O registro de riscos de fornecedores de uma empresa de tecnologia havia crescido substancialmente ao longo de três anos de amadurecimento do programa de TPRM. Cada ciclo de avaliação acrescentava achados ao registro. O registro mostrava todos os achados em um de três estados: em aberto (remediação não iniciada), em remediação (o fornecedor reconheceu e começou a tratar) ou aceito (formalmente aceito com aprovação do responsável de negócio). Durante uma revisão de governança, o CISO solicitou os itens em aberto de alta prioridade que exigiam atenção imediata. A equipe de riscos filtrou o registro para os itens em aberto de alta prioridade: quarenta e sete entradas. Questionada sobre quantos deles estavam no registro havia mais de seis meses, a resposta foi trinta e um. Mais de doze meses: dezenove. Mais de dezoito meses: onze. Questionada sobre quantos haviam sido encerrados (totalmente remediados e removidos do registro) nos últimos doze meses, a resposta foi zero. O registro nunca teve um processo de encerramento. Os itens eram incluídos quando as avaliações encontravam problemas. Os itens eram atualizados quando os fornecedores relatavam progresso na remediação. Os itens eram aceitos quando os responsáveis de negócio aprovavam. Nada jamais havia sido formalmente encerrado e removido. O registro documentava com precisão todos os achados já incluídos desde o início do programa. Não representava com precisão o panorama atual de riscos de fornecedores.
O que é, de fato, o problema da precisão do registro de riscos?
Um registro de riscos é o inventário oficial dos riscos identificados que estão sendo gerenciados atualmente: o panorama de riscos ativos que os processos de governança usam para priorizar a remediação, alocar recursos e reportar à liderança. A precisão do registro de riscos é o grau em que o registro reflete o ambiente de risco atual, e não o histórico de todos os riscos já identificados. Um registro de riscos preciso cresce quando novos riscos são identificados e diminui quando os riscos são remediados, aceitos com revisão adequada ou superados por circunstâncias que alteraram o perfil de risco. Um registro que só cresce não está mantendo com precisão o quadro de riscos atual: está acumulando achados sem validar sua relevância contínua.
A lacuna no processo de encerramento é a falha estrutural que produz registros que crescem sem diminuir. Os registros de riscos têm processos de inclusão bem definidos: os achados de avaliação são documentados, categorizados e incluídos por meio de fluxos definidos. A maioria dos registros de riscos tem processos de encerramento mal definidos ou totalmente ausentes: os critérios para confirmar que um risco foi remediado e removê-lo do registro ativo, as evidências necessárias para confirmar o encerramento e a aprovação de governança exigida antes que um achado seja encerrado. Sem um processo de encerramento definido, os achados se acumulam indefinidamente, independentemente de o risco subjacente ter sido tratado.
O problema da inflação de status é o segundo modo de falha de precisão. Achados que estão no status “em remediação” há seis, doze ou dezoito meses sem progresso verificado ou estão genuinamente paralisados ou estão sendo relatados como em andamento sem avanço significativo. Em ambos os casos, o status “em remediação” oferece um quadro enganoso: sugere que uma remediação ativa está ocorrendo, quando na verdade o achado se tornou uma aceitação de longo prazo disfarçada de trabalho em andamento. Um status “em remediação” genuíno exige a validação periódica de que a remediação está progredindo, e não apenas de que o fornecedor reconheceu o achado.
- Nenhum processo de encerramento: achados incluídos sem um processo definido para removê-los quando remediados
- Inflação de status: achados no status “em remediação” por longos períodos sem progresso verificado
- Confusão com arquivo histórico: registro que mistura riscos ativos atuais com entradas remediadas, obsoletas e superadas
- Nenhum encerramento baseado em evidências: fornecedores relatam a remediação sem verificação de evidências antes do encerramento
- Tamanho do registro ocultando a prioridade: o número crescente de entradas dificulta identificar os itens de alta prioridade genuinamente atuais
Por que isso importa
A precisão do registro de riscos é importante para TPRM porque o registro é a principal ferramenta para a tomada de decisões de governança: priorizar recursos de remediação, monitorar itens de alto risco e relatar o risco atual à liderança. Um registro que mistura riscos ativos atuais com entradas obsoletas e achados com status inflado produz decisões de governança baseadas em um quadro de riscos impreciso. A liderança que revisa um registro com quarenta e sete itens em aberto de alta prioridade pode ficar justificadamente alarmada, mas, se dezenove desses itens estão em aberto há mais de um ano e onze há mais de dezoito meses, o alarme é em parte justificado e em parte consequência do acúmulo no registro, e não de riscos ativos de alta prioridade.
A lacuna de responsabilização pelo SLA de remediação é a consequência operacional direta. Quando os achados do registro de riscos não têm SLA de remediação nem consequências definidas para a permanência prolongada em aberto, o registro se torna um repositório onde os achados se acumulam sem pressão de governança para tratá-los. Um fornecedor que reconhece um achado e entra no status “em remediação” cumpriu sua obrigação mínima de governança: pode permanecer nesse status indefinidamente sem um mecanismo de responsabilização definido que escale quando os prazos de remediação não forem cumpridos.
Onde a maioria das equipes erra
A falha mais recorrente é não conceber um processo de encerramento quando o registro de riscos é criado. Os processos de inclusão são concebidos no início do programa. Descobre-se que os processos de encerramento estão ausentes meses ou anos depois, quando o registro cresceu a um tamanho que compromete sua utilidade como quadro de riscos atual.
- Nenhum processo de encerramento concebido quando o registro foi criado
- Encerramento baseado em evidências não exigido: autodeclaração do fornecedor aceita para atualizações de status
- Nenhum SLA para a remediação: achados abertos indefinidamente sem escalonamento
- Atualizações de status aceitas sem validação do progresso
- Revisão do registro sem avaliação da relevância atual
Como é uma boa prática
Programas maduros de registro de riscos definem critérios de encerramento no início do programa: quais evidências são necessárias para encerrar um achado, quem aprova o encerramento e com que frequência os achados em remediação são validados quanto a um progresso real.
- Critérios de encerramento definidos: quais evidências são necessárias e quem aprova antes que um achado seja removido
- SLAs de remediação: tempo máximo em remediação antes do escalonamento
- Validação periódica dos itens em remediação: evidências de progresso exigidas em intervalos definidos para os achados em remediação
- Revisão da relevância atual: revisão periódica dos achados antigos para determinar se o risco subjacente ainda é atual
- Métricas de higiene do registro: acompanhamento do tempo em aberto, da taxa de encerramento e do desempenho do SLA de remediação
Ferramentas
Plataformas de GRC: ServiceNow GRC, Archer, MetricStream
As plataformas GRC com recursos de gestão do registro de riscos suportam fluxos de encerramento: definem requisitos de evidência, encaminham aprovações de encerramento e acompanham o desempenho do SLA de remediação. Para profissionais de TPRM, perguntar se a plataforma GRC do fornecedor impõe o encerramento baseado em evidências com aprovação de governança é uma pergunta específica sobre a precisão do registro.
Plataformas TPRM com acompanhamento da remediação: ProcessUnity, Prevalent
As plataformas TPRM com recursos de acompanhamento da remediação monitoram o progresso da remediação dos fornecedores, sinalizando achados que não avançaram além do reconhecimento inicial e escalando achados que excederam os SLAs de remediação. Para profissionais de TPRM, usar o acompanhamento da remediação da plataforma TPRM em vez de atualizações manuais do registro proporciona monitoramento e escalonamento automatizados de SLA.
Desafios de governança
O desafio de governança na precisão do registro de riscos é o investimento em evidências de encerramento. Encerrar um achado exige evidências de que o risco subjacente foi tratado, o que exige aceitar a autodeclaração do fornecedor (baixa qualidade de evidência) ou realizar uma verificação (maior qualidade de evidência, mas com uso intensivo de recursos). O equilíbrio entre os requisitos de evidência para o encerramento e a eficiência do processo de encerramento determina se esse processo é usado ou contornado.
- Definir agora os critérios de encerramento e os requisitos de evidência, caso ainda não estejam definidos
- Definir SLAs de remediação para todos os achados em aberto: tempo máximo em cada status antes do escalonamento
- Exigir encerramento baseado em evidências: evidências de remediação do fornecedor revisadas antes do encerramento
- Realizar revisões periódicas do registro quanto à relevância atual: achados antigos avaliados quanto à aplicabilidade contínua
- Acompanhar a taxa de encerramento como métrica de saúde do programa, junto com a taxa de inclusão de achados
Se você faz parte de uma equipe pequena
Filtre o seu registro de riscos para os achados que estão em qualquer status há mais de doze meses. Para cada um, faça duas perguntas: o risco subjacente ainda é relevante hoje, ou seja, algo mudou que tenha tratado ou transformado o risco? E, para os achados em remediação: que evidências foram recebidas de que a remediação está realmente progredindo? Essas duas perguntas separarão os riscos em aberto genuinamente atuais do acúmulo no registro. Os achados que resistem a ambas as perguntas são os que realmente exigem atenção de governança no momento.
- Filtrar o registro para achados com mais de doze meses e avaliar sua relevância atual
- Solicitar evidências para todos os achados em remediação há mais de seis meses
- Definir critérios de encerramento e implementar um processo de encerramento
- Definir SLAs de remediação para todos os achados em aberto
O que exigir
Pergunte diretamente:
“Para os achados que estão no status de remediação há mais de seis meses, vocês podem fornecer evidências do progresso da remediação, especificamente, o que foi concluído desde que o achado foi reconhecido e o que ainda falta fazer, com uma data-alvo de conclusão?”
O que esperar como evidência
- Evidências das etapas de remediação concluídas para achados de longa duração
- Etapas de remediação restantes com datas-alvo de conclusão
- Causa raiz do atraso, caso a remediação esteja atrasada em relação ao cronograma
- Reconhecimento do escalonamento caso a remediação esteja paralisada
Um fornecedor com achados no status de remediação há mais de seis meses deve ser solicitado a apresentar evidências de progresso e um prazo de conclusão. “Em remediação” descreve um status. As evidências descrevem se o status é preciso.
Como comprovar
- Documentação do processo de encerramento do registro
- Registros de acompanhamento do SLA de remediação
- Registros de encerramento baseado em evidências
- Registros de revisão da relevância atual dos achados antigos
Principal conclusão
Um registro de riscos que cresce sem diminuir é um arquivo, não um quadro de riscos. Noventa e três entradas incluídas ao longo de três anos com zero encerramentos refletem um programa que identificou riscos de forma consistente e falhou de forma consistente em concluir o ciclo de governança que começa com a identificação e termina com a remediação verificada e o encerramento formal. O processo de inclusão funciona. O processo de encerramento não existe. Um quadro de riscos atual exige ambos: achados incluídos quando identificados e removidos quando remediados com evidências. Os achados que são riscos em aberto genuinamente atuais merecem atenção de governança. Os achados que estão em remediação há dezoito meses merecem escalonamento ou uma reclassificação honesta. Conceba o processo de encerramento agora.