Poucas perguntas em uma reunião de conselho são tão comuns e tão difíceis de responder quanto “qual é, de fato, a nossa exposição a riscos?”. Saber como calcular ERM é o que transforma essa dúvida em um número defensável, comparável entre áreas e conectado à estratégia.
Este artigo apresenta o método em etapas, os indicadores que dão leitura executiva ao resultado e o framework de ERM que organiza todo o processo.
A abordagem é didática, mas não simplista: calcular ERM exige decidir o que medir, com qual critério e para qual decisão.
O que significa calcular ERM?
Calcular ERM significa quantificar, de forma consistente, a exposição da organização a riscos que afetam seus objetivos estratégicos. Na prática, combina-se probabilidade e impacto de cada risco, ajusta-se o resultado pela eficácia dos controles e compara-se a exposição ao apetite a risco definido pela alta gestão e pelo conselho.
O Enterprise Risk Management, conhecido no Brasil como gestão de riscos corporativos (ERM), não é um indicador único, mas uma disciplina que integra riscos à estratégia e ao desempenho.
Por que não existe uma fórmula única
O framework do COSO organiza a disciplina em cinco componentes interrelacionados e 20 princípios, aplicáveis a organizações de qualquer porte ou setor. O modelo é baseado em princípios: define o que uma boa gestão de riscos deve alcançar, sem impor uma equação.
A ISO 31000:2018 segue lógica semelhante. Ela propõe uma abordagem abrangente para identificar, analisar, avaliar, tratar, monitorar e comunicar riscos, e a norma não é prescritiva. A escolha das métricas cabe, portanto, à própria empresa.
Exposição, apetite e tolerância
Antes de calcular, alinhe quatro conceitos que costumam ser confundidos:
- Exposição inerente: nível de risco antes de qualquer controle.
- Exposição residual: nível de risco após a ação dos controles existentes.
- Apetite a risco: quanto risco a organização aceita assumir na busca de seus objetivos.
- Tolerância: desvio aceitável em torno do apetite, geralmente expresso em limites numéricos.
Como calcular ERM na prática
Para calcular ERM, primeiro mapeie e classifique os riscos relevantes; depois estime probabilidade e impacto financeiro; calcule a exposição inerente e a residual, considerando a eficácia dos controles; por fim, compare o total consolidado ao apetite a risco e priorize respostas. Repita o ciclo a cada trimestre.
Cada etapa depende da anterior. O rigor da última só existe se as primeiras foram bem executadas.
Etapa 1: mapear e classificar os riscos
Nem todo risco se calcula da mesma forma. Em artigo publicado na Harvard Business Review, Robert Kaplan e Anette Mikes distinguem riscos evitáveis, riscos de estratégia e riscos externos, cada categoria com uma lógica própria de gestão.
Perdas esperadas funcionam bem para riscos evitáveis, como falhas operacionais. Riscos de estratégia exigem análise do retorno buscado, e riscos externos pedem cenários. Um bom mapeamento de riscos evita aplicar a mesma régua a naturezas distintas.
Etapa 2: estimar probabilidade e impacto
Ao decidir como calcular ERM em cada risco, há três níveis de sofisticação, que podem coexistir no mesmo portfólio:
| Abordagem | Como calcula | Quando usar |
| Qualitativa | Escalas de 1 a 5; escore = probabilidade × impacto | Triagem inicial de muitos riscos |
| Semiquantitativa | Faixas de probabilidade (%) e impacto (R$) | Priorização e reporte à diretoria |
| Quantitativa | Perda esperada e simulação de Monte Carlo | Riscos críticos e decisões de capital |
Empresas em fase inicial costumam começar pela matriz de risco 4×4 ou por uma matriz de risco em Excel. O ganho real vem ao migrar os riscos críticos para valores monetários.
Etapa 3: calcular a exposição inerente e a residual
Entender como calcular ERM na prática fica mais simples com números. Com probabilidade anual e impacto em reais, as fórmulas são diretas:
- Exposição inerente = probabilidade × impacto
- Exposição residual = exposição inerente × (1 − eficácia dos controles)
A tabela a seguir traz um exemplo ilustrativo, com valores hipotéticos, para uma empresa fictícia:
| Risco | Prob. anual | Impacto (R$ mi) | Exposição inerente (R$ mi) | Eficácia dos controles | Exposição residual (R$ mi) |
| Falha de fornecedor crítico | 20% | 15 | 3,0 | 40% | 1,8 |
| Incidente cibernético | 10% | 30 | 3,0 | 50% | 1,5 |
| Multa regulatória | 5% | 20 | 1,0 | 70% | 0,3 |
| Perda de talentos-chave | 30% | 4 | 1,2 | 25% | 0,9 |
| Total | 8,2 | 4,5 |
A soma simples assume que os riscos são independentes, o que raramente acontece. Para capturar correlações e eventos de cauda, os riscos críticos pedem simulação e modelagem, campo em que ciência de dados e IA ampliam a capacidade analítica.
Etapa 4: comparar com o apetite e priorizar
Suponha que o conselho tenha fixado o apetite em R$ 4 milhões de exposição residual anual. No exemplo, o total de R$ 4,5 milhões excede o limite em R$ 0,5 milhão, o que aciona planos de resposta.
Fornecedor crítico e incidente cibernético concentram cerca de 73% da exposição residual e deveriam liderar a priorização. A resposta pode evitar, mitigar, transferir ou aceitar o risco. Uma política de gestão de riscos bem desenhada define de antemão quem decide em cada faixa de exposição.
Indicadores essenciais para o cálculo do ERM
Definir como calcular ERM não basta, porque um valor isolado de exposição informa pouco. O conselho precisa de indicadores que mostrem tendência, aderência ao apetite e qualidade dos controles.
| Indicador | Como calcular | O que revela |
| Exposição residual total | Σ (probabilidade × impacto × (1 − eficácia)) | Risco líquido a que a empresa está sujeita |
| Aderência ao apetite | Exposição residual ÷ limite de apetite | Folga ou excesso frente ao limite (acima de 100% = fora) |
| Cobertura de controles | Riscos críticos com controle testado ÷ riscos críticos | Robustez da resposta |
| KRIs em alerta | KRIs fora da faixa ÷ total de KRIs | Sinal antecedente de deterioração |
| Perdas efetivas vs. previstas | Perdas realizadas ÷ perda esperada | Calibração do modelo de cálculo |
Para Kaplan e Norton, indicadores só cumprem seu papel quando traduzem a estratégia em metas acompanháveis. O mesmo vale para o risco: os indicadores-chave de risco (KRIs) devem integrar o painel estratégico, e não um relatório paralelo.
A comparação entre perdas efetivas e previstas depende de bom registro histórico. Por isso, tratar perdas operacionais de forma estruturada é insumo direto para calibrar probabilidades e impactos.
Framework de ERM: onde o cálculo se encaixa
Como calcular ERM sem um arcabouço de referência? O resultado são números órfãos. O framework de ERM define governança, apetite, responsabilidades e ritmo de revisão, que dão sentido às métricas.
| Critério | COSO ERM (2017) | ISO 31000 (2018) |
| Estrutura | Cinco componentes e 20 princípios | Princípios, estrutura e processo |
| Foco | Integrar risco à estratégia e ao desempenho | Abordagem comum a qualquer tipo de risco e organização |
| Onde entra o cálculo | Componente de desempenho: identificar, avaliar, responder e reportar | Processo de avaliação: identificação, análise e avaliação |
| Natureza | Referência de mercado para gestão de riscos corporativos | Norma internacional de diretrizes |
Quem parte do zero pode seguir o roteiro para estruturar um programa de gerenciamento de riscos. Para formalizar a aderência à norma, vale conhecer o caminho da certificação ISO 31000.
O mesmo arcabouço sustenta a integração com a agenda ESG, tema abordado no conteúdo sobre software de ESG.
Benefícios da gestão de riscos corporativos quando o ERM é quantificado
Quantificar transforma o ERM em instrumento de decisão. Os principais benefícios da gestão de riscos corporativos aparecem quando o número chega ao comitê executivo:
- Priorização por valor: recursos de controle vão para onde a exposição residual é maior.
- Diálogo financeiro com o conselho: riscos passam a ser discutidos na mesma linguagem de orçamento e metas.
- Decisões de capital mais sólidas: investimentos e contratações incorporam o custo esperado do risco.
- Antecipação: indicadores antecedentes sinalizam deterioração antes da perda.
O Resilience Pulse Check de janeiro de 2025, do Fórum Econômico Mundial e da McKinsey, indica que 55% das organizações esperam disrupção relevante ou severa causada pela tecnologia, conforme a pesquisa global da McKinsey sobre produtividade em risco.
Já na edição de junho de 2025, a McKinsey on Risk & Resilience reforça que CROs e profissionais de risco, junto com a alta liderança e os conselhos, tratam a compreensão e a mitigação dos riscos como condição para o sucesso.
Erros comuns que distorcem o cálculo de ERM
Mesmo com método, alguns desvios comprometem o resultado. Alguns deles são:
- Tratar risco como conformidade. Kaplan e Mikes alertam que uma gestão baseada apenas em regras não reduz a probabilidade nem o impacto de grandes desastres.
- Usar escalas sem calibração. Um “nível 4” significa coisas diferentes em cada área; ancore as faixas em percentuais e reais.
- Somar riscos sem considerar correlação. Eventos que se alimentam entre si subestimam a exposição agregada.
- Ignorar eventos raros de alto impacto. Baixa probabilidade não significa baixa relevância.
- Manter planilhas isoladas. Sem histórico, responsável e plano de ação, o número perde valor decisório.
Como calcular ERM de forma contínua com tecnologia
Repetir o ciclo a cada trimestre com planilhas desconectadas consome tempo e fragmenta a informação. O Gestão de Riscos da Actio centraliza riscos, matrizes, testes de controle, planos de mitigação e perdas operacionais em um único ambiente, alinhado às referências ISO 31000, COSO e PMI.
Com a Actio IA, a plataforma ainda detecta automaticamente riscos e lacunas de desempenho. Ao vincular riscos a objetivos e indicadores estratégicos, o gestor deixa de tratá-los como relatório à parte.
A lógica dialoga com a importância do sistema de gestão integrada, em que estratégia, riscos e processos operam como um único ciclo.
Para gestores de médias e grandes empresas, o próximo passo é escolher o arcabouço, calibrar as escalas e dar tecnologia ao processo.
Conheça o Actio Gestão de Riscos Corporativos (ERM) e agende uma demonstração gratuita com um de nossos especialistas.
