Sua empresa foi cobrada por um conselho, um cliente, um auditor ou um órgão regulador a demonstrar que gerencia riscos de forma estruturada, ou já tem alguma gestão de riscos (uma matriz, um inventário, uma análise feita para a ISO 9001) e quer transformá-la em algo que realmente apoie decisões, em vez de uma planilha revisada uma vez por ano.
Em qualquer um dos dois casos, este guia reúne o que você precisa saber sobre a ISO 31000 agora: da definição básica à diferença entre uma norma de diretrizes e uma norma certificável, passando pelo que está em vigor em 2026, os princípios, a estrutura e o processo de gestão de riscos, custo, prazo, implementação e como manter a gestão de riscos viva no dia a dia, sem depender de mutirão antes da próxima auditoria da ISO 9001.
O que é a ISO 31000?
A ISO 31000, “Gestão de riscos – Diretrizes”, é publicada pela International Organization for Standardization (ISO) e desenvolvida pelo comitê técnico ISO/TC 262, dedicado à gestão de riscos. Criada em 2009, a partir da experiência da norma australiana e neozelandesa AS/NZS 4360, ela foi revisada em 2018, quando ganhou um texto mais curto, mais direto e com mais ênfase na integração da gestão de riscos à governança e à tomada de decisão. No Brasil, é adotada de forma idêntica pela ABNT como NBR ISO 31000.
O ponto de partida da norma é a própria definição de risco: o efeito da incerteza nos objetivos. Isso muda a forma de enxergar o tema. Risco não é só ameaça, e não é só o que pode dar errado na operação: é qualquer desvio, positivo ou negativo, em relação ao que a organização pretende alcançar. Um novo cliente que pode não se concretizar, uma mudança regulatória, a dependência de um único fornecedor, uma tecnologia que pode tornar um produto obsoleto ou uma oportunidade de expansão são todos riscos no sentido da ISO 31000.
A norma é genérica: aplica-se a empresas privadas, órgãos públicos, organizações do terceiro setor e até a projetos ou áreas específicas, e cobre qualquer tipo de risco, estratégico, operacional, financeiro, de conformidade, de segurança da informação, ambiental ou de imagem. Ela não segue a estrutura de dez cláusulas do Anexo SL, comum à ISO 9001, à ISO 14001 e à ISO 45001. É organizada em três blocos que se conectam:
Princípios (cláusula 4): oito características que uma gestão de riscos eficaz deve ter, todas a serviço de um propósito central, a criação e a proteção de valor.
Estrutura (cláusula 5): como a gestão de riscos é incorporada à organização, com liderança e comprometimento no centro, e integração, concepção, implementação, avaliação e melhoria ao redor.
Processo (cláusula 6): o ciclo prático de comunicação e consulta, definição de escopo, contexto e critérios, identificação, análise e avaliação de riscos, tratamento, monitoramento e análise crítica, registro e relato.
Outro ponto importante: a ISO 31000 não traz requisitos, e sim recomendações. Enquanto a ISO 9001 usa o verbo “deve”, a ISO 31000 usa “convém”. Ela não diz qual matriz de risco adotar, quantos níveis de probabilidade usar ou qual software implementar: orienta como pensar e organizar a gestão de riscos, e deixa a organização adaptar o modelo ao seu contexto, ao seu porte e à sua maturidade.
A ISO 31000 também é a norma de referência de uma família maior. As mais usadas em conjunto com ela são a ISO 31073:2022, vocabulário de gestão de riscos (que substituiu o antigo ISO Guide 73), e a IEC 31010:2019, que descreve técnicas de avaliação de riscos, como FMEA, bow-tie, análise de árvore de falhas, HAZOP e análise de cenários. Há ainda guias específicos, como a ISO 31022 (riscos legais) e a ISO 31030 (riscos em viagens corporativas).
Costumam adotar a ISO 31000 como referência: empresas certificadas ou em certificação nas normas ISO de sistemas de gestão, que precisam demonstrar como tratam riscos e oportunidades; empresas com conselho de administração ou comitê de auditoria que cobram uma visão consolidada dos riscos do negócio; órgãos e empresas públicas, em que a gestão de riscos é exigida por normativos de governança; instituições financeiras, operadoras de saúde, empresas de energia e outros setores regulados; e organizações que querem sair de uma gestão de riscos reativa, baseada em incidentes, para uma gestão preventiva e integrada ao planejamento.
ISO 31000 em 2026: o que está em vigor e o que pode mudar
Diferente da ISO 9001, que ganhou nova versão em setembro de 2026, a ISO 31000 continua na edição de 2018. Há uma revisão em andamento, mas ainda em fase inicial. O que está em vigor, e o que é apenas expectativa, são coisas distintas, e vale não confundir as duas:
| Tema | Situação em 2026 | O que isso significa para a empresa |
|---|---|---|
| Versão da norma | ISO 31000:2018 vigente, confirmada na revisão sistemática da ISO concluída em 2023 | É a referência a ser usada hoje, tanto na ISO quanto na ABNT NBR ISO 31000:2018 |
| Revisão da norma | Em andamento no ISO/TC 262, no estágio de Committee Draft (CD), sem data de publicação anunciada | Ainda não há texto final. As discussões apontam para mais integração com governança e estratégia e mais clareza sobre responsabilidade pelos riscos, mas nada disso está confirmado |
| Transição | Não se aplica | Como a ISO 31000 não é certificável, uma nova edição não abre período de transição nem invalida o que foi feito: a empresa adota a nova versão no seu próprio ritmo |
| ISO 9001:2026 | Nova versão publicada em 16 de setembro de 2026, com transição até setembro de 2029 | Mantém a exigência de determinar riscos e oportunidades e traz uma nova cláusula dedicada ao planejamento de mudanças. Uma gestão de riscos baseada na ISO 31000 facilita atender aos dois pontos |
| Normas de apoio | ISO 31073:2022 (vocabulário) e IEC 31010:2019 (técnicas de avaliação de riscos) vigentes | Servem de referência para padronizar a linguagem de risco e escolher as técnicas de análise mais adequadas a cada tipo de risco |
Na prática, se sua empresa está estruturando ou revisando a gestão de riscos agora, a referência é a ABNT NBR ISO 31000:2018. Uma futura revisão tende a refinar a abordagem de 2018, não a substituí-la, então o trabalho feito hoje continua válido. O ponto de atenção em 2026 fica com as empresas certificadas na ISO 9001, que vão passar pela transição para a versão 2026 e podem aproveitar esse momento para revisar a forma como tratam riscos e mudanças no SGQ.
A ISO 31000 é certificável? Diretrizes x norma de requisitos
Esta é a dúvida mais comum sobre a norma, e a resposta é: NÃO.
A ISO 31000 foi escrita como um guia de diretrizes, não como uma norma de requisitos, e a própria ISO deixa claro que ela não se destina à certificação. Isso não diminui a sua importância: significa apenas que o valor dela aparece na qualidade das decisões da empresa, e não em um selo.
| Aspecto | ISO 9001 (norma de requisitos) | ISO 31000 (norma de diretrizes) |
|---|---|---|
| Natureza do texto | Requisitos (“deve”) | Recomendações (“convém”) |
| Certificação da organização | Sim, por organismo certificador acreditado | Não existe certificação acreditada |
| Estrutura | 10 cláusulas, Anexo SL | Princípios, estrutura e processo |
| Escopo | Sistema de gestão da qualidade | Qualquer tipo de risco, em qualquer nível da organização |
| Como a conformidade é verificada | Auditorias de certificação, manutenção e recertificação | Autoavaliação, auditoria interna, avaliação de maturidade ou revisão independente voluntária |
| Relação entre as duas | Exige determinar riscos e oportunidades, mas não exige um método formal de gestão de riscos | Oferece o método que a empresa pode usar para atender aos requisitos de risco da ISO 9001 e de outras normas |
Dois cuidados práticos decorrem disso. O primeiro: desconfie de ofertas de “certificado ISO 31000” para a empresa. Um documento desse tipo pode até ser emitido por uma consultoria ou entidade privada, mas não tem o reconhecimento de uma certificação acreditada e não será aceito como tal por clientes ou auditores.
O que existe, e é legítimo, é a certificação de pessoas: profissionais podem obter credenciais de gestor ou auditor de riscos baseadas na ISO 31000, emitidas por entidades de certificação de pessoas.
O segundo: não ser certificável não significa não ser auditado. Em uma empresa certificada na ISO 9001, na ISO 14001, na ISO 45001 ou na ISO/IEC 27001, o auditor vai avaliar como os riscos são determinados, tratados e monitorados. Não vai cobrar a ISO 31000 em si, mas uma gestão de riscos estruturada nela costuma responder a essas perguntas com muito mais consistência do que uma matriz genérica montada às vésperas da auditoria.
Onde a ISO 31000 se conecta com as normas certificáveis
Por não ser certificável, a ISO 31000 raramente é implementada sozinha. Na maioria das empresas, ela é o método por trás dos requisitos de risco de outras normas:
| Norma | Onde o risco aparece | Como a ISO 31000 contribui |
|---|---|---|
| ISO 9001 | Riscos e oportunidades no planejamento do SGQ e, na versão 2026, planejamento de mudanças | Critérios de risco consistentes entre áreas, registro de riscos e acompanhamento das ações |
| ISO 14001 | Riscos e oportunidades associados a aspectos ambientais, requisitos legais e contexto | Mesmo processo e mesmos critérios usados no SGQ, facilitando a integração |
| ISO 45001 | Identificação de perigos, avaliação de riscos e oportunidades de SSO | Estrutura para integrar riscos de segurança ao restante dos riscos da empresa |
| ISO/IEC 27001 | Avaliação e tratamento de riscos de segurança da informação | A ISO/IEC 27005, guia de riscos de segurança da informação, é alinhada à ISO 31000 |
| ISO/IEC 17025 | Riscos à imparcialidade e riscos e oportunidades do laboratório | Método para manter a análise de riscos à imparcialidade viva, e não só declarada |
| IATF 16949 | FMEA, planos de contingência e riscos da cadeia de fornecimento | Visão consolidada que conecta os riscos técnicos do FMEA aos riscos do negócio |
Para empresas com mais de uma certificação, esse é o maior ganho: um único processo de gestão de riscos, com os mesmos critérios e a mesma linguagem, atendendo a várias normas ao mesmo tempo, em vez de uma matriz diferente para cada auditoria.
Os princípios, a estrutura e o processo da ISO 31000
Os 8 princípios
Os princípios descrevem as características de uma gestão de riscos eficaz. Servem como critério para avaliar se o que a empresa faz hoje é gestão de riscos de verdade ou apenas preenchimento de formulário:
1- Integrada: a gestão de riscos faz parte de todas as atividades da organização, do planejamento estratégico à operação, e não é um processo paralelo conduzido só pela área de qualidade ou de compliance.
2- Estruturada e abrangente: uma abordagem sistemática, com critérios definidos, gera resultados consistentes e comparáveis entre áreas e ao longo do tempo.
3- Personalizada: a estrutura e o processo são adaptados ao contexto externo e interno e aos objetivos da organização, não copiados de um modelo genérico.
4- Inclusiva: as partes interessadas são envolvidas no momento certo, o que traz conhecimento, pontos de vista diferentes e maior engajamento com as decisões.
5- Dinâmica: riscos surgem, mudam e desaparecem conforme o contexto muda, e a gestão de riscos precisa antecipar, detectar e responder a essas mudanças.
6- Melhor informação disponível: as decisões se baseiam em dados históricos e atuais e em expectativas futuras, considerando explicitamente as limitações e incertezas dessas informações.
7- Fatores humanos e culturais: comportamento e cultura influenciam todos os aspectos da gestão de riscos, em todos os níveis.
8- Melhoria contínua: a gestão de riscos melhora com aprendizado e experiência.
A estrutura (framework)
A estrutura trata de como a gestão de riscos é incorporada à organização. No centro está a liderança e o comprometimento da alta direção, que deve garantir que a gestão de riscos esteja integrada à governança, definir responsabilidades e prover recursos. Ao redor, cinco elementos em ciclo:
Integração: incorporar a gestão de riscos à estrutura de governança, aos processos e à tomada de decisão.
Concepção: entender o contexto da organização, articular o comprometimento com a gestão de riscos (normalmente em uma política), definir papéis, autoridades e responsabilidades, alocar recursos e estabelecer comunicação e consulta.
Implementação: colocar o plano em prática, com prazos, responsáveis e mudanças no processo de decisão quando necessário.
Avaliação: medir periodicamente o desempenho da estrutura em relação ao seu propósito e verificar se ela continua adequada.
Melhoria: adaptar a estrutura às mudanças internas e externas e melhorar continuamente sua adequação, suficiência e eficácia.
O processo de gestão de riscos
O processo é a parte mais conhecida da norma e a que mais aparece no dia a dia:
- Comunicação e consulta: acompanha todas as etapas, para que as pessoas envolvidas entendam os riscos, a base das decisões e as ações necessárias.
- Escopo, contexto e critérios: define o que está sendo avaliado, o contexto externo e interno e os critérios de risco, ou seja, como probabilidade e consequência serão medidas e qual nível de risco é aceitável.
- Identificação de riscos: encontra, reconhece e descreve os riscos que podem ajudar ou impedir o alcance dos objetivos.
- Análise de riscos: compreende a natureza do risco, suas causas, consequências, probabilidade e a eficácia dos controles existentes.
- Avaliação de riscos: compara os resultados da análise com os critérios definidos para decidir onde agir e com qual prioridade.
- Tratamento de riscos: seleciona e implementa as opções de resposta, como evitar, reduzir, compartilhar ou aceitar o risco, ou ainda aproveitar uma oportunidade, com planos de ação, responsáveis e prazos.
- Monitoramento e análise crítica: acompanha os riscos, os controles e a eficácia dos tratamentos ao longo do tempo.
- Registro e relato: documenta o processo e seus resultados e comunica as informações de risco a quem precisa decidir.
As etapas 3, 4 e 5 formam, juntas, o que a norma chama de processo de avaliação de riscos. É aqui que entram as técnicas da IEC 31010, escolhidas conforme o tipo de risco: brainstorming e entrevistas para identificação, matriz de probabilidade e consequência para priorização, FMEA para riscos de processo, bow-tie para riscos com causas e consequências múltiplas, análise de cenários para riscos estratégicos.
Quais são os benefícios da ISO 31000 para a empresa?
Mesmo sem gerar um certificado, a adoção da ISO 31000 resolve problemas concretos de gestão:
Melhora a qualidade das decisões: decisões de investimento, expansão, contratação de fornecedores ou lançamento de produtos passam a considerar, de forma explícita, o que pode dar errado e o que pode dar certo, com base em critérios conhecidos.
Cria uma linguagem comum de risco: áreas diferentes deixam de usar escalas e conceitos próprios, e os riscos passam a ser comparáveis entre si, o que permite priorizar recursos onde o impacto é maior.
Fortalece as certificações existentes: empresas certificadas na ISO 9001, na ISO 14001, na ISO 45001 ou na ISO/IEC 27001 respondem aos requisitos de riscos e oportunidades com um processo único e consistente, em vez de matrizes paralelas.
Dá visibilidade à alta direção e ao conselho: um registro de riscos atualizado, com responsáveis e tratamentos acompanhados, permite relatar à governança como os principais riscos estão evoluindo.
Reduz surpresas e perdas: riscos identificados e tratados com antecedência custam menos do que incidentes, interrupções de fornecimento, multas ou crises de imagem.
Apoia exigências regulatórias e de clientes: no setor público e em setores regulados, a gestão de riscos é cobrada por normativos de governança, e a ISO 31000 é uma das referências mais aceitas para demonstrar que ela existe e funciona.
Aproveita oportunidades, não só evita ameaças: como o conceito de risco inclui efeitos positivos, a norma ajuda a empresa a enxergar e capturar oportunidades de forma estruturada.
Quanto custa e quanto tempo leva para implementar a ISO 31000?
Como não há certificação, não há taxas de organismo certificador nem auditorias externas obrigatórias. O investimento está na implementação: tempo das pessoas, capacitação, eventual consultoria e ferramentas. Ele varia conforme uma combinação de fatores:
| Fator | Impacto no custo/prazo |
|---|---|
| Abrangência | Começar por um processo, uma unidade ou pelos riscos do SGQ é mais rápido do que implementar a gestão de riscos corporativa de uma vez |
| Maturidade atual | Empresas que já têm uma análise de riscos para a ISO 9001 ou um FMEA estruturado partem na frente |
| Porte e número de áreas | Mais áreas e unidades significam mais oficinas de identificação, mais responsáveis e mais esforço para harmonizar critérios |
| Engajamento da liderança | Sem patrocínio da alta direção, a implementação trava na definição de critérios e de responsabilidades |
| Integração com outras normas | Unificar os riscos de várias certificações exige mais trabalho inicial, mas reduz o esforço de manutenção depois |
| Capacitação | Treinar donos de risco e facilitadores é essencial para que o processo não dependa de uma única pessoa |
| Consultoria externa | Opcional, mas acelera a definição da estrutura, dos critérios e das primeiras avaliações |
| Ferramenta de gestão | Planilhas funcionam no início, mas tendem a se perder quando o número de riscos, responsáveis e ações cresce |
Como referência geral, um primeiro ciclo completo, com política, critérios, registro de riscos e planos de tratamento para um escopo definido, costuma levar de 3 a 6 meses.
Levar a gestão de riscos a toda a organização e integrá-la de fato à governança, ao planejamento e à rotina das áreas é um processo mais longo, normalmente de 12 a 24 meses, porque depende de mudança de cultura, não só de documentação. Empresas que já têm um SGQ maduro ou centralizam riscos, ações e indicadores em um sistema de gestão tendem a percorrer esse caminho mais rápido.
Quais documentos e registros a ISO 31000 recomenda?
Por ser uma norma de diretrizes, a ISO 31000 não traz uma lista de documentos obrigatórios. Ela recomenda, porém, que o processo e seus resultados sejam registrados e relatados, e na prática alguns documentos se tornam indispensáveis, até porque são justamente o que os auditores das normas certificáveis pedem quando avaliam riscos:
- Política ou declaração de comprometimento com a gestão de riscos, aprovada pela alta direção (5.4.2)
- Definição de papéis, autoridades e responsabilidades, incluindo os donos de cada risco (5.4.3)
- Análise do contexto externo e interno e das partes interessadas (5.4.1 e 6.3)
- Critérios de risco: escalas de probabilidade e consequência, matriz de risco e nível de risco aceitável (6.3.4)
- Registro ou inventário de riscos, com causas, consequências, controles existentes e nível de risco (6.4)
- Planos de tratamento, com ações, responsáveis, prazos e recursos (6.5)
- Indicadores de risco e resultados do monitoramento dos controles (6.6)
- Relatórios periódicos de risco para a alta direção e, quando houver, para o conselho (6.7)
- Registros de comunicação e consulta com as partes interessadas (6.2)
- Resultados das avaliações periódicas da estrutura e decisões de melhoria (5.6 e 5.7)
O erro mais comum não é a falta de documento, é o registro de riscos que não conversa com a realidade da empresa: riscos genéricos copiados de um modelo, avaliados uma única vez, com ações de tratamento que nunca saíram do papel.
Auditores de ISO 9001 e de outras normas identificam essa distância rapidamente, porque perguntam ao gestor de uma área quais são os riscos do seu processo e comparam a resposta com o que está registrado.
Como implementar a ISO 31000 na empresa
Um caminho estruturado evita que a gestão de riscos vire um exercício burocrático:
- Diagnóstico de maturidade da gestão de riscos atual, comparando o que existe com os princípios, a estrutura e o processo da ABNT NBR ISO 31000:2018.
- Patrocínio da alta direção e definição da política de gestão de riscos, com papéis e responsabilidades.
- Definição do escopo inicial, do contexto e dos critérios de risco, incluindo o nível de risco aceitável.
- Identificação, análise e avaliação dos riscos, com participação das áreas e dos donos de processo.
- Tratamento dos riscos, com planos de ação, responsáveis e prazos.
- Monitoramento, com indicadores de risco e acompanhamento da eficácia dos controles e das ações.
- Registro, relato e integração dos riscos à análise crítica pela direção e ao planejamento.
- Avaliação periódica e melhoria da estrutura, ampliando o escopo conforme a maturidade aumenta.
Quanto mais cedo a gestão de riscos entra na rotina das áreas, e não fica concentrada em uma revisão anual antes da auditoria, maior o valor que ela gera, e menor o esforço para mantê-la atualizada.
Como avaliar a maturidade da gestão de riscos com base na ISO 31000
Como não há auditoria de certificação, a própria empresa precisa saber se a sua gestão de riscos funciona. As perguntas abaixo servem tanto para uma autoavaliação ou auditoria interna quanto para antecipar o que o auditor de uma norma certificável vai observar quando avaliar riscos e oportunidades.
| Área da norma | O que verificar | Evidência típica esperada | Como o Qualiex ajuda |
|---|---|---|---|
| Liderança e comprometimento (5.2) | Se a alta direção patrocina a gestão de riscos, define responsabilidades e acompanha os principais riscos | Política aprovada, riscos discutidos em reuniões de direção, decisões registradas | Módulo Atas e Decisões vinculado a indicadores e planos de ação, para que a discussão de riscos na direção gere decisões rastreáveis |
| Integração (5.3) | Se os riscos são considerados no planejamento, em projetos, em mudanças e na contratação de fornecedores, e não só em um levantamento anual | Riscos vinculados a processos, projetos e mudanças; avaliação de riscos em decisões relevantes | Módulo Riscos com metodologia configurável, permitindo registrar riscos por processo, área ou projeto dentro da mesma plataforma do SGQ |
| Critérios de risco (6.3.4) | Se existem escalas de probabilidade e consequência definidas e usadas da mesma forma por todas as áreas | Matriz de risco documentada, nível de risco aceitável definido | Metodologia de avaliação configurada uma vez no módulo Riscos e aplicada de forma padronizada a todos os riscos |
| Processo de avaliação de riscos (6.4) | Se os riscos foram identificados com participação das áreas, analisados quanto a causas, consequências e controles, e priorizados | Registro de riscos atualizado, com responsáveis e nível de risco | Registro central de riscos, com responsável, histórico de avaliações e reavaliação periódica |
| Tratamento de riscos (6.5) | Se os riscos acima do nível aceitável têm plano de tratamento com responsável e prazo, e se as ações são concluídas | Planos de ação, evidências de implementação, reavaliação após tratamento | Módulo Planos de Ação com responsável, prazo e alertas automáticos, vinculado a cada risco |
| Monitoramento e análise crítica (6.6) | Se os riscos e controles são acompanhados com indicadores e se desvios geram ação | Indicadores de risco, histórico de medições, análise de tendência | Módulo Indicadores com metas e alertas de coleta atrasada, para acompanhar os indicadores de risco ao longo do tempo |
| Aprendizado com incidentes (6.6 e 5.7) | Se incidentes, não conformidades e reclamações realimentam o registro de riscos | Ocorrências analisadas, riscos revisados após eventos relevantes | Módulo Ocorrências com análise de causa, plano de ação e verificação de eficácia, conectando o que aconteceu ao risco que deveria tê-lo antecipado |
| Registro e relato (6.7) | Se a informação de risco chega a quem decide, no formato e na frequência adequados | Relatórios periódicos de risco, pauta de análise crítica pela direção | Indicadores e atas centralizados, com histórico disponível para relatar a evolução dos riscos à direção |
| Avaliação da estrutura (5.6) | Se a empresa verifica periodicamente se a gestão de riscos está funcionando e cumpre seu propósito | Auditoria interna ou avaliação de maturidade, plano de melhoria | Módulo Auditorias com checklists cadastráveis, permitindo montar um roteiro próprio baseado na ISO 31000 |
Checklist de implementação da ISO 31000
Separamos as 8 etapas de implementação em blocos individuais. Copie cada uma para a ferramenta de gestão de tarefas da sua equipe, e use como checklist de acompanhamento do projeto.
Passo 1. Diagnóstico de maturidade Antes de criar qualquer processo novo, é preciso entender como os riscos já são tratados hoje, mesmo que de forma informal, sem isso, a implementação ignora o que já funciona e repete o que não funciona.
- Levantar onde a empresa já avalia riscos hoje (SGQ, FMEA, segurança, compliance, projetos)
- Comparar as práticas atuais com os princípios, a estrutura e o processo da ABNT NBR ISO 31000:2018
- Identificar critérios, escalas e linguagens diferentes usados por cada área
- Priorizar os gaps por impacto e esforço
Passo 2. Patrocínio e política de gestão de riscos Sem liderança, a gestão de riscos vira tarefa de uma área só. É aqui que a alta direção declara o que espera e quem responde pelo quê.
- Obter o patrocínio formal da alta direção para a iniciativa
- Elaborar e aprovar a política de gestão de riscos
- Definir papéis: alta direção, donos de risco, facilitadores e área de apoio
- Comunicar a política e as responsabilidades a toda a organização
Passo 3. Escopo, contexto e critérios Os critérios são a régua da gestão de riscos: se cada área mede de um jeito, os riscos deixam de ser comparáveis.
- Definir o escopo inicial (processo, unidade, riscos do SGQ ou riscos corporativos)
- Analisar o contexto externo e interno e as partes interessadas relevantes
- Definir escalas de probabilidade e consequência e a matriz de risco
- Estabelecer o nível de risco aceitável e quem pode aceitar cada nível de risco
Passo 4. Identificação, análise e avaliação dos riscos É o momento de transformar conhecimento disperso em um registro de riscos real, construído com quem conhece cada processo.
- Conduzir oficinas de identificação de riscos com as áreas e os donos de processo
- Escolher as técnicas de avaliação adequadas a cada tipo de risco, com apoio da IEC 31010
- Analisar causas, consequências e controles existentes para cada risco
- Priorizar os riscos com base nos critérios definidos
Passo 5. Tratamento dos riscos De nada adianta um registro de riscos bem feito se os riscos prioritários não ganham resposta concreta.
- Definir a opção de tratamento para cada risco acima do nível aceitável
- Elaborar planos de ação com responsável, prazo e recursos
- Registrar formalmente os riscos aceitos e quem os aceitou
- Reavaliar o risco após a implementação das ações
Passo 6. Monitoramento e indicadores Riscos mudam. Sem monitoramento, o registro de riscos envelhece em poucos meses.
- Definir indicadores de risco para os riscos prioritários
- Estabelecer a periodicidade de reavaliação de cada risco
- Conectar incidentes, não conformidades e reclamações à revisão dos riscos relacionados
- Acompanhar o andamento e a eficácia dos planos de tratamento
Passo 7. Registro, relato e análise crítica pela direção A informação de risco só gera valor quando chega a quem decide, no momento certo.
- Definir o formato e a frequência dos relatórios de risco
- Incluir os principais riscos na pauta da análise crítica pela direção
- Registrar decisões e ações em ata formal
- Integrar os riscos ao planejamento estratégico e orçamentário
Passo 8. Avaliação e melhoria da estrutura Como não há auditor externo avaliando a ISO 31000, a própria empresa precisa verificar se a gestão de riscos cumpre o seu propósito.
- Realizar auditoria interna ou avaliação de maturidade periódica
- Verificar se os princípios da norma estão sendo praticados, não só declarados
- Ajustar critérios, papéis e processo conforme as lições aprendidas
- Planejar a ampliação do escopo para novas áreas ou tipos de risco
Como manter a gestão de riscos viva no dia a dia
Nas normas certificáveis, a auditoria de manutenção funciona como um lembrete externo de que o sistema precisa continuar funcionando. Na ISO 31000, esse lembrete não existe, e é justamente por isso que muitas iniciativas de gestão de riscos perdem força depois do primeiro ciclo: o registro de riscos é montado com empenho, apresentado à direção e, depois, só volta a ser aberto na véspera da próxima auditoria da ISO 9001.
A norma trata a gestão de riscos como um processo iterativo, e a manutenção depende de rotina: reavaliar os riscos na periodicidade definida, revisar o registro sempre que houver uma mudança relevante (um novo cliente, um novo processo, uma mudança regulatória, um incidente), acompanhar os indicadores de risco, cobrar a conclusão dos planos de tratamento e levar a evolução dos principais riscos à análise crítica pela direção.
O maior risco nessa fase raramente é técnico, é operacional: perder o controle de quando cada risco deveria ter sido reavaliado, de quais ações de tratamento estão atrasadas, de quem é o dono de um risco depois que alguém mudou de função ou de qual incidente deveria ter levado à revisão de um risco, sobretudo quando esses controles vivem espalhados em planilhas, e-mails e pastas compartilhadas.
Erros comuns na implementação da ISO 31000
Os mesmos erros aparecem, com poucas variações, em empresas de todos os portes e setores:
| Principais erros | Causa raiz | Como o Qualiex resolve |
|---|---|---|
| Registro de riscos montado uma vez e nunca reavaliado | Gestão de riscos tratada como entrega de projeto, não como rotina | Módulo Riscos com reavaliação periódica e alertas automáticos de prazo |
| Cada área usando escalas e matrizes próprias, tornando os riscos incomparáveis | Critérios de risco não definidos centralmente ou não aplicados de forma padronizada | Metodologia de avaliação configurada no sistema e aplicada da mesma forma a todos os riscos |
| Riscos genéricos copiados de modelos, sem relação com os processos reais | Identificação feita pela área de qualidade sozinha, sem participação dos donos de processo | Riscos registrados por processo e por área, com responsável definido e histórico de avaliações |
| Planos de tratamento definidos, mas nunca concluídos | Ações sem responsável claro, sem prazo ou sem acompanhamento | Módulo Planos de Ação com responsável, prazo e alertas automáticos, vinculado a cada risco |
| Incidentes e não conformidades tratados sem revisar o risco relacionado | Ocorrências e riscos geridos em ferramentas separadas | Módulo Ocorrências com análise de causa e plano de ação na mesma plataforma do módulo Riscos |
| Riscos que nunca chegam à alta direção ou chegam sem gerar decisão | Relato de riscos informal, sem espaço definido na governança | Módulo Atas e Decisões vinculado a indicadores e planos de ação, com histórico das decisões tomadas |
| Uma matriz de riscos diferente para cada certificação (ISO 9001, 14001, 45001) | Riscos tratados como exigência de cada norma, não como processo único da empresa | Registro de riscos único, com metodologia configurável, atendendo às diferentes normas na mesma plataforma |
| Empresa acreditando que “tem ISO 31000” porque contratou um curso ou recebeu um certificado não acreditado | Confusão entre certificação de pessoas, certificados privados e certificação acreditada | Avaliação periódica da estrutura com checklists próprios no módulo Auditorias, medindo a prática real, e não o selo |
Como o Qualiex ajuda a estruturar a gestão de riscos com base na ISO 31000
É exatamente no ponto de manter a gestão de riscos ativa, com riscos para reavaliar, planos de tratamento vencendo, indicadores para coletar e incidentes que deveriam realimentar o registro, que a maioria das empresas perde o ritmo. Sem um auditor externo cobrando a ISO 31000, a rotina precisa ser sustentada pelo próprio processo, e planilhas dispersas e ações sem dono claro são o caminho mais curto para a gestão de riscos voltar a ser um documento de gaveta.
O Qualiex, Software para Gestão da Qualidade, centraliza riscos, planos de ação, indicadores, ocorrências e não conformidades, atas e decisões, documentos, auditorias e fornecedores em uma única plataforma, com módulos integrados entre si, trilha de auditoria e alertas automáticos de prazos.
O módulo Riscos permite configurar a metodologia de avaliação da empresa, com os critérios definidos a partir da ISO 31000, e aplicá-la de forma padronizada a todas as áreas, com responsável, histórico de avaliações e reavaliação periódica. Os planos de tratamento ficam vinculados a cada risco, os indicadores de risco são acompanhados com metas e alertas, e as ocorrências conectam o que aconteceu na prática ao risco que precisa ser revisto.
Para empresas certificadas na ISO 9001, na ISO 14001 ou na ISO 45001, isso também significa manter um único processo de gestão de riscos para todas as normas, pronto para quando o auditor perguntar como a empresa determina e trata riscos e oportunidades. E, para quem está diante da transição para a ISO 9001:2026, facilita revisar em um só lugar a forma como riscos e mudanças são planejados no SGQ. Sem “garimpo” de última hora.
Se sua empresa está estruturando ou revisando a gestão de riscos, seja para amadurecer a governança, seja para fortalecer as certificações que já possui, fale com um especialista da ForLogic e veja como o Qualiex pode apoiar a sua operação.
Perguntas frequentes sobre a ISO 31000
Minha empresa pode ser certificada na ISO 31000?
Não. A ISO 31000 é uma norma de diretrizes, com recomendações e não requisitos, e não foi criada para certificação. Não existe certificação acreditada da ISO 31000 para organizações, e certificados desse tipo oferecidos por consultorias ou entidades privadas não têm o mesmo reconhecimento de uma certificação ISO 9001, por exemplo. O que existe são certificações de pessoas, para profissionais que atuam como gestores ou auditores de riscos
A ISO 31000 é obrigatória por lei?
Não. A adoção da ISO 31000 é voluntária. Mas a gestão de riscos em si pode ser exigida: no setor público federal, normativos de governança como o Decreto 9.203/2017 e a Lei 14.133/2021 (nova lei de licitações e contratos) cobram práticas de gestão de riscos, e setores regulados, como o financeiro, têm regras próprias. Nesses casos, a ISO 31000 costuma ser usada como referência para estruturar a gestão de riscos exigida, mas a lei não obriga a adoção da norma em si.
Se a ISO 31000 não é certificável, por que implementar?
Porque o valor dela está nas decisões, não em um selo. A norma ajuda a empresa a identificar e tratar riscos antes que virem problemas, a criar uma linguagem comum de risco entre as áreas, a dar visibilidade à alta direção e a responder de forma consistente aos requisitos de risco das normas certificáveis. Para quem já tem ISO 9001, ISO 14001 ou ISO 45001, ela é o método que dá corpo à exigência de determinar e tratar riscos e oportunidades.
Preciso da ISO 31000 para atender aos requisitos de risco da ISO 9001?
Não é obrigatório. A ISO 9001 exige que a empresa determine riscos e oportunidades e planeje ações para abordá-los, mas deixa claro que não exige um método formal de gestão de riscos. A ISO 31000 é uma forma de fazer isso com mais consistência, especialmente em empresas com várias áreas ou várias certificações, mas uma abordagem mais simples pode ser suficiente para uma empresa pequena, desde que funcione na prática.
Qual a diferença entre a ISO 31000 e o COSO ERM?
Os dois são referências de gestão de riscos corporativos, mas têm origens e ênfases diferentes. A ISO 31000 é uma norma internacional, mais curta e genérica, aplicável a qualquer tipo de organização e de risco. O COSO ERM, publicado pelo Committee of Sponsoring Organizations of the Treadway Commission, nasceu no contexto de controles internos e auditoria, com forte ênfase em governança, estratégia e desempenho, e é muito usado por empresas de capital aberto e pela área de auditoria interna. Muitas organizações combinam os dois, e nenhum deles é certificável.
Qual a diferença entre a ISO 31000 e a IEC 31010?
A ISO 31000 define os princípios, a estrutura e o processo de gestão de riscos. A IEC 31010 é uma norma de apoio que descreve técnicas para executar o processo de avaliação de riscos, como FMEA, bow-tie, análise de árvore de falhas, HAZOP, análise de cenários e matriz de probabilidade e consequência, com orientações sobre quando usar cada uma. Em resumo: a ISO 31000 diz o que fazer, a IEC 31010 ajuda a escolher como fazer.
A ISO 31000 vai mudar? O que acontece com o que minha empresa já implementou?
A ISO 31000:2018 continua vigente e foi confirmada pela ISO em 2023. Há uma revisão em andamento, no estágio de Committee Draft, sem data de publicação anunciada. Como a norma não é certificável, uma nova edição não abre período de transição nem invalida o que foi feito: a empresa pode adotar as mudanças no seu próprio ritmo. A tendência é que a revisão refine a abordagem de 2018, e não a substitua.
Preciso contratar uma consultoria para implementar a ISO 31000?
Não é obrigatório. Uma consultoria pode acelerar a definição da estrutura, dos critérios de risco e das primeiras avaliações, especialmente em empresas sem experiência prévia com gestão de riscos estruturada. Empresas com um SGQ maduro, ou apoiadas por um software que já centraliza riscos, planos de ação e indicadores, muitas vezes conduzem a implementação internamente, com menor custo.
Quanto tempo leva para implementar a ISO 31000?
Depende do escopo e da maturidade da empresa. Um primeiro ciclo completo, com política, critérios, registro de riscos e planos de tratamento para um escopo definido, costuma levar de 3 a 6 meses. Levar a gestão de riscos a toda a organização e integrá-la à governança e ao planejamento é um processo mais longo, normalmente de 12 a 24 meses, porque envolve mudança de cultura, e não apenas documentação.
