Evidências e questionários de fornecedores: estruture e valide suas avaliações de risco

Por que evidências e questionários precisam de estrutura

Questionários genéricos enviados para todos os fornecedores, evidências acumuladas sem critério e decisões de risco sem registro claro são sinais de alerta para auditores. Profissionais de riscos, compras, jurídico, privacidade e segurança frequentemente enfrentam:

• Questões vagas que geram respostas inconsistentes ou inúteis
• Evidências insuficientes ou de qualidade duvidosa (prints de tela, screenshots sem contexto, documentos vencidos)
• Desconexão entre a pergunta feita, o risco que ela deveria avaliar e o critério de aceitação
• Falta de trilha clara: quem validou, quando, por qual motivo, segundo qual padrão
• Impossibilidade de defender a decisão em uma auditoria ou investigação

A estrutura transforma questionários e evidências de "formulários para cumprir protocolo" em ferramentas efetivas de avaliação de risco.

Elemento 1: Defina critérios de aceitação de evidências antes de solicitar

Antes de enviar um único questionário ou solicitar um documento, decida: o que você vai aceitar como comprovação?

Um critério de aceitação claro responde:

• Que tipo de documento? (certificado oficial, atestado de terceiro, resultado de auditoria interna, relatório de conformidade)
• Que idade máxima? (alguns documentos têm validade: certificações expiram, auditorias desatualizadas não servem)
• Assinado por quem? (responsável da área, sócio, gestor de risco, auditor independente)
• Em que idioma? (original ou tradução juramentada)
• Qual é o mínimo aceitável? (exemplo: plano de continuidade não basta — precisa incluir Recovery Time Objective e Recovery Point Objective para os sistemas críticos da sua empresa)

Exemplo prático:

Para avaliar gestão de dados pessoais em um fornecedor que processa dados brasileiros:

• ✅ Aceita-se: certificado ISO/IEC 27001 válido, com escopo explícito incluindo tratamento de dados pessoais, ou atestado de conformidade assinado por Responsável de Proteção de Dados (DPO) com menos de 12 meses
• ❌ Não aceita-se: declaração verbal, política de privacidade genérica da website, screenshot de dashboard de ferramentas

Defina isso antes de criar o formulário. Isso muda completamente o formato da questão e o que você comunicará ao fornecedor.

Elemento 2: Estruture questões por risco e criticidade — não faça questionário genérico para todos

Um fornecedor que oferece serviços administrativos (faxina, segurança) precisa de avaliações diferentes de um que processa dados pessoais ou tém acesso a sistemas críticos.

Crie questões segmentadas por risco e criticidade do fornecedor:

1. Mapeie os riscos relevantes para aquele tipo de fornecedor (cibersegurança, conformidade regulatória, continuidade, gestão de dados, integridade)
2. Vincule cada questão a um risco específico, não apenas a "boas práticas gerais"
3. Adapte a profundidade ao nível de risco: fornecedor de risco baixo recebe 10 questões; crítico recebe 40

Exemplo:

Fornecedor: Agência de publicidade (Risco: Baixo/Médio)

• Processa dados pessoais? Sim/Não. Se sim: como são armazenados?
• Quantas pessoas da sua equipe têm acesso a nossas contas?

Fornecedor: Outsourcer de TI com acesso a dados críticos (Risco: Alto)

• Gestão de identidades: descreva o processo de provisionamento e desprovisionamento de acessos
• Segurança em repouso: que padrão de criptografia é usado nos discos/bancos de dados?
• Segregação de dados: como garante que dados de clientes diferentes não são acessíveis uns aos outros?
• Plano de resposta a incidentes: tempo máximo para notificar sobre brechas

Questões genéricas criam questionários de 80 perguntas que ninguém responde bem.

Elemento 3: Estabeleça níveis de evidência (documental, verbal, observacional) e quando cada um é apropriado

Nem todo risco exige documentação formal. Nem toda evidência documental é confiável. Crie uma escala de evidência:

Nível 1 (Mais confiável): Documental formal

• Certificado emitido por terceiro independente (ISO, SOC 2, etc.)
• Contrato ou cláusula assinada
• Resultado de auditoria externa
• Comprovante oficial de registro regulatório

Nível 2: Evidência estruturada da empresa

• Política ou procedimento formal assinado
• Relatório interno de auditoria
• Resultado de teste de conformidade
• Atestado de gestor responsável

Nível 3: Evidência contextual

• Resposta estruturada em questionário com dados/métricas
• Acesso observacional (você visita e valida)
• Entrevista estruturada com responsável
• Demonstração operacional

Nível 4 (Mais risco): Declaração verbal ou texto livre

• Resposta genérica em questionário aberto
• Email informal
• Screenshot sem contexto

Para riscos críticos (conformidade regulatória, segurança de dados sensíveis, continuidade): exija Nível 1 ou 2.

Para riscos médios: Nível 2 ou 3 é apropriado.

Para riscos baixos: Nível 3 ou 4 pode ser suficiente.

Elemento 4: Crie matriz de mapeamento entre questão, risco avaliado e critério de aceitação

Essa matriz é a espinha dorsal da trilha de auditoria.

| Número | Questão | Risco Avaliado | Nível Mínimo de Evidência | Critério de Aceitação | Observações | |--------|---------|----------------|---------------------------|-----------------------|------------| | 1 | Qual é a sua abordagem de gestão de incidentes de segurança? | Resposta a incidentes; Transparência | Nível 2 | Plano formal assinado com tempo máximo de notificação (horas) e etapas definidas | Se tempo > 24h, escalar como exceção | | 2 | Qual framework de continuidade você segue? | Continuidade de negócios | Nível 1 ou 2 | Certificado ISO 22301 OU plano documentado com RTO/RPO para sistemas críticos nossos | Deixar explícito quais são nossos "sistemas críticos" | | 3 | Como você garante acesso seguro aos dados? | Cibersegurança; Proteção de dados | Nível 2 | Política de controle de acesso com aprovação formal, segregação de funções, logs | Aceitar cópia da política ou resumo estruturado |

Essa matriz deixa claro: o que você está medindo, por quê, e como você vai decidir se passou ou não.

Elemento 5: Implemente processo de validação — quem valida, quando e segundo qual padrão

Colher evidência não é terminar. Validação é o passo que frequentemente falta.

Defina:

1. Quem valida? (analista de risco, especialista técnico, jurídico, auditor interno?)
2. Quando valida? (imediatamente após receber, antes de fechar a avaliação, periodicamente?)
3. Padrão de validação: qual é o checklist mental/documental do validador?

Exemplo de checklist de validação:

• ☐ Evidência está em nome da empresa respondente?
• ☐ Documento está dentro da validade?
• ☐ Assinatura/carimbo é de pessoa com autoridade para atestar?
• ☐ Resposta à questão é clara e direta, não genérica?
• ☐ Evidência cobre o escopo da nossa relação com o fornecedor?
• ☐ Se há restrições (ex: "válido apenas para filial São Paulo"), elas impactam nosso uso?
• ☐ Comprovante foi validado por fonte independente (ANPD, CISA, NIST, órgão regulador)?

Se a resposta for "não" em qualquer ponto, quem faz? Solicita nova evidência, solicita clarificação ou registra como exceção?

Elemento 6: Documente tudo — registro de questão, resposta, evidência, validador, data e decisão

Auditores vão perguntar: por que você aceitou esse fornecedor?

O registro deve incluir:

• Data da avaliação / da solicitude
• Resposta literal do fornecedor
• Evidência anexada (link ou arquivo)
• Resultado da validação (aceita / rejeita / com ressalva)
• Nome e título de quem validou
• Justificativa se houve desvio do critério (ex: aceita certificado vencido porque está em renovação)
• Data de próxima revisão, se aplicável

Exemplo de registro:

Fornecedor: Acme Data Solutions | Avaliação: Segurança de Dados | Data: 15/01/2024

| Campo | Conteúdo | |-------|----------| | Questão | Qual framework de criptografia você usa para dados em repouso? | | Resposta | Usamos criptografia AES-256 com chaves gerenciadas pelo AWS KMS | | Evidência | Relatório de auditoria SOC 2 Type II (anexado: acme_soc2_2023.pdf) + email de confirmação do CTO | | Nível Aceito | Nível 2 | | Validador | João Silva, Analista de Risco | | Data Validação | 18/01/2024 | | Decisão | Aceita com ressalva: revisar anualmente, pois certificação vence 30/06/2024 | | Próxima Revisão | 01/06/2024 |

Se isso não estiver documentado, a auditoria vai questionar: "Como vocês sabem que isso é verdade? Onde está o registro?"

Checklist de uso: oito passos práticos antes de enviar, aceitar e fechar

Antes de enviar o questionário

1. ☐ Classifiquei o fornecedor por risco e criticidade?
2. ☐ Identifiquei os 3-5 riscos principais para esse tipo de fornecedor?
3. ☐ Cada questão está ligada a um risco específico?
4. ☐ Defini o nível mínimo de evidência aceitável para cada questão?
5. ☐ Comuniquei ao fornecedor qual é o critério de aceitação? (ex: "aceita-se certificado com menos de 12 meses")

Antes de aceitar uma evidência

1. ☐ A evidência atende ao nível mínimo que defini (documental, formal, contexto, verbal)?
2. ☐ Verifiquei: data, assinante, escopo, completude em relação à minha questão?
3. ☐ Registrei a decisão (aceita/rejeita/com ressalva) com justificativa e nome de quem validou?

Antes de fechar a avaliação geral do fornecedor

1. ☐ Todas as questões críticas foram respondidas e validadas?
2. ☐ Há exceções ou ressalvas? Estão documentadas e alguém as aprovou formalmente?
3. ☐ Defini data de próxima avaliação/monitoramento?

Use essa checklist toda vez. Torna a avaliação replicável e defensável.

Conclusão: estrutura gera confiança

Questionários estruturados, evidências claras e trilha documentada resolvem:

• Para o time de riscos: avaliações consistentes, decisões rápidas, defesa em auditoria
• Para os auditores: comprovar que a avaliação foi séria e proporcional
• Para o fornecedor: expectativas claras e comunicação mais eficiente

A estrutura não é burocracia — é o que separa um programa de TPRM robusto de um que apenas acumula documentos.

Comece pequeno: escolha um tipo de fornecedor crítico, defina os riscos, estruture as questões e implemente a matriz. Replique o modelo. Dentro de dois ciclos, você terá um processo defensável e escalável.