Capítulo 5 — Governança, riscos e compliance de segurança: alternativas de desenho

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["5.1 Três alternativas"]
  N1["5.2 Comparação"]
  N2["5.3 Seleção"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["5.1 Três alternativas"]
  N1["5.2 Comparação"]
  N2["5.3 Seleção"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX021"]

[5.1 Três alternativas]
    |
    v
[5.2 Comparação]
    |
    v
[5.3 Seleção]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) desenhar abordagens alternativas de supervisão de fornecedores; (2) compará-las em eficácia, custo e carga; (3) selecionar uma abordagem para avaliação.

5.1 Três alternativas

A Halbrook supervisiona trezentos fornecedores com um único questionário longo para todos. Daniel desenha alternativas. A primeira mantém o questionário, mas acrescenta entrevistas de acompanhamento com os fornecedores-chave. A segunda introduz níveis: os fornecedores são classificados por acesso a dados, criticidade e conectividade, com revisões profundas para os níveis altos, apoiadas em relatórios SOC 2 tipo 2 ou certificados ISO/IEC 27001:2022 e em perguntas direcionadas, e revisões leves para os demais. A terceira contrata um serviço externo de ratings. Cada alternativa precisa ser julgada pelos mesmos critérios, definidos na seção seguinte.

5.2 Comparação

Daniel compara as alternativas em critérios combinados com compras e segurança: profundidade da garantia para os fornecedores críticos, tempo de revisão, carga sobre os fornecedores, custo e aderência às expectativas regulatórias sobre terceirização. A opção das entrevistas acrescenta profundidade, mas aumenta o tempo. O serviço de ratings é rápido, mas dá uma visão de fora para dentro que não enxerga os controles internos. Os níveis concentram o esforço onde ele importa e reaproveitam relatórios de garantia já existentes. Ele registra as notas e o raciocínio numa tabela que os colegas podem contestar. A Dra. Varga observa que a tabela também mostra às compras por que as entrevistas perderam apesar da profundidade.

5.3 Seleção

O comitê seleciona os níveis para uma avaliação controlada antes da implantação completa. Daniel observa que o serviço de ratings poderia complementar os níveis, sinalizando mudanças entre as revisões, e o registra como possível acréscimo futuro. Também define o que seria sucesso: revisões mais rápidas sem perder profundidade nos fornecedores críticos, definição fixada antes do teste para que os resultados não possam ser reinterpretados depois a favor dos níveis. Ele aprende que selecionar uma abordagem para avaliação, em vez de declará-la a resposta, mantém a organização aberta às evidências e reduz o custo de errar.

Exemplo resolvido

Daniel desenha três alternativas de supervisão de fornecedores, compara-as em cinco critérios e seleciona os níveis para avaliação.

Caso sintético. As alternativas e as notas são sintéticas; o SOC 2 e a ISO/IEC 27001:2022 são reais.

Erros e limites

Os pesos dos critérios são subjetivos. A qualidade dos serviços de ratings varia.

Exercícios

• EX021 — Abordagem atual. Como a Halbrook supervisiona hoje seus fornecedores?
  Mostrar critérios de avaliação

  Rubrica: 3 = um único questionário longo para os trezentos;; 2 = questionário;; 1 = vago;; 0 = nenhuma.
• EX022 — Evidências dos níveis. Em que evidências se apoiam as revisões profundas?
  Mostrar critérios de avaliação

  Rubrica: 3 = relatórios SOC 2 tipo 2 ou certificados ISO/IEC 27001:2022 mais perguntas direcionadas;; 2 = relatórios de garantia;; 1 = vago;; 0 = nenhuma.
• EX023 — Limite dos ratings. Qual é a limitação do serviço de ratings?
  Mostrar critérios de avaliação

  Rubrica: 3 = a visão de fora para dentro não enxerga os controles internos;; 2 = de fora para dentro;; 1 = vago;; 0 = nenhuma.
• EX024 — Definição de sucesso. Como se define o sucesso dos níveis?
  Mostrar critérios de avaliação

  Rubrica: 3 = revisões mais rápidas sem perder profundidade nos críticos;; 2 = critérios;; 1 = vago;; 0 = nenhuma.
• EX025 — Avaliar primeiro. Por que avaliar antes da implantação completa?
  Mostrar critérios de avaliação

  Rubrica: 3 = mantém a organização aberta às evidências e reduz o custo do erro;; 2 = evidências;; 1 = vago;; 0 = nenhuma.

Síntese

Projetar alternativas e avaliar a escolhida protege contra erros caros.