A estrutura analítica de riscos agora tem um ramo de IA

Seu registro de riscos tem quarenta linhas, está em dia e mesmo assim o projeto surpreendeu você por um lado que ninguém tinha olhado. Não é raro e não é culpa do registro. Um registro lista riscos um a um, e uma lista plana é justamente o que esconde os buracos.

O que é a RBS e em que ela difere do registro

Em 15 de setembro de 2026 o PMI publicou uma entrada que a define com precisão. A estrutura analítica de riscos, a RBS pela sigla em inglês, é um mapa hierárquico e orientado às fontes de tudo o que pode pôr o seu projeto em risco, organizado desde categorias amplas até origens específicas.

A analogia que ela usa é a que melhor explica. Assim como a EAP organiza o trabalho que precisa ser feito, a RBS organiza o risco que esse trabalho traz consigo. No topo ficam as categorias, classicamente técnico, gerenciamento, comercial e externo. Cada uma se abre em sub-ramos mais específicos, tantos níveis quantos o projeto precisar.

E aqui está a distinção que convém fixar, porque quase todo mundo a pula. A árvore nomeia fontes, não riscos. Os riscos concretos e a sua estratégia para cada um continuam vivendo no registro, mapeados contra os ramos. A RBS não substitui o registro, ela o ordena por origem para que você veja os agrupamentos e os pontos cegos que uma lista plana tapa.

Segundo essa mesma entrada, a disciplina não é nova. O guia prático de gerenciamento de riscos do PMI trata a categorização por fonte como algo central, e o Guia PMBOK nomeia a RBS como ferramenta para organizar o risco.

Onde isso aparece na prova

No conteúdo de julho de 2026 o risco vive em Ambiente de negócios, o domínio que pesa 26 por cento, e não onde ficava antes. Se isso lhe soa novo, contamos a mudança inteira no post de Business Environment.

A tarefa se chama planejar e gerenciar o risco, e tem sete habilitadores. Identificar os riscos, analisá-los, monitorá-los e controlá-los, desenvolver o plano de gerenciamento de riscos, manter o registro de riscos, executar o plano e comunicar o estado do impacto de um risco no projeto.

Olhe o primeiro e o quinto lado a lado. Identificar os riscos e manter o registro são habilitadores distintos, e o conteúdo os separa de propósito. A RBS trabalha no primeiro. O registro é o quinto. Confundi-los é o erro que se paga nas questões em que o enunciado diz que a equipe revisou o registro e mesmo assim apareceu uma ameaça que ninguém viu chegar.

As quatro categorias clássicas e as sete fontes de risco de IA saem da entrada publicada pelo PMI em 15 de setembro de 2026.

Para que ela serve de verdade

O PMI lhe reconhece três usos e o segundo é o que mais gente perde.

O primeiro é cobrir todas as fontes. Os ramos de cima funcionam como lista de partida nos workshops de identificação, para que nenhuma categoria inteira escape sem ser nomeada. O terceiro é informar e reutilizar, porque os totais sobem agregados para a direção e descem ao detalhe para a equipe, e a mesma árvore se reutiliza entre projetos para comparar.

O segundo é encontrar onde está a maior exposição, e tem uma reviravolta. Você mapeia cada risco ao seu ramo mais baixo e soma por ramo a pontuação de probabilidade por impacto. O que lhe diz onde olhar primeiro é o total mais alto, não a contagem mais alta. Um ramo com dois riscos graves pesa mais que um com quinze menores, e uma lista ordenada por quantidade manda você exatamente para o lado errado.

O ramo que o PMI acrescentou este ano

A árvore clássica supõe duas coisas, que os sistemas se comportam de forma previsível e que as decisões são tomadas por uma pessoa. A IA quebra as duas, com comportamento probabilístico, ação autônoma e processos de decisão que podem ser difíceis de explicar.

A proposta do PMI não é refazer a árvore. É conservar as categorias de cima e pendurar um ramo distinto ao lado delas, o do risco de IA e sistemas inteligentes, que se abre em sete fontes.

Dados, que cobre qualidade, viés, privacidade, procedência e deriva. Modelo, que cobre acurácia, robustez, deriva, alucinação e calibração. Autonomia, que é agir além da autoridade prevista, falhar ao escalar ou executar sem supervisão suficiente. Explicabilidade, que é opacidade e dificuldade de auditar. Governança, que é responsabilidade pouco clara e controles fracos. Ética, que é injustiça, dano, mau uso e erosão da confiança. E cibersegurança específica de IA, que inclui injeção de instruções, envenenamento de dados e acesso inseguro a ferramentas.

Cada fonte é definida, recebe alguém que a vigie e o ramo entra ao lado dos que você já tinha. O padrão de IA do PMI, que detalhamos na época, é o que dá o enquadramento mais amplo por trás de tudo isso.

O que não muda

A entrada fecha com três princípios que valem para qualquer árvore. Fontes e não sintomas, porque cada ramo tem de nomear uma origem capaz de gerar muitos riscos. Adaptar a árvore, porque nenhuma RBS serve para todo projeto e se parte de uma genérica. E que cada ramo precise de alguém olhando, porque uma fonte que ninguém vigia passa sozinha.

Há uma frase final que convém levar para a prova e para o escritório. A automação pode sustentar o registro e até propor a resposta. O que ela nunca sustenta é a responsabilidade.

Entre na lista de espera

No The PM Architect escrevemos os guias de estudo do PMBOK em cinco idiomas, com casos reais de sala de aula e exercícios com explicação. Serão gratuitos. Deixe seu e-mail na página principal e avisamos assim que estiverem disponíveis.