Capítulo 6 — Governança, riscos e compliance de segurança: fluxo operacional
Mapa da aula
Aula 06 publicada. Mapa, exemplo, EX026.
flowchart TD
N0["6.1 Fluxo dos achados"]
N1["6.2 Metas por severidade"]
N2["6.3 Relatórios"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX026"]
Desenho lógico
flowchart LR
N0["6.1 Fluxo dos achados"]
N1["6.2 Metas por severidade"]
N2["6.3 Relatórios"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX026"]
[6.1 Fluxo dos achados]
|
v
[6.2 Metas por severidade]
|
v
[6.3 Relatórios]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX026]
Objetivos de aprendizagem
Você vai (1) desenhar um fluxo de GRC para os achados; (2) definir metas por severidade; (3) relatar o progresso à direção.
6.1 Fluxo dos achados
Lena desenha um fluxo para os achados de auditorias e revisões. Cada achado é registrado com descrição, severidade, dono, ação acordada e data-alvo. Os donos atualizam o progresso todo mês. Quando um dono declara a conclusão, Lena verifica as evidências antes de encerrar. Os achados em atraso são escalados para o executivo a quem o dono responde. Ela aprende que um fluxo claro torna a responsabilização visível e impede que os achados sejam esquecidos depois que o relatório de auditoria é arquivado. Verificar as evidências antes do encerramento impede que um achado seja marcado como resolvido quando só existe um plano.
6.2 Metas por severidade
Lena propõe metas por severidade: achados altos encerrados em trinta dias, médios em noventa e baixos em cento e oitenta. Ela explica que as metas precisam ser realistas; um achado alto que exige a substituição de um sistema pode precisar de uma medida provisória acordada e de um plano mais longo. Aprende que datas-alvo sem planos realistas estimulam encerramentos falsos, enquanto planos com medidas provisórias mantêm o risco gerido enquanto as correções mais longas avançam. Um achado alto que exige a substituição de um sistema poderia, por exemplo, ser mantido dentro da meta por uma restrição provisória enquanto a substituição é planejada.
6.3 Relatórios
Lena relata mensalmente ao comitê executivo de riscos: achados abertos por severidade, achados em atraso com donos e motivos, e achados encerrados com evidências. Ela começa pelos achados altos em atraso. O comitê pede aos donos dos itens atrasados que expliquem os atrasos. Ela aprende que os relatórios funcionam quando são curtos, consistentes e levam à ação no nível certo, em vez de simplesmente informar que os problemas existem. Começar pelos achados altos em atraso faz o tempo limitado do comitê ir para os itens que mais provavelmente precisam de ajuda executiva.
Exemplo resolvido
Lena desenha um fluxo de achados com encerramento baseado em evidências, metas por severidade e relatórios mensais ao comitê.
Caso sintético. O fluxo é sintético.
Erros e limites
As metas podem estimular encerramentos falsos. Os comitês podem não agir.
Exercícios
- EX026 — Verificação no encerramento. O que acontece quando um dono declara a conclusão? Rubrica: 3 = Lena verifica as evidências antes de encerrar;; 2 = evidências;; 1 = vago;; 0 = nenhuma.
- EX027 — Meta dos altos. Qual é a meta para os achados altos? Rubrica: 3 = trinta dias;; 2 = 30;; 1 = vago;; 0 = nenhuma.
- EX028 — Correções longas. Como tratar um achado alto que exige a substituição de um sistema? Rubrica: 3 = medida provisória e plano mais longo acordado;; 2 = provisória;; 1 = vago;; 0 = nenhuma.
- EX029 — Abertura do relatório. Por onde começa o relatório de Lena? Rubrica: 3 = pelos achados altos em atraso;; 2 = atrasados;; 1 = vago;; 0 = nenhuma.
- EX030 — Caminho de escalonamento. Para onde os achados em atraso são escalados? Rubrica: 3 = para o executivo a quem o dono responde;; 2 = executivo;; 1 = vago;; 0 = nenhuma.
Síntese
Um fluxo de achados com metas realistas e relatórios focados em ações mantém a correção em andamento.
Continue estudando — aula 06 (capítulo 06 de 12)
← Capítulo 05 · Índice das aulas · Capítulo 07 →
Continue para a próxima aula já escrita.