O que é risco em projetos: ameaça, oportunidade e incerteza
"Esse projeto tem muito risco." A frase aparece em comitê, em reunião de kickoff e em conversa de corredor, e quase nunca diz o que precisa ser feito. Saber o que é risco em projetos, com a precisão que o Project Management Institute (PMI) e a ISO 31000 usam, é o que transforma essa sensação vaga numa lista de itens com dono, nota e resposta.
A palavra cobre muita coisa: um fato que já aconteceu, uma preocupação geral, um efeito ("risco de atraso") ou uma característica do projeto ("é arriscado"). Cada uso pede uma ação diferente, e misturá-los produz registros de riscos que ninguém consulta.
A seguir: a definição desmontada parte por parte, como escrever um risco que dá para gerenciar, os dois sentidos do efeito, a diferença entre risco e incerteza e o que fica de fora do conceito.
Formação relacionada
Gestão de Projetos 360° com PMBOK 8 e IA
Formação completa sobre o guia mais recente do PMI, com uso de inteligência artificial no dia a dia da gestão.
O que é risco em projetos segundo o PMBOK e a ISO 31000
O PMBOK, guia de gerenciamento de projetos do PMI, define risco como um evento ou condição incerta que, se ocorrer, tem efeito positivo ou negativo sobre um ou mais objetivos do projeto. A ISO 31000, norma internacional de gestão de riscos, é mais curta: risco é o efeito da incerteza sobre os objetivos. Uma nota da própria norma acrescenta que o risco costuma ser expresso em termos de fontes de risco, eventos potenciais, suas consequências e sua probabilidade.
Vale ler a definição do PMBOK palavra por palavra, porque cada termo exclui alguma coisa:
| Termo | O que significa na prática | O que fica de fora |
|---|---|---|
| Evento ou condição | Algo que pode acontecer (o fornecedor atrasar) ou um estado que pode existir (o solo ser mais fraco que o previsto) | Opiniões soltas, como "a equipe é fraca" |
| Incerto | Pode ou não acontecer; a probabilidade fica entre zero e cem por cento | Fatos já ocorridos e fatos certos, como uma lei já publicada |
| Se ocorrer | O efeito depende do evento | Custos que acontecem de qualquer jeito e já estão no orçamento |
| Positivo ou negativo | O efeito pode prejudicar ou ajudar | Nada: os dois sentidos entram |
| Objetivos do projeto | Prazo, custo, escopo, qualidade, benefício, segurança, reputação | Incertezas que não mexem em nenhum objetivo |
O último ponto costuma ser esquecido: uma incerteza só vira risco do projeto quando afeta algo que ele se comprometeu a entregar. Por isso, objetivos mal definidos geram registros ruins: se ninguém sabe qual é a data que importa, ninguém consegue dizer se um atraso de duas semanas é grave.
Causa, risco e efeito: os três pedaços de um risco
Todo risco bem descrito tem três partes:
- Causa: um fato que existe hoje e cria a incerteza. Exemplo: só uma empresa da região fabrica o componente.
- Evento de risco: o acontecimento incerto. Exemplo: essa empresa pode atrasar a entrega.
- Efeito: o que muda nos objetivos se o evento acontecer. Exemplo: a montagem pararia e o marco de entrega escorregaria um mês.
A frase completa fica assim: "Porque só uma empresa da região fabrica o componente, ela pode atrasar a entrega, o que pararia a montagem e adiaria o marco em um mês." O formato mostra onde agir. Na causa, a equipe pode homologar um segundo fornecedor. No evento, pode acompanhar a produção semanalmente. No efeito, pode preparar um resequenciamento da montagem.
Erros comuns ao escrever um risco
Os registros fracos costumam repetir os mesmos erros (exemplos ilustrativos):
| Como está escrito | Qual é o erro | Como fica corrigido |
|---|---|---|
| Equipe de dados pequena | É só a causa; falta o que pode acontecer | Porque a equipe de dados tem duas pessoas, uma ausência pode parar a migração, o que adiaria a virada do sistema |
| Atraso no cronograma | É só o efeito; serve para qualquer risco | Porque os usuários-chave fecham o mês nos dias 1 a 5, podem faltar aos testes, o que atrasaria a homologação |
| Falta de comunicação | É um tema vago, sem evento nem efeito | Porque a diretoria comercial não participa das revisões, ela pode rejeitar o fluxo de aprovação no aceite, o que geraria retrabalho de três semanas |
| A obra pode atrasar | Mistura evento e efeito e esconde a causa | Porque a fundação cai no período de chuvas, a escavação pode parar, o que empurraria a estrutura em até 20 dias |
Uma regra simples para revisar: se a frase não responde "por quê?", "o que pode acontecer?" e "o que muda se acontecer?", ela ainda não é um risco. Uma lista com dezenas de riscos já escritos nesse formato, separados por categoria, está em exemplos de riscos em projetos.
Ameaça e oportunidade: os dois sentidos do risco
Como o efeito pode ser negativo ou positivo, o risco tem dois nomes conforme o sentido:
- Ameaça (risco negativo): se acontecer, prejudica um objetivo. Num lançamento de produto, a certificação do órgão regulador pode demorar e adiar a data de venda.
- Oportunidade (risco positivo): se acontecer, ajuda um objetivo. No mesmo lançamento, um canal de varejo pode abrir espaço de vitrine e ampliar as vendas do primeiro mês.
Positivo e negativo falam do sentido do efeito, não do tamanho. Uma oportunidade pode ter nível crítico e merecer mais atenção que várias ameaças médias. E uma mesma incerteza pode ter os dois lados: num projeto que importa equipamentos, o câmbio é ameaça se o dólar subir e oportunidade se cair.
O que muda em cada etapa da gestão quando o efeito é um ganho está explicado em risco positivo e negativo, e a forma de pontuar os dois lados na mesma ferramenta, em matriz de riscos e oportunidades.
Risco e incerteza são a mesma coisa?
Não exatamente. Na economia, a distinção clássica vem de Frank Knight, que em 1921 chamou de risco a incerteza que pode ser medida e reservou a palavra incerteza para o que não pode ser medido. Em projetos, a separação é menos rígida, mas a ideia ajuda: nem toda incerteza cabe numa linha do registro de riscos.
O próprio PMI ampliou o foco. A sétima edição do PMBOK passou a tratar o tema num domínio chamado incerteza, que inclui, além dos riscos, a ambiguidade, a complexidade e a volatilidade do ambiente. Para o dia a dia do projeto, quatro tipos de incerteza pedem tratamentos diferentes:
| Tipo de incerteza | Como se parece | Exemplo ilustrativo | Como tratar |
|---|---|---|---|
| Risco de evento | Algo específico que pode ou não acontecer | O alvará pode sair depois da data prevista | Registro de riscos, com dono, gatilho e resposta |
| Variabilidade | O resultado vai acontecer, mas o valor exato é incerto | A produtividade da equipe de alvenaria pode variar entre 8 e 14 metros quadrados por dia | Estimativas em faixa, de três pontos, e folgas no cronograma |
| Ambiguidade | Falta conhecimento para saber como algo vai funcionar | Ninguém sabe ao certo como os usuários vão reagir ao novo aplicativo | Protótipo, piloto, entregas curtas e pesquisa antes de decidir |
| Desconhecido | O que ninguém consegue prever hoje | Um evento externo que não estava em nenhuma lista | Reserva gerencial e um projeto capaz de se adaptar |
O registro de riscos cuida bem da primeira linha. As outras três aparecem nas estimativas, na escolha da abordagem (preditiva, ágil ou híbrida) e no tamanho das reservas. Um projeto com muita ambiguidade e um registro impecável continua exposto.
Risco individual e risco geral do projeto
O PMI também separa dois níveis. O risco individual é cada item do registro: um evento com causa e efeito próprios. O risco geral do projeto é o efeito da incerteza sobre o projeto como um todo, somando os riscos individuais e as outras fontes de incerteza, como a complexidade, o contexto da organização e o ambiente em que o resultado será entregue.
A diferença importa quando o patrocinador pergunta "esse projeto é arriscado?". A resposta não é o número de linhas do registro: 40 riscos baixos podem pesar menos que 6, se um deles for crítico e a abordagem for nova para a equipe. O risco geral responde perguntas como "qual a chance de entregar até a data do contrato?" e "o orçamento aprovado aguenta o que pode dar errado?".
Como medir o tamanho de um risco
Depois de descrito, cada risco recebe duas notas: a probabilidade de acontecer e o impacto se acontecer. Na escala de 1 a 5 usada pela Projeto Diário, a pontuação é probabilidade vezes impacto e vai de 1 a 25, com quatro faixas:
| Pontuação | Nível | O que costuma exigir |
|---|---|---|
| 1 a 4 | Baixo | Fica registrado e é revisto periodicamente |
| 5 a 9 | Médio | Ganha dono e é acompanhado nas revisões |
| 10 a 16 | Alto | Dono, resposta e prazo definidos em poucos dias |
| 20 a 25 | Crítico | Vai ao patrocinador na mesma semana |
Exemplo ilustrativo: o risco do fornecedor único, com probabilidade 3 e impacto 5, soma 15 e fica na faixa alta. A partir daí entram as estratégias de resposta: para ameaças, evitar, mitigar, transferir, escalar ou aceitar; para oportunidades, explorar, melhorar, compartilhar, escalar ou aceitar. O ciclo completo, da identificação ao monitoramento, com reservas e adaptação para times ágeis, está no guia de gestão de riscos em projetos.
O que não é risco
Alguns itens aparecem no registro de riscos e não deveriam estar lá, ou deveriam estar escritos de outro jeito:
| Item | Por que não é risco | Onde fica |
|---|---|---|
| Problema | Já aconteceu; a probabilidade é 100% | Registro de problemas, com ação imediata |
| Premissa | É algo que o plano assume como verdadeiro | Termo de abertura; se for frágil, pergunte "e se não for verdade?" e registre o risco que surgir |
| Restrição | É um limite conhecido, como orçamento fixo ou data legal | Plano do projeto |
| Efeito genérico | "Atraso", "estouro de custo" | Precisa ser reescrito com causa e evento |
| Preocupação sem objetivo afetado | Não muda nada que o projeto entrega | Fora do registro |
A fronteira mais confusa é entre risco e problema, porque um vira o outro quando o evento acontece. O teste para classificar e o caminho do risco que se concretiza estão em diferença entre risco e problema.
Escreva os cinco primeiros riscos do seu projeto
Pegue o projeto que você está tocando agora e escreva cinco riscos no formato causa, evento e efeito: três ameaças e duas oportunidades. Para cada um, confira se a frase responde às três perguntas, dê nota de 1 a 5 para probabilidade e impacto e veja em que faixa ele cai. Se algum item não passar no teste, ele é problema, premissa ou efeito genérico, e vai para outro lugar.
Para registrar e pontuar sem montar planilha, use a matriz de riscos gratuita da Projeto Diário: ela organiza ameaças e oportunidades no formato causa, evento e efeito, calcula a pontuação na escala de 1 a 25, mostra o mapa de calor e exporta o registro para levar à próxima reunião com o patrocinador.
