Risk Matrix: Template 5x5, Exemplos e Como Pontuar Riscos

Por Tara Minh · Atualizado em 6 de outubro de 2026

Uma risk matrix é uma grade que pontua cada risco pela chance de ele acontecer (probabilidade) e pelo estrago que causaria se acontecesse (impacto), multiplicando os dois em uma única pontuação de prioridade. Uma matriz 5x5 gera pontuações de 1 a 25, para que você possa ranquear riscos, atribuir responsáveis e decidir o que resolver primeiro.

Gerentes de projeto, responsáveis por risco e executivos usam essa ferramenta antes de qualquer decisão relevante, de um lançamento de produto a uma troca de fornecedor. Este guia cobre como ela funciona, como se diferencia de um risk register, de um heat map e de uma FMEA, quando escolher 3x3, 4x4 ou 5x5, um template para copiar e exemplos práticos por área.

O Que É uma Risk Matrix?

Uma risk matrix (também chamada de matriz de probabilidade e impacto ou matriz de avaliação de risco) é uma grade bidimensional que posiciona riscos pela sua probabilidade de ocorrência em um eixo e pela sua gravidade de impacto no outro. Cada célula da grade representa uma pontuação de risco combinada. Quanto maior a pontuação, mais urgente a resposta.

A fórmula central é curta:

Pontuação de Risco = Probabilidade x Impacto

O poder vem de aplicá-la da mesma forma a todos os riscos, para que um atraso na cadeia de suprimentos e um vazamento de dados se tornem números que você pode ordenar, colorir e atribuir a responsáveis. O padrão geral para essa disciplina, a ISO 31000, trata a gestão de riscos como um processo de identificar, analisar, avaliar e tratar o risco, e deixa a escolha da técnica de pontuação para cada organização. É por isso que as escalas de matriz variam tanto de uma empresa para outra.

A matriz não substitui o julgamento. Ela o estrutura. A grade mostra por onde começar a olhar; sua equipe decide o que fazer a respeito.

Principais Fatos

• O Health and Safety Executive do Reino Unido descreve avaliar um risco como decidir qual a probabilidade de alguém se ferir e o quão grave isso poderia ser. Essas duas perguntas são exatamente os dois eixos de uma risk matrix.
• O HSE estrutura a gestão de riscos em cinco passos: identificar os perigos, avaliar os riscos, controlar os riscos, registrar suas conclusões e revisar os controles. A matriz vive no passo dois e alimenta o passo três.
• O HSE afirma que empregadores com cinco ou mais pessoas devem registrar suas conclusões significativas, e é por isso que uma matriz datada e versionada funciona também como trilha de auditoria.
• As zonas de pontuação são uma convenção, não uma lei. As faixas 1-4 / 5-9 / 10-16 / 17-25 usadas neste guia são um padrão prático para uma grade 5x5. Ajuste-as ao seu próprio apetite a risco e depois mantenha-as fixas.

Risk Matrix vs Risk Register vs Risk Heat Map vs FMEA

Esses quatro termos costumam ser usados como sinônimos, e não deveriam. Eles respondem a perguntas diferentes e funcionam melhor em conjunto.

Na prática, o risk register guarda a lista, a matriz pontua cada item, o heat map mostra o resultado à liderança, e a FMEA aprofunda os modos de falha técnicos. A FMEA acrescenta um terceiro fator, a detecção (a chance de você perceber o problema antes que ele cause dano), que uma matriz de probabilidade e impacto ignora. Se o seu risco é "algo pode quebrar e não vamos perceber", use a FMEA. Se é "algo pode acontecer com o projeto", comece pela matriz.

Como Funciona uma Risk Matrix

A matriz tem dois eixos. Probabilidade (ou likelihood) fica em um eixo, geralmente vertical. Impacto (ou consequência) fica no outro, geralmente horizontal. Cada eixo é dividido em níveis de classificação: três níveis para uma matriz 3x3, cinco para uma 5x5.

Escala de probabilidade

Estas faixas percentuais são um ponto de partida típico. Calibre-as de acordo com os seus próprios projetos.

Escala de impacto

Zonas de pontuação de risco (grade 5x5)

Multiplique probabilidade por impacto para obter a pontuação de risco (1 a 25). Cada célula abaixo mostra a pontuação e sua zona (B = Baixo, M = Médio, A = Alto, C = Crítico).

Zonas de pontuação:

• 1-4 (Baixo): Monitorar; nenhuma ação imediata necessária
• 5-9 (Médio): Atribuir um responsável; planejar uma resposta, mas pode-se aceitar
• 10-16 (Alto): Gerenciar ativamente; mitigação necessária antes de o projeto avançar
• 17-25 (Crítico): Escalar imediatamente; pode exigir parar ou redesenhar o projeto

Uma fraqueza conhecida de multiplicar duas escalas ordinais: riscos diferentes podem cair no mesmo número. Um risco raro e catastrófico (1 x 5 = 5) pontua o mesmo que um risco quase certo e trivial (5 x 1 = 5). Adicione uma regra de exceção para que a conta não esconda o risco perigoso: qualquer risco com impacto 5 é revisado por um responsável sênior, independentemente do que a pontuação diga.

Risk Matrix 3x3 vs 4x4 vs 5x5

A pergunta mais comum é quantos níveis usar por eixo. Os três tamanhos funcionam. A escolha certa depende da complexidade do seu projeto e de quanto detalhe de pontuação sua equipe consegue sustentar sem discutir se algo é nota 3 ou 4.

Como escolher:

• Escolha 3x3 para uma primeira varredura, um público não especialista ou menos de cerca de 15 riscos.
• Escolha 4x4 quando sua equipe insiste em pontuar tudo com o valor do meio. Um número par de níveis não tem meio, então as pessoas precisam tomar partido.
• Escolha 5x5 quando você precisa separar 20% de probabilidade de 40%, quando um auditor ou regulador vai ler o resultado, ou quando o projeto é grande o bastante para que dezenas de riscos disputem o mesmo orçamento de mitigação.

Seja qual for a escolha, não mude o tamanho no meio do projeto, ou as linhas de tendência perdem o sentido.

Como Construir uma Risk Matrix

Construir a matriz é uma disciplina em cinco partes: calibrar as duas escalas, identificar os riscos, pontuá-los de forma consistente, definir limites de ação e atribuir responsáveis.

Passo 1: Defina seus níveis de probabilidade

Escreva o que cada classificação de probabilidade realmente significa para o seu projeto. "Provável" significa coisas diferentes em um sprint de duas semanas versus um programa de infraestrutura de três anos. Vincule cada nível a uma faixa percentual e, quando possível, a um ponto de referência histórico que sua equipe reconheça.

Passo 2: Defina seus níveis de impacto

Faça o mesmo para o impacto. Mapeie cada nível para consequências reais: quantos dias de atraso no cronograma, qual limite de estouro de custo, qual resultado de qualidade ou regulatório. Âncoras concretas reduzem a variação subjetiva quando pessoas diferentes pontuam o mesmo risco.

Passo 3: Identifique e liste seus riscos

Reúna riscos por meio de um brainstorm estruturado, entrevistas com especialistas, registros de lições aprendidas ou um exercício de pre-mortem. Seu termo de abertura do projeto costuma conter a primeira lista de premissas e restrições que vale a pena verificar. Registre cada risco em um risk register antes de pontuar. A matriz ranqueia os riscos; o registro os acompanha ao longo do tempo.

Passo 4: Pontue cada risco

Para cada risco, atribua uma classificação de probabilidade e uma classificação de impacto de forma independente. Faça isso em grupo sempre que possível. Pontuações discrepantes revelam suposições ocultas que valem a pena discutir. Multiplique as duas classificações para obter a pontuação de risco e posicione o risco na sua grade.

Passo 5: Defina limites de resposta e atribua responsáveis

Decida com antecedência o que cada zona de pontuação exige. Riscos críticos precisam de um responsável nomeado, um plano de mitigação e uma data de revisão antes de o trabalho continuar. Riscos altos precisam de um plano de resposta dentro da semana. Riscos médios entram na lista de observação. Riscos baixos são anotados e monitorados. Sem limites predefinidos, a matriz vira uma decoração em vez de uma ferramenta de decisão. Uma matriz RACI é uma forma rápida de garantir que cada risco tenha um único responsável pela prestação de contas, em vez de três pessoas que presumem que outra cuida dele.

Template Gratuito de Risk Matrix 5x5 (Copie e Cole)

Copie os blocos abaixo para o Excel, o Google Sheets ou o Notion e substitua o texto de exemplo pelas suas próprias definições.

Template 1: A grade 5x5 em branco

Preencha cada célula com os IDs dos riscos que caem ali (R1, R4 e assim por diante).

Template 2: O log de pontuação

Esta é a planilha de trabalho por trás da grade. Uma linha por risco.

Se você montar o log em uma planilha, coloque a probabilidade na coluna D e o impacto na coluna E, depois use duas fórmulas na linha 2 e arraste para baixo:

• Pontuação (coluna F): =D2*E2
• Zona (coluna G): =IF(F2>=17,"Critical",IF(F2>=10,"High",IF(F2>=5,"Medium","Low")))

Template 3: As regras de resposta

Cole as regras de zona da seção de zonas de pontuação acima (Crítico, Alto, Médio, Baixo e a ação que cada um dispara) ao lado da grade, para que ninguém precise adivinhar o que uma cor significa.

Não copie os limites de exemplo sem pensar neles. O Health and Safety Executive do Reino Unido, que publica exemplos de avaliações de risco para escritórios, lojas, armazéns e fábricas, alerta contra simplesmente colocar o nome da sua empresa em um exemplo, porque ele não refletirá os perigos e os controles que o seu negócio realmente tem. O mesmo vale para um template. Trate-o como andaime.

Exemplo de Risk Matrix: Projeto de TI (Migração para a Nuvem)

Uma empresa de SaaS está migrando seu banco de dados de clientes para um novo provedor de nuvem. O gerente de projetos conduz um workshop de risco e identifica cinco riscos-chave.

O risco de perda de dados pontua 10 apesar da baixa probabilidade, porque o impacto seria catastrófico. Ele recebe um responsável nomeado (o líder de engenharia), um plano de rollback documentado antes do início da migração e uma verificação de status diária durante a janela de virada. O risco de atraso do fornecedor pontua 12 e recebe uma cláusula contratual e um fornecedor reserva identificado. Os outros três entram na lista de observação com check-ins quinzenais.

Mais Exemplos de Risk Matrix por Área

A mesma grade funciona fora da TI. Estes três exemplos usam as escalas e zonas acima. As pontuações são ilustrativas, então repontue-as com as suas próprias definições.

Lançamento de produto

Uma equipe de produto está a dois meses de lançar um novo plano de preços.

Nada aqui é "Crítico", e tudo bem. Se o risco da revisão jurídica passasse para probabilidade 4, ele pontuaria 20 e o plano de lançamento mudaria.

Risco de vendors e fornecedores

Um fabricante depende de um único fornecedor para um componente-chave.

A última linha mostra por que a regra de exceção existe: só pela pontuação, a falência do fornecedor parece média, mas o impacto é catastrófico.

Saúde e segurança

Uma empresa de distribuição revisa seu armazém e o escritório ao lado. O Health and Safety Executive do Reino Unido publica exemplos de avaliações de risco para ambientes como esses e recomenda consultar os registros de acidentes e problemas de saúde e conversar com os trabalhadores para encontrar os perigos. A matriz ranqueia o que você encontra.

No trabalho de segurança, a matriz é um auxílio de priorização, não uma defesa jurídica. O HSE espera que você faça o que é "razoavelmente praticável", equilibrando o nível de risco com o dinheiro, o tempo ou o esforço necessários para controlá-lo. A pontuação indica onde gastar esse esforço primeiro.

Benefícios de uma Risk Matrix

• Vocabulário compartilhado. Um desenvolvedor, um líder financeiro e um executivo podem olhar para a mesma célula e concordar sobre o que ela significa.
• Priorização em escala. Com 30 ou 40 riscos identificados, você não consegue agir sobre todos igualmente. A matriz força um ranqueamento.
• Comunicação com stakeholders. Zonas coloridas são muito mais legíveis em uma apresentação de comitê diretor do que uma tabela de números brutos.
• Trilha de auditoria. Uma matriz datada e versionada mostra a reguladores e patrocinadores que os riscos foram avaliados formalmente. Em setores como farmacêutico, construção e finanças, essa trilha costuma ser obrigatória.

O Que Fazer e o Que Evitar com a Risk Matrix

O que fazer

• Defina cada nível por escrito. Associe uma faixa percentual ou um exemplo concreto a cada nível de probabilidade, e uma âncora de dias, valores ou resultado a cada nível de impacto.
• Pontue de forma independente e depois compare. Peça que cada pessoa anote os números antes da discussão. As divergências são onde estão as conversas úteis.
• Nomeie um responsável por risco. Um risco sem o nome de uma pessoa não tem dono, independentemente do que o registro diga.
• Defina antecipadamente o que cada zona dispara. Decida a resposta antes de ver as pontuações, para que ninguém negocie uma célula vermelha até virar laranja.
• Calibre com o histórico. Use a frequência real de riscos passados para ancorar a probabilidade. A intuição oscila; os registros de incidentes não.

O que evitar

Não pontue sem âncoras. Se os níveis são apenas "baixo", "médio" e "alto", cinco pessoas darão cinco pontuações ao mesmo risco.

Não ignore os limites das zonas. Uma matriz bonita e corretamente colorida não vale nada se um risco Crítico vai para uma lista de observação em vez de escalar.

Não trate a matriz como uma entrega única. Um risco que era de baixa probabilidade no início pode se tornar quase certo até o terceiro mês. Repontue após o congelamento de requisitos, após as contratações e após o go-live. A orientação do HSE sobre revisar controles aponta os mesmos gatilhos: mudanças de pessoal, processo ou equipamento, além de acidentes e quase acidentes.

Não misture categorias de impacto. Um atraso de duas semanas pode custar quase nada para uma equipe interna e ser catastrófico em um contrato de preço fixo com multas. Em programas de alto risco, mantenha colunas separadas (custo, cronograma, segurança, reputação) e pontue pela pior delas.

Não deixe todo risco migrar para o meio. Se tudo cai na zona média, suas definições estão frouxas demais. As células do canto superior direito devem estar pouco povoadas.

Melhores Práticas

• Separe risco inerente e risco residual. Pontue antes dos controles (inerente) e depois deles (residual). Se a pontuação residual ainda for Alta, você precisa de uma mitigação mais forte.
• Use um RAID log junto com a matriz. A matriz ranqueia os riscos; o RAID log os acompanha ao lado de premissas, problemas e dependências.
• Vincule a matriz a um plano de project risk management. O plano define com que frequência você repontua, quem participa das revisões e como os riscos escalam. Sem ele, a matriz fica solta.
• Alimente decisões maiores. Para escolhas como qual mercado entrar ou qual fornecedor aposentar, use a pontuação como um dos insumos da tomada de decisão baseada em risco.
• Adicione uma camada quantitativa quando fizer diferença. Uma matriz não consegue modelar vários riscos ocorrendo ao mesmo tempo. Para grande exposição de cronograma ou orçamento, use a simulação de Monte Carlo.
• Saiba quem precisa ouvir sobre cada risco. Uma stakeholder analysis matrix mostra quem se importa com qual risco e quem pode aprovar mitigações. Quando você tem mais riscos Altos do que capacidade, ranqueie as respostas com a priorização MoSCoW.
• Mantenha-a onde o trabalho acontece. Uma grade em uma apresentação fica desatualizada em uma semana. Se sua equipe já planeja o trabalho em uma ferramenta de projetos como o Work Ops da Rework, guarde o log de riscos junto das tarefas, para que os responsáveis vejam seus itens de mitigação com tudo o mais com que já se comprometeram.

Uma risk matrix oferece uma forma estruturada de parar de tratar todo risco como igualmente urgente. Pontue uma vez, atribua a resposta certa a cada zona e revisite-a conforme o projeto evolui. Combinada com um risk register sólido e um caminho de escalonamento claro, ela se torna uma das ferramentas mais práticas no kit de qualquer gerente de projetos.