Guia: Indicadores & Apetite a Risco

Este guia cobre dois módulos que trabalham juntos: os Indicadores que monitoram o dia a dia da sua organização, e o Apetite a Risco (RAS) que declara o quanto de risco a organização está disposta a tolerar.

Parte 1 — Indicadores (KRI/KPI/KCI)

As 3 siglas, em linguagem simples

• KRI (Indicador-Chave de Risco) — mede a exposição a um risco específico. Ex.: “número de tentativas de fraude por mês”.
• KPI (Indicador-Chave de Performance) — mede o desempenho de um processo. Ex.: “tempo médio de aprovação de crédito”.
• KCI (Indicador-Chave de Controle) — mede se um controle está funcionando como esperado. Ex.: ”% de acessos revisados no prazo”.

Criando um indicador

Limites e escada de ações

Cada indicador pode ter limites — o valor (ou faixa) a partir do qual uma medição é considerada fora do esperado. Os limites são versionados: toda mudança fica registrada, com data de vigência.

Quando um limite é definido, você escolhe o que acontece se ele for rompido — a escada de ações:

• Alerta — só sinaliza, sem exigir uma resposta formal.
• Investigação — abre uma investigação pendente: alguém precisa dar um veredito.
• Escalonamento — cria automaticamente um apontamento, direcionado à governança (ex.: diretoria de riscos).

Rompimento e veredito humano

Quando uma medição rompe um limite configurado para Investigação, o indicador fica com uma investigação pendente até que um responsável registre o veredito:

• Escalonar — confirma que é um problema real; abre um apontamento automaticamente, já vinculado ao escopo do indicador.
• Justificar — registra como falso-positivo, com uma nota explicando por quê; nenhum apontamento é criado.

Medições — fonte e evidências

Cada medição pode registrar, opcionalmente, a fonte da informação (de onde veio o dado) e anexar evidências (documentos, links) que sustentam o valor medido.

Parte 2 — Apetite a Risco (RAS)

O que é a Declaração de Apetite a Risco

A RAS (Risk Appetite Statement) é o documento formal onde a organização declara o quanto de risco está disposta a aceitar, categoria por categoria — por exemplo, “baixo apetite para risco de fraude, apetite moderado para risco operacional”.

Tolerância baseada em meta

A forma mais comum de configurar a tolerância de um limite é baseada numa meta (o valor-alvo do indicador): você define a meta e uma margem percentual ao redor dela — “Meta → Tolerância → Limite”. Isso funciona com qualquer unidade de medida (%, R$, dias, contagem), sem precisar recalcular limites absolutos toda vez que a meta muda.

O apetite restringe os limites

Quando uma categoria de risco tem uma postura de apetite declarada, ela restringe o que um limite de indicador daquela categoria pode configurar: uma postura mais avessa a risco (mais restritiva) exige, no mínimo, que o rompimento do limite abra uma investigação — nunca menos que isso. Ou seja, o apetite declarado “morde”: ele não é só um documento, ele limita a configuração operacional dos indicadores vinculados.