Modelo de documento · Fase 1

Mapa de riscos da contratação

Identificar os riscos do processo e do teste, classificá-los por probabilidade e impacto e definir ações preventivas e de contingência, com responsáveis. Os riscos da gestão do contrato alimentam a matriz de riscos do CPSI, que é cláusula obrigatória.

Baixar .docx

Leitura sujeita a revisão jurídica interna do órgão ou entidade antes do uso.

Como usar este modelo

PreenchaResponsável pelo mapa de riscos, Local e data, Responsável técnico.
Quem assinaResponsável técnico.
Quando entra no processoJunto com o ETP. No edital-modelo da AGU, a matriz da fase de planejamento e seleção é o anexo III do edital.
Próximo documentoMemória de estimativa do valor máximo

Detalhes do documento

Finalidade

Base

Lei 14.133/2021, art. 18, X
Lei 14.133/2021, arts. 18 e 22, no que couber
Lei Complementar 182/2021, art. 14, § 1º, III
Modelo de Edital do CPSI, com notas explicativas (AGU, atualização de 26/02/2025, versão final), anexo III (matriz de riscos)

Quem elabora

Unidade demandante, com apoio da unidade de inovação, se houver

Erro típico

Confundir o mapa de riscos do processo, que é documento de planejamento, com a matriz de riscos do contrato, que aloca riscos entre as partes. Ou listar riscos sem probabilidade, impacto e responsável.

Etapa

Gerenciamento de riscos

O que precisa ter

Para cada risco: descrição, fase, probabilidade, impacto, dano, ação preventiva e ação de contingência, cada ação com responsável.
Classificação em pelo menos três níveis (baixo, médio, alto), para ver os riscos mais críticos.
Os riscos que aparecem em quase todo CPSI: edital deserto, comissão sem professor, contestação do valor, dados indisponíveis, insucesso técnico, perda das condições de habilitação, dados pessoais, norma que impede o teste, pressão pelo fornecimento.

Minuta

Mapa de riscos da contratação

Este mapa identifica os riscos do processo de contratação e do teste, classifica cada um por probabilidade e impacto e define ações preventivas e de contingência, com responsáveis. Os riscos da gestão do contrato alimentam a matriz de riscos do CPSI, que é cláusula obrigatória.

Base: Lei 14.133/2021, art. 18, X; Lei Complementar 182/2021, art. 14, § 1º, III

Nota de orientação

Os campos seguem o formulário do anexo III do edital-modelo da AGU, que se baseia em instrução normativa federal de compras. Classifique os riscos numa matriz de probabilidade e impacto com pelo menos três níveis (baixo, médio, alto), para ver os mais críticos (anexo III, instrução final). O formulário tem duas fases: planejamento da contratação e seleção do fornecedor, e gestão do contrato. Os riscos abaixo aparecem em quase todo CPSI. Acrescente os do seu caso e marque a probabilidade e o impacto.

Risco 1. Edital deserto ou com uma única proposta. Fase: planejamento da contratação e seleção do fornecedor. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: o teste não começa ou começa sem comparação entre soluções. Ação preventiva: consulta prévia ao mercado, divulgação ativa e prazo de propostas acima do mínimo de 30 dias corridos. Responsável: unidade demandante. Ação de contingência: revisar escopo, requisitos e valor e republicar o edital. Responsável: autoridade competente.

Base: Lei Complementar 182/2021, art. 13, § 2º

Risco 2. Comissão sem professor de instituição pública de educação superior. Fase: planejamento da contratação e seleção do fornecedor. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: a comissão não tem a composição mínima da lei e o julgamento fica exposto a anulação. Ação preventiva: articular cedo com a instituição de educação superior, na forma da norma do ente e da instituição, e designar suplente. Responsável: unidade demandante. Ação de contingência: convocar o suplente ou adiar a sessão de julgamento. Responsável: autoridade competente.

Base: Lei Complementar 182/2021, art. 13, § 3º

Risco 3. Contestação da estimativa de valor. Fase: planejamento da contratação e seleção do fornecedor. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: questionamento do controle e insegurança na negociação. Ação preventiva: método e memória de cálculo documentados, com a fonte de cada parâmetro e a faixa de valor colhida na consulta ao mercado. Responsável: unidade demandante. Ação de contingência: revisar a memória com nova fonte e registrar a análise crítica. Responsável: unidade demandante.

Base: Lei 14.133/2021, art. 18, § 1º, VI; Lei 14.133/2021, art. 23, no que couber

Risco 4. O teste depende de dados que a unidade não consegue entregar. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: atraso das etapas sem culpa da contratada. Ação preventiva: inventário de dados e acessos no ETP e obrigações da contratante com prazos na minuta do CPSI. Responsável: gestor do contrato. Ação de contingência: replanejar o cronograma das etapas por termo aditivo ou apostila, conforme o caso. Responsável: gestor do contrato.

Risco 5. Insucesso técnico do teste. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: metas não alcançadas e recursos pagos sem solução aproveitável. Ação preventiva: matriz de riscos que aloca o risco tecnológico, etapas com metas aferíveis e pagamento conforme o cronograma físico-financeiro. Responsável: gestor do contrato. Ação de contingência: verificar o nexo causal e, se comprovada a inviabilidade técnica ou econômica, rescindir o CPSI. Responsável: gestor do contrato.

Base: Lei Complementar 182/2021, art. 14, § 1º, III; Lei Complementar 182/2021, art. 14, § 4º e § 5º

Risco 6. A contratada perde as condições de habilitação, como certidões vencidas na data do pagamento. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: pagamento retido e atraso na execução. Ação preventiva: regularidade conferida a cada pagamento e alerta de vencimento pelo gestor. Responsável: gestor do contrato. Ação de contingência: notificar a contratada para regularizar no prazo fixado. Responsável: gestor do contrato.

Base: Lei 14.133/2021, art. 92, XVI, no que couber; Constituição Federal de 1988, art. 195, § 3º

Risco 7. Vazamento ou uso indevido de dados pessoais. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: dano aos titulares e responsabilização do órgão. Ação preventiva: cláusula de proteção de dados, acordo de tratamento de dados e anonimização quando possível. Responsável: gestor do contrato. Ação de contingência: suspender o acesso aos dados e seguir o plano de resposta a incidentes do órgão. Responsável: encarregado de dados do órgão.

Base: Lei 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), art. 46

Risco 8. A solução exige afastar norma do próprio ente. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: o teste não pode ocorrer no ambiente real previsto. Ação preventiva: processo paralelo de sandbox regulatório, se o ente tiver esse instrumento, conduzido por quem tem competência sobre a norma, com um ponto focal comum aos dois processos. Responsável: unidade demandante. Ação de contingência: levar o teste a ambiente controlado e ajustar as metas. Responsável: gestor do contrato.

Base: Lei Complementar 182/2021, art. 11

Nota de orientação

O sandbox regulatório (LC 182/2021, art. 11) é outro processo, separado do CPSI, e depende de quem tem competência sobre a norma a afastar. Conferir a norma do seu ente.

Risco 9. Pressão para contratar o fornecimento sem metas alcançadas. Fase: fornecimento (fase acrescentada pelo site; o formulário da AGU só tem planejamento e seleção, e gestão do contrato). Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: contrato de fornecimento sem a validação que o justifica. Ação preventiva: decisão vinculada ao relatório final aceito, justificativa formal e registro de que o fornecimento não é obrigatório. Responsável: autoridade competente. Ação de contingência: não celebrar o fornecimento e registrar os motivos. Responsável: autoridade competente.

Base: Lei Complementar 182/2021, art. 15, caput

Responsável pelo acompanhamento deste mapa: [Responsável pelo mapa de riscos]. O mapa será revisto a cada mudança de fase.

Nota de orientação

Atrasos por fatores alheios ao controle do fornecedor não geram penalidade, mesmo que isso não esteja na matriz de riscos (manual da AGU, parte I, item 6.2).

[Local e data]. [Responsável técnico].

Mapa de riscos da contratação

Este mapa identifica os riscos do processo de contratação e do teste, classifica cada um por probabilidade e impacto e define ações preventivas e de contingência, com responsáveis. Os riscos da gestão do contrato alimentam a matriz de riscos do CPSI, que é cláusula obrigatória.

Risco 1. Edital deserto ou com uma única proposta. Fase: planejamento da contratação e seleção do fornecedor. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: o teste não começa ou começa sem comparação entre soluções. Ação preventiva: consulta prévia ao mercado, divulgação ativa e prazo de propostas acima do mínimo de 30 dias corridos. Responsável: unidade demandante. Ação de contingência: revisar escopo, requisitos e valor e republicar o edital. Responsável: autoridade competente.

Risco 2. Comissão sem professor de instituição pública de educação superior. Fase: planejamento da contratação e seleção do fornecedor. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: a comissão não tem a composição mínima da lei e o julgamento fica exposto a anulação. Ação preventiva: articular cedo com a instituição de educação superior, na forma da norma do ente e da instituição, e designar suplente. Responsável: unidade demandante. Ação de contingência: convocar o suplente ou adiar a sessão de julgamento. Responsável: autoridade competente.

Risco 3. Contestação da estimativa de valor. Fase: planejamento da contratação e seleção do fornecedor. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: questionamento do controle e insegurança na negociação. Ação preventiva: método e memória de cálculo documentados, com a fonte de cada parâmetro e a faixa de valor colhida na consulta ao mercado. Responsável: unidade demandante. Ação de contingência: revisar a memória com nova fonte e registrar a análise crítica. Responsável: unidade demandante.

Risco 4. O teste depende de dados que a unidade não consegue entregar. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: atraso das etapas sem culpa da contratada. Ação preventiva: inventário de dados e acessos no ETP e obrigações da contratante com prazos na minuta do CPSI. Responsável: gestor do contrato. Ação de contingência: replanejar o cronograma das etapas por termo aditivo ou apostila, conforme o caso. Responsável: gestor do contrato.

Risco 5. Insucesso técnico do teste. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: metas não alcançadas e recursos pagos sem solução aproveitável. Ação preventiva: matriz de riscos que aloca o risco tecnológico, etapas com metas aferíveis e pagamento conforme o cronograma físico-financeiro. Responsável: gestor do contrato. Ação de contingência: verificar o nexo causal e, se comprovada a inviabilidade técnica ou econômica, rescindir o CPSI. Responsável: gestor do contrato.

Risco 6. A contratada perde as condições de habilitação, como certidões vencidas na data do pagamento. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: pagamento retido e atraso na execução. Ação preventiva: regularidade conferida a cada pagamento e alerta de vencimento pelo gestor. Responsável: gestor do contrato. Ação de contingência: notificar a contratada para regularizar no prazo fixado. Responsável: gestor do contrato.

Risco 7. Vazamento ou uso indevido de dados pessoais. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: dano aos titulares e responsabilização do órgão. Ação preventiva: cláusula de proteção de dados, acordo de tratamento de dados e anonimização quando possível. Responsável: gestor do contrato. Ação de contingência: suspender o acesso aos dados e seguir o plano de resposta a incidentes do órgão. Responsável: encarregado de dados do órgão.

Risco 8. A solução exige afastar norma do próprio ente. Fase: gestão do contrato. Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: o teste não pode ocorrer no ambiente real previsto. Ação preventiva: processo paralelo de sandbox regulatório, se o ente tiver esse instrumento, conduzido por quem tem competência sobre a norma, com um ponto focal comum aos dois processos. Responsável: unidade demandante. Ação de contingência: levar o teste a ambiente controlado e ajustar as metas. Responsável: gestor do contrato.

Risco 9. Pressão para contratar o fornecimento sem metas alcançadas. Fase: fornecimento (fase acrescentada pelo site; o formulário da AGU só tem planejamento e seleção, e gestão do contrato). Probabilidade: ( ) baixa ( ) média ( ) alta. Impacto: ( ) baixo ( ) médio ( ) alto. Dano: contrato de fornecimento sem a validação que o justifica. Ação preventiva: decisão vinculada ao relatório final aceito, justificativa formal e registro de que o fornecimento não é obrigatório. Responsável: autoridade competente. Ação de contingência: não celebrar o fornecimento e registrar os motivos. Responsável: autoridade competente.

Responsável pelo acompanhamento deste mapa: [Responsável pelo mapa de riscos]. O mapa será revisto a cada mudança de fase.

[Local e data]. [Responsável técnico].

Precisa revisar este documento com um especialista? Conheça a assessoria.

Checklist

Cada risco tem probabilidade, impacto, dano, ações e responsáveis.
A classificação usa pelo menos três níveis.
O risco tecnológico está tratado.
O mapa foi revisado junto com o ETP.
Os riscos da gestão do contrato foram levados à matriz de riscos do CPSI.

Base legal e conferência

Lei 14.133/2021, art. 18, X
Lei 14.133/2021, arts. 18 e 22, no que couber
Lei Complementar 182/2021, art. 14, § 1º, III
Modelo de Edital do CPSI, com notas explicativas (AGU, atualização de 26/02/2025, versão final), anexo III (matriz de riscos)

Conferência: Modelo oficial usado: formulário de matriz de riscos do anexo III do edital-modelo do CPSI da AGU, atualização de 26/02/2025 (versão final), com a nota explicativa e a instrução final do anexo; manual do CPSI da AGU (2025), parte I, item 6.2. Os riscos listados e as ações sugeridas são do site. Dispositivos conferidos no Planalto em 18/10/2026 (pesquisa A): Lei 14.133/2021, arts. 18, X, 22, 23 e 92, XVI; LC 182/2021, arts. 11, 13, §§ 2º e 3º, 14, § 1º, III, e §§ 4º e 5º, e 15; Lei 13.709/2018, art. 46; Constituição, art. 195, § 3º. O art. 11 da LC 182/2021 (sandbox) fica só no risco 8, e o método da estimativa usa o art. 18, § 1º, VI, no lugar do art. 13, § 10 (achados lc182-art11-sandbox e lc182-art13-p10-metodo-estimativa).

Este material é de orientação. Não substitui parecer jurídico nem a análise do controle interno. As normas da base legal e os modelos da AGU foram conferidos em 18 e 19/10/2026, e cada fonte traz o que foi conferido. Conferir a norma do seu ente.