Estrutura analítica de riscos (EAR): categorias de risco
Abra o registro de riscos de um projeto de tecnologia e conte: provavelmente três de cada quatro riscos são técnicos. Integração, desempenho, migração de dados, ambiente de testes. Faltam o fornecedor que pode falir, o contrato com cláusula ambígua, a mudança de diretoria, a lei que entra em vigor no meio da implantação. Não é que esses riscos não existam; é que ninguém perguntou por eles. A estrutura analítica de riscos resolve esse ponto cego com uma lista organizada das fontes de incerteza, que a equipe percorre uma a uma.
A estrutura analítica de riscos, ou EAR, é para o risco o que a Estrutura Analítica do Projeto (EAP) é para o trabalho: uma decomposição hierárquica que ajuda a não esquecer nada. A seguir, o que ela é, quais categorias usar, um exemplo em três níveis para adaptar e como usar a estrutura além da sessão de identificação.
Formação relacionada
Gestão de Projetos 360° com PMBOK 8 e IA
Formação completa sobre o guia mais recente do PMI, com uso de inteligência artificial no dia a dia da gestão.
O que é a estrutura analítica de riscos
O PMBOK, guia do Project Management Institute (PMI), descreve a estrutura analítica dos riscos (em inglês, risk breakdown structure, ou RBS) como uma representação hierárquica das fontes potenciais de risco. No topo fica "todas as fontes de risco do projeto"; no primeiro nível, as grandes categorias; abaixo, subcategorias cada vez mais específicas.
Duas confusões são comuns:
- EAR não é EAP. A EAP decompõe entregas; a EAR decompõe fontes de incerteza. Um mesmo pacote da EAP, como "migração de dados", pode ter riscos de origem técnica, de fornecedor e organizacional.
- EAR não é a lista de riscos. Ela não traz riscos escritos no formato causa, evento e efeito. Traz as gavetas onde os riscos são procurados e guardados. A lista vem da identificação, e o artigo sobre exemplos de riscos em projetos mostra riscos concretos por categoria.
A EAR fica documentada no plano de gerenciamento de riscos, ao lado das escalas e das regras de escalonamento. O modelo de plano de gerenciamento de riscos traz a seção pronta para preencher.
Categorias de risco: os modelos de referência
Não existe uma EAR oficial. Existem exemplos consagrados, que servem de ponto de partida.
O exemplo da 6ª edição do PMBOK
A 6ª edição do PMBOK apresenta um exemplo com quatro categorias no primeiro nível:
| Categoria | Subcategorias de exemplo |
|---|---|
| Técnico | Definição de escopo, requisitos, estimativas e premissas, processos técnicos, tecnologia, interfaces técnicas |
| Gerenciamento | Gerenciamento do projeto, gestão de programa e portfólio, operações, organização, recursos, comunicação |
| Comercial | Termos contratuais, aquisições internas, fornecedores, subcontratações, estabilidade do cliente, parcerias |
| Externo | Legislação, câmbio, local e instalações, ambiente e clima, concorrência, regulação |
O modelo das edições anteriores
Edições anteriores do guia usavam outro primeiro nível, que muitas organizações e ferramentas mantêm até hoje: técnico, externo, organizacional e gerenciamento do projeto. A diferença prática é onde ficam fornecedores e contratos (na categoria externa, em vez de uma comercial própria) e o destaque dado aos riscos da própria organização, como prioridade, financiamento e dependência de outros projetos.
Qualquer um dos dois funciona. O que importa é a organização escolher um e usá-lo em todos os projetos, para que os relatórios do escritório de projetos (PMO) possam comparar e somar.
Exemplo de EAR em três níveis
Abaixo, uma EAR ilustrativa para projetos de implantação de sistema e de obra, partindo do modelo de quatro categorias com fornecedor separado. Adapte o terceiro nível ao seu tipo de projeto.
| Nível 1 | Nível 2 | Nível 3 (exemplos) |
|---|---|---|
| 1. Técnico | 1.1 Requisitos | Requisitos incompletos; mudança de regra de negócio |
| 1.2 Tecnologia | Tecnologia nova para a equipe; desempenho sob carga | |
| 1.3 Interfaces | Integração com sistema legado; API de terceiros | |
| 1.4 Condições físicas | Solo diferente da sondagem; interferência com redes existentes | |
| 2. Externo | 2.1 Regulação e legislação | Licenças e alvarás; mudança tributária; norma técnica nova |
| 2.2 Mercado | Câmbio; preço de insumos; disponibilidade de mão de obra | |
| 2.3 Ambiente | Chuva; período de cheia; restrições ambientais | |
| 3. Fornecedores e contratos | 3.1 Fornecedores | Atraso de entrega; capacidade financeira; dependência de fornecedor único |
| 3.2 Contrato | Cláusulas ambíguas; matriz de alocação de riscos; garantias | |
| 4. Organizacional | 4.1 Patrocínio e prioridade | Mudança de diretoria; corte de orçamento; projeto concorrente |
| 4.2 Pessoas | Disponibilidade de usuários-chave; saída de pessoa-chave; resistência à mudança | |
| 5. Gerenciamento do projeto | 5.1 Planejamento | Estimativas otimistas; premissas não validadas |
| 5.2 Comunicação e controle | Decisões lentas; papéis indefinidos; status sem dado real |
Três ou quatro níveis bastam. Uma EAR com seis níveis vira um catálogo que ninguém percorre.
Como montar a EAR do seu projeto em 5 passos
- Parta de um modelo. Use uma das referências acima ou a EAR que o PMO já adota. Não comece da folha em branco.
- Levante os riscos de projetos parecidos. Lições aprendidas e registros antigos mostram que fontes aparecem com frequência no seu tipo de projeto. Elas viram subcategorias.
- Ajuste o segundo nível ao contexto. Um projeto em órgão público precisa de uma subcategoria para controle externo e processo licitatório; um lançamento de produto, para canal de vendas e concorrência.
- Teste com a equipe. Peça que cada pessoa encaixe cinco riscos já conhecidos na estrutura. Se muitos caem em "outros" ou servem em duas gavetas, a estrutura precisa de ajuste.
- Registre no plano e no registro de riscos. A categoria vira um campo obrigatório de cada risco, com lista fechada de opções.
Como usar a EAR além da identificação
Na identificação: roteiro para a sessão
Percorra a EAR item por item e pergunte "o que, nesta fonte, pode afetar nossos objetivos?". Ao final, olhe as categorias vazias. Categoria vazia não significa ausência de risco; quase sempre significa que ninguém olhou para ela.
Na análise: onde o risco se concentra
Depois da análise qualitativa, some a pontuação ou conte os riscos altos e críticos por categoria. Se 60% da exposição está em "Fornecedores e contratos", o problema do projeto é de aquisições, e a resposta pode ser estrutural (diversificar fornecedor, renegociar cláusulas) em vez de risco a risco.
Nas respostas: causas comuns
Riscos da mesma subcategoria costumam ter causa comum. Cinco riscos ligados à disponibilidade de usuários-chave pedem uma única conversa com a diretoria, não cinco planos de mitigação separados.
No cruzamento com a EAP
Uma tabela com os pacotes da EAP nas linhas e as categorias da EAR nas colunas mostra quais entregas concentram riscos de quais fontes. É uma forma rápida de ver, por exemplo, que a migração de dados acumula riscos técnicos e organizacionais, enquanto a infraestrutura acumula riscos de fornecedor. Se a EAP do projeto ainda não existe, o editor de EAP gratuito ajuda a montá-la antes do cruzamento.
Nos relatórios para a governança
Com categorias padronizadas, o PMO consegue mostrar à diretoria que, por exemplo, os riscos de fornecedor estão crescendo em todos os projetos de infraestrutura. Sem categorias, cada projeto relata do seu jeito e a comparação é impossível.
Erros comuns com a estrutura analítica de riscos
- Categoria "Outros" gigante. Se mais de 10% dos riscos caem nela, falta uma categoria.
- Misturar fonte com efeito. "Atraso" e "estouro de orçamento" não são categorias de fonte; são efeitos que qualquer fonte pode provocar.
- EAR diferente em cada projeto. Adaptar o terceiro nível é saudável; mudar o primeiro nível a cada projeto impede a comparação.
- Usar só no planejamento. A estrutura deve voltar em cada revisão completa de riscos, principalmente na mudança de fase.
Comece pela categoria do seu registro
Se o seu projeto já tem um registro de riscos, o primeiro passo é simples: classifique cada risco numa categoria e veja quais ficaram vazias. Essa leitura leva vinte minutos e costuma revelar o ponto cego da equipe. O ciclo completo, da identificação ao monitoramento, está no guia de gestão de riscos em projetos.
Para fazer isso numa ferramenta pronta, use a matriz de riscos gratuita da Projeto Diário: cada risco recebe uma categoria (técnico, externo, organizacional ou gerenciamento do projeto), probabilidade, impacto, estratégia e responsável, e o registro pode ser exportado para Excel, onde você filtra e soma a exposição por categoria para levar ao patrocinador.
