Guia: Indicadores & Apetite a Risco

Este guia cobre dois módulos que trabalham juntos: os Indicadores que monitoram o dia a dia da sua organização, e o Apetite a Risco (RAS) que declara o quanto de risco a organização está disposta a tolerar.

Parte 1 — Indicadores (KRI/KPI/KCI)

As 3 siglas, em linguagem simples

• KRI (Indicador-Chave de Risco) — mede a exposição a um risco específico. Ex.: “número de tentativas de fraude por mês”.
• KPI (Indicador-Chave de Performance) — mede o desempenho de um processo. Ex.: “tempo médio de aprovação de crédito”.
• KCI (Indicador-Chave de Controle) — mede se um controle está funcionando como esperado. Ex.: ”% de acessos revisados no prazo”.

Criando um indicador

Limites e escada de ações

Cada indicador pode ter limites — o valor (ou faixa) a partir do qual uma medição é considerada fora do esperado. Os limites são versionados: toda mudança fica registrada, com data de vigência.

Quando um limite é definido, você escolhe o que acontece se ele for rompido — a escada de ações:

• Alerta — só sinaliza, sem exigir uma resposta formal.
• Investigação — abre uma investigação pendente: alguém precisa dar um veredito.
• Escalonamento — cria automaticamente um apontamento, direcionado à governança (ex.: diretoria de riscos).

Rompimento e veredito humano

Quando uma medição rompe um limite configurado para Investigação, o indicador fica com uma investigação pendente até que um responsável registre o veredito:

• Escalonar — confirma que é um problema real; abre um apontamento automaticamente, já vinculado ao escopo do indicador.
• Justificar — registra como falso-positivo, com uma nota explicando por quê; nenhum apontamento é criado.

Medições — fonte e evidências

Cada medição pode registrar, opcionalmente, a fonte da informação (de onde veio o dado) e anexar evidências (documentos, links) que sustentam o valor medido.

Exportar medições em CSV

Além do export da lista de indicadores (1 linha por indicador, com o status mais recente de cada um), você pode exportar a série de medições — 1 linha por medição — para análise mais aprofundada ou uso em ferramentas de BI. O arquivo traz as medições dos últimos 12 meses ou as últimas 12 medições de cada indicador (o que for maior) — o recorte também está declarado no menu e no nome do arquivo, para a série nunca parecer menor do que é. As duas opções ficam no mesmo menu “Exportar”, identificadas pelo grão de cada uma (“Indicadores” e “Medições”).

Arquivar indicador

Um indicador que a organização deixou de usar, mas que não pode ser excluído (porque já tem medições, um apontamento de rompimento ou entra em alguma agregação), pode ser arquivado. Duas condições precisam estar satisfeitas:

• o indicador não pode ter nenhum vínculo de escopo ativo (a um risco, processo ou controle) — se o vínculo existe, é porque o indicador ainda está sendo medido;
• não pode haver uma investigação de rompimento pendente de veredito.

Arquivar é reversível: o indicador some das listagens, do painel do dashboard e dos exports, mas a ficha continua acessível em modo leitura, com um botão “Restaurar” a qualquer momento.

Parte 2 — Apetite a Risco (RAS)

O que é a Declaração de Apetite a Risco

A RAS (Risk Appetite Statement) é o documento formal onde a organização declara o quanto de risco está disposta a aceitar, categoria por categoria — por exemplo, “baixo apetite para risco de fraude, apetite moderado para risco operacional”.

Tolerância baseada em meta

A forma mais comum de configurar a tolerância de um limite é baseada numa meta (o valor-alvo do indicador): você define a meta e uma margem percentual ao redor dela — “Meta → Tolerância → Limite”. Isso funciona com qualquer unidade de medida (%, R$, dias, contagem), sem precisar recalcular limites absolutos toda vez que a meta muda.

O apetite restringe os limites

Quando uma categoria de risco tem uma postura de apetite declarada, ela restringe o que um limite de indicador daquela categoria pode configurar: uma postura mais avessa a risco (mais restritiva) exige, no mínimo, que o rompimento do limite abra uma investigação — nunca menos que isso. Ou seja, o apetite declarado “morde”: ele não é só um documento, ele limita a configuração operacional dos indicadores vinculados.