Capítulo 31 — Governança, riscos e compliance de segurança: implementação II

Mapa da aula

Aula 31 publicada. Mapa, exemplo, EX091.

flowchart TD
  N0["31.1 Implantar as ferramentas"]
  N1["31.2 Integração à rotina"]
  N2["31.3 Exceções"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX091"]

Desenho lógico

flowchart LR
  N0["31.1 Implantar as ferramentas"]
  N1["31.2 Integração à rotina"]
  N2["31.3 Exceções"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX091"]

[31.1 Implantar as ferramentas]
    |
    v
[31.2 Integração à rotina]
    |
    v
[31.3 Exceções]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX091]

Objetivos de aprendizagem

Você vai (1) implantar uma capacidade de GRC em toda a organização; (2) integrar os controles ao trabalho de rotina; (3) gerenciar as exceções formalmente.

31.1 Implantar as ferramentas

Com o broker funcionando, a Ardwell implanta suas ferramentas de GRC baseadas em tickets. Cada controle vira uma tarefa recorrente atribuída ao responsável, com a descrição do controle, os passos de teste e um campo para a evidência. Nadia ajuda a migrar oitenta controles das planilhas, conferindo em cada um o responsável e a frequência. Doze controles não têm responsável claro, e três descrevem práticas que já não existem. A migração vira assim um exercício de limpeza, que remove os controles obsoletos e atribui responsáveis antes do primeiro ciclo. Remover os três obsoletos também evita que o primeiro ciclo produza aprovações enganosas para práticas que ninguém executa mais.

31.2 Integração à rotina

Os controles funcionam melhor quando se encaixam nas rotinas existentes. Nadia liga a revisão trimestral de acessos ao ciclo de relatórios de recursos humanos, para que os revisores recebam listas de papéis atualizadas. Programa a coleta das evidências de patch para logo depois da janela mensal de manutenção, quando elas estão frescas. Os responsáveis recebem lembretes uma semana antes do vencimento das tarefas, e as tarefas vencidas sobem para os gestores depois de cinco dias. Ela aprende que a integração à rotina reduz o esforço de compliance e faz da evidência um subproduto das operações, e não um fardo à parte.

31.3 Exceções

Alguns controles não podem ser aplicados em toda parte. Um dispositivo antigo de subestação não suporta a autenticação atual. Nadia ajuda a desenhar um processo de exceções: o responsável pede a exceção, declara o risco e os controles compensatórios, um gestor a aprova por tempo limitado e a exceção aparece no registro de riscos. As exceções vencem e precisam ser renovadas com um novo raciocínio. Ela aprende que as exceções sem gestão viram lacunas permanentes ocultas, enquanto as geridas mantêm o risco visível e as decisões responsabilizáveis. O dispositivo antigo pode continuar em operação com acesso supervisionado enquanto sua exceção e o vencimento permanecem visíveis.

Exemplo resolvido

Nadia migra oitenta controles, encontra doze sem responsável e três obsoletos, integra as tarefas às rotinas e desenha exceções com prazo limitado.

Caso sintético. As contagens de controles e os processos são sintéticos.

Erros e limites

Os lembretes causam fadiga. As exceções costumam ser renovadas por hábito.

Exercícios

• EX091 — Achados da migração. O que a migração revelou?
  Mostrar critérios de avaliação

  Rubrica: 3 = doze controles sem responsável e três obsoletos;; 2 = limpeza;; 1 = vago;; 0 = nenhuma.
• EX092 — Regra de escalonamento. Quando as tarefas vencidas sobem para os gestores?
  Mostrar critérios de avaliação

  Rubrica: 3 = depois de cinco dias;; 2 = cinco dias;; 1 = vago;; 0 = nenhuma.
• EX093 — Vencimento das exceções. Por que as exceções precisam vencer?
  Mostrar critérios de avaliação

  Rubrica: 3 = para forçar um novo raciocínio e manter o risco visível;; 2 = renovação;; 1 = vago;; 0 = nenhuma.

Síntese

A implantação dá certo quando os controles se ajustam às rotinas e as exceções continuam visíveis e com prazo limitado.