Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
RSK-02 · Risco e Decisões
Registro de riscos com responsáveis e tratamento
Os riscos são registrados com avaliação inerente e residual, um responsável, uma decisão de tratamento e uma data de revisão.
6frameworks o tratam integralmente
1parcialmente
1o deixam de fora
SOC 2 ISO 27001 NIST CSF PCI DSS HIPAA GDPR Lei de IA da UE NIST AI RMF
1Onde cada framework o exige
- SOC 2CompletoCC3.4
- ISO 27001Completo6.1.3
- NIST CSFCompletoID.RA-05
- PCI DSSParcial12.3.1 Apenas análises de risco direcionadas, não um registro corporativo.
- HIPAACompleto164.308(a)(1)(ii)(B)
- GDPRAusente Não é exigido um registro de riscos organizacionais; o Art. 30 exige um registro das atividades de tratamento, que é um artefato diferente.
- Lei de IA da UECompletoArt. 9(2)
- NIST AI RMFCompletoMANAGE 1.3
Construa o controle uma vez em relação a este objetivo e cite a cláusula sobre a qual cada auditor perguntar. Um mapeamento parcial diz o que o framework deixa de fora; uma ausência é uma constatação sobre o framework, não uma lacuna no seu programa.
2O que normalmente o comprova
Registro de riscos, planos de tratamento, evidências de revisão.
?Por que existe
Um registro sem responsável é só uma lista.
Para uma organização menorUma planilha revisada trimestralmente pela equipe de liderança.