Sistemas de investimento vendem facilidade em dizer “sim”. O Cervejeiros.Club investiu muito em saber dizer “não”. Entre o motor de decisão e qualquer ordem existe uma camada inteira de defesa — e ela é o capítulo de gestão de risco mais importante do projeto. A lógica é a mesma da segurança em camadas: nenhum obstáculo isolado é infalível, mas uma sequência deles é difícil de atravessar.

O fluxo de uma recomendação — e onde ela pode morrer

flowchart LR A["Sinal do<br/>motor de decisão"] --> B{"Três detectores<br/>de cisne negro"} B -->|"anomalia detectada"| X["Recomendação suspensa<br/>+ blacklist de 30 dias"] B -->|"comportamento normal"| C{"Oito portões<br/>de risco"} C -->|"algum portão falhou"| Y["A ordem<br/>nunca nasce"] C -->|"tudo aprovado"| D{"Perda do dia<br/>dentro do limite?"} D -->|"limite estourado"| Z["Kill switch:<br/>fim do pregão"] D -->|"dentro do limite"| E["Recomendação<br/>apresentada"]

Primeiro: os três detectores de cisne negro

Um “cisne negro” é o evento que os modelos não esperavam: o dia em que a distribuição estatística que sempre funcionou simplesmente não descreve mais o mercado. Três detectores independentes vigiam esse tipo de ruptura — e cada um olha o mundo por um ângulo diferente:

  1. Detector de distribuição — mede o quanto o comportamento atual de cada variável do sistema se afastou do padrão histórico. Se a “cara” dos dados mudou de lugar, algo aconteceu.
  2. Detector de instabilidade — responde à pergunta “os dados de hoje ainda se parecem com os dados de ontem?”. Ele compara janelas de tempo consecutivas e dispara quando o deslocamento é brusco — mesmo sem violência no preço.
  3. Detector de caudas robustas — um z-score reforçado que mede distâncias extremas sem se deixar contaminar pelos próprios extremos. É o detetive que mantém a calma exatamente porque a cena está caótica.

Os três são independentes de propósito: cada um cobre o ponto cego do outro. Quando qualquer um dispara, a recomendação em andamento é suspensa e o evento entra na blacklist — o ativo fica temporariamente fora do radar (trinta dias por padrão). Um cisne negro não merece segunda chance imediata.

O detetive de caudas: por que o z clássico falha

O z-score clássico mede quantos desvios-padrão um valor está longe da média. O problema: média e desvio-padrão são contaminados pelos próprios extremos que o detector deveria flagrar. Um único dia bizarro no histórico infla os dois — e amortiza a pontuação do próximo bizarro.

A solução do terceiro detector é trocar as “médias” por “medianas”:

$$ z \;=\; \frac{x - \text{mediana}}{1{,}4826 \times \text{MAD}} $$

onde MAD é o desvio absoluto mediano — a distância típica dos valores até a mediana. Mediana e MAD só se mexem se metade dos dados se mexer; um outlier sozinho não os desloca um milímetro.

Exemplo calculável à mão

Considere um histórico de 9 dias com valores entre 1,8 e 2,6 — e um dia bizarro de 15,0 que passou batido. Chega um novo dia de pânico: 14,8.

O z clássico dá ≈ 2,8 — abaixo do limite de disparo (4,0) — e deixa passar uma anomalia gritante. O z robusto dá ≈ 28,3 e dispara na hora. A conta completa, passo a passo:

A conta completa, dia a dia

Série (10 dias, do mais antigo ao mais novo): 1,8 · 2,4 · 2,1 · 1,9 · 2,6 · 15,0 · 2,2 · 2,0 · 2,3 · 14,8

z clássico:

  • média = 32,3 ÷ 10 = 3,59 (puxada para cima pelo 15,0)
  • desvio-padrão = 4,04 (inflado pelo mesmo outlier)
  • z = (14,8 − 3,59) ÷ 4,04 ≈ 2,8 → abaixo do limite 4,0, passa despercebido

z robusto:

  • mediana da série = 2,2 (o 15,0 é só um valor na fila, não comanda)
  • desvios absolutos até a mediana: 0,4 · 0,2 · 0,1 · 0,3 · 0,4 · 12,8 · 0,0 · 0,2 · 0,1 · 12,6
  • MAD = mediana desses desvios = 0,3
  • z = (14,8 − 2,2) ÷ (1,4826 × 0,3) ≈ 28,3 → dispara com folga

Depois: os oito portões

Passou pelos detectores? Ainda faltam os oito portões de proteção — verificações que ocorrem antes de qualquer ordem existir:

Os oito portões, um a um
  1. Limite por operação — nenhuma ordem acima do teto definido.
  2. Limite por ativo — nenhuma posição que concentre demais um único nome.
  3. Limite por estratégia — cada abordagem tem orçamento próprio de risco.
  4. Exposição total — a soma de todas as posições respeita o teto global.
  5. Concentração — diversidade mínima garantida entre o que está aberto.
  6. Perda máxima do dia — se o estrago do dia já é grande, nada novo entra.
  7. Verificação de dados — preço íntegro e recente; dado duvidoso, ordem nenhuma.
  8. Confirmação do usuário — a autorização de quem responde pelo capital.

Cada portão é uma regra fria: passou, segue; falhou, para.

O dia ruim: kill switch e circuit breakers

E quando o dia inteiro está errado? Duas travas finais:

  • Kill switch diário — se a perda do dia ultrapassa o limite, o sistema encerra a operação do dia. Não negocia “para recuperar”. Amanhã é outro dia, com limites zerados.
  • Circuit breakers — comportamento anômalo (latência, falhas, dados inconsistentes) suspende automaticamente partes do fluxo antes que o erro se multiplique.

Por que isso existe

A aritmética da recuperaçãoUma perda de 50% exige um ganho de 100% só para voltar ao ponto de partida. Uma perda de 25% exige um ganho de 33%. Proteger o capital em dias anômalos não é conservadorismo — é aritmética.

É por isso que a camada de risco fala primeiro e a oportunidade, depois. A camada completa também passa por testes honestos e é observada pelo vigia — e tudo isso está sendo construído em público no diário de bordo, com a plataforma em cervejeiros.club.