Risco inerente e risco residual em TPRM: como mensurá-los e evoluir na maturidade

O que são risco inerente e risco residual em TPRM

Em gestão de riscos de terceiros (TPRM), dois conceitos fundamentais orientam toda tomada de decisão: risco inerente e risco residual.

O risco inerente é aquele que existe naturalmente no relacionamento com um terceiro, independentemente de qualquer controle ou plano de ação implementado. Ele reflete a exposição bruta da organização: se um fornecedor está em um setor altamente regulado, acessa dados sensíveis ou opera em geografi a de alto risco, seu risco inerente é elevado — simplesmente porque essas características não desaparecem.

O risco residual, por sua vez, é o risco que permanece *após* a aplicação de controles, planos de ação e mitigações. Ele leva em conta as salvaguardas que sua organização implementou e que o terceiro mantém. É o que você realmente carrega como exposição operacional.

A diferença não é semântica: ela determina como você prioriza esforços, aloca recursos e toma decisões de aceite ou rejeição de fornecedores.

Por que a diferenciação importa para maturidade do programa

Um programa de TPRM imaturo frequentemente confunde essas duas dimensões. Resultado: gasta-se tempo avaliando risco em terceiros sem levar em conta o que já foi feito para mitigá-lo, ou deixa-se de aprofundar controles porque o risco inerente parece incontrolável.

Programas maduros, ao contrário,:

• Diferenciam diagnóstico de ação: separam o que é naturalmente arriscado (inerente) do que foi reduzido por controles (residual)
• Priorizam remediação: focam recursos onde os controles fazem mais diferença
• Tomam decisões proporcionais ao risco: usam risco residual (não inerente) para aceitar ou rejeitar relacionamentos
• Evoluem continuamente: medem a redução de risco residual ao longo do tempo e refinam controles com evidência

Como avaliar risco inerente: fatores críticos e dimensões

O risco inerente é composto por dimensões que sua organização não pode mudar, mas deve reconhecer. As principais são:

Criticidade operacional: o terceiro é essencial para uma função crítica? Fornece insumos únicos? Opera em single-point-of-failure?

Regulação e compliance: setor altamente regulado? Deve cumprir padrões internacionais (ISO 27001, SOC 2)? Está sujeito a auditoria regulatória?

Dados e privacidade: acessa dados pessoais (LGPD), financeiros ou confidenciais? Qual o volume e sensibilidade?

Localização geográfica: opera ou terceiriza para jurisdições de alto risco de sanctions, instabilidade política ou fraco enforcement de direitos?

Histórico de incidentes: tem antecedentes de breaches, indisponibilidade ou problemas de compliance no setor?

Essas dimensões se combinam em um score de risco inerente, frequentemente representado em matriz (baixo, médio, alto, crítico). Não é decisão binária — reflete probabilidade e impacto potencial.

Métricas de risco residual: impacto de controles e planos de ação

Aqui o risco inerente encontra a realidade operacional. Para mensurar risco residual, você precisa:

1. Mapear controles existentes

Quais controles o terceiro já tem? Certificações de segurança, auditorias internas, políticas de privacidade, seguros? Quais controles sua organização implementou? Cláusulas contratuais, monitoramento contínuo, restrições de acesso?

Cada controle reduz risco de uma forma específica. Um ISO 27001 certifica gestão de segurança, mas não garante continuidade de negócios. Um SLA de disponibilidade reduz risco operacional, mas não toca compliance regulatório.

2. Quantificar mitigação

Nem todo controle reduz risco na mesma proporção. Um framework de referência como o NIST Cybersecurity Framework ajuda aqui: categoriza controles por nível de maturidade (inicial, em desenvolvimento, definido, gerenciado, otimizado), permitindo que você estime a redução de risco de forma consistente.

Se o risco inerente de um fornecedor crítico é "alto" (probabilidade média, impacto alto), mas ele tem auditoria SOC 2 anual, contrato com cláusula de continuidade e monitoramento trimestral, o risco residual pode cair para "médio".

3. Rastrear planos de ação

Nem sempre o terceiro já tem todos os controles. Daí entram os planos de ação (PAC): compromissos do terceiro (ou sua organização) para reduzir risco em prazos definidos.

Um PAC bem estruturado inclui:

• Controle ou evidência esperada
• Data de conclusão
• Responsável (terceiro ou sua organização)
• Critério de aceite (como validar)
• Risco residual até conclusão vs. após conclusão

A diferença entre "antes do PAC" e "após PAC" mostra o impacto real de remediação.

Mapeamento de controles: da identificação ao monitoramento contínuo

Levantar controles é apenas o primeiro passo. Um programa maduro monitora continuamente.

Fase 1: Avaliação inicial (onboarding)

Durante due diligence, você coleta evidências (certificados, relatórios de auditoria, respostas a questionários) que documentam o controle no momento da avaliação. Essas evidências alimentam seu score de risco residual inicial.

Fase 2: Monitoramento em ciclo

Certificados expiram, políticas desatualizam, pessoas saem das organizações. Um programa maduro:

• Define frequência de re-avaliação (anual, bienal, conforme criticidade)
• Monitora eventos (mudanças de conformidade, incidentes relatados)
• Solicita atualização de evidências antes de vencer

Fase 3: Reavaliação e evolução

Quando risco residual cai significativamente (porque controles se consolidaram), você pode:

• Aumentar prazos entre avaliações
• Reduzir intensidade de monitoramento
• Direcionar esforços para terceiros com risco residual ainda elevado

Isso é maturidade: alocação inteligente de recursos, baseada em risco real (residual), não em risco teórico (inerente).

Progressão de maturidade: como reduzir risco residual ao longo do tempo

Uma organização típica progride em TPRM conforme melhora sua capacidade de reduzir e manter risco residual baixo.

Nível 1 (Reativo): Risco inerente guia aceite/rejeição de terceiros. Quase nenhum monitoramento após onboarding. Risco residual é negligenciado — assume-se que o terceiro não mudará.

Nível 2 (Responsivo): Controles iniciais são avaliados (questionários, certificações). Planos de ação começam a ser negociados. Risco residual é estimado, mas sem rigor metodológico.

Nível 3 (Definido): Metodologia clara de avaliação (matriz de risco com critérios explícitos). Controles são rastreados em ferramenta. PACs têm prazos e critério de aceite. Risco residual é recalculado após conclusão de PAC.

Nível 4 (Gerenciado): Monitoramento contínuo de controles (não apenas anual). Alertas quando certificações vencem ou incidentes ocorrem. Risco residual é dinâmico, recalculado com frequência. Decisões de aceite explicitam risco residual aceito.

Nível 5 (Otimizado): Risco residual é parte da conversa contínua com terceiros. Melhorias de controle são priorizadas conforme impacto em risco residual. Programa se adapta continuamente com base em dados de incidentes, mudanças de ambiente e evolução de ameaças.

Decisões de aceite e exceções baseadas em risco residual

Aqui é onde a teoria vira ação.

Sua organização deve ter um nível de tolerância de risco definido por governança: que risco residual é aceitável para cada categoria de terceiro (críticos, estratégicos, transacionais)?

Uma decisão de aceite ou exceção deve:

• Identificar o risco residual (não confundir com inerente): "Este fornecedor de dados tem risco residual médio porque auditoria SOC 2 foi realizada em X, mas monitoramento trimestral será requerido"
• Justificar a aceitação: "Risco residual médio é tolerável para este volume de dados porque temos seguro de cibersegurança e contrato de indenização"
• Estabelecer condiçõesc: "Aceite condicionado a plano de ação para implementar autenticação multifator até [data]"
• Documentar na trilha de auditoria: quem aprovou, quando, com qual risco residual e sob quais condições

Rejeitar um terceiro por risco inerente alto (setor regulado, dados sensíveis) sem avaliar risco residual é desproporcional. Aceitar por risco residual "médio" sem monitoramento é negligência.

Métricas de sucesso e evolução contínua

Um programa que diferencia risco inerente de residual pode medir seu progresso:

• Proporção de risco residual aceitável: quantos terceiros críticos têm risco residual dentro de tolerância?
• Tempo médio para conclusão de PAC: planos de ação saem do papel?
• Cobertura de monitoramento: quantos terceiros críticos estão em ciclo ativo de re-avaliação?
• Incidentes não antecipados: com que frequência falhas de terceiros pegam a organização de surpresa (indicador de avaliação inadequada)?

Conforme essas métricas melhoram, você está evoluindo em maturidade. E isso não é exercício acadêmico — é redução real de exposição operacional e regulatória.