Porque a maioria dos registos de risco são apenas folhas de cálculo caras, repletas de boas intenções.)
Let’s be honest: 80% of the risk registers I review look “fine”, until you actually try to usá-los.Cumprem todos os requisitos: probabilidade, impacto, responsável, tratamento.Mas quando ocorre um incidente real, ninguém os abre, ninguém confia neles, e metade dos dados já está desatualizada.
That’s not a “governance issue.” That’s a design failure.
Aqui estão cinco erros concretos, identificados no terreno, que tornam os registos de risco inúteis, e como corrigi-los.
1. Erro n.º 1: Riscos que descrevem controlos, não exposições
Ficaria surpreendido com a quantidade de registos que começam assim:
“Lack of multi-factor authentication.”“No backup policy.”“Absence of incident response plan.”
Isso não é um risco. É um controlo em falta.
Um risco descreve o que pode acontecer à organização, não o controlo que se esqueceu de implementar.
Eis o teste:Se conseguir prefixar com “The risk that…” e continuar a fazer sentido, está no bom caminho.
✅ “The risk that unauthorized access compromises confidential data due to weak authentication.”
Correção: Reescreva cada risco como um cenário com causa, evento e consequência.Vai distinguir imediatamente sintomas técnicos de exposições reais.
2. Erro n.º 2: Registos que envelhecem como leite
O seu registo foi atualizado pela última vez em março.A organização migrou para a cloud em abril.Fundiu-se com outra entidade em maio.E integrou ferramentas de IA em junho.
Adivinhe? O contexto de risco mudou; o registo não.
Não é negligência; é inércia de processos.A maioria das empresas ainda trata os registos de risco como rituais anuais, não como sistemas vivos.
Correção:
- Implemente uma abordagem ligeira de “continuous review”.
- Os responsáveis validam o estado dos riscos trimestralmente (literalmente cinco minutos).
- Automatize os gatilhos de mudança (por exemplo, novo projeto, novo fornecedor, nova regulação).
Um bom registo de risco respira. Um mau fossiliza.
3. Erro n.º 3: Avaliações sem uma escala comum
Cena clássica:
- Risk A: “High likelihood, medium impact.”
- Risk B: “Low likelihood, high impact.”
- Risk C: “Medium-medium.”…e ninguém concorda com o que isso significa.
Porquê? Porque as escalas não estão ancoradas na realidade do negócio.
Most registers still rely on subjective 1–5 scales, filled by people who interpret “medium” differently.É pseudoquantificação.
Correção:Traduza as suas escalas para termos concretos do negócio.
- Likelihood = frequency or time horizon (“once per year,” “once per decade”).
- Impact = financial, reputational, or operational loss estimates (“<€100K,” “service downtime <4h”).Depois, calibre a escala por domínio (ciber ≠ jurídico ≠ financeiro).
If everyone in the room can’t explain the difference between “3” and “4,” your register is a guessing game, not a tool.
4. Erro n.º 4: Tratamentos de risco que nunca terminam
Um dos meus favoritos:
“Mitigation: implement security awareness program.”“Status: ongoing.”“Due date: N/A.”
Tradução: Faremos isto para sempre e chamaremos isso de progresso.
Tratamentos perpétuos destroem a credibilidade.When every risk has an “ongoing” mitigation, your register becomes a graveyard of eternal projects.
Correção:
- Cada tratamento deve ter uma condição de encerramento, how do we know it’s “done”?
- Atribua um responsável e uma data-limite.
- Se for um controlo recorrente (como a sensibilização), transfira-o para o inventário de controlos, não para o registo de risco.
O seu registo de risco deve acompanhar decisões, não tarefas de manutenção.
5. Erro n.º 5: Ausência de rastreabilidade entre riscos, controlos e incidentes
Este é o que distingue amadores de profissionais.
A maioria dos registos existe em isolamento: listam riscos, mas não estão ligados a controlos nem a incidentes.Por isso, quando algo falha, não é possível identificar qual o controlo que falhou, nem qual o risco que se materializou.
Correção:Ligue o seu registo de risco a:
- Bibliotecas de controlos (ISO 27001 Annex A, NIST, DORA).
- Registos de incidentes (para validar a probabilidade e a eficácia dos controlos).
- Conclusões de auditorias (para acompanhar a melhoria).
Por outras palavras: construa rastreabilidade, o santo graal de um GRC maduro.É o que transforma uma folha de cálculo num motor de decisão.
Bonus: The “Smell Test”
Se quiser saber se o seu registo de risco funciona, pergunte a si mesmo:
“When was the last time someone fora da equipa de risco opened it voluntarily?”
If the answer is “never,” you don’t have a register, you have a compliance artifact.
A conclusão
Os registos de risco falham porque são escritos para auditores, não para decisores.A solução não é mais um template; é mudar a forma como pensa sobre o risco: como uma narrativa viva de como a sua organização protege o seu valor.
Até 2026, as melhores empresas não terão apenas registos impecáveis; terão ecossistemas de risco ligados, contextualizados e continuamente atualizados.
Até lá:Escreva os riscos como histórias.Avalie-os como casos de negócio.Reveja-os a sério.
Quer aprofundar?
É exatamente isto que ensinamos nos programas Risk Manager da Cyber Academy.Vamos além dos mapas de calor, para frameworks de decisão de risco aplicados à realidade que fazem o seu conselho de administração ouvir.
Porque o risco não é uma folha de cálculo.É a história da sobrevivência da sua organização, contada em dados.