A Gestão de Riscos precisa evoluir pela compreensão da Complexidade
Marcos Alves Junior, CIEIE, CIGR, CPSI
Redator, Editor de texto, Criador de vídeos. Cursou Gestão Empresarial na Anhanguera. Formado pela Uninove – Universidade Nove de Julho em Comunicação Social – Jornalismo.
Assistente de Comunicação e Marketing na Brasiliano INTERISK.
Julho | 2026
Por que identificar riscos isoladamente já não é suficiente para organizações que operam em ambientes interconectados, dinâmicos e sistêmicos
Durante muito tempo, as empresas evoluíram na forma de identificar, avaliar e controlar seus riscos. Matrizes, indicadores, controles, auditorias e planos de ação passaram a fazer parte das estruturas de gestão. Esse avanço continua sendo fundamental.
O problema é que o ambiente em que esses riscos surgem mudou.
As organizações operam hoje em contextos cada vez mais interconectados. Tecnologia, operações, finanças, compliance, segurança e estratégia possuem relações e dependências que ultrapassam os limites estabelecidos pelos organogramas.
Um incidente cibernético, por exemplo, pode começar na Tecnologia, provocar a paralisação das operações, gerar perdas financeiras, pressão regulatória e danos à reputação, alcançando, em determinados casos, os próprios objetivos estratégicos da organização.
Incidente cibernético → paralisação operacional → perdas financeiras → pressão regulatória → danos à reputação → impacto estratégico.
Cada área pode estar cumprindo corretamente suas responsabilidades. A Tecnologia acompanha os riscos cibernéticos. Operações monitora seus riscos operacionais. Finanças acompanha suas exposições. Compliance observa as obrigações. A Gestão de Riscos estrutura o processo. A Auditoria Interna fornece asseguração independente.
Dentro da lógica das Três Linhas, essa especialização é necessária. O problema surge quando a especialização se transforma em isolamento.
Uma organização pode possuir excelentes controles e grande quantidade de informações sobre riscos e, ainda assim, não compreender adequadamente as relações entre eles. Conhecer cada parte não significa compreender o comportamento do conjunto.
É nesse ponto que a complexidade passa a ser relevante para a Gestão de Riscos.
O risco não respeita o organograma. Ele pode começar em uma área e se propagar por outras, seguindo relações, dependências e vulnerabilidades existentes dentro da organização. Por isso, analisar apenas a criticidade individual de cada risco, embora continue essencial, pode não ser suficiente para compreender toda a dinâmica do sistema.
Um risco aparentemente moderado pode possuir grande capacidade de influenciar outros riscos e desencadear uma sequência de consequências. Por essa razão, torna-se necessário observar também a interconectividade, compreendendo como os riscos se relacionam, e a motricidade, ou seja, sua capacidade de influenciar e movimentar outros elementos do sistema.
Essa perspectiva não representa o abandono da Gestão de Riscos tradicional. Identificar, analisar, avaliar, tratar e monitorar riscos continua sendo a base. A evolução está em ampliar a análise para compreender também as relações entre os riscos, os cenários em que essas relações se modificam e a forma como os impactos podem se propagar.
Nesse sentido, a reflexão de Edgar Morin sobre a complexidade contribui para esse entendimento. Dividir os problemas em partes facilita sua análise, mas a compreensão exclusiva das partes pode fazer com que percamos a visão das relações que formam o todo.
Nas organizações, isso ocorre quando cada risco é observado isoladamente. A análise individual continua necessária, mas precisa ser complementada pela compreensão do sistema no qual os riscos estão inseridos.
Não se trata de tornar a Gestão de Riscos mais complicada. A complexidade já está presente no ambiente de negócios. O desafio é desenvolver métodos capazes de enxergar essa realidade de forma mais integrada.
Essa evolução também é relevante para as Três Linhas. Cada função deve preservar suas responsabilidades, atribuições e independência. No entanto, a especialização não pode produzir uma visão fragmentada da organização. O desafio não é misturar os papéis, mas compreender as conexões existentes entre os riscos e as informações produzidas pelas diferentes funções.
É nessa direção que surge o SGCR, Sistema de Gestão da Complexidade em Riscos.
De forma complementar à Gestão de Riscos tradicional, o SGCR busca ampliar a capacidade de compreender as interconexões entre os riscos, sua motricidade, a propagação dos impactos e a pressão que determinadas combinações de eventos podem exercer sobre a organização.
O objetivo não é substituir o que já existe, mas evoluir a capacidade de análise diante de um ambiente cada vez mais interdependente, acelerado e complexo.
Identificar o risco continua sendo essencial. Avaliar sua criticidade também. Mas compreender o que acontece quando ele se conecta, influencia outros riscos e desencadeia uma cadeia de consequências passa a ser igualmente necessário.
A evolução da Gestão de Riscos está, portanto, em manter a capacidade de analisar as partes sem perder a compreensão das relações que podem determinar o comportamento do todo.