Matriz de risco de fornecedores: risco inerente vs. residual

O que é uma matriz de risco de fornecedores

Uma matriz de risco de fornecedores é um instrumento que classifica os terceiros da sua carteira por nível de risco, permitindo priorizar onde investir esforço de avaliação, controle e monitoramento. Em vez de tratar todos os fornecedores da mesma forma, a matriz direciona a atenção para onde a exposição é maior.

Risco inerente

O risco inerente é a exposição natural de um relacionamento antes de considerar qualquer controle. Ele responde: se nada fosse feito, quão arriscado seria este fornecedor? Fatores típicos incluem o volume e a sensibilidade dos dados acessados, a criticidade do serviço para a operação, o nível de acesso a sistemas e o grau de subcontratação.

Risco residual

O risco residual é o que permanece depois de considerar os controles que o fornecedor comprova ter — certificações, políticas, planos de continuidade, medidas técnicas. Um fornecedor de alto risco inerente pode ter risco residual aceitável se demonstrar controles robustos; e um de risco inerente moderado pode se tornar preocupante se não comprovar controle nenhum.

Como montar a matriz na prática

1. Defina os critérios de risco inerente (dados, serviço, acesso, subcontratação) e uma escala consistente.
2. Classifique cada fornecedor pela combinação desses critérios para obter a criticidade inerente.
3. Direcione a profundidade da due diligence pelo nível inerente: leve para baixo risco, aprofundada para crítico.
4. Calcule o risco residual a partir das evidências de controle coletadas na avaliação.
5. Use o resultado para decidir sobre aceite, planos de ação, cláusulas e frequência de reavaliação.

Esse encadeamento é exatamente o que orienta a due diligence de fornecedores: a criticidade inerente define o escopo, e as evidências definem o residual. Na prática, uma plataforma de gestão de riscos de terceiros calcula e mantém essa classificação viva, atualizando o residual conforme novas evidências chegam.

Do resultado à decisão

Uma matriz só tem valor se leva à ação. Fornecedores críticos com residual alto exigem plano de ação e acompanhamento próximo; residual aceitável pode seguir com monitoramento periódico; casos que fogem à política podem exigir uma exceção formal, com prazo e aprovação. O importante é que a classificação seja explicável e rastreável — não um número sem origem.