A Matriz de Risco 5×5 é uma ferramenta de avaliação de riscos descrita na IEC 31010:2019 e usada no processo de gestão de riscos da ISO 31000:2018 que classifica cada risco identificado em uma escala de 1 a 5 em duas dimensões: Probabilidade (chance de ocorrer) × Impacto (severidade se ocorrer). O produto P × I gera um número de 1 a 25 que classifica o risco em Baixo, Médio, Alto ou Crítico, definindo a urgência e o tipo de ação (aceitar, mitigar, transferir ou evitar — ISO 31000:2018, 6.5.2).
Por que a ISO 9001 exige gestão de riscos?
A ISO 9001:2015 introduziu o conceito de pensamento baseado em risco em toda a norma (ABNT NBR ISO 9001:2015, 0.3.3). A cláusula 6.1 é explícita: "A organização deve determinar riscos e oportunidades a serem abordados, planejar ações e avaliar sua eficácia." (ABNT NBR ISO 9001:2015, 6.1.1 e 6.1.2)
A norma não obriga uma metodologia específica (ABNT NBR ISO 9001:2015, Anexo A.4), mas é comum adotar a Matriz 5×5 (IEC 31010:2019) no processo da ISO 31000 por sua simplicidade e robustez.
As 5 escalas de Probabilidade
As escalas e faixas abaixo são exemplos: cada organização define os próprios critérios de risco (ISO 31000:2018, 6.3.4).
- 1 — Raro — pode ocorrer em circunstâncias excepcionais (1x a cada 5+ anos)
- 2 — Improvável — pode ocorrer ocasionalmente (1x a cada 2-5 anos)
- 3 — Possível — pode ocorrer em algum momento (1x ao ano)
- 4 — Provável — provavelmente ocorrerá (semestralmente)
- 5 — Quase Certo — esperado ocorrer (mensal ou mais frequente)
As 5 escalas de Impacto
- 1 — Insignificante — sem impacto material (atraso de horas)
- 2 — Pequeno — impacto local, recuperável rapidamente
- 3 — Moderado — impacto departamental, dias para recuperar
- 4 — Grande — impacto na operação, semanas para recuperar, perda financeira significativa
- 5 — Catastrófico — ameaça a continuidade do negócio, danos a pessoas, processos legais
A Matriz 5×5 visual
Multiplicando os dois eixos:
- 1-4 (Baixo) 🟢 — aceitar e monitorar
- 5-9 (Médio) 🟡 — mitigar quando possível, plano de ação
- 10-15 (Alto) 🟠 — mitigar prioritariamente, ação imediata
- 16-25 (Crítico) 🔴 — eliminar ou transferir; bloquear operação se necessário
Como classificar um risco — exemplo prático
Risco: "Falha no fornecimento de matéria-prima crítica X"
- Probabilidade: 3 (Possível — fornecedor único, histórico de atraso)
- Impacto: 4 (Grande — para linha de produção por dias, perda de faturamento)
- Score: 3 × 4 = 12 (Alto)
- Ação: mitigar prioritariamente. Plano de ação: qualificar fornecedor B alternativo até Out/2026.
🛡️ Matriz 5×5 visual e interativa
QualitControl tem Matriz de Risco 5×5 pronta por setor — clique e classifique, e o sistema calcula automaticamente a categoria, sugere ações e monitora a evolução.
Testar grátisAs 4 estratégias de tratamento
A ISO 31000 lista as opções de tratamento de risco; as quatro abaixo são a forma resumida mais usada (ISO 31000:2018, 6.5.2).
- Aceitar — risco baixo, custo de mitigar maior que o impacto. Apenas monitorar.
- Mitigar — implementar controles que reduzam Probabilidade ou Impacto (ex: contratar 2º fornecedor, instalar sensores, treinar equipe).
- Transferir — passar o risco para terceiro (seguro, terceirização); na ISO 31000:2018, "compartilhar o risco". Não reduz o risco, transfere a consequência.
- Evitar — eliminar a atividade que gera o risco. Ex: descontinuar produto com alto risco de recall.
Revisão periódica
A Matriz não é estática (ISO 31000:2018, 6.6 — monitoramento e análise crítica). Revise trimestralmente (no mínimo) e sempre que houver:
- Mudança no contexto externo (regulamentação, fornecedores, tecnologia)
- Novo produto ou serviço lançado
- Incidente que evidencie risco não mapeado
- Análise crítica pela direção (ABNT NBR ISO 9001:2015, 9.3)
Erros comuns
- Listar 200 riscos — perde foco. Concentre-se nos 15-30 mais relevantes por setor.
- Classificação só pelo gestor — envolva a equipe operacional, eles veem riscos invisíveis para a gerência.
- Plano sem prazo nem responsável — vira lista de boas intenções.
- Nunca revisar — riscos mudam com o contexto.
🎯 Comece sua gestão de riscos hoje
Cadastre riscos por setor, classifique na Matriz 5×5 e acompanhe planos de mitigação. Tudo no QualitControl.
Criar Conta GrátisFontes e referências
- ABNT NBR ISO 31000:2018 — Gestão de riscos: diretrizes. Seções 6.3.4 (definição dos critérios de risco), 6.5.2 (seleção das opções de tratamento de riscos) e 6.6 (monitoramento e análise crítica).
- IEC 31010:2019 — Gestão de riscos: técnicas para o processo de avaliação de riscos (matriz de consequência e probabilidade).
- ABNT NBR ISO 9001:2015 — Sistemas de gestão da qualidade: Requisitos. Seções 0.3.3 (mentalidade de risco), 6.1 (ações para abordar riscos e oportunidades), 9.3 (análise crítica pela direção) e Anexo A.4 (sem exigência de método formal de gestão de riscos).
- ISO 9001:2026 — edição vigente da norma, que substitui a ISO 9001:2015 e mantém a estrutura harmonizada de cláusulas; os itens citados neste artigo seguem a numeração da ABNT NBR ISO 9001:2015. Página oficial: ISO 9001:2026 — ISO.
- Escalas de probabilidade e impacto e faixas de classificação do artigo: exemplos de prática de mercado, sem valores fixados em norma.
- QualitControl: funcionalidades do sistema (matriz de risco 5×5 por setor e planos de mitigação).