidado importante: impacto 5 nunca deve ser tratado como baixo só porque a probabilidade é 1. Evento raro com efeito devastador merece pelo menos um plano de contingência escrito, mesmo que não receba investimento imediato.

Passo 3: montar a tabela

Este é um exemplo genérico, com riscos que aparecem em praticamente qualquer média empresa. As notas abaixo são ilustrativas e servem para você ver o formato funcionando. Na sua matriz, elas mudam conforme a realidade do seu ambiente.

Risco	Prob.	Impacto	Nota	Dono	Tratamento
Falha de hardware no servidor que hospeda o ERP, sem peça de reposição disponível	3	5	15, crítico	Gestor de TI	Reduzir: contrato de suporte com prazo de atendimento definido, redundância no componente mais frágil e teste de restauração trimestral
Indisponibilidade do link de internet da matriz por várias horas	4	4	16, crítico	Gestor de TI	Reduzir: segundo link com operadora e caminho físico distintos, com troca automática e teste periódico
Ransomware criptografa arquivos e alcança também as cópias de backup	3	5	15, crítico	Diretoria e Gestor de TI	Reduzir: cópia isolada e imutável, multifator no acesso administrativo, teste de restauração e plano de resposta escrito
Fim do suporte do SQL Server 2016 em 14/07/2026, sem atualização de segurança contratada	5	4	20, crítico	Gestor de TI	Reduzir: definir rota de saída (atualizar, migrar para nuvem ou contratar atualizações estendidas) com data
Fim do suporte do Windows Server 2016 em 12/01/2027	5	3	15, crítico	Gestor de TI	Reduzir: inventário das cargas de trabalho e cronograma de migração iniciado com folga
Saída da única pessoa que domina a configuração do ERP e detém as credenciais	3	4	12, alto	Diretoria	Reduzir: documentação obrigatória, cofre de senhas corporativo e segunda pessoa treinada
Backup executa sem erro aparente, mas a restauração não funciona	3	5	15, crítico	Gestor de TI	Reduzir: teste de restauração com evidência registrada e alerta de falha monitorado
Acesso indevido a dados pessoais por permissão excessiva que nunca foi revista	3	4	12, alto	Responsável por privacidade	Reduzir: revisão semestral de acessos, papéis em vez de permissões avulsas e registro de auditoria
Falha prolongada de energia no local onde ficam os equipamentos	2	4	8, médio	Facilities e TI	Reduzir: autonomia dimensionada, desligamento ordenado automático e teste do gerador
Indisponibilidade prolongada de um serviço de nuvem contratado	2	4	8, médio	Gestor de TI	Aceitar com contingência: procedimento manual temporário documentado e cláusula de SLA cobrável no contrato
Estação de trabalho antiga com sistema fora de suporte usada por área operacional	4	2	8, médio	Gestor de TI	Reduzir: isolamento em rede segmentada e plano de substituição por orçamento anual
Perda de notebook com dados corporativos fora do escritório	3	3	9, médio	Gestor de TI	Reduzir: criptografia de disco, bloqueio remoto e política de uso assinada

Doze linhas dão conta da primeira versão em quase toda média empresa. Matriz com sessenta riscos não é mais rigorosa, é menos usada.

Passo 4: escolher a estratégia de tratamento

Todo risco recebe uma das quatro decisões abaixo. Escrever qual foi escolhida evita a zona cinzenta em que ninguém faz nada e todos supõem que alguém está cuidando.

Estratégia	Quando usar	Exemplo
Reduzir	Existe controle viável que diminui a chance ou o estrago	Segundo link, cópia imutável de backup, multifator
Transferir	Outra parte absorve melhor a consequência financeira ou operacional	Seguro, contrato com SLA e penalidade, terceirização com responsabilidade definida
Evitar	A atividade que gera o risco pode deixar de existir	Desativar um sistema legado exposto em vez de tentar protegê-lo indefinidamente
Aceitar	O custo do controle supera o dano provável	Registro formal, com assinatura de quem aceitou e data para reavaliar

Aceitar é uma decisão legítima, desde que seja explícita. Risco aceito sem registro não é aceito, é ignorado, e a diferença aparece no dia do incidente.

Apetite a risco: o limite que a diretoria define

Apetite a risco é a linha a partir da qual a empresa não convive com o problema. Ele precisa ser definido pela diretoria, não pela TI, porque envolve dinheiro e prioridade. Uma formulação simples já resolve: qualquer risco com nota igual ou superior a 15 tem tratamento obrigatório com prazo, e qualquer risco de impacto 5 exige plano de contingência escrito, independentemente da probabilidade.

Passo 5: dono, prazo e evidência

Três campos separam uma matriz viva de um documento decorativo:

Dono nomeado. Uma pessoa, não uma área. Área não responde em reunião.
Prazo com data. Sem data, o tratamento fica pendente para sempre e ninguém está tecnicamente errado.
Evidência de que o controle funciona. Não basta dizer que existe backup: o que vale é o registro do último teste de restauração bem-sucedido, com data e responsável.

Esse terceiro campo é o mais negligenciado e o mais valioso. Controle sem evidência é intenção. A rotina prática de backup, com teste e documentação, está em política de backup e a regra 3-2-1.

Passo 6: cadência de revisão

Matriz desatualizada é pior que matriz inexistente, porque dá falsa segurança. A cadência que funciona em média empresa:

Mensal, rápido: o gestor de TI confere o andamento dos tratamentos em curso. Quinze minutos bastam.
Trimestral, com a diretoria: revisão das notas, dos riscos críticos e dos prazos vencidos. Uma reunião de uma hora, com a matriz projetada na tela.
Anual, completa: reconstrução da lista a partir do inventário atualizado, incorporando o que mudou de ambiente, de fornecedor e de legislação.
Por evento: depois de todo incidente relevante, de toda mudança grande de infraestrutura e de toda entrada ou saída de fornecedor crítico.

A revisão por evento é a que mais melhora a matriz. Incidente real recalibra probabilidade melhor que qualquer estimativa feita em sala de reunião.

Erros que esvaziam a matriz

Escala sem definição escrita. Se "provável" significa coisas diferentes para pessoas diferentes, a nota não compara nada.
Impacto medido em esforço de TI. O que conta é o efeito na operação, no cliente e na obrigação legal.
Tudo crítico. Quando metade da lista é vermelha, a matriz deixou de priorizar e virou lista de reclamações.
Sem dono. Risco de todos é risco de ninguém.
Feita uma vez, para uma auditoria. Ela nasce morta e ninguém volta a olhar.
Detalhada demais. Uma matriz que exige um dia inteiro para ser atualizada nunca será atualizada.

A matriz é uma das primeiras entregas de qualquer estruturação de governança, e conecta diretamente com o roteiro descrito em como implementar governança de TI em 90 dias. Nos riscos de segurança, o plano de tratamento costuma se apoiar no que está detalhado em como evitar um ataque de ransomware.

Perguntas frequentes

Preciso de uma ferramenta para gerenciar riscos de TI?

Não para começar. Uma planilha compartilhada com as colunas de risco, probabilidade, impacto, nota, dono, tratamento, prazo e data da última revisão atende bem uma média empresa por bastante tempo. Ferramenta específica passa a fazer diferença quando existem muitos riscos, várias unidades e exigência de trilha de auditoria. O erro comum é adiar a matriz esperando a ferramenta chegar.

Quem deve pontuar os riscos?

A pontuação sai melhor em dupla: alguém de TI, que conhece a probabilidade técnica, e alguém do negócio, que conhece o impacto real de cada parada. A TI sozinha tende a superestimar o que é tecnicamente interessante e subestimar o que atrapalha uma área específica. O negócio sozinho tende a achar que tudo é urgente. A conversa entre os dois é o que produz uma nota defensável.

Como uso a matriz para justificar orçamento?

Leve à diretoria os riscos acima do apetite definido, com o tratamento proposto, o custo estimado de cada tratamento e o que acontece se nada for feito, descrito em termos de operação parada e obrigação descumprida. A decisão passa a ser sobre prioridade, não sobre se a TI está exagerando. E quando a diretoria decide não tratar, isso vira aceitação registrada, com data de reavaliação, o que protege todo mundo.

Como a BS IT Solutions apoia esse trabalho

A BS IT Solutions constrói a matriz de riscos junto com o cliente, a partir do inventário real do ambiente, e transforma cada risco crítico em plano de tratamento com dono, prazo e evidência. Cobrimos infraestrutura, servidores, nuvem, segurança e ambientes SAP, com monitoramento contínuo pelo NOC 24x7 para os riscos que exigem detecção rápida. O atendimento é presencial em São Paulo e região metropolitana e remoto em todo o Brasil, dentro do serviço de gestão de TI.

Fale com um especialista da BS IT Solutions e monte a primeira versão da sua matriz de riscos com quem opera o ambiente todos os dias.