Gestão de riscos de integridade e a matriz de riscos.

Imagine uma empresa que já tem código de conduta e canal de denúncias e agora ouve que precisa de uma matriz de riscos de integridade. As perguntas são o que é risco de integridade, se a lei exige a análise, como fazer e de quanto em quanto tempo revisar. Para complicar, a expressão matriz de riscos aparece na Lei 14.133, abre em nova aba com outro sentido.

Este texto separa o que a norma escreve do que a CGU recomenda, e o que é interpretação vem dito como leitura. As fontes oficiais foram conferidas em 17 de outubro de 2026. O programa de integridade como um todo está em o que é programa de integridade e para que serve.

O que a norma chama de risco para integridade

Para empresa, a definição escrita em norma que lemos está numa pergunta da Portaria Normativa SE/CGU 226/2025, abre em nova aba. A pergunta 6.3 do Anexo II fala em análise de riscos que contemple “riscos para integridade, isto é, aqueles relacionados a corrupção e fraude”. O Guia de Autoavaliação do Pacto Brasil repete a mesma fórmula entre as medidas mínimas.

As Diretrizes para Empresas Privadas, volume II, de agosto de 2024, dizem que o risco para integridade “não está presente apenas nos grandes casos de corrupção que alcançam os noticiários” e que ele pode estar em diversas atividades do dia a dia, “ainda que não celebre contratos com o Poder Público”. O guia se declara orientativo, sem caráter normativo ou vinculante.

A definição que mais circula na internet é a do setor público. O guia de gestão de riscos para a integridade da CGU, de setembro de 2018, foi feito para órgãos e entidades da administração federal e reproduz a definição de uma portaria da CGU daquele ano, voltada ao setor público. Este texto não conferiu se essa norma continua em vigor, e a definição dela não é regra para empresa.

A análise é parâmetro, não obrigação geral

Os dois decretos de integridade põem a gestão de riscos entre os parâmetros pelos quais o programa é avaliado. O texto é quase igual nos dois.

O Decreto 11.129, abre em nova aba traz a mesma ideia no art. 57, V, abre em nova aba, e serve à dosimetria da multa da Lei Anticorrupção, abre em nova aba (Lei 12.846/2013, art. 7.º, VIII, abre em nova aba). O Decreto 12.304, abre em nova aba serve às contratações da Lei 14.133, abre em nova aba. A Portaria 226, abre em nova aba escreve o parâmetro de outro jeito, como “gestão de riscos de integridade, incluindo a reavaliação periódica dos principais riscos” (Portaria 226, art. 2.º, V, abre em nova aba). Os parâmetros completos estão em programa de integridade no Decreto 11.129 tem 15 parâmetros e em Decreto 12.304 e os 17 parâmetros do programa.

O risco também orienta o programa inteiro. O Decreto 12.304 diz que o programa “deve ser estruturado, aplicado e atualizado de acordo com as características e os riscos relevantes das atividades de cada pessoa jurídica” (Decreto 12.304/2024, art. 2.º, parágrafo único, abre em nova aba). O Decreto 11.129 fala em riscos atuais (Decreto 11.129/2022, art. 56, parágrafo único, abre em nova aba). Na avaliação, os dois decretos mandam considerar o porte e as especificidades da empresa, entre eles o grau de interação com o setor público e a importância de contratações, licenças e autorizações nas suas operações (Decreto 11.129/2022, art. 57, § 1.º, VII).

Nenhum texto lido manda toda empresa privada fazer análise de riscos de integridade. A estatal tem regra própria, porque a Lei 13.303, abre em nova aba manda a empresa pública e a sociedade de economia mista adotar regras de estruturas e práticas de gestão de riscos e controle interno (Lei 13.303/2016, art. 9.º, abre em nova aba). O alcance do Decreto 12.304 e da Portaria 226 é federal, e o Decreto 12.304 chega a estados e municípios só nas contratações com recursos de transferências voluntárias da União (Decreto 12.304/2024, art. 1.º, parágrafo único, abre em nova aba).

As oito perguntas da CGU sobre a análise de riscos

Quando a CGU avalia o programa, a Portaria 226, abre em nova aba usa um questionário no Anexo II, com perguntas de nível QN1 a QN5. A Área III trata da gestão de riscos para integridade e tem oito perguntas. A central é esta.

A 6.3 é de nível QN1, vale 20 pontos e é a única QN1 da Área III. A instrução da pergunta manda anexar “a matriz de riscos ou documento equivalente, incluindo comprovação de que foi aprovado pela alta direção da entidade, no período indicado”. O Anexo I define as QN1 como “elementos mínimos e fundamentais de cumprimento obrigatório” (Portaria 226, Anexo I, item 2.1.3.1), e a pontuação integral nelas é critério no grande vulto (Portaria 226, Anexo I, item 3.1), no desempate quando a CGU convoca o licitante e na reabilitação (Portaria 226, Anexo I, itens 4.1 e 5.1).

Na leitura deste texto, sem análise de riscos que cubra corrupção e fraude, feita nos 24 meses anteriores e com aprovação da alta direção comprovada, não há pontuação integral em QN1, e o programa não é considerado implantado ou desenvolvido nessas três avaliações. Nenhuma pergunta da Área III leva a nota [1], a que tira questões de micro e pequena empresa.

Os 24 meses da 6.3 são a janela que a CGU olha na avaliação, e não prazo legal de revisão. A periodicidade da revisão é a empresa que define, e a 6.2.1 pontua a política que a fixa. Na mesma linha, classificar por probabilidade e impacto (6.3.2) e mapear os riscos de licitação e contrato (6.3.1) pontuam, mas não são QN1, e a mitigação com prazos e responsáveis (6.3.3) vale 18 pontos, em nível QN5.

No grande vulto, a Portaria 226 permite considerar na verificação as características do contrato que possam impactar os riscos para a integridade, como o objeto e a possibilidade de subcontratação (Portaria 226, art. 2.º, § 2.º, abre em nova aba), e diz que o programa deve estar aplicado de acordo com os riscos relevantes, “incluindo os riscos decorrentes da contratação de grande vulto” (Portaria 226, art. 3.º, parágrafo único, abre em nova aba). O tema está em programa de integridade em obras de grande vulto.

Outras áreas dependem da análise. A 9.1, de nível QN1, pergunta se há políticas ou procedimentos específicos para prevenção de ilícitos em licitações e contratos administrativos. A 10.3, de nível QN5, pergunta por treinamentos dos últimos 12 meses alinhados aos principais riscos de cada público. A 14.1.4, de nível QN3, pergunta se a política prevê medidas quando a diligência indica alto risco na contratação de um terceiro, assunto de due diligence de terceiros no programa de integridade. A portaria inteira está em programa de integridade na Portaria 226 da CGU explicada.

Como fazer, segundo os guias da CGU

A metodologia é livre. As Diretrizes de 2024 dizem que existem no mercado diversas metodologias de avaliação de riscos, “cabendo a cada empresa utilizar a que lhe for mais conveniente”, e logo depois que “espera-se que as empresas avaliem, de fato, os riscos para integridade existentes em suas atividades”. As etapas abaixo seguem o que as Diretrizes, o guia de 2015 e o Pacto Brasil descrevem, e a ordem é leitura deste texto.

1. Conhecer o perfil e o mercado. O guia de 2015, escrito sob um decreto de 2015 já revogado e também orientativo, pede uma avaliação que leve em conta as características dos mercados onde a empresa atua, como cultura local, nível de regulação estatal e histórico de corrupção.
2. Identificar os riscos de corrupção e fraude, inclusive na licitação e no contrato. As Diretrizes recomendam, na política de licitações, o “mapeamento prévio dos riscos para integridade relacionados à participação na licitação/celebração do contrato”, e a Portaria pontua esse mapeamento na 6.3.1.
3. Classificar cada risco por probabilidade e impacto. É o que as Diretrizes, o guia de 2015 e o Pacto Brasil descrevem, e o que a 6.3.2 pontua.
4. Priorizar. As Diretrizes falam em identificar, classificar, priorizar e definir medidas mitigatórias, nessa ordem.
5. Definir medidas com responsável e prazo. A 6.3.3 pontua as medidas com prazos de implementação e responsáveis.
6. Aprovar na alta direção e guardar a prova. A instrução da 6.3 pede a comprovação da aprovação, e as Diretrizes recomendam coordenação, de preferência, pela instância responsável pelo programa e supervisão da alta direção.
7. Rever. O guia de 2015 recomenda mapeamento periódico, para captar riscos novos de mudança de lei, de regulamentação ou da própria empresa, como entrada em novos mercados ou abertura de filiais. Para cada contrato, as Diretrizes recomendam reavaliar os riscos “a depender do prazo de vigência do contrato”.

O formato também é livre. A instrução da 6.3 aceita “matriz de riscos ou documento equivalente”, e o Pacto Brasil diz que a análise é evidenciada por matrizes, laudos, relatórios ou questionários, produzidos pela empresa ou por terceiro contratado, feita ou refeita nos 24 meses anteriores à autoavaliação. O guia de 2018, feito para órgãos públicos, sugere começar com uma matriz 4x4 ou 5x5, e isso é sugestão para o setor público, não exigência para empresa. As normas ISO e o COSO não foram lidos para este texto, e a busca por ISO na Portaria 226, abre em nova aba e nas Diretrizes de 2024 deu zero.

As Diretrizes e o Pacto Brasil também recomendam mapear os riscos ambientais, sobretudo para quem contrata ou pretende contratar com o Poder Público. O Decreto 12.304, abre em nova aba soma a mitigação de riscos sociais e ambientais aos objetivos do programa (Decreto 12.304/2024, art. 2.º, II, abre em nova aba), mas a pergunta mínima da Portaria trata de corrupção e fraude, e o risco ambiental não é QN1. Para a empresa multinacional, as Diretrizes dizem que é fundamental avaliar os riscos ligados à atuação no Brasil.

Exemplos de risco que a CGU cita

As Diretrizes de 2024 trazem uma lista de condutas que, segundo a CGU, levaram a sanção da Lei Anticorrupção, abre em nova aba. Alguns itens da lista mostram que o risco nem sempre está em contrato grande.

• Concessão de vantagem indevida de pequeno valor a servidor público de baixo escalão para obtenção de certidões.
• Concessão de ingressos de evento esportivo a servidor público.
• Apresentação de documentos falsos para comprovar critérios de habilitação exigidos em licitações.

O guia diz ser recomendável que as empresas avaliem o risco de eventos semelhantes ocorrerem nas suas atividades e adotem medidas para mitigá-los. A lista é da CGU e serve de exemplo, e não descreve nenhum caso daqui.

Um exemplo de matriz, como leitura deste texto

A tabela mostra o formato de uma matriz simples, com riscos tirados da lista da CGU e das áreas da Portaria 226, abre em nova aba. É ilustração deste texto, não é modelo da CGU, e os níveis de probabilidade e impacto foram atribuídos só para mostrar a forma. Cada empresa chega aos seus pela própria análise.

A matriz de riscos da Lei 14.133 é outra coisa

Na Lei 14.133, abre em nova aba, matriz de riscos é cláusula do contrato.

O edital pode prever matriz de alocação de riscos entre contratante e contratado, e o valor estimado pode considerar taxa de risco compatível com o objeto e com os riscos atribuídos ao contratado (Lei 14.133/2021, art. 22, abre em nova aba). Pela contagem feita no texto da lei, a expressão matriz de riscos aparece cinco vezes, e riscos para a integridade nenhuma.

Os dois nomes coincidem, e o objeto, quem faz e para que serve são diferentes. Uma empresa pode ter as duas na mesma obra, uma no programa de integridade e outra no contrato assinado com o órgão.

O que o TCU disse sobre o risco de integridade do fornecedor

Não localizamos acórdão do TCU que exija matriz de riscos de integridade de quem licita. O tema aparece do outro lado do balcão, quando uma estatal federal atribui grau de risco de integridade aos fornecedores.

No Acórdão 1845/2019-Plenário, abre em nova aba, da sessão de 7 de agosto de 2019, o TCU determinou à sua unidade técnica que examinasse, em processo apartado, a legitimidade e a legalidade dos procedimentos usados pela estatal para aferir o Grau de Risco de Integridade de empresas e o uso desse grau como critério de habilitação (item 9.5). O voto descreve a avaliação como parte de uma investigação sobre a idoneidade da empresa e do quadro societário, chamada pela estatal de due diligence de integridade.

No Acórdão 12693/2019-Segunda Câmara, abre em nova aba e no Acórdão 6308/2021-Segunda Câmara, abre em nova aba, o voto registrou que aqueles processos não deveriam avaliar o uso do grau de risco como requisito de habilitação, porque a controvérsia seria tratada no processo específico aberto pelo Acórdão 1845/2019-Plenário.

O Acórdão 1/2024-Plenário, abre em nova aba, da sessão de 17 de janeiro de 2024, é um acórdão de relação, que monitora decisão anterior. Essa decisão anterior está classificada como sigilosa na base do tribunal e só a conhecemos pelo que o acórdão de 2024 reproduz. O TCU reiterou a determinação para que o conselho de administração da estatal incluísse na sua política interna disposições sobre a diligência de integridade e o grau de risco.

• Definição do conceito de diligência apropriada.
• Procedimentos que assegurem a impessoalidade e a legalidade na atribuição do grau.
• Nível de contraditório e ampla defesa, com recursos e instâncias.
• Publicidade dos critérios que levaram ao grau atribuído à empresa avaliada.
• Etapas e condições em que o grau atribuído a potenciais fornecedores será considerado nas licitações.

Na leitura deste texto, o TCU não disse que o licitante precisa ter matriz de riscos. Disse que, quando a estatal usa o risco de integridade do fornecedor para decidir contratação, o critério precisa ser definido, impessoal, com contraditório e com publicidade mínima à empresa avaliada. Para quem fornece a estatais, isso mostra que o perfil de risco da empresa também é medido por quem contrata. O Manual de Licitações e Contratos do TCU, no item 2.1, reproduz o parâmetro de gestão de riscos do Decreto 12.304, abre em nova aba.

O que este texto deixa de fora

Não foram lidos o manual prático da CGU de 2023 sobre gestão de riscos de ilícitos administrativos disciplinares, citado nas Diretrizes, o guia para empresas sobre riscos associados a organizações criminosas, feito pela ICC Brasil com a CGU, outra portaria da CGU de 2019 sobre o tema no setor público e normas de Santa Catarina ou de municípios. As normas ISO 31000 e ISO 37001 e o COSO não são norma pública brasileira e não entram como fonte.

O Decreto 9.203/2017, abre em nova aba, que as Diretrizes citam para a definição de gestão de riscos, trata de órgãos da administração federal. Ele define gestão de riscos como processo permanente “direcionado e monitorado pela alta administração” (Decreto 9.203/2017, art. 2.º, IV, abre em nova aba) e manda os órgãos instituírem programa de integridade com análise, avaliação e gestão dos riscos associados ao tema (Decreto 9.203/2017, art. 19, III, abre em nova aba). As Diretrizes dizem que a mesma lógica se aplica ao setor privado, mas o Decreto 9.203 não obriga empresa.

Se a sua empresa está montando ou revendo a análise de riscos de integridade e quer entender o que se aplica ao caso dela, fale com o Cleber.

Este texto é informativo e geral. Não trata de caso concreto e nada aqui promete pontuação em avaliação da CGU nem vantagem em licitação.