Riscos mapeados antes de virarem prejuízo

Décimo quarto mês de obra, sala de reunião de uma incorporadora. O diretor de engenharia avisa que o aço do próximo pacote chegou bem acima do orçado. A advogada lembra que o habite-se depende de uma licença ambiental ainda sem parecer. O financeiro pergunta quem paga a diferença, e ninguém responde, porque o contrato não diz. A cena é uma ilustração, mas quem já conduziu um empreendimento reconhece a sala.

A conta, essa sim, é real. Pelo SINAPI, índice do IBGE, o custo médio do metro quadrado da construção no Brasil subiu 7,03% nos doze meses encerrados em agosto de 2026. Em dezembro de 2021, a mesma variação chegou a 18,65%. Em dezembro de 2023, ficou em 2,55%. Um orçamento que trata o reajuste como número fixo aposta num único ponto de uma faixa de dezesseis pontos percentuais.

Inteligência de riscos é o trabalho de transformar essa faixa em decisão antes que ela vire discussão. Opera em três tempos: antecipar, mitigar e monitorar. Gestões reativas vivem só no terceiro e descobrem o risco quando ele já virou custo.

Risco bem gerido começa por uma cláusula, não por uma planilha

A definição mais útil de matriz de riscos em português está numa lei de compras públicas. A Lei nº 14.133, de 2021, descreve a matriz como a cláusula que define riscos e responsabilidades entre as partes e fixa o equilíbrio econômico-financeiro inicial do contrato. O conteúdo mínimo é a lista dos eventos posteriores à assinatura que podem desequilibrar o contrato, com a previsão de aditivo quando ocorrerem.

Um empreendimento privado não está obrigado a seguir essa lei, mas o raciocínio vale para qualquer contrato de obra, fornecimento ou serviço. Sem matriz, cada imprevisto vira negociação do zero, com a obra andando e o poder de barganha do lado de quem pode parar. Com matriz, o evento já tem destino: quem absorve, até que valor, com qual documento e em qual prazo.

A diferença não aparece no dia da assinatura. Aparece no mês em que o aço sobe. Por isso a lista de riscos e as minutas precisam ser lidas lado a lado. Todo risco relevante pede um endereço contratual: assumido, transferido, segurado, dividido por fórmula ou aceito de forma consciente. Risco que está na planilha e em nenhum contrato cai sobre quem tem menos defesa documental.

O método é um ciclo, não um formulário anual

A referência internacional é a ISO 31000:2018, cuja segunda edição saiu em fevereiro de 2018 e foi revista e confirmada pela ISO em 2023. A ISO apresenta a norma como princípios e diretrizes para identificar, analisar, avaliar, tratar, monitorar e comunicar riscos em toda a organização. Diretriz de trabalho, portanto, e não questionário para preencher uma vez por ano.

O COSO, comitê que publicou em 2004 um modelo de gestão de riscos corporativos, atualizou o documento com um título que é quase um programa: Integrating with Strategy and Performance. A ênfase é considerar o risco tanto na estratégia quanto no desempenho. As duas referências chegam ao mesmo lugar. Risco não é um departamento ao lado da operação. É um jeito de decidir dentro dela.

O método muda a ordem das perguntas. Sem ele, o risco aparece depois da decisão, como justificativa. Com ele, aparece antes: o que pode desviar o resultado, quanto custaria, o que fazer agora, quem acompanha. A reunião que aprova um pacote de obra aprova, na mesma pauta, o tratamento dos riscos daquele pacote.

Risco que não tem dono, preço e gatilho escrito não está sendo gerido. Está sendo torcido.

116

A lei da incorporação já precificou parte do problema

Antes de montar a matriz, convém saber quais riscos o legislador já distribuiu. Para quem vende na planta, o principal é o prazo. O art. 43-A da Lei nº 4.591/1964, incluído em 2018, admite a entrega até 180 dias corridos depois da data prevista. Nesse intervalo não há multa nem direito de desfazer o contrato, desde que a tolerância esteja pactuada de forma clara e destacada. Passado o prazo, e sem culpa do comprador, ele pode desfazer o negócio e receber tudo o que pagou, mais a multa contratual.

Para o incorporador, a folga de cronograma tem teto legal e só vale se estiver escrita do jeito certo. Uma tolerância escondida no meio do contrato é risco de atraso sem proteção. A partir do dia 181, o atraso passa a ter preço conhecido, que pode ser estimado e provisionado.

A mesma lei disciplina o caminho inverso. No distrato, o incorporador pode reter a comissão de corretagem e uma multa limitada a 25% do valor pago, teto que sobe para 50% sob patrimônio de afetação. Esse regime é, ele próprio, mitigação: separa terreno e obra do patrimônio geral do incorporador e impõe prestação de contas trimestral à comissão de representantes.

O Código Civil acrescenta um relógio menos lembrado. O construtor responde por cinco anos pela solidez e pela segurança da obra. O dono, porém, perde o direito se não entrar com a ação em até 180 dias depois de o defeito aparecer. Sem rotina de vistoria e de registro pós-entrega, o direito do incorporador se perde pelo calendário.

O custo de obra oscila, e o índice oficial mede quanto

Nos dados do SINAPI, a variação em doze meses do custo do metro quadrado foi de 10,16% em dezembro de 2020 e de 18,65% em dezembro de 2021. Caiu para 10,90% em 2022 e 2,55% em 2023, voltou a 3,98% em 2024 e chegou a 5,63% em 2025. Em agosto de 2026, estava em 7,03%.

Orçamento com uma premissa de reajuste é aposta pontual. Orçamento com faixas de base, adversa e severa, calibradas pelo índice oficial, vira decisão: quanto reservar de contingência, quais pacotes fechar a preço fixo, quais insumos comprar antes, quando rever o plano. O índice não prevê o futuro, mas impede que o orçamento finja que a amplitude não existe.

Dono, gatilho e data separam a matriz do inventário

Uma matriz útil tem quatro campos além de probabilidade e impacto. O dono é a pessoa com autoridade e recursos para tratar o risco, não o setor. O gatilho é o sinal observável que obriga a agir, como um parecer atrasado além de certa data ou um índice acima de certa faixa. O plano é a resposta já escrita, com custo estimado. A data de revisão diz quando o risco volta à mesa.

Resta saber quem confere se o tratamento aconteceu. O art. 169 da lei de contratações públicas organiza a gestão de riscos em três linhas de defesa. A primeira é quem executa; a segunda reúne assessoria jurídica e controle interno; a terceira é o órgão central de controle, ao lado do tribunal de contas. Na leitura da InnovaSphere, o empreendimento privado tem o mesmo esqueleto. A primeira linha é a equipe de obra e de curadoria comercial. A segunda junta riscos, jurídico e controladoria. A terceira é a auditoria independente. Ela só cumpre o papel se não responder a quem executa e se confirmar, com evidência, que o risco foi tratado, e não apenas marcado como tal.

Integridade também é risco de cronograma

Licenças, alvarás e habite-se colocam o empreendimento em contato frequente com o poder público. O Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção, pede que o programa de integridade siga os riscos atuais das atividades de cada empresa. Entre os critérios de avaliação estão a reavaliação periódica dos riscos e procedimentos próprios para lidar com o setor público, inclusive na obtenção de licenças.

A matriz do empreendimento e o programa de integridade precisam conversar. Atraso de licença não se trata com atalho, e sim com protocolo antecipado, documentação completa e registro de cada interação. O atalho, além de ilícito, troca um risco de prazo por outro muito maior.

Exemplo numérico: cinco riscos tratados antes de acontecer

Registro de riscos é a lista. Inteligência é quando a lista muda decisões, e isso exige separar o impacto máximo de um evento da perda esperada, que pondera esse impacto pela probabilidade. Os números abaixo são hipóteses da InnovaSphere, não dados de mercado. Premissas: obra hipotética de R$ 60 milhões em 24 meses; perda esperada igual a probabilidade vezes impacto; alta de custo igual a 7% do orçamento, perto do SINAPI de agosto de 2026; valores em R$ mil.

A perda esperada cai de R$ 4,505 milhões para R$ 1,660 milhão, redução de R$ 2,845 milhões. Descontados os R$ 900 mil de tratamento, o ganho líquido esperado é de R$ 1,945 milhão. O impacto máximo somado, R$ 16,2 milhões, é 3,6 vezes a perda esperada inicial: por isso o impacto potencial do simulador que acompanha este artigo é teto, não prejuízo provável. E o residual de R$ 1,66 milhão precisa ser aceito por alguém com nome e reservado em contingência.

Agora o teste de estresse. Se os tratamentos entregarem só metade da redução projetada, a perda esperada cai R$ 1.422,5 mil e o ganho líquido encolhe para R$ 522,5 mil, ainda positivo. O equilíbrio está em 31,6% de eficácia; abaixo disso, o programa custa mais do que evita. E se a alta de custo repetir os 18,65% de dezembro de 2021, o impacto máximo dessa linha sobe para R$ 11,19 milhões. Sem tratamento, a perda esperada dela vai a R$ 4,476 milhões, quase o total dos cinco riscos no cenário de base.

Quando não compensa

Há três situações em que a estrutura completa não se paga. A primeira é o empreendimento pequeno, curto e repetitivo, que a equipe já executou várias vezes no mesmo lugar. Uma lista curta de riscos críticos, revista no ritmo da obra, entrega quase todo o benefício com uma fração do esforço.

A segunda é o risco cujo tratamento custa mais do que a perda que evita. Mitigar um evento de 10% de probabilidade e impacto de R$ 500 mil por R$ 80 mil não fecha: a perda evitada não passa de R$ 50 mil. O racional é aceitar o risco, documentar a aceitação e reservar contingência.

A terceira é a matriz transformada em ritual: dezenas de linhas sem dono real, revistas por obrigação e desligadas dos contratos e do orçamento. O custo dobra, porque a organização passa a acreditar que está protegida. Melhor uma matriz menor e viva do que uma completa e decorativa.

Checklist para implantar a inteligência de riscos

Dentro do grupo, as linhas de defesa têm endereço. A C&S Engenharia, que faz gestão, projeto e execução de obras de médio e grande porte, trabalha na primeira. A Valida Auditoria, dedicada a auditoria independente e validação técnica, só faz sentido na terceira.

1. Liste os riscos com probabilidade, impacto e perda esperada, revisando a lista com a engenharia e a curadoria comercial.
2. Atribua a cada risco crítico um dono com nome e autoridade, confirmando com a diretoria que ele tem recursos para agir.
3. Defina gatilhos observáveis e datas de revisão, combinando com o comitê uma cadência mais curta para os críticos.
4. Confira o endereço contratual de cada risco relevante, lendo a matriz ao lado das minutas com o jurídico.
5. Mapeie os prazos legais que já distribuem riscos, como a tolerância de 180 dias na entrega, com o jurídico e o cartório.
6. Calibre o orçamento com faixas de custo baseadas no índice oficial, ajustando a contingência com a controladoria.
7. Submeta o tratamento declarado a verificação independente, escolhendo uma auditoria que não responda a quem executa.

Perguntas frequentes

A ISO 31000 é obrigatória para empreendimentos privados?

Não há obrigação geral. A ISO apresenta a norma como princípios e diretrizes aplicáveis a qualquer organização.

Quantos riscos uma matriz deve ter?

Não existe número correto. O critério que adotamos é que cada risco crítico tenha dono, gatilho e plano. Matriz que cresce além da capacidade de revisão da equipe perde utilidade.

Qual a diferença entre impacto potencial e perda esperada?

Impacto potencial é quanto o evento custaria se acontecesse. Perda esperada é esse custo ponderado pela probabilidade. A priorização usa a segunda; a reserva para cenários extremos pode olhar a primeira.

O patrimônio de afetação elimina o risco do comprador?

Não elimina, mas segrega. Pelo art. 31-A da Lei de Incorporações, os bens da incorporação afetada só respondem pelas dívidas dela, e o incorporador presta contas trimestrais à comissão de representantes.

Quem deve validar que um risco foi de fato tratado?

Alguém independente de quem o tratou. As três linhas de defesa da lei de contratações públicas ilustram a lógica: execução, controle interno e verificação externa.

Base legal

• Lei nº 14.133/2021: art. 6º, XXVII (matriz de riscos), art. 22, § 1º (alocação eficiente) e art. 169 (linhas de defesa).
• Lei nº 4.591/1964: arts. 31-A e 31-D (afetação), art. 33 (registro), art. 43-A (tolerância) e art. 67-A (distrato).
• Lei nº 13.786/2018: incluiu as regras de tolerância e de distrato.
• Código Civil: art. 618 (solidez da obra).
• Decreto nº 11.129/2022: arts. 56 e 57 (programa de integridade).