by Uma matriz de riscos bem estruturada consegue identificar o que pode acontecer, estimar impactos, distribuir responsabilidades e prever mecanismos de tratamento.
Mas ela responde sozinha a outra pergunta igualmente importante?
O que está sendo feito hoje, no campo e na operação, para controlar esses riscos?
Essa diferença entre identificar e controlar ganhou novo contexto em setembro de 2026.
O Ministério de Portos e Aeroportos abriu consulta pública sobre uma proposta de política de seguros aplicável a contratos de concessão e outras modalidades de exploração privada de infraestrutura aeroportuária, hidroviária e portuária.
A consulta foi aberta para contribuições entre 24 de setembro e 23 de outubro de 2026 e, portanto, trata-se de uma proposta em discussão — não de uma política já vigente.
A minuta propõe incorporar aos estudos de viabilidade critérios estruturados de mapeamento de riscos e avaliação da segurabilidade. Entre os elementos previstos estão a identificação dos riscos, sua probabilidade e impacto, o agente responsável pela gestão, as medidas de mitigação e o tratamento contratual correspondente.
O seguro é o gatilho regulatório da discussão.
Mas a questão operacional vai muito além dele.
Depois que um risco é identificado, alocado e descrito no contrato, alguém precisa transformar essa definição em atividade concreta.
É aqui que a gestão de riscos em concessões sai do documento e entra na operação:
Risco → Controle → Responsável → Rotina → Evidência → Indicador → Plano de ação → Reavaliação.
Uma matriz de riscos só ganha valor operacional quando aquilo que foi identificado passa a orientar controles que realmente funcionam.
Por que risco voltou ao centro da discussão das concessões?
Grandes concessões envolvem contratos longos, ativos críticos, obrigações de investimento, metas de desempenho, fornecedores, fatores regulatórios e eventos que podem afetar custos, prazos e continuidade.
Por isso, a alocação de riscos faz parte da própria arquitetura contratual.
O Tribunal de Contas da União diferencia dois conceitos que ajudam a entender essa discussão.
A análise de riscos identifica e trata riscos associados à contratação.
A matriz de riscos, por outro lado, formaliza contratualmente a divisão das responsabilidades relacionadas a determinados eventos entre as partes.
Segundo o TCU, a matriz deve registrar eventos capazes de afetar o equilíbrio econômico-financeiro do contrato e indicar, entre outros elementos, medidas destinadas a reduzir sua probabilidade ou mitigar seus efeitos e as responsabilidades associadas.
Ou seja, o próprio conceito de matriz já aponta para algo além de uma lista de ameaças.
Existe uma expectativa de tratamento.
É justamente aí que começa o desafio operacional.
A frase:
“Risco: interrupção operacional. Responsável: Operações.”
ainda está longe de representar um controle.
- Quem em Operações?
- Qual atividade deve ser realizada?
- Com que frequência?
- Como a execução será registrada?
- Existe evidência?
- Qual é o indicador?
- O que acontece quando o controle não é realizado?
- Quem recebe o escalonamento?
Essas respostas transformam risco contratual em governança operacional.
Matriz de riscos não é sinônimo de risco controlado
Mapear um risco é diagnóstico.
Controlá-lo é processo.
Imagine que uma matriz identifique risco associado à indisponibilidade de determinado ativo crítico.
O documento pode estabelecer:
- evento de risco;
- causa;
- consequência;
- probabilidade;
- impacto;
- parte responsável;
- mecanismo de mitigação.
Isso é fundamental.
Mas o controle real pode exigir:
- inspeções periódicas;
- manutenção preventiva;
- monitoramento de condições;
- estoque mínimo de componentes;
- procedimentos de contingência;
- treinamento;
- auditoria;
- testes periódicos.
A matriz diz o que precisa ser gerenciado.
A operação precisa definir como isso será gerenciado todos os dias.
O TCU descreve gestão de riscos como processo que envolve identificação, análise, avaliação, tratamento e reporte.
Essa sequência mostra que reconhecer o risco é apenas uma etapa.
Depois é necessário decidir o tratamento e acompanhar sua efetividade.
Como transformar um risco em controle operacional?
Uma maneira prática é decompor o risco em seis perguntas.
1. Risco o que pode acontecer?
A descrição precisa ser clara o suficiente para que as equipes compreendam o evento que está sendo tratado.
Por exemplo:
interrupção de determinado serviço crítico por indisponibilidade de equipamento.
2. Controle o que fazemos para prevenir ou mitigar?
O risco precisa estar conectado a uma atividade concreta.
Nesse exemplo, poderiam existir controles como:
- inspeção periódica;
- manutenção preventiva;
- teste funcional;
- monitoramento;
- verificação de estoque;
- plano de contingência.
Nem todo risco exige os mesmos tipos de controle.
3. Responsável — quem executa ou garante?
“Engenharia” pode ser amplo demais.
Uma governança madura tende a responder com mais precisão:
- área;
- função;
- papel;
- responsável pela execução;
- responsável pela validação.
Responsabilidade genérica facilita lacunas.
4. Evidência como comprovamos que aconteceu?
Pode ser:
- checklist;
- ordem de serviço;
- relatório;
- fotografia;
- registro de sistema;
- documento;
- teste;
- aprovação;
- certificado.
Se o controle precisa ser demonstrado posteriormente, é importante definir o que comprova sua execução.
5. Indicador como sabemos se está funcionando?
Ter documentos não significa necessariamente ter controle efetivo.
Podem ser acompanhados, por exemplo:
- percentual de inspeções realizadas;
- controles vencidos;
- quantidade de desvios;
- reincidência;
- tempo de tratamento;
- falhas por unidade;
- terceiros com pendências;
- evolução de determinado risco residual.
6. Ação — o que acontece se houver desvio?
Um controle não realizado precisa desencadear alguma resposta.
Por exemplo:
desvio → registro → responsável → plano de ação → prazo → evidência → validação.
Essa é a diferença entre uma matriz estática e um sistema de governança.
Como o controle chega ao campo?
Esse talvez seja o ponto mais crítico.
Riscos normalmente são discutidos em ambientes corporativos:
- contratos;
- jurídico;
- riscos;
- compliance;
- engenharia;
- concessões;
- diretoria.
Mas muitos controles são executados em outro lugar.
- No campo.
- Na manutenção.
- Na inspeção.
- Na operação.
- Na gestão de terceiros.
- Na execução de uma obra.
A pergunta é:
como a informação atravessa essa distância?
Imagine que determinado risco contratual seja mitigado por inspeções mensais em ativos específicos.
Para funcionar, é necessário que a operação saiba:
- quais ativos;
- quais critérios;
- qual periodicidade;
- quem executa;
- qual checklist;
- quais evidências;
- o que caracteriza um desvio;
- para quem o desvio será encaminhado.
Uma matriz armazenada em PDF não executa nada disso.
Ela precisa ser traduzida em rotina.
É justamente por isso que o Ministério de Portos e Aeroportos, em sua proposta de política de seguros, trata explicitamente não apenas da identificação, mas também da gestão e da mitigação dos riscos.
Sem evidência, como demonstrar que o controle foi executado?
Considere um risco mitigado por uma inspeção semanal.
No final de um trimestre, alguém pergunta:
As inspeções previstas foram realizadas?
Uma resposta pode ser:
“Sim.”
Outra pode mostrar:
- 13 inspeções previstas;
- 13 executadas;
- data de cada uma;
- profissional responsável;
- ativos verificados;
- checklist utilizado;
- evidências;
- três desvios encontrados;
- três planos de ação abertos;
- dois encerrados;
- um pendente.
As duas respostas dizem que o controle existe.
Mas apenas uma permite demonstrar como ele funcionou.
É por isso que o controle sem evidência é difícil de comprovar.
Em operações de infraestrutura, essa lógica aparece também em processos formais de fiscalização.
Normas e procedimentos de órgãos como DNIT trabalham com registro de ocorrências, documentação e acompanhamento das medidas necessárias à regularização de problemas encontrados durante a execução.
Em maio de 2026, por exemplo, o DNIT publicou uma metodologia específica para gerenciamento de riscos em empreendimentos de determinadas modalidades de contratação, mostrando como risco, quantificação e alocação vêm sendo incorporados de maneira cada vez mais estruturada à gestão de infraestrutura.
O que acontece quando existe desvio?
Um controle pode estar definido e ainda assim falhar.
Uma inspeção pode não acontecer.
Uma manutenção pode atrasar.
Um documento pode vencer.
Um parâmetro pode ficar fora do aceitável.
Uma auditoria pode identificar não conformidade.
Nesse momento, entra outra camada da governança:
desvio → registro → responsável → prazo → plano de ação → evidência → validação → encerramento.
Sem essa continuidade, a organização identifica o problema, mas não consegue acompanhar adequadamente sua resolução.
Um erro comum é separar completamente gestão de riscos e gestão de planos de ação.
A matriz fica com uma área.
As pendências ficam em outra.
Os responsáveis recebem cobranças por e-mail.
A evidência está em uma pasta.
O indicador é consolidado manualmente.
Tudo existe, mas a cadeia está fragmentada.
A tecnologia pode apoiar justamente essa conexão.
Não para decidir sozinha o risco.
Mas para manter a ligação entre:
risco → controle → execução → desvio → ação → evidência → histórico.
Terceiros estão dentro ou fora da sua matriz de riscos?
Grandes concessões dificilmente funcionam apenas com equipes próprias.
Construtoras.
Operadores especializados.
Empresas de manutenção.
Engenharias.
Prestadores de campo.
Fornecedores.
Consultorias.
A participação de terceiros é normal.
O desafio é garantir que os controles associados ao risco continuem funcionando ao longo dessa cadeia.
Imagine que determinada obrigação exija inspeção mensal.
Se a execução está terceirizada, algumas perguntas precisam continuar respondidas:
- o requisito foi comunicado?
- o terceiro utiliza o padrão correto?
- quem executa?
- quem valida?
- onde está a evidência?
- quem trata um desvio?
- quem responde pelo acompanhamento?
- os documentos necessários permanecem válidos?
O risco não desaparece porque a atividade foi terceirizada.
Por isso, terceiros precisam entrar na mesma lógica de governança de:
- requisitos;
- documentos;
- inspeções;
- controles;
- ocorrências;
- evidências;
- auditorias;
- planos de ação.
Como saber se os controles realmente funcionam?
A existência de documentos é um indicador limitado.
Imagine uma organização que possui 400 checklists de inspeção arquivados.
Isso demonstra que houve registros.
Mas ainda não responde:
- quantas inspeções estavam previstas?
- quantas foram realizadas no prazo?
- quantos desvios surgiram?
- quais foram recorrentes?
- qual unidade concentra mais problemas?
- quais controles falham com maior frequência?
- qual terceiro concentra mais pendências?
- quais ações permanecem vencidas?
- quais riscos estão aumentando?
Esse é o papel dos indicadores.
Eles ajudam a transformar evidência operacional em leitura gerencial.
A lógica pode evoluir de:
“Temos documentos.”
para:
“Sabemos como nossos controles estão performando.”
Esse movimento é importante porque controles também precisam ser avaliados.
Um controle executado em 100% das vezes pode ainda ser pouco eficaz se o mesmo problema continuar se repetindo.
Riscos mudam ao longo de contratos longos
Concessões podem durar décadas.
A operação não permanece igual durante todo esse período.
Podem surgir:
- novas obras;
- novos ativos;
- mudanças tecnológicas;
- novos fornecedores;
- alterações de demanda;
- eventos climáticos;
- incidentes;
- modificações regulatórias;
- expansão do contrato;
- mudanças de operação.
Por isso, uma matriz construída no início da concessão não deveria ser tratada como fotografia imutável.
O próprio TCU aponta que a gestão de riscos envolve atividades contínuas de identificação, avaliação, tratamento e reporte.
A proposta atualmente em consulta pelo Ministério de Portos e Aeroportos também surge dentro de um movimento mais amplo de aperfeiçoamento da gestão de riscos em infraestrutura.
Em agosto de 2026, o Ministério criou um grupo de trabalho específico sobre seguros, garantias e riscos, com participação de órgãos públicos, agências e representantes do mercado, com o objetivo de aprimorar o ambiente regulatório dos projetos.
Meses antes, o próprio Ministério havia instituído uma Política de Gestão de Riscos para integrar o tema ao planejamento, aos programas e às decisões institucionais.
O cenário reforça uma lógica:
risco precisa ser revisitado.
Uma concessão é um contrato vivo na operação
O Ministério de Portos e Aeroportos define concessão como modelo em que a iniciativa privada assume, por prazo determinado, responsabilidades como operar, manter e investir em determinada infraestrutura, enquanto o poder público continua responsável por fiscalizar o cumprimento das obrigações.
Isso ajuda a compreender por que gestão de risco precisa chegar à operação.
O contrato estabelece obrigações.
A matriz distribui riscos.
Mas é a execução diária que determina se os controles estão funcionando.
Por exemplo:
Contrato: exige determinado nível de disponibilidade.
Risco: indisponibilidade de ativo crítico.
Controle: manutenção preventiva e inspeções.
Responsável: equipe definida.
Rotina: execução conforme calendário.
Evidência: registros da atividade.
Indicador: disponibilidade, atrasos e falhas.
Desvio: manutenção não realizada.
Ação: regularização e análise de causa.
Agora existe uma cadeia entre contrato e campo.
Tecnologia apoia governança mas não substitui a gestão do risco
É importante evitar outra simplificação.
Software não “resolve” gestão de riscos.
Nenhuma plataforma decide automaticamente:
- quais riscos realmente importam;
- qual parte deve assumi-los;
- qual controle é adequado;
- qual periodicidade faz sentido;
- qual nível residual é aceitável.
Essas são decisões técnicas, contratuais e gerenciais.
A tecnologia pode apoiar outra parte do problema:
fazer com que aquilo que foi decidido continue funcionando.
Por exemplo, conectando:
- matriz de riscos;
- controles;
- checklists;
- inspeções;
- auditorias;
- responsáveis;
- prazos;
- documentos;
- evidências;
- ocorrências;
- planos de ação;
- indicadores.
É nesse território que soluções de digitalização de processos podem apoiar concessões e operações complexas.
Não como substitutas da engenharia de riscos.
Mas como infraestrutura para execução e rastreabilidade dos controles.
10 perguntas para avaliar se a matriz de riscos chegou à operação
Uma avaliação prática pode revelar o tamanho do gap entre contrato e campo.
1. Cada risco relevante possui controles claramente definidos?
Ou a matriz apenas identifica evento, impacto e responsável contratual?
2. Existe um responsável específico por cada controle?
“Operações” ou “Engenharia” pode não ser suficiente.
3. A frequência de execução está definida?
Diária? Semanal? Mensal? Por evento?
4. Está claro qual evidência comprova o controle?
Checklist, relatório, ordem, documento, foto, teste?
5. É possível saber se todos os controles previstos foram executados?
Sem consolidar múltiplas bases manualmente?
6. Um controle não executado gera alerta ou ação?
Ou a falha só aparece em auditoria?
7. Os desvios geram responsáveis e prazos?
Existe continuidade entre identificação e resolução?
8. Terceiros seguem os mesmos requisitos?
Se parte da execução está terceirizada, a governança acompanha essa cadeia?
9. Existem indicadores sobre efetividade dos controles?
A organização sabe quais riscos apresentam reincidência?
10. A matriz é revisada quando a operação muda?
Novas obras, fornecedores, ativos e regras alimentam a gestão de riscos?
Se grande parte dessas respostas depende de planilhas paralelas, e-mails ou conhecimento individual, pode existir uma lacuna entre risco formalmente mapeado e risco operacionalmente governado.
Do contrato ao campo: a matriz precisa gerar comportamento
Uma matriz de riscos é essencial para estruturar contratos complexos.
Ela ajuda a identificar eventos, distribuir responsabilidades e estabelecer como diferentes situações devem ser tratadas.
Mas seu valor não termina na assinatura.
A discussão aberta pelo Ministério de Portos e Aeroportos em setembro de 2026 reforça exatamente a importância de olhar para riscos de maneira estruturada desde a elaboração dos projetos, considerando probabilidade, impacto, responsabilidade, mitigação e tratamento contratual.
A etapa seguinte é operacional.
É transformar o risco em:
controle → responsável → rotina → evidência → indicador → resposta.
Essa é a diferença entre possuir uma matriz e possuir governança de riscos.
Para concessionárias, operadores e empresas responsáveis por contratos complexos, a questão não deveria ser apenas:
“quais riscos estão no contrato?”
Também deveria ser:
“como sabemos, hoje, que os controles definidos para esses riscos realmente estão funcionando?”
É nessa resposta que contrato, operação, compliance e gestão deixam de trabalhar como camadas separadas.
E passam a formar uma única cadeia de governança.
Referência
2.2. Gestão de riscos das contratações | Licitações e Contratos
