O programa de TPRM de uma empresa industrial global havia amadurecido de forma significativa ao longo de três anos: avaliações abrangentes, um registro de riscos bem desenhado e uma cadência de relatórios mensais que incluía apresentações ao conselho. O formato do relatório mensal havia sido definido no segundo ano do programa e se mantivera constante: total de fornecedores avaliados (174), constatações abertas de alta prioridade (23), constatações em correção (47) e pontuação média de risco do portfólio (61). O conselho recebia esse relatório trimestralmente. Ao longo de seis meses de relatórios consistentes, o conselho havia recebido dezoito dados que confirmavam que o programa operava em escala constante. O que o conselho não havia recebido em seis meses de relatórios: qual fornecedor teve a maior deterioração da postura de segurança desde a última avaliação; qual seria a exposição financeira agregada se os três fornecedores de maior risco sofressem incidentes simultâneos; se algum fornecedor havia sofrido incidentes de segurança monitorados pelo sistema de classificação contínua do programa; se os recursos de avaliação da equipe de TPRM estavam sendo alocados às relações com maior crescimento de risco; e quais decisões de risco acionáveis o conselho precisava tomar. O relatório confirmava o programa. Não informava o conselho.
O que é, de fato, o problema de relatórios versus insights?
Relatório é a comunicação de métricas e atividades do programa: contagens, médias, taxas de conclusão e atualizações de status que descrevem o que o programa fez. Insight é a análise dessas métricas para produzir informação acionável: identificar quais padrões indicam risco crescente, onde a exposição financeira está concentrada, quais decisões precisam ser tomadas e o que os resultados do programa significam para a posição de risco da organização. A diferença entre relatórios e insights é a diferença entre um programa que produz resultados e um programa que produz decisões.
As métricas de volume são o padrão mais comum de relatório sem insight. Contagens de fornecedores avaliados, constatações abertas e constatações corrigidas confirmam que o programa está operando e produzindo resultados. Elas não indicam se esses resultados tratam os riscos mais significativos. Um programa que avalia cento e setenta e quatro fornecedores pode ter todos os cento e setenta e quatro avaliados como de baixo risco, enquanto os três fornecedores com a maior exposição real de dados de clientes não estão entre eles. A contagem de fornecedores avaliados é evidência de atividade do programa, não evidência de cobertura de risco.
O problema do insight relevante para o público é a segunda dimensão de relatórios versus insights. Públicos diferentes precisam de insights diferentes a partir do mesmo programa de TPRM. A equipe de TPRM precisa de métricas operacionais (taxas de conclusão das avaliações, desempenho em relação ao SLA de correção e distribuição das constatações) para gerenciar o programa no dia a dia. O CISO precisa de insights de gestão de riscos (quais exposições a fornecedores estão crescendo, onde é necessário investimento adicional e qual é a cobertura de risco do programa) para tomar decisões de alocação de recursos. O conselho precisa de insights de governança (qual exposição financeira a organização carrega por meio das relações com fornecedores, se o apetite a risco está sendo respeitado e quais decisões exigem sua atenção ou autoridade). Um formato único de relatório mensal que atende mal a um público atende ainda pior aos demais.
- Métricas de volume no lugar de insights de risco: contagens de atividades que confirmam a operação do programa sem revelar a importância do risco
- Nenhuma análise de tendências: métricas pontuais sem comparação de direção
- Nenhum contexto de exposição financeira: constatações de risco sem relação com o impacto financeiro
- Formato único de relatório para vários públicos: métricas operacionais apresentadas a um público de governança no nível do conselho
- Nenhum item que exija decisão destacado: relatórios que informam sem levar à ação
Por que isso importa
Relatórios versus insights é importante para TPRM porque o valor de governança do programa é determinado pela qualidade das decisões que ele possibilita, e não pelo volume de seus resultados. Um conselho que recebe métricas de atividade constantes por seis meses e não é chamado a tomar nenhuma decisão de risco não tem governado o risco de fornecedores: tem recebido confirmações da atividade do programa. Quando o fornecedor de maior risco sofrer um incidente e o conselho perguntar que alerta foi dado e quais decisões estavam disponíveis para evitar ou mitigar o incidente, a resposta de que o programa produzia relatórios mensais constantes com números estáveis não bastará.
O desafio de comunicação do CISO é a dimensão prática. Os CISOs que apresentam o risco de fornecedores aos conselhos precisam traduzir os resultados do programa em uma linguagem de risco com a qual o conselho possa agir: faixas de exposição financeira, comparação com o apetite a risco, decisões específicas que exigem autoridade ou conhecimento do conselho e indicadores de tendência que mostram se a posição de risco está melhorando ou piorando. Um CISO que apresenta métricas de atividade do programa a um conselho está comunicando as operações do programa a um público de governança de riscos, um descompasso de formato que deixa o conselho sem as informações de que precisa para governar.
Onde a maioria das equipes erra
A falha mais recorrente é desenhar os relatórios em torno dos dados mais fáceis de coletar, e não das decisões que o público precisa tomar. Número de fornecedores, número de constatações e pontuação média são fáceis de calcular a partir dos dados do programa. Análise de tendências, estimativas de exposição financeira e necessidades de decisão exigem um investimento analítico adicional para o qual as cadências de relatório raramente reservam tempo.
- Desenhar relatórios em torno dos dados disponíveis, e não das necessidades de decisão do público
- Nenhuma análise de tendências: falta de contexto de direção
- Relatórios ao conselho com métricas operacionais em vez de insights de governança
- Nenhum contexto de exposição financeira nos resultados do programa
- Relatórios que não levam a decisões: informam sem direcionar a ação
Como é uma boa prática
Programas maduros de relatórios de TPRM desenham produtos de relatório diferentes para públicos diferentes (painéis operacionais para a equipe do programa, resumos de gestão de riscos para o CISO e relatórios de governança para o conselho), cada um desenhado em torno das decisões que o público toma, e não em torno dos dados de atividade do programa.
- Relatórios por público: relatórios operacionais, gerenciais e de governança desenhados para as necessidades de decisão de cada público
- Análise de tendências em todos os relatórios: se a posição de risco está melhorando ou piorando
- Contexto de exposição financeira: constatações de risco associadas a faixas de impacto financeiro
- Itens que exigem decisão destacados: itens específicos que exigem ação ou autoridade
- Comparação com o apetite a risco: se a posição de risco do portfólio está dentro da tolerância definida
Ferramentas
Painéis de TPRM: ProcessUnity, Venminder, OneTrust
Plataformas de TPRM com recursos de relatórios e análise oferecem várias visões de painel: painéis operacionais para a gestão do programa e visões de resumo executivo para a comunicação de governança. Para profissionais de TPRM, usar a análise da plataforma para produzir resultados específicos para cada público, em vez de um formato único de relatório, proporciona a diferenciação de relatórios que a comunicação orientada por insights exige.
Inteligência de negócios: Power BI, Tableau
Plataformas de BI conectadas aos dados de GRC e de TPRM permitem análises e visualizações personalizadas, como análise de tendências, modelagem da exposição financeira e destaque de exceções, que os relatórios padrão de GRC não produzem. Para profissionais de TPRM, usar ferramentas de BI sobre os dados de TPRM oferece a profundidade analítica que transforma os resultados do programa em insights.
Desafios de governança
O desafio de governança de relatórios versus insights é o investimento analítico necessário. Produzir insights exige tempo para analisar os dados do programa em busca de tendências, estimar a exposição financeira e identificar itens que exigem decisão, tempo que as cadências de relatório raramente reservam. A solução de governança é desenhar um produto de insight de alta qualidade por ciclo de relatório, em vez de produzir vários relatórios de atividade constantes, dedicando o tempo disponível ao trabalho analítico que converte dados em decisões.
- Desenhar os relatórios ao conselho em torno de decisões, não de métricas: que ação o conselho precisa tomar
- Incluir análise de tendências em todos os relatórios: a direção do risco, não apenas o nível atual
- Incluir a faixa de exposição financeira das relações com fornecedores de maior risco
- Destacar explicitamente os itens que exigem decisão: o que requer autoridade ou conhecimento do conselho
- Incluir a comparação com o apetite a risco: se o risco do portfólio está dentro da tolerância
Se você faz parte de uma equipe pequena
Na sua próxima apresentação ao conselho, substitua as quatro métricas constantes do programa por três insights específicos: qual relação com fornecedor tem a maior exposição financeira estimada em caso de incidente e qual é a faixa dessa estimativa; qual fornecedor teve a maior deterioração da postura de segurança desde a última avaliação e o que está sendo feito a respeito; e qual decisão de risco exige conhecimento ou autoridade do conselho e não está atualmente em sua pauta. Esses três insights exigem quinze minutos a mais de trabalho analítico do que as quatro métricas. Eles geram a conversa de governança que as quatro métricas não vinham gerando.
- Substituir as métricas de atividade por três insights específicos na próxima apresentação ao conselho
- Incluir uma estimativa de exposição financeira para o fornecedor de maior risco
- Incluir um indicador de tendência: qual fornecedor teve a maior deterioração de postura
- Incluir um item de decisão que exija conhecimento ou autoridade do conselho
O que exigir
Pergunte diretamente:
“Além das respostas ao questionário padrão e da pontuação de risco, vocês podem fornecer um breve resumo de como sua postura de segurança e seu perfil de risco mudaram nos últimos doze meses, especificamente quais riscos aumentaram, quais melhorias foram feitas e o que o conselho da sua organização identificaria como o risco significativo atual em seu programa de segurança?”
O que esperar como evidência
- Avaliação honesta de como o perfil de risco do fornecedor mudou nos últimos doze meses
- Riscos abertos significativos no programa de segurança do fornecedor
- Melhorias feitas nos últimos doze meses
- Preocupações de risco prospectivas
Um fornecedor cujo questionário produz uma pontuação constante todos os anos deve ser questionado sobre o que mudou em seu perfil de risco desde a última avaliação. A pontuação confirma a situação atual. O relato das mudanças oferece o contexto de tendência que a pontuação não consegue oferecer.
Como comprovar
- Documentação dos produtos de relatório por público
- Análise de tendências nos relatórios de governança
- Estimativas de exposição financeira nos relatórios ao conselho
- Identificação de itens de decisão nas comunicações de governança
Principal conclusão
Os relatórios provam que o programa existe. Os insights informam o conselho. Quatro números consistentes durante seis meses provam que o programa de TPRM tem operado em escala estável. Eles não dizem ao conselho se o risco está crescendo ou diminuindo, onde a exposição financeira está concentrada nem quais decisões ele precisa tomar. O conselho governa com as informações que recebe. Se as informações recebidas confirmam a atividade do programa, ele governa a existência do programa. Se as informações recebidas identificam tendências de risco, exposição financeira e necessidades de decisão, ele governa o risco. Desenhe o relatório para a decisão que o público precisa tomar. As métricas decorrem da decisão. A decisão não decorre das métricas.