Trilha de auditoria em TPRM: como rastrear e documentar decisões de risco de terceiros

Por que a trilha de auditoria é obrigatória em TPRM

Uma trilha de auditoria em TPRM é muito mais que um arquivo de logs. Ela é a evidência tangível de que sua organização conhece seus fornecedores, avaliou riscos intencionalmente e tomou decisões de negócio informadas — ou aceitou riscos de forma consciente e documentada.

Reguladores como o Banco Central do Brasil e a Agência Nacional de Proteção de Dados (ANPD) esperam que instituições financeiras, operadores de dados pessoais e entidades críticas demonstrem proporcionalidade e rastreabilidade nas relações com terceiros. Não é suficiente dizer "avaliamos o risco"; é necessário mostrar *quando* foi avaliado, *quem* avaliou, *qual era o risco*, *qual foi a decisão* e *como ela foi implementada*.

Quando um auditor externo ou um regulador questiona uma decisão sobre um fornecedor — seja uma aprovação apesar de bandeiras vermelhas, uma renovação automática ou uma exceção de conformidade — você precisa de evidência documental que sustente o raciocínio. Uma trilha ausente ou incompleta configura risco de reputação, penalidades regulatórias e dificuldade de demonstrar governance ao conselho.

O que documentar na trilha: decisões iniciais, exceções e remediações

A trilha de auditoria deve capturar cinco momentos críticos no ciclo de vida de um terceiro:

1. Decisão de onboarding Registre o resultado da due diligence inicial: quem conduziu a avaliação, que riscos foram identificados, qual foi o parecer de risco (baixo, médio, alto), e qual foi a decisão final (aprovado, aprovado com condições, rejeitado). Se o terceiro foi aprovado apesar de riscos médios ou altos, documente o raciocínio de negócio: criticidade operacional, falta de alternativas, compromissos de remediação.

2. Aceite de riscos e exceções Quando você deliberadamente aceita um risco que não atende a um critério de conformidade ou política interna, registre: qual é o risco aceito, por quanto tempo, quem aprovou (e em que nível hierárquico), qual é o apetite organizacional para esse risco, e quais são as condições para manter a exceção válida. Exemplo: "Fornecedor de TI em jurisdição de risco elevado aprovado por 12 meses sob condição de auditoria anual de segurança".

3. Planos de ação e remediações Se um risco foi identificado e não imediatamente aceito, deve haver um plano de ação com data-alvo, responsável, e acompanhamento. Registre cada mudança de status: "ação aberta", "em andamento", "concluída", "não realizada". Se o prazo foi estendido, documente por quê. Se a ação foi cancelada, explique.

4. Reavaliações periódicas Em monitoramento contínuo, registre quando o fornecedor foi reavaliado (trimestral, anual, ou por evento), qual foi o resultado, se o risco mudou, e se a classificação foi mantida ou alterada.

5. Offboarding e conclusão Documente a data de término da relação, o motivo (contrato encerrado, falha em remediar riscos, decisão estratégica), e qualquer evidência de transição ordenada ou incidente.

Quando registrar: pontos críticos do ciclo de vida

Uma trilha de auditoria não funciona se você registra tudo manualmente, meses depois, em um e-mail perdido.

Os registros devem ser criados *no momento da decisão*, de forma estruturada:

• Onboarding: simultaneamente ao aceite ou rejeição do fornecedor
• Exceções: no dia em que o formulário de exceção é assinado
• Planos de ação: quando a ação é definida, e novamente a cada atualização de status
• Monitoramento: ao final de cada ciclo de reavaliação
• Incidents: dentro de 24-48 horas após identificação de um problema com um fornecedor
• Offboarding: na data efetiva de encerramento

Sistemas automatizados são criticamente importantes. Se você usar planilhas e e-mails, há risco de perda, fragmentação e falta de controle de versão. Ferramentas de TPRM modernas criam registros imutáveis automaticamente a cada ação.

Quem tem acesso: segregação de dados entre operações, auditoria e conformidade

Uma trilha de auditoria sensível. Ela contém informações sobre riscos, vulnerabilidades de fornecedores, e às vezes dados pessoais.

Implemente segregação de acesso:

• Operações e Gestão de Fornecedores: veem o status e histórico dos fornecedores que gerenciam, podem criar registros de avaliação e ação
• Auditoria Interna: acesso de leitura a todas as trilhas, sem permissão para modificar registros históricos
• Conformidade e Governance: acesso a trilhas agregadas para monitoramento de trends e exceções aceitas
• C-Suite / Conselho: relatórios resumidos sobre exceções e riscos em escala

Ninguém, em nenhuma circunstância, deve poder apagar ou modificar um registro de auditoria já criado. Se um erro ocorreu, crie um registro corretivo — o original permanece como evidência.

Ferramentas e formatos: logs de sistema vs. registros manuais

A trilha pode usar uma combinação de formatos, desde que cada um seja auditável:

Logs automáticos do sistema Se você usa uma plataforma de TPRM, ela deve registrar automaticamente: quem acessou, quando, que dados foram alterados, e qual foi a mudança. Esses logs são impermeáveis a manipulação retroativa.

Registros estruturados de decisão Para decisões que exigem julgamento (como aceite de exceção), use um template que capture: data, identificação do terceiro, descrição do risco, aprovadores, prazo, e raciocínio. Armazene-os em local centralizado (SharePoint, banco de dados interno, plataforma de TPRM).

Evidência documental Anexe documentos relevantes: relatórios de due diligence, certificações, contratos assinados, e-mails de aprovação, resultados de monitoramento. Mantenha cópias digitais imutáveis.

Templates reutilizáveis Crie templates padronizados para: relatório de avaliação inicial, formulário de exceção, plano de ação, relatório de monitoramento. Isso reduz inconsistências e acelera a criação de registros.

Retenção, privacidade e proteção de dados na trilha

A trilha de auditoria acumula rapidamente volume. Como gerenciar retenção e privacidade?

Quanto tempo guardar Retenha trilhas de auditoria pelo menos enquanto o fornecedor estiver ativo, mais 3 a 5 anos após offboarding (período típico de auditoria externa e investigação regulatória). Verifique suas obrigações específicas: instituições financeiras sob Banco Central podem ter períodos mais longos; operadores sob LGPD, períodos até fim da relação mais tempo necessário para fins legítimos.

Proteção de dados pessoais Se a trilha contém dados pessoais (identificação de pessoas físicas, dados bancários de fornecedores individuais), aplique controles LGPD: limite coleta ao necessário, use anonimização onde possível, restrinja acesso. Consulte seu time de privacidade antes de armazenar dados sensíveis na trilha.

Criptografia e backup Armazene trilhas em ambiente seguro, criptografado, com backup regular. Implemente log imutável (write-once storage) se tecnicamente viável.

Próximos passos

A trilha de auditoria é a coluna vertebral da governança de terceiros. Sem ela, você não consegue demonstrar conformidade, defender decisões de risco, ou responder incidentes envolvendo fornecedores com confiança.

Comece mapeando quais decisões você *já* deveria estar registrando — onboarding, exceções, planos de ação — e identifique onde esses registros vivem hoje (planilhas, e-mails, CRM, sistema legado). Então, defina um modelo de dados padronizado e, se possível, implemente uma ferramenta centralizada que capture registros automaticamente.

Se você está avançando em TPRM e já tem exceções e planos de ação em gestão, a próxima etapa é garantir que cada decisão tenha uma trilha completa, auditável e acessível aos stakeholders certos.