Guia: Registro de Riscos
O módulo de Registro de Riscos é onde sua organização mantém o inventário de riscos corporativos — o ponto de partida da gestão de GRC.
Criando um risco
Abra “Novo risco”
No menu lateral, acesse Riscos e clique em “Novo risco”.
Escolha o nível e descreva o risco
Escolha o nível do risco: Operacional (ancorado num processo da hierarquia Empresa → Unidade → Processo) ou Corporativo (estratégico, da alta gestão — exige permissão própria; veja Riscos Corporativos e Operacionais abaixo). Depois preencha título e descrição — se preferir, digite só algumas palavras-chave e peça pra IA sugerir uma descrição completa, inclusive causas e consequências.
Registre causas e consequências
Causas são os fatores que originam o risco; consequências são os impactos caso ele se materialize. Ambos ajudam quem for revisar o risco depois a entender o raciocínio por trás da avaliação.
Avalie a severidade
Classifique probabilidade e impacto — isso posiciona o risco na matriz da sua organização (veja abaixo).
Salve
O risco recebe um código sequencial (ex.: RSK-001) e já aparece na
listagem e no dashboard.
Riscos Corporativos e Operacionais
Todo risco tem um nível declarado, escolhido no momento do cadastro (alterar o nível de um risco já cadastrado é uma ação de Administrador, feita na própria ficha do risco):
- Corporativo — risco de natureza estratégica, tratado pela alta gestão, sem ligação direta com um processo específico.
- Operacional — risco ancorado na hierarquia da sua organização (Empresa → Unidade de Negócio → Processo).
Riscos cadastrados antes dessa classificação existir aparecem como “Não classificado”; um Administrador pode classificá-los em lote, numa tela própria de triagem.
A listagem de Riscos tem um filtro de Nível com as opções Todos, Corporativo e Operacional. Na vista Todos, os riscos aparecem agrupados em seções retráteis por nível — Corporativos, Sem classificação e Operacionais (esta última preservando a hierarquia Empresa → Unidade → Processo).
Cadastrar um risco como Corporativo exige uma permissão própria (a capacidade “Riscos corporativos” — veja Administração), concedida por padrão ao perfil Administrador e configurável em perfis personalizados. Desvincular qualquer risco do processo ao qual ele foi ligado também é um gesto controlado, da mesma família de permissão — concedido por padrão aos perfis Administrador e Gestor de Riscos.
Matriz de risco: inerente × residual
A VALLUS.GRC avalia o risco em dois momentos:
- Risco inerente — o quão grave o risco seria sem considerar os controles que já existem.
- Risco residual — o quão grave o risco ainda é, depois de levar em conta os controles vinculados a ele.
Os dois são exibidos numa matriz visual (probabilidade × impacto), configurável por organização em 3×3, 4×4 ou 5×5 níveis. Uma regra simples é sempre respeitada: o risco residual nunca pode ser maior que o inerente — controles reduzem risco, nunca aumentam.
O dashboard principal mostra a matriz da organização inteira, com um alternador para ver a visão inerente ou residual — e você pode clicar em qualquer célula para ver só os riscos daquele quadrante.
Assistente de IA
Em qualquer ponto do cadastro, você pode contar com apoio de IA:
- Sugerir — a partir de poucas palavras-chave, a IA propõe título, descrição, causas e consequências completos.
- Revisar — a IA lê o que você já escreveu e sugere melhorias de clareza e completude, sem substituir seu texto sem sua confirmação.
- Classificar — enquanto você digita o título, a IA já sugere a categoria de risco mais provável, com base no catálogo da sua organização.
Toda sugestão de IA é isso mesmo — uma sugestão. Você sempre revisa e confirma antes de salvar.
Maturidade do risco
Cada risco ganha uma nota de maturidade de 0 a 100, que não mede o tamanho do risco, mas a qualidade da gestão dele: se há controles vinculados e testados, se a avaliação residual está em dia, e se existem apontamentos em aberto puxando a nota para baixo. Um risco crítico bem gerenciado tem maturidade alta; um risco moderado abandonado tem maturidade baixa — e merece atenção.
Status e conclusão
Os status de um risco são configuráveis pela sua organização (em Configurações → Riscos), com uma cor e uma ordem próprias. Ao marcar um risco como concluído (ou equivalente), ele sai do radar operacional do dia a dia, mas continua no histórico — nada é apagado.