Complexidade não significa complicação

Agosto | 2026

​

Falar em complexidade na gestão de riscos não significa defender processos mais difíceis, criar controles em excesso ou transformar a tomada de decisão em um exercício interminável. Complexidade e complicação são coisas diferentes. A complexidade está presente na própria realidade das organizações: muitos elementos convivem, dependem uns dos outros e podem produzir efeitos que não são percebidos quando cada parte é observada separadamente. A complicação, por sua vez, surge quando essa realidade é tratada de forma desorganizada, fragmentada ou desnecessariamente burocrática.

Uma organização pode operar em um ambiente complexo e, ainda assim, possuir uma gestão clara. O que ela precisa é reconhecer que os riscos não existem como acontecimentos isolados. Eles se relacionam com processos, pessoas, tecnologias, fornecedores, decisões, obrigações legais e condições externas. Quando uma dessas relações é ignorada, um risco aparentemente limitado pode alcançar áreas que, à primeira vista, não pareciam envolvidas.

Considere, por exemplo, uma falha de segurança física que permita o acesso indevido a uma infraestrutura crítica. Esse acesso pode comprometer equipamentos, provocar a indisponibilidade de sistemas, interromper operações, impedir o cumprimento de uma obrigação, gerar perdas financeiras e afetar a confiança de clientes e demais partes interessadas. Não se trata apenas de uma sequência de eventos. Trata-se de um sistema de riscos interconectados, no qual cada efeito pode criar condições para o próximo.

Esse tipo de situação também mostra por que a fragmentação é um problema. A Segurança Patrimonial pode identificar o risco de intrusão; a Tecnologia, o risco cibernético; Operações, o risco de indisponibilidade; Compliance, o risco regulatório; Finanças, o risco de perdas; e a Comunicação ou a área de Relações Institucionais, o risco reputacional. Cada área pode estar realizando corretamente sua função. Ainda assim, a organização pode não perceber o encadeamento que une todos esses riscos.

O risco, afinal, não respeita o organograma. Ele atravessa áreas, responsabilidades e sistemas. Por isso, a gestão de riscos precisa combinar a visão especializada de cada área com uma visão capaz de compreender o conjunto. A especialização é necessária, mas não é suficiente. É preciso saber como as informações se conectam, quais riscos influenciam outros, onde estão as dependências mais importantes e quais pontos podem acelerar ou interromper uma crise.

A análise tradicional costuma perguntar qual é a probabilidade e o impacto de determinado risco. Essa pergunta continua sendo importante. Entretanto, em ambientes interconectados, é necessário acrescentar outras: com quais riscos esse evento se relaciona? Qual pode ser sua capacidade de propagação? Que áreas serão afetadas primeiro? Quais controles dependem de outros controles? Um risco de baixa criticidade isolada pode possuir elevada capacidade de influenciar o sistema. Da mesma forma, um risco considerado controlado pode voltar a crescer quando as condições ao seu redor mudam.

Nesse contexto, a interconectividade deixa de ser apenas uma característica do ambiente e passa a ser um objeto de análise. A organização precisa compreender suas dependências, seus pontos de concentração, suas vulnerabilidades e os caminhos pelos quais os impactos podem circular. Isso permite identificar riscos sistêmicos, efeitos em cascata e situações em que pequenas falhas produzem consequências desproporcionais.

A diferença entre uma gestão fragmentada e uma gestão integrada não está na quantidade de documentos ou reuniões. Está na qualidade da compreensão. A gestão fragmentada concentra-se no risco de cada área, utiliza informações que não conversam entre si e tende a responder depois que o evento acontece. A gestão integrada preserva as responsabilidades individuais, mas cria uma linguagem comum, compartilha informações e observa os riscos no contexto dos processos e dos objetivos da organização.

Por isso, a complexidade não deve ser eliminada nem artificialmente simplificada. Ela precisa ser compreendida. O verdadeiro problema não é a existência de muitos riscos, mas a incapacidade de perceber como eles se relacionam. A fragmentação não reduz a complexidade da organização; apenas torna mais difícil enxergá-la.

A gestão madura, portanto, não pergunta somente quais são os riscos de uma área. Pergunta também quais riscos estão conectados a eles, que efeitos podem surgir dessas conexões e se a organização tem capacidade para absorver, responder e aprender com esses impactos. Complexidade não significa complicação. Significa reconhecer a realidade das relações e transformá-la em inteligência para decidir melhor.