Matriz legal EHS: como montar, priorizar e manter viva a lista de requisitos aplicáveis

Quase toda indústria de médio ou grande porte tem uma planilha chamada matriz legal. E quase toda tem o mesmo problema: ela foi montada uma vez, por alguém que já saiu, com o texto das normas copiado e colado, e ninguém sabe dizer com segurança se ainda reflete o que a operação precisa cumprir hoje.

A matriz de requisitos legais é o instrumento que transforma legislação dispersa em obrigação atribuída. Feita bem, ela responde em minutos o que de outro modo levaria semanas. Feita mal, ela produz o pior dos resultados: a sensação documentada de que está tudo mapeado.

Três palavras que não são sinônimas

Vale separar os termos antes, porque a confusão entre eles atrapalha a definição de escopo:

• Conformidade legal é o atendimento às obrigações impostas por lei, norma e ato de autoridade. É o piso, e não é opcional.
• Conformidade regulatória acrescenta o que os órgãos reguladores exigem no exercício de sua competência — condicionantes de licença, exigências técnicas, atos normativos setoriais.
• Compliance é o sistema de gestão que garante as duas coisas: governança, responsáveis, rotina de verificação, tratamento de desvio e evidência. Pode ir além da lei, quando a empresa adota padrão interno mais rigoroso.

A matriz legal serve às três, mas pertence à primeira. Ela precisa preservar o foco regulatório e não se misturar com boas práticas: quando requisito legal e padrão interno ocupam a mesma coluna sem distinção, a priorização se distorce e a empresa passa a tratar preferência corporativa com a mesma urgência de exigência legal.

O que a matriz precisa responder

Uma matriz legal EHS consistente responde, sem ambiguidade, a cinco perguntas por linha:

• Qual requisito se aplica — a norma, o artigo, o item, a condicionante ou a cláusula específica.
• Por que se aplica — o fato gerador na operação: a atividade, o equipamento, o agente, o porte, a localização, o insumo.
• O que a empresa precisa fazer — a obrigação traduzida em ação verificável.
• Quem responde por isso — área e função, não nome de pessoa.
• Como o atendimento será comprovado — a evidência esperada, nomeada.

A estrutura completa costuma acrescentar tema, status de atendimento, periodicidade de verificação e classificação de criticidade. Em organizações mais maduras, entram também plano de ação, responsável executivo, data da última avaliação e observações sobre condicionantes ou interpretações técnicas — esse nível extra ajuda quando o passivo não está na ausência total de atendimento, mas na fragilidade da evidência.

Um cuidado se aplica a tudo isso: não confundir completude com excesso. Planilha difícil de atualizar deixa de ser atualizada, e matriz desatualizada é pior do que matriz inexistente, porque produz confiança injustificada.

O erro mais comum: copiar o texto legal em vez de traduzir a obrigação

É o desvio que mais aparece. A empresa insere o nome da norma e o texto bruto do artigo, e não escreve o que precisa ser feito na prática. O resultado é uma matriz formalmente preenchida e operacionalmente inútil.

Compare as duas formas de registrar a mesma obrigação:

• Cópia: “NR-01, item 1.5.7.3.3.1 — O histórico das atualizações deve ser mantido por um período mínimo de 20 (vinte) anos ou pelo período estabelecido em normatização específica.”
• Tradução: “Preservar todas as versões anteriores do inventário de riscos por no mínimo 20 anos, em repositório com política de retenção. Evidência: log de versões do repositório documental. Responsável: EHS. Verificação: anual.”

A segunda linha pode ser executada por quem nunca leu a NR-01. A primeira depende de alguém que domine a legislação estar disponível no momento da pergunta — o que eleva o risco de descontinuidade em troca de equipe, auditoria de cliente ou fiscalização com prazo curto de resposta.

Obrigações como realizar avaliação ambiental, manter treinamento válido, emitir manifesto de resíduos, controlar calibração, renovar licença ou revisar inventário de riscos precisam aparecer de forma objetiva, com a ação exigida e a evidência que a comprova.

Como montar: partir da operação, não da lista de normas

A matriz não deve começar por um índice de legislação. Deve começar por um levantamento da operação: atividades executadas, processos produtivos, equipamentos instalados, agentes presentes, insumos e produtos, geração de resíduos, emissões, uso de água, terceiros em campo, turnos, quadro de empregados e localização.

É esse levantamento que determina o que incide. Duas plantas do mesmo setor e do mesmo porte podem ter matrizes bem diferentes porque uma tem caldeira e a outra não, porque uma armazena inflamável acima do limite e a outra abaixo, ou porque uma está em município habilitado a licenciar e a outra não.

Na frente ambiental, o levantamento de requisitos legais ambientais aplicáveis à unidade precisa incluir as condicionantes das licenças vigentes — que são obrigação individualizada, com prazo próprio, e não estão em nenhuma norma publicada. Na frente ocupacional, o mapeamento de obrigações ocupacionais por atividade depende do inventário de perigos, não do rol de NRs mais conhecidas.

Também entram na matriz fontes que muitas empresas esquecem: convenções e acordos coletivos de trabalho, códigos de obras e regulamentos sanitários estaduais e municipais, requisitos contratuais de clientes e compromissos assumidos em termos de ajustamento de conduta ou em processos administrativos.

Criticidade: nem todo requisito pesa igual

Uma matriz madura não trata todas as obrigações da mesma forma. Há requisitos cuja falha pode gerar autuação imediata, embargo, interdição, dano ambiental, acidente grave ou responsabilização da liderança. Há outros, importantes, com consequência mais administrativa.

Os critérios de classificação variam com o contexto, mas os que costumam funcionar são: severidade legal da sanção prevista, potencial de acidente, impacto ambiental, efeito sobre a validade de licenças, recorrência do requisito na rotina e exposição em auditorias externas.

Recursos são finitos. Equipes industriais lidam simultaneamente com produção, manutenção, qualidade, custo, auditoria e metas operacionais. A matriz precisa ajudar a decidir o que não pode falhar — não acumular tarefas com o mesmo peso aparente.

Exigências ligadas a licenças e condicionantes, treinamentos mandatórios de atividade crítica, integridade documental, exposições de alto risco e controles com alto potencial de autuação merecem monitoramento mais próximo e periodicidade mais curta de verificação.

A matriz não termina quando fica pronta

Este é o ponto mais negligenciado — e o único com consequência normativa direta.

A NR-01, no item 1.5.4.4.6, determina que a avaliação de riscos seja revista a cada dois anos ou quando ocorrerem determinadas situações. A alínea “e” lista uma delas: quando houver mudança nos requisitos legais aplicáveis.

A consequência é direta e pouco explorada: manter a matriz atualizada deixa de ser boa prática de gestão e passa a ser o mecanismo que permite à empresa saber quando a obrigação de revisar a avaliação de riscos foi acionada. Sem vigilância regulatória, a empresa não descobre que precisava revisar — descobre que deveria ter revisado, normalmente quando alguém pergunta.

Rotina e gatilhos

A atualização precisa combinar dois regimes. Uma revisão periódica formal, com frequência proporcional à complexidade regulatória — mensal em operações com muitos processos em curso, semestral ou anual em contextos mais estáveis. E gatilhos extraordinários, que disparam revisão fora do calendário:

• publicação, alteração ou revogação de norma aplicável;
• mudança de processo, insumo ou tecnologia;
• instalação, modificação ou desativação de equipamento;
• ampliação de planta ou alteração de layout;
• emissão, renovação ou alteração de licença, e novas condicionantes;
• incidente relevante, acidente ou doença relacionada ao trabalho;
• autuação, notificação ou exigência de órgão regulador;
• entrada de nova contratada em atividade de risco;
• alteração de convenção ou acordo coletivo.

Vale registrar quem faz a vigilância regulatória e como. Depender de aviso de fornecedor ou de notícia de imprensa é um arranjo frágil — e é o arranjo mais comum.

A matriz precisa conversar com o resto do sistema

Ela não deve existir isolada. Precisa estar conectada ao inventário de riscos e ao plano de ação do PGR, ao inventário de aspectos e impactos, aos programas de saúde ocupacional, à gestão de resíduos, ao sistema de permissões de trabalho, às condicionantes ambientais e ao plano de auditorias internas. Quando esses elementos conversam, a empresa ganha coerência documental e capacidade de resposta; quando não conversam, cada frente mantém sua própria verdade.

Matriz legal não é conformidade legal

Existe um equívoco recorrente: acreditar que possuir uma matriz significa estar em conformidade. Não significa. A matriz organiza a obrigação; ela não realiza o atendimento. Se a licença está vencida, o treinamento obrigatório não foi ministrado, a inspeção não ocorreu ou a documentação não reflete a prática, a existência da matriz não reduz o passivo em nada — apenas registra, com precisão, o que deixou de ser feito.

Por isso a matriz é a base de um sistema, não o sistema. Ela precisa alimentar auditorias, planos de ação, indicadores, calendário legal, gestão documental e rotinas de campo.

Compliance EHS: quem sustenta a matriz

Matriz sem dono vira dependência de uma pessoa ou de um prestador externo. O modelo que funciona distribui responsabilidades com critérios objetivos e mantém coordenação central:

• EHS coordena a estruturação, a vigilância regulatória e a verificação de aderência;
• Produção responde pela disciplina operacional dos controles;
• Manutenção responde pela integridade dos equipamentos e sistemas de controle;
• RH sustenta exames, treinamentos e documentação ocupacional;
• Suprimentos responde pela qualificação de contratadas e pelos requisitos contratuais;
• Direção define prioridade, orçamento e nível de exigência.

Rotinas simples funcionam melhor do que estruturas complexas: reunião periódica de acompanhamento, matriz de responsabilidades, calendário legal, tratamento formal de desvios e critério de escalonamento já produzem governança muito superior ao modelo reativo.

Um ponto de equilíbrio importa: o compliance EHS precisa ser rigoroso e aplicável. Controles desenhados sem considerar a rotina real da planta geram atalhos, baixa adesão e desgaste entre áreas. É nessa interface entre norma, operação e risco que o apoio externo agrega — a Exato atua na estruturação e na revisão de matrizes de requisitos, com foco na tradução da obrigação em controle executável.

Sistemas de gestão: o que muda em 2026

Para quem mantém certificação, dois movimentos merecem atenção e afetam diretamente a cláusula de requisitos legais.

A ISO 14001 teve nova edição publicada pela ISO em 15 de abril de 2026, substituindo a edição de 2015 e a emenda sobre mudança climática de 2024. Segundo a própria ISO, não foram acrescentados requisitos novos: as mudanças são de clareza editorial e de integração com outras normas de sistema de gestão. O período de transição é de três anos, com migração dos certificados até maio de 2029. Antes de citar a versão brasileira em documento interno, convém verificar se a ABNT já concluiu a adoção nacional — enquanto não concluir, a NBR em vigor continua sendo a anterior.

A ISO 45001 permanece na edição de 2018. A revisão está em fase de projeto, com publicação internacional esperada para 2027. Matriz que já registre “ISO 45001:2027” está antecipando fato que ainda não ocorreu.

Como saber se a sua matriz está funcional

Um teste simples, que dispensa auditoria: escolha três linhas ao acaso e pergunte a quem não é da área de EHS.

• A pessoa entende, lendo a linha, o que precisa ser feito?
• Ela sabe dizer onde está a evidência e consegue localizá-la?
• Quando o requisito foi verificado pela última vez, e por quem?
• Se essa norma mudasse amanhã, quem descobriria e em quanto tempo?

Se as respostas dependem de uma única pessoa, a matriz existe como documento e não como sistema. E é exatamente nesse estado que ela costuma ser encontrada por uma auditoria de cliente.

Perguntas frequentes

Qual a diferença entre matriz legal e matriz de requisitos legais?

São o mesmo instrumento. “Matriz de requisitos legais” é o nome mais preciso, porque explicita que o objeto são requisitos — e não normas. Uma norma pode gerar dezenas de requisitos distintos, com responsáveis e evidências diferentes; registrar apenas o nome da norma é o erro que esvazia a maior parte das matrizes.

Com que frequência a matriz deve ser atualizada?

A periodicidade formal depende da complexidade regulatória da operação, mas a atualização por gatilho é o que realmente sustenta a matriz: publicação ou alteração de norma, mudança de processo ou equipamento, nova licença ou condicionante, incidente relevante, autuação e entrada de nova contratada. Vale lembrar que a NR-01 obriga a revisar a avaliação de riscos quando houver mudança nos requisitos legais aplicáveis — o que só se detecta com vigilância regulatória ativa.

Ter matriz legal significa estar em conformidade?

Não. A matriz organiza a obrigação e indica onde procurar a evidência; ela não executa o controle. Conformidade depende da execução consistente, da atualização regulatória, da validação técnica da aplicabilidade e da produção de evidência confiável.

A matriz deve incluir boas práticas e padrões internos?

Pode incluir, desde que em campo separado e claramente identificado. Misturar exigência legal com padrão interno na mesma coluna distorce a priorização: a equipe passa a tratar preferência corporativa com a urgência de obrigação legal — e, com frequência, o inverso também acontece.

Quem deve manter a matriz?

A coordenação costuma ficar com EHS, mas a execução é compartilhada: produção, manutenção, RH, suprimentos e direção respondem por partes distintas. O que não funciona é matriz mantida exclusivamente por prestador externo sem interlocutor interno — nesse arranjo, a empresa perde a matriz junto com o contrato.

Conteúdo relacionado

• Auditoria EHS: preparação, condução e plano de ação — para a auditoria que testa se a matriz está sendo cumprida.
• Conformidade legal ambiental: matriz, auditoria e evidência — para a mesma lógica de matriz aplicada à conformidade ambiental.
• Normas Regulamentadoras: quais se aplicam e como adequar a indústria — para as normas que compõem essa matriz de requisitos.