A estrutura, e onde o sistema entra.
A Resolução CMN nº 4.557 exige uma estrutura de gerenciamento contínua e integrada. Ela tem um formato conhecido — e cada parte desse formato tem um sistema correspondente.
Esta página é o mapa. Não vende sistema: explica o processo que o sistema serve, para que a conversa comece no mesmo lugar dos dois lados da mesa.
O ciclo é um laço só.
Identificar, mensurar, avaliar, tratar, monitorar, reportar — e recomeçar. É o mesmo laço em banco, corretora, cooperativa, seguradora e indústria: o que muda é o dado que entra e o regulador que cobra. Nenhum sistema da m2i cobre o laço inteiro sozinho, e nenhum passo fica sem sistema.
-
01
Identificar
Que risco existe em cada processo, e quem é o dono dele. Sai daqui o mapeamento de processos e o dicionário de riscos.
-
02
Mensurar
Probabilidade e impacto onde o julgamento é estruturado; modelo quantitativo onde há dado: V@R, PD, LGD, perda esperada, fluxo projetado.
-
03
Avaliar
Comparar com o apetite aprovado pelo conselho. É o único passo que decide se alguma coisa acontece: sem limite declarado, nada dispara tratamento.
-
04
Tratar
Mitigar, transferir, evitar ou aceitar formalmente — aceitar também é decisão registrada. Todo tratamento vira plano de ação com dono, prazo e evidência.
-
05
Monitorar
Indicador com limite, teste de controle, evento de perda efetivo e teste de plano. É o passo que envelhece primeiro quando é feito em planilha.
-
06
Reportar
Comitê de riscos, conselho e regulador, cada um com profundidade diferente, a partir do mesmo registro e da mesma trilha.
O passo 06 devolve ao 01: o que o ciclo ensinou entra na próxima identificação. Estrutura “contínua”, na letra da norma, é isto.
Três linhas, três posturas.
Não é organograma: é separação de poderes. É o que impede que quem corre o risco seja também quem atesta que está tudo bem. A distinção explica por que compliance e auditoria são dois sistemas, e não um com dois relatórios.
-
1ª linha · Área de negócio
Crédito, tesouraria, TI, operações. Corre o risco, é dona do controle e executa. É quem preenche a autoavaliação e registra o evento de perda.
-
2ª linha · Riscos e compliance
Define a metodologia, desafia a primeira linha, consolida e monitora. É quem cobra prazo, fecha a matriz e leva o relatório ao comitê.
-
3ª linha · Auditoria interna
Avalia se a primeira e a segunda funcionam de fato, e reporta ao conselho, não à diretoria. É a independência dela que dá valor ao parecer — e é por isso que ela não pode operar dentro do mesmo sistema que audita.
O que a norma manda gerenciar.
A tabela abaixo é do regulador, não da m2i: é o que a Resolução CMN nº 4.557 exige de uma instituição, já com a alteração da Resolução CMN nº 4.943/2021. As primeiras linhas são riscos; as três últimas são respostas ao risco, e por isso aparecem junto.
| O que a norma manda gerenciar | O que é | Linha | Sistema |
|---|---|---|---|
| Risco operacional | Falha de processo, de pessoa ou de sistema, e evento externo. | 1ª e 2ª | SGRO |
| Risco de crédito | A contraparte não paga. | 1ª e 2ª | SGRC |
| Risco de liquidez | Solvente, mas sem caixa na data. | 2ª | SGRL |
| Risco de mercado | Preço, taxa e câmbio se movem contra a posição. | 2ª | sem sistema |
| Risco social, ambiental e climático | Incluído na 4.557 pela Resolução CMN nº 4.943/2021, em vigor desde julho de 2022. | 2ª | sem sistema |
| Continuidade de negócios | Como continuar operando depois que o evento já aconteceu. | 1ª e 2ª | SGCN |
| Conformidade e controles internos | O desenho, o teste e a evidência do controle. | 2ª | SGCC |
| Auditoria interna | A avaliação independente das outras duas linhas. | 3ª | SGCA |
A linha de defesa dominante não é exclusiva: quase toda exigência passa pelas três em algum momento do ciclo. A coluna diz de quem é a caneta.
A matriz é o instrumento comum.
Probabilidade contra impacto, de 1 a 5. É o desenho que atravessa toda a disciplina, de risco operacional a continuidade, e a saída mais olhada de qualquer estrutura de risco. A nota sozinha não decide nada: ela só ganha sentido comparada com o apetite aprovado pelo conselho.
| 5 | M5 | A10 | C15 | C20 | C25 |
|---|---|---|---|---|---|
| 4 | B4 | M8 | A12 | C16 | C20 |
| 3 | B3 | M6 | A9 | A12 | C15 |
| 2 | MB2 | B4 | M6 | M8 | A10 |
| 1 | MB1 | MB2 | B3 | B4 | M5 |
| 1 | 2 | 3 | 4 | 5 |
- Muito baixo
- Baixo
- Médio
- Alto
- Crítico
Cada célula leva a sigla do nível escrita junto da cor. Quem não distingue verde de vermelho continua lendo a matriz, e a matriz continua legível impressa em preto e branco — regra do design system da m2i, não preferência.
O que o sistema faz, e o que não faz.
Um sistema de gestão de riscos é repositório estruturado, motor de workflow e máquina de evidência. Prometer além disso, para quem responde pela estrutura, não sobrevive à primeira reunião.
-
Guarda a trilha
Quem avaliou, quando, com base em quê, e qual era o valor anterior. É a primeira pergunta de qualquer auditoria, e a que planilha não responde.
-
Amarra o grafo
Processo, risco, controle, teste, perda, indicador e ação são o mesmo caminho. Planilha é tabela; a pergunta que importa atravessa cinco entidades.
-
Move o trabalho
Coleta distribuída com dono, prazo, alçada e trava por etapa. E-mail escala até umas vinte pessoas e não deixa rastro nenhum.
-
Não define o apetite
O limite é decisão do conselho. O sistema cobra o limite; ele não escolhe qual é.
-
Não escolhe a metodologia
Escala, critério de impacto e peso de controle são da instituição. O sistema parametriza o que ela decidir, e registra quando ela mudar de ideia.
-
Não substitui a segunda linha
Ele tira da segunda linha o trabalho de consolidar planilha, para que sobre tempo de desafiar a primeira. Esse desafio é gente, e continua sendo.
Em que ponto do laço a sua estrutura está?
Implantação nova, troca de sistema, exigência de auditoria em aberto ou plano de ação vencido — cada um começa num passo diferente, e o caminho não é o mesmo.