Capítulo 7 — Governança, riscos e compliance de segurança: integração organizacional

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["7.1 Integração com as compras"]
  N1["7.2 Linhas de responsabilidade"]
  N2["7.3 Gerir a mudança"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["7.1 Integração com as compras"]
  N1["7.2 Linhas de responsabilidade"]
  N2["7.3 Gerir a mudança"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[7.1 Integração com as compras]
    |
    v
[7.2 Linhas de responsabilidade]
    |
    v
[7.3 Gerir a mudança]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) integrar os níveis de fornecedores às compras e à gestão de riscos; (2) alinhar as três linhas de responsabilidade; (3) gerir a mudança entre departamentos.

7.1 Integração com as compras

Daniel trabalha com as compras para embutir os níveis no processo de aquisição. Um formulário curto de entrada agora pergunta sobre acesso a dados, criticidade e conectividade antes de qualquer contrato. As respostas definem o nível automaticamente, e fornecedores de nível alto não podem ser aprovados sem uma revisão de segurança concluída. Ele aprende que a integração funciona quando as etapas de governança ficam dentro dos fluxos de trabalho existentes, no ponto em que as decisões são tomadas, e não num processo à parte que as pessoas precisam lembrar de iniciar. Como o nível é definido na entrada, um fornecedor de nível alto não chega mais à assinatura sem que a revisão de segurança tenha começado.

7.2 Linhas de responsabilidade

A Halbrook usa um modelo em que as unidades de negócio são donas do risco e o gerenciam, uma função de riscos e compliance supervisiona e questiona, e a auditoria interna fornece garantia independente. Daniel esclarece o papel de cada linha no risco de fornecedores: compras e donos de negócio gerenciam, sua equipe define os métodos e questiona, e a auditoria interna testa o processo anualmente. Ele aprende que a confusão entre as linhas, como a equipe de riscos fazer revisões que deveria questionar, enfraquece a garantia e borra a responsabilização. Antes da mudança, sua equipe fazia ela mesma algumas revisões de fornecedores, e ninguém independente sobrava para questioná-las.

7.3 Gerir a mudança

Algumas unidades de negócio resistem aos níveis porque as revisões de nível alto atrasam os contratos. Daniel se reúne com elas, explica os motivos e oferece um engajamento antecipado, para que as revisões comecem antes de os contratos virarem urgência. Também publica os tempos de revisão, para que as unidades possam se planejar. A resistência cai. Ele aprende que a mudança dá certo quando as pessoas entendem os motivos, recebem ajuda prática e têm suas preocupações legítimas, como os prazos, atendidas em vez de descartadas como obstrução. Publicar os tempos também dá às unidades uma medida pela qual cobrar a equipe dele, o que gera confiança no novo processo.

Exemplo resolvido

Daniel embute os níveis nas compras, esclarece as três linhas de responsabilidade e reduz a resistência com engajamento antecipado e tempos publicados.

Caso sintético. Os processos são sintéticos.

Erros e limites

Os formulários de entrada podem ser manipulados. Os modelos de linhas variam entre organizações.

Exercícios

• EX031 — Barreira na entrada. O que impede que fornecedores de nível alto sejam aprovados sem revisão?
  Mostrar critérios de avaliação

  Rubrica: 3 = o formulário de entrada das compras define o nível e bloqueia a aprovação;; 2 = barreira;; 1 = vago;; 0 = nenhuma.
• EX032 — Primeira linha. Quem gerencia o risco de fornecedores na primeira linha?
  Mostrar critérios de avaliação

  Rubrica: 3 = compras e donos de negócio;; 2 = donos;; 1 = auditoria;; 0 = nenhuma.
• EX033 — Confusão entre linhas. O que enfraquece a garantia entre as linhas?
  Mostrar critérios de avaliação

  Rubrica: 3 = a equipe de riscos fazer revisões que deveria questionar;; 2 = confusão;; 1 = vago;; 0 = nenhuma.
• EX034 — Causa da resistência. Por que algumas unidades resistiram aos níveis?
  Mostrar critérios de avaliação

  Rubrica: 3 = as revisões de nível alto atrasavam os contratos;; 2 = atraso;; 1 = vago;; 0 = nenhuma.
• EX035 — Solução da resistência. Como a resistência foi reduzida?
  Mostrar critérios de avaliação

  Rubrica: 3 = engajamento antecipado e tempos de revisão publicados;; 2 = engajamento;; 1 = vago;; 0 = nenhuma.

Síntese

A integração coloca as etapas de governança dentro dos fluxos de trabalho e respeita linhas claras de responsabilidade.