Matriz de riscos: como o conselheiro lê e usa na análise de uma matéria

Matriz de riscos é uma ferramenta de organização: lista os riscos de uma matéria ou da entidade, estima a probabilidade e o impacto de cada um, indica quem responde por controlá-lo e mostra o que já existe de mitigação. As normas das EFPC consultadas não usam a expressão nem impõem um modelo único de matriz, mas exigem que a entidade identifique, avalie e acompanhe riscos e que o conselho deliberativo observe controles internos adequados ao porte, à complexidade e aos riscos dos planos (Resolução Previc nº 23/2023, art. 7º, parágrafo único). Este guia mostra como o conselheiro pode ler a matriz da entidade e montar uma para a matéria que vai decidir, com a ressalva de que o formato é uma proposta da Tauer.

O que a norma exige sobre riscos

• Conselho deliberativo. Deve observar princípios, regras e práticas de governança, gestão e controles internos aplicáveis segundo o porte da EFPC e dos planos, a complexidade e os riscos inerentes, visando à segurança da situação econômico-financeira e atuarial (Res. Previc 23/2023, art. 7º, parágrafo único);
• Conselho fiscal. Como órgão de controle interno, deve zelar pela gestão econômico-financeira com controles adequados ao porte e aos riscos (art. 8º, § 1º). Veja o post sobre o relatório de controles internos;
• Auditoria interna. O conselho deliberativo poderá instituir auditoria interna que se reporte a ele, para avaliar de maneira independente os controles internos (art. 14);
• Investimentos. A política de investimento deve indicar procedimentos e critérios para avaliar riscos de crédito, mercado, liquidez, operacional, legal, sistêmico e outros inerentes às operações (art. 212, VII, b). Nas entidades do segmento S1, a gestão dos recursos é segregada da gestão de risco, com responsáveis independentes (art. 217). Segundo a Resolução CMN nº 4.994/2022, a entidade deve designar administrador ou comitê responsável pela gestão de riscos e, na carteira própria, identificar, analisar, avaliar, controlar e monitorar os riscos (arts. 9º e 10, versão vigente no portal do Banco Central);
• Negociações privadas com ações. O processo decisório exige declaração do administrador ou comitê de gestão de riscos sobre os riscos da operação, entre outras etapas (art. 218, III);
• Auditoria independente. Nas entidades S1, o relatório para propósito específico avalia a adequação dos controles internos aos riscos suportados e a governança (art. 20, III; veja o guia sobre demonstrações contábeis).

Como ler a matriz da entidade

1. Quais riscos estão listados. Atuarial, de investimento (crédito, mercado, liquidez), operacional, legal, de conformidade, de tecnologia, reputacional, de conflito de interesses;
2. Como foram avaliados. Escala de probabilidade e de impacto, e quem atribuiu as notas;
3. Quem é o responsável por cada risco e onde fica o controle;
4. Que mitigação existe e se foi testada (auditoria interna, relatório do fiscal, relatório do auditor);
5. Quando foi revisada e o que mudou desde a última versão;
6. O que chega ao conselho. A matriz é apresentada com periodicidade definida? Há indicadores?

Uma matriz simples para a matéria em pauta

Para decidir sobre uma matéria, o conselheiro pode montar uma tabela de cinco colunas. O modelo abaixo é uma sugestão de trabalho, não exigência normativa:

• Risco: o que pode dar errado, em uma frase;
• Probabilidade e impacto: baixo, médio ou alto, com a justificativa;
• Evidência: o documento que sustenta a avaliação (parecer, relatório, ata);
• Controle ou mitigação: o que já existe e quem responde;
• Pergunta pendente: o que falta esclarecer antes de votar.

Exemplo de uso: ao analisar uma troca de gestora, os riscos de liquidez, de concentração e de conflito de interesses entram como linhas, cada um com o documento que o sustenta. Veja também como ler a política de investimentos.

As cinco perguntas aplicadas aos riscos

1. O que está sendo decidido? A matéria e o risco que ela cria ou altera.
2. Qual regra se aplica? Norma, estatuto, política de investimentos, política de riscos da entidade.
3. Que evidências temos? Relatórios de risco, de auditoria e do conselho fiscal.
4. Quais riscos precisam ser considerados? A própria matriz.
5. A informação é suficiente? Se a avaliação for genérica ou sem responsável, pedir complemento por escrito e registrar (Res. Previc 23/2023, art. 230, § 2º).

O método completo está em como analisar as matérias do conselho de uma EFPC.

Como a Tauer apoia

A Tauer apoia conselheiros na leitura da matriz de riscos da entidade e na montagem de quadros de análise por matéria. Conheça a assessoria para conselheiros ou fale com a equipe. Este texto é informativo e não substitui orientação técnica ou jurídica.

Perguntas frequentes

A norma obriga a EFPC a ter matriz de riscos?

As normas consultadas não usam a expressão. Elas exigem controles internos e gestão de riscos adequados ao porte e à complexidade, e procedimentos de avaliação de riscos na política de investimento. Verifique o que o estatuto e as políticas da sua entidade preveem.

Quem é responsável pela gestão de riscos?

Segundo a Resolução CMN 4.994/2022, um administrador ou comitê designado pela entidade; nas S1, separado da gestão dos recursos (Res. Previc 23/2023, art. 217).

O conselheiro precisa montar a matriz?

Não necessariamente. Precisa entender a que a entidade usa e, quando útil, organizar a sua análise da matéria em pauta.

A nota de uma agência de rating basta como análise de risco?

Não. A Resolução CMN 4.994/2022 (art. 10, § 2º) dispõe que a utilização de avaliação de agência classificadora de risco não substitui a análise de riscos da própria entidade.

Fontes

Resolução Previc nº 23/2023, arts. 7º, 8º, 14, 20, 212, 217, 218 e 230 (texto consolidado até a Resolução Previc nº 25/2024, PDF oficial da Previc) · Resolução CMN nº 4.994/2022, arts. 9º e 10 (versão vigente, Banco Central). Consultadas em outubro de 2026.