Fundamentos de TPRM: A base para um programa estruturado de gestão de riscos de terceiros

O que é TPRM e por que importa para sua organização

TPRM (Third Party Risk Management) é um programa estruturado de governança que identifica, avalia, monitora e controla riscos introduzidos por terceiros — fornecedores, prestadores de serviço, parceiros tecnológicos e qualquer entidade externa que tenha acesso a dados, sistemas, processos ou ativos críticos da organização.

Diferente de uma "gestão de fornecedores" tradicional focada em qualidade, prazo e preço, TPRM coloca risco no centro. Um terceiro pode cumprir contrato perfeitamente, mas representar exposição significativa em segurança da informação, conformidade com LGPD, continuidade de negócios ou integridade.

Por que importa? Porque terceiros são vetores de risco não-linear. Um fornecedor comprometido, mal gerido ou inadequado para sua criticidade pode:

• Causar incidentes de segurança (vazamento de dados, ransomware, acesso não autorizado)
• Violar conformidade regulatória (LGPD, normas bancárias, setoriais)
• Gerar concentração operacional (dependência de um único fornecedor crítico)
• Comprometer continuidade de negócios
• Danificar reputação e confiança

TPRM responde a essas ameaças com visibilidade, controle proporcional e decisões informadas.

Os cinco pilares de um programa de TPRM estruturado

Um programa maduro de TPRM repousa sobre cinco pilares interdependentes:

1. Inventário e Segmentação

Toda organização possui dezenas, centenas ou milhares de terceiros. Começar por inventário significa catalogar quem são, que funções desempenham e qual criticidade possuem. Criticidade não é óbvia: um fornecedor pequeno de uma função crítica (ex.: provedor de autenticação) pode ser tão importante quanto um grande fornecedor de suprimentos.

Segmentação permite aplicar rigor proporcional: terceiros críticos recebem due diligence intensiva; terceiros de baixo risco recebem controles mais leves. Isso otimiza esforço e orçamento.

2. Avaliação de Risco (Due Diligence)

Due diligence é o processo de investigar e questionar o terceiro antes e durante a relação. Envolve:

• Análise de contexto: qual risco o terceiro pode introduzir (dados, segurança, conformidade)?
• Questionários e questionários de segurança
• Auditorias, certificações e comprovantes
• Análise de antecedentes (reputação, sanções, litígios)
• Visitas técnicas quando apropriado

A avaliação produz um score ou matriz de risco que informa a decisão de onboarding: aceitar, aceitar com condições (plano de ação), ou rejeitar.

3. Monitoramento Contínuo

Risco não é estático. Um terceiro aceito pode mudar de propriedade, sofrer incidente de segurança, perder certificação ou falhar em conformidade. Monitoramento contínuo significa:

• Reavaliar periodicamente (anualmente, a cada dois anos, conforme criticidade)
• Rastrear notícias, sanções e incidentes públicos
• Revisar evidências de conformidade (certificados, relatórios de auditoria)
• Coletar indicadores operacionais (performance, SLA, incidentes)
• Investigar mudanças materiais (ownership, localização, serviços)

4. Remediação e Governança de Exceções

Quando avaliação ou monitoramento identificam gaps, a organização não descarta automaticamente o terceiro. Em vez disso, cria um plano de ação: o terceiro tem prazo para remediar a não-conformidade. Se remediar, mantém relacionamento; se não remediar, a exceção é escalada para decisão de negócio (continuar com risco aceito, ou desligar).

Isso exige trilha de auditoria clara: quem identificou o gap, qual era o prazo, como se resolveu, quem aprovou.

5. Continuidade de Negócios e Gestão de Incidentes

Um terceiro crítico pode sofrer indisponibilidade (incêndio, ataque cibernético, falência). A organização precisa:

• Mapear dependências críticas (quais terceiros são single points of failure?)
• Exigir planos de continuidade (backup, redundância, recovery)
• Ter plano de resposta a incidentes envolvendo terceiros (notificação, investigação, remediação)
• Documentar impacto de negócio para escalar rapidamente

Responsabilidades por função: quem faz o quê em TPRM

TPRM não é responsabilidade de uma área única. Cada função traz perspectiva crítica:

Risco/Compliance: Define critérios e matriz de avaliação, documenta decisões, garante consistência, monitora maturidade geral do programa.

Compras/Sourcing: Identifica terceiros, negocia contratos, informa risco ao resto da organização, implementa clausulas de compliance e segurança.

Jurídico: Redige cláusulas contratuais que transferem, limitam ou definem responsabilidade por risco (direito a auditoria, SLA de segurança, obrigações de notificação em caso de incidente).

Privacidade/LGPD: Avalia se o terceiro processa dados pessoais (operador ou suboperador), garante conformidade com LGPD, valida acordos de processamento.

Segurança: Define requisitos técnicos de segurança, avalia questionários de segurança, autoriza integração técnica, monitora controles de segurança.

Auditoria Interna: Testa se o programa de TPRM funciona conforme desenhado, verifica trilhas de auditoria, relata achados e recomendações.

Alinhamento entre essas funções é crítico. Se risco aprova um terceiro mas segurança não autoriza integração técnica, o programa quebra.

O ciclo de vida do terceiro em TPRM

Cada terceiro passa por fases distintas, cada uma com controles apropriados:

Onboarding: Terceiro é identificado (novo contrato ou existente não documentado). Due diligence é realizada. Decisão: aceitar, aceitar com condições, ou rejeitar.

Operação/Monitoramento: Terceiro está ativo. Monitoramento contínuo ocorre (reavalições periódicas, rastreamento de mudanças, investigação de incidentes). Planos de ação são acompanhados.

Offboarding: Terceiro é descontinuado (fim de contrato, término de serviço, ou desligamento por risco). Dados do terceiro são destruídos conforme contrato e regulação. Conhecimento crítico é transferido internamente.

Falta de offboarding estruturado é vulnerabilidade comum: ex-fornecedores retêm acesso a sistemas ou dados.

Governança e decisões críticas em TPRM

Um programa de TPRM exige estrutura de governança: quem aprova o quê, em qual prazo, com qual evidência.

Decisões de risco (aceitar, aceitar com condições, rejeitar) precisam de autorização apropriada. Terceiros críticos podem exigir aprovação de executivo ou comitê. Decisões precisam ser documentadas: qual era o risco, qual era o critério, quem aprovou, por quê.

Escalações acontecem quando avaliação inicial é inconclusiva ou terceiro não remediar gap. Escalação move decisão para nível hierárquico mais alto ou comitê apropriado.

Exceções e aceites de risco são decisões formais de "operamos com este terceiro apesar de risco identificado". Precisam de aprovação, justificativa e prazo de reavaliação. Sem isto, exceções viram norma silenciosa.

Indicadores e métricas de maturidade em TPRM

Como saber se seu programa é efetivo? Algumas métricas ajudam:

• Cobertura: Quantos % de terceiros ativos estão no inventário? Meta: 95%+
• Avaliação: Quantos % de terceiros críticos completaram due diligence? Meta: 100%
• Monitoramento: Quantos % de terceiros foram reavalados no período esperado? Meta: 80%+
• Remediação: Quantos planos de ação foram criados? Quantos foram fechados? Qual o tempo médio de fechamento?
• Incidentes: Quantos incidentes envolveram terceiros? Qual impacto?
• Trilha de auditoria: Decisões de risco deixam rastro documentado e auditável?

Próximos passos para implementação

Se sua organização está começando em TPRM:

1. Comece com inventário: Faça census de todos os terceiros ativos. Documente função, dados que acessam, criticidade.

1. Defina critérios de avaliação: Trabalhe com risco, segurança, privacidade e jurídico para acordar: quais riscos avaliar? Que score define criticidade?

1. Inicie due diligence de críticos: Aplique rigor primeiro a terceiros de alta criticidade. Isso já reduz exposição significativamente.

1. Estruture monitoramento: Defina frequência de reavalição conforme criticidade. Automatize rastreamento de notícias e mudanças quando possível.

1. Documente governança: Quem aprova o quê? Em qual prazo? Qual evidência é necessária? Deixe isto claro para evitar decisões inconsistentes.

1. Alinhe com contratação futura: Novas contratações devem passar por due diligence *antes* de assinatura, não depois. Envolva compras e jurídico desde o início.

TPRM não é projeto com fim. É programa contínuo que amadurece com tempo, aprendizado e ajuste conforme mudanças no ambiente de risco, regulatório e tecnológico. O segredo é começar estruturado, manter consistência e documentar tudo.