Apetite e tolerância a riscos: como definir limites no projeto
"A empresa tem baixo apetite a riscos." A frase aparece em política corporativa, em relatório anual e em apresentação de PMO, e não ajuda o gerente de projetos a decidir nada. Um atraso de dez dias no marco de testes é aceitável? Um risco com 30% de chance de custar R$ 200 mil pode ser assumido pela equipe ou precisa ir ao comitê? Enquanto o apetite a riscos ficar em adjetivo, cada pessoa responde de um jeito.
Este guia mostra como sair do adjetivo para o número. Primeiro, a diferença entre apetite, tolerância e limite, três palavras que costumam ser usadas como sinônimos e não são. Depois, um método em seis passos para transformar a postura da organização em tolerâncias por objetivo, faixas da matriz de riscos e regras claras de escalonamento.
O processo completo de gestão de riscos, onde esses limites são aplicados, está no guia de gestão de riscos em projetos.
Formação relacionada
Gestão de Projetos 360° com PMBOK 8 e IA
Formação completa sobre o guia mais recente do PMI, com uso de inteligência artificial no dia a dia da gestão.
Apetite, tolerância e limite: o que cada palavra significa
| Termo | O que é | Nível em que é definido | Exemplo |
|---|---|---|---|
| Apetite a riscos | Quanto e que tipo de risco a organização aceita correr para gerar valor | Organização, pela alta gestão | "Aceitamos risco moderado de prazo em projetos de inovação; não aceitamos risco de descumprir obrigação legal" |
| Tolerância a riscos | Variação aceitável em torno de um objetivo específico | Objetivo do projeto ou da área | "A entrada em produção pode atrasar até 10 dias úteis" |
| Limite (limiar) de risco | Ponto a partir do qual a exposição exige ação ou decisão superior | Projeto, no plano de riscos | "Risco com pontuação 20 ou mais vai ao patrocinador na mesma semana" |
As definições variam um pouco entre referências, mas a lógica é a mesma. O COSO, na estrutura de gestão de riscos corporativos publicada em 2017, trata o apetite como os tipos e a quantidade de risco que a organização, de forma ampla, aceita na busca de valor, e a tolerância como os limites da variação aceitável de desempenho em relação a um objetivo. O PMBOK, guia do Project Management Institute (PMI), usa apetite a riscos e limites de riscos: o limite é o nível de exposição acima do qual o risco é tratado e abaixo do qual pode ser aceito.
Resumindo a relação: o apetite é a postura, a tolerância traduz a postura em faixas por objetivo e o limite é a linha prática que dispara uma ação.
Por que o apetite a riscos precisa virar número no projeto
Sem números, três coisas acontecem:
- A matriz fica arbitrária. As faixas de baixo, médio, alto e crítico são escolhidas por costume, sem ligação com o que a organização aceita perder.
- O escalonamento depende de personalidade. O gerente cauteloso leva tudo ao patrocinador; o confiante não leva nada.
- A reserva não tem critério. Não há base para decidir se o projeto se compromete com a data mais provável ou com uma data mais segura.
Com números, o patrocinador decide uma vez, no plano, e o projeto passa a aplicar a regra sem negociar caso a caso.
O apetite muda conforme o objetivo
Uma organização raramente tem um apetite único. O mesmo projeto pode aceitar bastante incerteza de escopo e nenhuma de conformidade legal:
| Objetivo | Apetite típico | Por quê |
|---|---|---|
| Segurança das pessoas | Nulo ou muito baixo | Dano irreversível, responsabilidade legal |
| Conformidade legal e regulatória | Muito baixo | Multa, sanção, perda de licença |
| Prazo com data legal ou contratual | Baixo | Penalidade e dano à reputação |
| Custo | Moderado | Pode ser absorvido por reservas, dentro de um teto |
| Escopo e inovação | Moderado a alto | Testar e errar faz parte do valor buscado |
Essa tabela é ilustrativa. Cada organização define a sua, e o projeto herda essa definição. A conexão entre a postura corporativa e os riscos do projeto está no artigo sobre riscos do projeto e riscos corporativos.
Como definir limites de risco no projeto em 6 passos
1. Busque a declaração da organização
Peça ao PMO, à área de riscos ou ao patrocinador a política de riscos, a declaração de apetite (se houver) e as alçadas de aprovação financeira. Em organizações que adotam a ISO 31000, os critérios de risco definidos pela estrutura corporativa são o ponto de partida, como explica o artigo sobre a ISO 31000 aplicada a projetos. Se nada disso existir, o patrocinador responde por escrito às perguntas do passo 3.
2. Liste os objetivos mensuráveis do projeto
Prazo do marco principal, orçamento, escopo essencial, requisitos de qualidade, benefício esperado. Cada um precisa de uma métrica.
3. Defina a tolerância de cada objetivo
Para cada objetivo, combine com o patrocinador a meta, a variação aceitável sem consulta e o ponto em que ele quer ser chamado. Exemplo ilustrativo para a implantação de um sistema de gestão empresarial:
| Objetivo | Meta | Variação aceitável pelo gerente | Escala ao patrocinador a partir de |
|---|---|---|---|
| Entrada em produção | 1º de março | Até 5 dias úteis | Mais de 5 dias úteis |
| Orçamento | R$ 1,8 milhão | Até R$ 50 mil, dentro da reserva de contingência | Mais de R$ 50 mil ou uso de reserva gerencial |
| Escopo | 12 processos | Adiar até 1 processo não crítico | Qualquer processo fiscal ou corte de 2 ou mais |
| Conformidade fiscal | Nenhuma obrigação em atraso | Nenhuma | Qualquer risco com probabilidade acima de 10% |
4. Ligue as tolerâncias à escala de impacto e às faixas da matriz
As notas de impacto devem conversar com as tolerâncias. Se a variação aceitável de prazo é de 5 dias, o impacto 3 (moderado) pode ir até 5 dias e o impacto 4 (grande) começa acima disso. A faixa crítica da matriz (pontuação de 20 a 25) passa a significar "fora da tolerância com alta chance", e por isso vai direto ao patrocinador. A escolha entre uma escala de 3 ou 5 níveis também depende de quantos degraus de tolerância você precisa distinguir, como mostra o artigo matriz de riscos 5x5 ou 3x3.
5. Defina quem decide em cada faixa
Escreva as alçadas: o que o dono do risco resolve, o que o gerente resolve, o que vai ao patrocinador e o que vai ao comitê. Inclua um limite para a exposição total: por exemplo, quando a soma do VME das ameaças abertas passar da reserva de contingência disponível, o patrocinador é acionado, mesmo que nenhum risco isolado seja crítico.
6. Registre no plano e revise nos marcos
Tolerâncias e limites ficam no plano de gerenciamento de riscos, aprovados pelo patrocinador. O modelo de plano de gerenciamento de riscos tem uma seção própria para eles. Revise ao fim de cada fase: perto da entrega, a tolerância de prazo costuma encolher.
Como os limites aparecem no dia a dia
- Na revisão de riscos: todo risco que cruza um limite muda de dono da decisão, não só de cor.
- No status report: o patrocinador vê quantos riscos estão fora da tolerância e quanto da reserva foi consumido.
- Na análise quantitativa: o percentil usado para a data de compromisso (P50, P80) é uma escolha de apetite.
- Em metodologias como o PRINCE2: tolerâncias em áreas como prazo, custo, escopo, qualidade, benefício e risco são delegadas pelo comitê do projeto, e a previsão de ultrapassá-las obriga o gerente a reportar uma exceção.
Erros comuns ao definir apetite e tolerância
- Um único apetite para tudo. Segurança e inovação não podem ter a mesma régua.
- Tolerância sem unidade. "Pequeno atraso" não é tolerância; "até 5 dias úteis no marco" é.
- Limites que ninguém aprovou. Se o patrocinador não assinou, o gerente vai negociar de novo a cada risco.
- Ignorar a exposição acumulada. Dez riscos médios ligados ao mesmo fornecedor podem passar do limite que nenhum deles passaria sozinho.
- Limites congelados. O que era aceitável no início pode não ser a duas semanas da entrega.
Leve os limites para a sua matriz
Marque 30 minutos com o patrocinador, leve a tabela do passo 3 em branco e saia com as tolerâncias de cada objetivo preenchidas e aprovadas. Depois, ajuste a descrição das notas de impacto para que batam com elas. Na matriz de riscos gratuita da Projeto Diário, as escalas e faixas vêm prontas como referência inicial, para você ajustar ao apetite da sua organização, e o painel destaca os riscos altos ou críticos sem responsável ou sem resposta, que são os primeiros candidatos a escalonamento.
