Julho | 2026

 

A fragmentação começa no comando

​

Uma organização pode dispor de comitês, políticas, sistemas, indicadores, mapas de riscos e profissionais especializados. Ainda assim, pode não ter uma gestão de riscos verdadeiramente integrada. Esse é um dos paradoxos mais perigosos da governança atual: há muitas áreas falando sobre riscos, mas pouca clareza sobre quem responde pela exposição de forma transversal.

 

O Global Risks Report 2026 descreve um ambiente marcado por competição, tensões geoeconômicas e fragmentação crescente. Quando a própria organização também opera de forma fragmentada, reduz sua capacidade de compreender interdependências e responder a eventos que atravessam diferentes domínios (World Economic Forum, 2026).

 

Riscos estratégicos, operacionais, financeiros, cibernéticos, legais, socioambientais, reputacionais e de continuidade são normalmente acompanhados por estruturas distintas. Cada uma possui especialistas, metodologias, documentos, indicadores e fóruns próprios. A especialização é necessária. A fragmentação surge quando ninguém recebe autoridade para conectar essas visões, solucionar sobreposições e conduzir decisões que atravessam fronteiras funcionais.

 

O organograma separa. O risco atravessa

​

Um incidente cibernético, por exemplo, pode interromper a operação, gerar perdas financeiras, descumprimento regulatório, exposição de dados e dano reputacional. Apesar disso, cada consequência costuma ser avaliada por uma área diferente, em momentos distintos e por critérios incompatíveis. A empresa analisa separadamente aquilo que o risco materializa de forma integrada.

 

Riscos órfãos, disputados e duplicados

​

Nesse ambiente, tornam-se frequentes três situações. O risco órfão é aquele que nenhuma área reconhece integralmente como sendo de sua responsabilidade. A gestão do risco disputado conta com vários participantes, mas não com um decisor final. O risco duplicado aparece em diferentes mapas, com nomes, avaliações e planos de ação distintos, embora represente a mesma exposição. Esses três fenômenos geram retrabalho e, principalmente, atrasam decisões.

 

A matriz RACI como instrumento de governança

​

A ausência de uma matriz RACI bem definida amplia o problema. Na gestão de riscos, a RACI não é um anexo administrativo. É um instrumento de accountability. Para cada processo crítico, risco relevante, controle essencial e plano de tratamento, deve estar claro quem executa, quem responde pela decisão final, quem deve ser consultado e quem precisa ser informado.

 

A execução pode ser compartilhada. A responsabilidade final não deveria ser fragmentada.

​

Também não basta registrar o nome de um proprietário do risco no sistema. Esse responsável precisa reunir autoridade, alçada, acesso às informações e capacidade de mobilizar recursos. Quando o gestor depende de fóruns indefinidos, controles pertencentes a outras áreas e indicadores que não recebe, sua titularidade é apenas formal. Responsabilidade sem autoridade cria aparência de governança, mas não produz capacidade de resposta.

​

O Modelo das Três Linhas, do Institute of Internal Auditors, reforça que governança eficaz depende de papéis claros, alinhamento, colaboração e accountability. A primeira linha gerencia riscos no cotidiano das atividades. A segunda oferece orientação, especialização, monitoramento e questionamento. A terceira fornece avaliação independente. As linhas não foram concebidas como silos, mas como funções coordenadas para apoiar os objetivos organizacionais (IIA, 2020).

Quando essa lógica não se materializa, a segunda linha passa a executar atividades da primeira, enquanto a auditoria pode ser envolvida no desenho de controles que futuramente deverá avaliar. A liderança recebe relatórios, mas não identifica com precisão quem deve explicar a exposição, aprovar o tratamento ou aceitar o risco residual.

 

Integração não é centralização

​

Eliminar a fragmentação não significa centralizar toda a gestão de riscos. Integração não é concentração. As especialidades devem ser preservadas, mas precisam operar sob uma arquitetura comum: conceitos corporativos, critérios únicos, alçadas definidas, fóruns de decisão, mecanismos de escalonamento e uma visão consolidada das interdependências.

A liderança também precisa medir a fragmentação. Alguns indicadores são reveladores: percentual de riscos sem proprietário, riscos com mais de um responsável final, decisões pendentes por indefinição de alçada, controles sem executor e planos de ação sem patrocinador. Esses dados mostram algo que a matriz tradicional não evidencia: a capacidade da organização de agir como um sistema.

​

A próxima crise talvez não seja provocada por um risco desconhecido. Ela pode surgir de um risco conhecido, registrado sob diferentes nomes, distribuído entre várias áreas e efetivamente assumido por ninguém.

Enquanto cada área proteger apenas a sua parte, ninguém estará protegendo o todo.

 

A fragmentação transforma competência local em vulnerabilidade sistêmica.