A pergunta
Quem administra recursos com destinação definida em lei precisa mostrar, o tempo todo, que segue as regras: gratuidade para quem tem direito, compras com licitação, contratos fiscalizados, dados de alunos protegidos. Quando uma regra falha, o problema costuma aparecer tarde, num apontamento de auditoria.
A pergunta tinha três partes: quais riscos de conformidade existem em cada processo, qual a chance de cada um acontecer em cada unidade e quais tratar primeiro.
Os dados são fictícios, gerados para este estudo com parâmetros calibrados em fontes públicas (relatórios de gestão, regras de gratuidade do Sistema S e temas de auditoria do Tribunal de Contas da União). Não representam nenhuma instituição real.
O caminho
O P005 seguiu as 8 etapas do método Solucionador, em três momentos: antes (entender o problema), durante (pôr a mão na massa) e depois (decidir e agir). Cada etapa deixou um produto, e em quatro delas quem fez a pergunta validou o trabalho antes de seguir.
- 1Análise inicialAntes
- 2FundamentaçãoAntes
- 3Ideação e desenhoAntes
- 4Obtenção e tratamento dos dadosDurante
- 5MineraçãoDurante
- 6RelatóriosDurante
- 7Análise dos painéisDepois
- 8Plano de ação e controleDepois
- 1Análise inicialAntesValidado com quem perguntou
O recorte ficou definido: a instituição inteira, com a sede nacional, 27 departamentos regionais e suas unidades. Cada risco seria classificado em Alto, Médio e Baixo, sempre com os termos por extenso, e a pergunta foi aprovada antes de qualquer dado.
Gerou: descrição do problema, com escopo e critérios de aceite - 2FundamentaçãoAntes
Três referências de gestão de riscos (ISO 31000, COSO e o modelo das Três Linhas) e uma técnica estatística: a regressão logística, que estima a chance de um evento acontecer e o peso de cada fator. Para priorizar, a matriz de Eisenhower: o que é importante e urgente vem primeiro.
Gerou: fundamentação teórica, com os testes que cada técnica exige - 3Ideação e desenhoAntesValidado com quem perguntou
Três caminhos foram comparados por critérios com peso. Venceu a regressão logística, com a frequência histórica e um modelo em dois níveis (unidade e departamento) como comparação. Na validação, quem perguntou pediu a classificação por risco específico e a escala real da instituição.
Gerou: plano do trabalho e fluxo da solução - 4Obtenção e tratamento dos dadosDurante
Como não existe estatística pública de não conformidade por processo, os dados foram simulados: 13 processos, 39 riscos, 645 locais e 24 meses, num total de 53.904 registros. Cada parâmetro tem a fonte anotada, e erros plantados de propósito (valores faltando, volumes multiplicados por 100) foram achados e corrigidos por regras escritas.
Gerou: base tratada, registro de riscos e dicionário de dados - 5MineraçãoDurante
O modelo vencedor, em dois níveis, acertou a ordem do risco em 70 de cada 100 pares de casos que não viu no ajuste, perto do máximo possível com esses dados (71). A chance de cada risco em 12 meses virou uma nota de 1 a 5.
Gerou: modelo e classificação de 6.738 combinações de risco e local - 6RelatóriosDurante
Os resultados viraram um painel interativo em seis atos e um relatório no Power BI com sete páginas, todos com os mesmos números, conferidos por teste automático.
Gerou: painel interativo e relatório no Power BI - 7Análise dos painéisDepoisValidado com quem perguntou
Com quem perguntou, a leitura virou decisão: a regra de urgência ficou mais restrita (prazo anual em até 90 dias, auditoria em até 6 meses ou efeito rápido com chance alta), e a exposição em reais ficou como índice para ordenar, não como previsão de gasto.
Gerou: relatório final (PDF) e parecer de validação - 8Plano de ação e controleDepoisValidado com quem perguntou
A decisão virou um plano de 90 dias: três ondas, dezesseis ações com responsável e prazo e uma forma de medir o efeito sem deixar nenhum risco sem tratamento. Quem perguntou aprovou o plano como estava, com início em 13/10/2026.
Gerou: plano de ação, planilha de controle e página Plano de ação no Power BI
O resultado
O que protege e o que agrava
Comparando unidades iguais em todo o resto, estes são os fatores que mais mudam a chance de uma não conformidade:
Alto, Médio e Baixo
A chance de cada risco acontecer em 12 meses virou uma nota de 1 a 5. O impacto, avaliado pelo pior caso entre o financeiro, o legal e a imagem, outra nota de 1 a 5. Multiplicadas, dão o nível de cada uma das 6.738 combinações de risco e local:
O que fazer primeiro
Importância é o nível. Urgência é ter um prazo legal anual em até 90 dias, uma auditoria prevista em até 6 meses ou um risco de efeito rápido com chance alta. Cruzando os dois, como na matriz de Eisenhower:
E dá para confiar? Testado em seis meses que não viu durante o ajuste, o modelo acertou a ordem do risco em 70 de cada 100 pares de casos (área sob a curva de 0,699), contra 0,571 de uma régua simples e 0,636 da frequência histórica, a prática mais comum. Como os dados são simulados, dá para saber o máximo possível: 0,705. A chance prevista ficou a no máximo 1,4 ponto percentual da real em cada faixa. A validação completa terminou com parecer Aprovado, nota 96,8%.
Para quem quer se aprofundarO modelo, os testes e as ressalvas
Cinco modelos concorreram com uma regra escrita antes dos testes: uma régua simples (processo e porte), a regressão logística com erros agrupados por unidade, a logística com seleção de variáveis, a frequência histórica suavizada e a logística multinível, com o departamento como segundo nível. Venceu a multinível, com sete fatores. Seis dos sete efeitos usados para gerar os dados foram recuperados dentro do intervalo de confiança de 95%.
chance no mês = 1 / (1 + e^−(β₀ + β₁X₁ + … + β₇X₇ + u_departamento)) chance em 12 meses = 1 − Π (1 − chance no mês × participação do risco)Ressalvas registradas: as taxas de base são premissas, porque não existe estatística pública de não conformidade por processo (exceção formal aprovada por quem perguntou); a exposição de R$ 393 milhões em 12 meses é um índice para ordenar riscos, não uma previsão de gasto; o teste de Hosmer-Lemeshow rejeitou por causa do tamanho da amostra, mas a calibração por faixa ficou dentro do limite; a revisão final não foi feita por um avaliador independente. Técnicas: Fávero & Belfiore (2017), cap. 13 e cap. 16; ISO 31000:2018; COSO ERM (2017); IIA, modelo das Três Linhas (2020). Análise em Python, visualização em Power BI.
O plano de ação
Classificar não basta: o que reduz o risco é agir na ordem certa, com dono e prazo. O plano cobre 1.760 combinações, todas as de nível Alto e as Médias urgentes, em 90 dias.
Três ondas, começando pelo que é alto e urgente
As ondas seguem a exposição em jogo. A primeira concentra 32% da exposição do plano em só 9% das combinações.
A porcentagem é a parte de cada onda na exposição em 12 meses do plano, um índice para ordenar, não uma previsão de gasto.
Como saber se funcionou
Num tema de conformidade não dá para sortear um grupo que fica sem tratamento: a regra vale para todos. Por isso o efeito é medido de outro jeito. O modelo diz quantas não conformidades eram esperadas sem nenhuma ação, e a equipe registra as que de fato aconteceram. Como as ondas começam em semanas diferentes (2, 4 e 6), também dá para comparar quem já começou com quem ainda não começou.
Uma planilha, uma reunião, uma decisão
O plano também tem uma versão para abrir no navegador, com as ondas, o cronograma e o detalhe de cada ação. Ao carregar nela a planilha preenchida, a página passa a mostrar o andamento real.