Gestão de Risco de Terceiros orientada ao negócio.
Avalie fornecedores críticos, dependências e controles de segurança para identificar riscos na cadeia de terceiros antes que uma falha externa se transforme em impacto para sua operação.
O risco não termina quando o contrato é assinado.
A gestão de terceiros deve considerar desde a classificação inicial do fornecedor até avaliações periódicas, planos de ação e mudanças relevantes durante todo o relacionamento.
Cadastro de fornecedores
Organização dos terceiros relevantes, serviços prestados, responsáveis e principais dependências da organização.
Classificação
Avaliação da relevância do fornecedor considerando serviço, dados, operação, substituição e potencial impacto.
Avaliação de segurança
Questionários estruturados para avaliar controles, processos, governança e maturidade do fornecedor.
Análise de evidências
Validação de documentos e evidências relevantes para apoiar a confiabilidade das respostas recebidas.
Classificação de risco
Consolidação dos gaps considerando criticidade, exposição, dependência e impacto potencial.
Planos de ação
Organização das ações corretivas, responsáveis, prazos e prioridades necessárias para tratamento.
Monitoramento
Acompanhamento das pendências, mudanças relevantes e evolução dos riscos identificados.
Reavaliação periódica
Novas avaliações conforme criticidade, mudanças contratuais, incidentes ou periodicidade definida.
Visão executiva
Indicadores, rankings e riscos consolidados para apoiar decisões sobre fornecedores críticos.
Da classificação ao monitoramento contínuo.
O processo prioriza os fornecedores que representam maior dependência ou impacto para a organização, evitando tratar todos os terceiros com a mesma profundidade.
Criticidade
Entendimento do serviço, dados envolvidos, dependência operacional e impacto potencial.
Controles
Assessment, evidências e análise dos principais controles e práticas do fornecedor.
Riscos
Priorização dos gaps e definição de planos de ação para redução da exposição.
Evolução
Acompanhamento das pendências e reavaliação conforme mudanças e criticidade.
Visibilidade sobre os fornecedores que sustentam sua operação.
O resultado permite entender quais terceiros representam maior risco, quais gaps precisam ser tratados e onde a organização deve concentrar sua atenção.
Inventário de terceiros
Organização dos fornecedores e informações relevantes para gestão.
Matriz de criticidade
Classificação dos fornecedores conforme impacto e dependência.
Assessment de segurança
Avaliação estruturada dos controles e práticas do fornecedor.
Mapa de riscos
Consolidação dos principais riscos identificados por fornecedor.
Planos de ação
Ações, prioridades, responsáveis e prazos para tratamento.
Relatório executivo
Indicadores e visão consolidada para apoiar decisões de gestão.
Avaliação alinhada a boas práticas e requisitos aplicáveis.
Os critérios e profundidade da avaliação são ajustados ao contexto, criticidade e perfil de risco de cada terceiro.
Dúvidas sobre Gestão de Risco de Terceiros e TPRM.
O que é TPRM?
TPRM significa Third Party Risk Management. É o processo de identificar, avaliar, tratar e acompanhar riscos associados a fornecedores e outros terceiros da organização.
Todos os fornecedores precisam da mesma avaliação?
Não. A profundidade da avaliação deve considerar a criticidade, o tipo de serviço, os dados envolvidos e a dependência da organização.
Como identificar um fornecedor crítico?
A classificação pode considerar fatores como impacto operacional, acesso a dados, dificuldade de substituição, dependência, exposição tecnológica e relevância do serviço prestado.
A avaliação pode exigir evidências?
Sim. Evidências ajudam a validar respostas e aumentar a confiabilidade da avaliação dos controles declarados pelo fornecedor.
O que acontece quando um risco é identificado?
O risco pode ser classificado e direcionado para tratamento, aceitação, mitigação ou outra decisão apropriada, conforme o contexto da organização.
O fornecedor deve ser avaliado novamente depois da contratação?
Sim. Fornecedores críticos podem ser reavaliados periodicamente ou quando ocorrerem mudanças relevantes no serviço, contrato, criticidade ou ambiente.
Você conhece o risco dos fornecedores que sustentam sua operação?
Converse com a Marboseg para estruturar um processo de TPRM adequado à criticidade, maturidade e realidade da sua empresa.