NEXUS.
Evita que o erro aconteça
Alçada de aprovação, campo obrigatório no sistema, segregação de funções.
Guia · Governança, riscos e compliance
Controles internos e matriz de riscos: o que pode dar errado e o que impede
Como identificar os riscos de cada processo, avaliar probabilidade e impacto, ligar cada risco a um controle com dono e evidência, com exemplo pronto em contas a pagar.
01 · Definição
O que são controles internos e matriz de riscos
Resposta rápida
Controles internos são as atividades que garantem que um processo funcione como deveria: aprovações, conferências, segregação de funções, reconciliações e acessos. A matriz de riscos lista o que pode dar errado em cada processo, avalia probabilidade e impacto e aponta qual controle trata cada risco.
- Responde
- O que pode dar errado e o que impede?
- Base
- Processo mapeado.
- Escala comum
- Probabilidade × impacto, de 1 a 5.
- Uso
- Auditoria, ISO 9001, LGPD, compliance.
Riscos não acontecem no organograma, acontecem no processo: na aprovação que ninguém confere, no cadastro que qualquer um altera, no pagamento que sai sem a nota. Por isso a matriz de riscos funciona melhor quando nasce do mapeamento de processos: cada risco fica ligado à etapa onde ele acontece e a quem é responsável pelo controle.
Essa ligação entre processo, risco e controle é o que auditores internos, externos e de certificação procuram. É também o que a ISO 9001:2026 reforçou ao separar as ações para riscos das ações para oportunidades.
02 · Tipos de controle
Tipos de controles internos
Preventivo
Detectivo
Encontra o erro depois
Conciliação bancária, conferência de estoque, auditoria por amostragem.
Corretivo
Corrige e evita repetir
Plano de ação, estorno controlado, revisão do procedimento.
Manual
Depende de uma pessoa
Conferência visual, assinatura, checklist em papel.
Automático
Feito pelo sistema
Bloqueio de pagamento sem pedido, trava de duplicidade, log de acesso.
Segregação de funções
Ninguém faz tudo sozinho
Quem cadastra o fornecedor não aprova o pagamento.
03 · Matriz
Como montar a matriz de riscos
| Probabilidade \ Impacto | 1 · Muito baixo | 2 · Baixo | 3 · Médio | 4 · Alto | 5 · Muito alto |
|---|---|---|---|---|---|
| 5 · Quase certo | 5 | 10 | 15 | 20 | 25 |
| 4 · Provável | 4 | 8 | 12 | 16 | 20 |
| 3 · Possível | 3 | 6 | 9 | 12 | 15 |
| 2 · Improvável | 2 | 4 | 6 | 8 | 10 |
| 1 · Raro | 1 | 2 | 3 | 4 | 5 |
Nível de risco = probabilidade × impacto. Uma regra comum: de 15 a 25 exige tratamento imediato, de 8 a 12 exige plano com prazo e até 6 é monitorado. Ajuste as faixas ao apetite de risco da empresa.
- 01
Parta dos processos mapeados
Para cada etapa do fluxo, pergunte o que pode dar errado: erro, fraude, atraso, vazamento de dado, descumprimento legal.
- 02
Descreva o risco com causa e consequência
“Pagamento em duplicidade porque o sistema aceita a mesma nota duas vezes, gerando perda financeira.”
- 03
Avalie probabilidade e impacto
Escala de 1 a 5, com critérios escritos para cada nota, para que pessoas diferentes avaliem igual.
- 04
Ligue cada risco a um controle
Qual controle existe hoje, quem executa, com que frequência e onde fica a evidência.
- 05
Calcule o risco residual
Reavalie considerando o controle. Se o residual continuar alto, o controle não basta.
- 06
Defina o plano de ação e o dono
Para cada risco acima do limite: ação, responsável e prazo. Registre a revisão periódica.
04 · Exemplo
Exemplo de matriz de riscos e controles: contas a pagar
| Risco | P | I | Nível | Controle | Tipo |
|---|---|---|---|---|---|
| Pagamento em duplicidade | 3 | 4 | 12 | Trava de nota duplicada no ERP e conciliação semanal | Preventivo e detectivo |
| Pagamento a fornecedor fictício | 2 | 5 | 10 | Cadastro de fornecedor aprovado por área diferente de quem paga | Segregação de funções |
| Pagamento sem nota ou pedido | 3 | 3 | 9 | Bloqueio no sistema sem pedido aprovado (three-way match) | Automático |
| Atraso e multa por perda de vencimento | 4 | 2 | 8 | Agenda de vencimentos com revisão diária | Detectivo |
| Alteração indevida de dados bancários | 2 | 5 | 10 | Alteração só com confirmação por canal independente | Preventivo |
Exemplo ilustrativo. P = probabilidade, I = impacto, numa escala de 1 a 5.
Quer ligar riscos, controles e processos numa só visão?
Mapeamos os processos, montamos a matriz de riscos e documentamos os controles com responsável e evidência.
05 · Responsabilidades
Controles internos, RACI e as três linhas
Um controle sem dono não existe. A matriz RACI deixa claro quem executa cada controle, quem aprova e quem precisa ser informado quando ele falha. Em empresas maiores, isso se encaixa no modelo de três linhas: a operação executa os controles (1ª linha), as áreas de riscos, compliance e qualidade definem e monitoram (2ª linha) e a auditoria interna avalia de forma independente (3ª linha).
Em empresas de médio porte, as três linhas costumam estar concentradas em poucas pessoas. Mesmo assim, vale manter o princípio: quem executa o controle não deveria ser o único a verificar se ele funciona.
Perguntas frequentes
Dúvidas sobre controles internos e matriz de riscos
01O que são controles internos?
São atividades que garantem que um processo funcione como deveria e que os riscos fiquem num nível aceitável, como aprovações, conferências, conciliações, segregação de funções e controles de acesso.
02Como fazer uma matriz de riscos?
Liste os riscos de cada etapa do processo, avalie probabilidade e impacto numa escala de 1 a 5, multiplique para obter o nível, ligue cada risco ao controle que o trata e defina plano de ação para os que ficarem acima do limite.
03Qual a diferença entre risco inerente e residual?
Risco inerente é o nível antes de qualquer controle. Risco residual é o que sobra depois dos controles existentes. A decisão de tratar ou aceitar é tomada sobre o residual.
04Qual a diferença entre controle preventivo e detectivo?
O preventivo impede que o erro aconteça, como uma alçada de aprovação. O detectivo encontra o erro depois, como uma conciliação. O ideal é combinar os dois nos riscos mais altos.
05Matriz de riscos serve para a ISO 9001?
Sim. A cláusula 6.1 pede que a empresa determine e trate riscos e oportunidades. Na edição 2026, as ações para riscos e para oportunidades ficam em subcláusulas separadas.
Leia também
Continue por aqui
Guia
ISO 9001:2026
Riscos e oportunidades separados e o que mais mudou.
Guia
Matriz RACI
Quem executa, aprova, é consultado e informado.
Guia
Mapeamento de processos
A base para enxergar onde o risco acontece.
Modelos
Modelos gratuitos
RACI, SIPOC, POP e inventário de processos.
Serviço
Processos para ISO 9001
Mapa de processos, riscos, POPs e indicadores.
Setor
Mapeamento na saúde
Autorizações, faturamento e exigências regulatórias.
Nexus BPM · Riscos e controles
Cada risco ligado a um processo e a um dono.
A Nexus mapeia os processos, monta a matriz de riscos e documenta os controles com responsável, frequência e evidência.
Mapeamento e DiagnósticoProcesso AS IS em BPMN 2.0, gargalos e causas apontados.
Análise com SimulaçãoCenários testados antes de mudar a operação.
Documentação de ProcessosSIPOC, RACI, POPs e descrições prontas para a equipe usar.