Um analista de TPRM identificou um risco significativo durante a avaliação de um fornecedor: a recuperação do sistema de backup do fornecedor não era testada havia catorze meses, o seu RTO era de quatro horas e o último teste de recuperação bem-sucedido havia demonstrado um tempo de recuperação de seis horas no teste anterior. O analista documentou o achado no registro de riscos com prioridade alta e enviou a solicitação de remediação padrão ao contato técnico do fornecedor. O achado ficou no registro de riscos por seis meses. Quando o fornecedor sofreu uma falha significativa no data center, a recuperação levou onze horas, excedendo significativamente o SLA contratual. Uma investigação posterior constatou que a lacuna na recuperação de backups havia sido identificada, documentada e teve a remediação solicitada seis meses antes. O responsável da unidade de negócio que tinha autoridade para escalar o requisito de SLA ou encerrar o relacionamento nunca havia sido informado do achado. A equipe de TI que poderia ter implementado controles compensatórios nunca havia recebido a comunicação. O risco havia sido identificado e gerenciado dentro do programa de TPRM. Nunca havia sido comunicado às pessoas da organização que poderiam tê-lo tratado.
O que são, de fato, as lacunas na comunicação de riscos?
A comunicação de riscos é o processo de garantir que os riscos identificados cheguem às pessoas que têm a autoridade, os recursos ou a responsabilidade operacional para agir sobre eles, e não apenas às pessoas que têm a responsabilidade técnica de acompanhá-los. As lacunas na comunicação de riscos são as falhas desse processo: riscos identificados que são documentados, mas não comunicados aos tomadores de decisão, responsáveis de negócio ou equipes de operações que poderiam responder a eles; riscos comunicados em formatos ou por canais que não chegam efetivamente ao público pretendido; e riscos que são comunicados, mas não de maneira que permita ao destinatário compreender sua importância ou urgência.
A confusão entre documentação e comunicação é a raiz estrutural das lacunas de comunicação de riscos. A documentação de riscos cria um registro de que o risco foi identificado, um artefato de governança que comprova que o programa de TPRM encontrou o problema. A comunicação de riscos garante que o achado chegue às pessoas que podem agir sobre ele. São objetivos diferentes. A documentação atende aos requisitos de manutenção de registros e de trilha de auditoria do programa. A comunicação atende aos requisitos de tomada de decisão e de gestão de riscos da organização. Um programa otimizado para a documentação pode produzir um registro de riscos abrangente e bem organizado que nunca embasou uma decisão relevante de um responsável de negócio ou de um executivo.
O problema da identificação do público é o desafio operacional que produz lacunas de comunicação. Para qualquer achado de risco, o público pertinente inclui vários tipos de partes interessadas: o contato do fornecedor que precisa remediar a lacuna de controle subjacente, o responsável da unidade de negócio que tem autoridade comercial sobre o relacionamento com o fornecedor, a equipe de TI ou de operações que pode ser capaz de implementar controles compensatórios, o CISO ou o comitê de risco que pode precisar tomar decisões de aceitação de riscos e, possivelmente, órgãos reguladores, se o risco envolver dados ou processos regulados. Cada público precisa de informações diferentes, em diferentes níveis de detalhe técnico. Uma entrada no registro de riscos atende ao requisito de documentação, mas não atende diretamente a nenhum desses públicos.
A incompatibilidade entre canal e público agrava o problema da identificação do público. Os achados de risco comunicados pelo registro de riscos de TPRM chegam à equipe de TPRM. Não chegam aos responsáveis das unidades de negócio que não revisam o registro de riscos. Os achados de risco comunicados por correspondência técnica com o fornecedor chegam ao contato técnico do fornecedor. Não chegam às equipes de operações nem aos responsáveis de negócio do cliente. O canal de comunicação determina o público alcançado. Se o canal não inclui as pessoas que precisam agir, a comunicação não cumpriu o seu propósito, por mais completa que tenha sido a documentação.
A dimensão do momento é a terceira categoria de lacuna de comunicação. Uma comunicação de riscos precisa e que chega ao público certo, mas tarde demais para viabilizar a decisão pertinente, é uma comunicação que informa em vez de governar. Um risco identificado seis meses antes de se materializar e comunicado aos tomadores de decisão nesse momento oferece uma janela de decisão de seis meses. O mesmo risco comunicado a sistemas de documentação, e não aos tomadores de decisão, não oferece janela de decisão alguma. O momento da comunicação de riscos é tão importante quanto o seu conteúdo.
- Confusão entre documentação e comunicação: entradas do registro de riscos tratadas como o artefato de comunicação, e não como o canal de comunicação
- Público não identificado: achados de risco enviados a contatos técnicos sem chegar aos responsáveis de negócio, às equipes de TI ou aos executivos
- Incompatibilidade entre canal e público: canais de comunicação que chegam aos sistemas de documentação, mas não aos tomadores de decisão
- Lacunas de momento: riscos comunicados tarde demais para permitir decisões informadas
- Desalinhamento de formato: entradas técnicas do registro de riscos não traduzidas em formatos relevantes para a decisão destinados a públicos de negócio
Por que isso importa
As lacunas na comunicação de riscos são importantes para TPRM porque o valor do programa para a organização é determinado pela qualidade das decisões que ele viabiliza, e as decisões exigem uma comunicação que chegue aos tomadores de decisão em formatos que apoiem uma ação informada. Um programa de TPRM que identifica riscos de forma abrangente e os documenta minuciosamente, mas não os comunica às pessoas que podem agir sobre eles, produziu um registro de governança sem produzir valor de governança.
A análise retrospectiva de incidentes é o momento em que as lacunas de comunicação de riscos se tornam mais visíveis. Quando ocorre um incidente relacionado a um fornecedor, a investigação pergunta se o risco era conhecido antes do incidente e se as pessoas certas foram informadas a tempo de agir. Um achado documentado no registro de riscos e com remediação solicitada a um contato técnico do fornecedor seis meses antes do incidente era conhecido. Se as pessoas certas foram informadas é a questão de comunicação. “Estava no registro de riscos” não é uma resposta adequada para “o responsável da unidade de negócio sabia desse risco antes de o incidente ocorrer?”.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a documentação no registro de riscos como comunicação de riscos. O registro de riscos é uma ferramenta de gestão do programa. A comunicação de riscos é o processo de garantir que os achados cheguem às pessoas que precisam conhecê-los. Ambos são necessários. Nenhum substitui o outro.
- Tratar a documentação no registro de riscos como comunicação de riscos
- Público não definido para os achados de risco: quem precisa saber e com que nível de detalhe
- Responsáveis de negócio que não recebem a comunicação de riscos: achados que chegam apenas aos contatos técnicos
- Nenhuma comunicação de escalonamento para achados de alta prioridade
- Formato de comunicação não adaptado ao público: achados técnicos não traduzidos para os responsáveis de negócio
Como é uma boa prática
Programas maduros de comunicação de riscos definem o público para cada tipo de achado, desenham fluxos de comunicação que chegam a cada público pelos canais adequados e traduzem achados técnicos em formatos relevantes para o negócio, destinados a públicos não técnicos.
- Matriz de públicos para os achados de risco: quem recebe o quê para cada nível e tipo de risco
- Comunicação ao responsável de negócio para achados de alta prioridade: notificação direta à pessoa com autoridade comercial sobre o relacionamento
- Resumos executivos de riscos: achados traduzidos para o CISO e a alta liderança
- Notificações às equipes de TI e de operações sobre oportunidades de controles compensatórios
- Caminhos de escalonamento definidos para achados não remediados dentro do SLA
Ferramentas
Plataformas TPRM com fluxos de trabalho: ProcessUnity, OneTrust
As plataformas TPRM com fluxos de notificação automatizam a comunicação dos achados de risco a públicos definidos, disparando notificações para responsáveis de negócio, contatos de TI e partes interessadas executivas com base no nível de risco e no tipo de achado. Para profissionais de TPRM, usar os fluxos de notificação da plataforma TPRM em vez da comunicação manual proporciona uma cobertura consistente dos públicos e cria o registro de comunicação que as trilhas de auditoria exigem.
Relatórios de riscos: Power BI, Tableau sobre dados do TPRM
Ferramentas de BI conectadas aos dados do programa de TPRM permitem uma comunicação de riscos adequada a cada público: painéis executivos que mostram as tendências de risco do portfólio, visões para responsáveis de negócio que mostram o risco de fornecedores específicos e visões para equipes de operações que mostram achados acionáveis. Para profissionais de TPRM, investir em formatos de comunicação de riscos adequados a cada público, em vez de exportar dados do registro de riscos, proporciona a tradução da documentação em apoio à decisão.
Desafios de governança
O desafio de governança na comunicação de riscos é a complexidade de volume e de canais. Um programa de TPRM de grande porte gera muitos achados que precisam ser comunicados a muitos públicos diferentes, por canais diferentes. A solução de governança é um desenho de comunicação escalonado por risco: comunicação abrangente a vários públicos para os achados de maior prioridade, notificação padrão para os de prioridade média e apenas documentação para os achados de menor prioridade, em que o investimento em comunicação excederia o valor para a decisão.
- Definir a matriz de públicos para a comunicação de riscos: quem recebe o quê para cada nível de risco
- Garantir que os responsáveis de negócio recebam diretamente os achados de alta prioridade
- Desenhar a comunicação de escalonamento para achados não remediados dentro do SLA
- Traduzir achados técnicos em formatos relevantes para o negócio, destinados a públicos não técnicos
- Criar um registro de comunicação: quem foi informado, quando e com que nível de detalhe
Se você faz parte de uma equipe pequena
Para os cinco itens de maior prioridade do seu registro de riscos atual, faça uma pergunta: o responsável da unidade de negócio pelo relacionamento com o fornecedor foi informado diretamente de cada um desses achados, não pelo registro de riscos que ele talvez não revise, mas por uma comunicação direta que descreva o risco em termos de negócio e peça sua ciência ou uma decisão? Se a resposta for não para qualquer um dos cinco, essa lacuna é a falha de comunicação de riscos que a documentação não resolve.
- Confirmar que os responsáveis das unidades de negócio foram notificados diretamente dos achados de alta prioridade
- Definir a matriz de públicos para os achados de risco: quem recebe o quê
- Desenhar um fluxo de comunicação direta para achados de alta prioridade
- Criar um registro de comunicação junto com as entradas do registro de riscos
O que exigir
Este achado foi identificado como de alta prioridade na nossa avaliação de riscos. Estamos notificando tanto o seu contato técnico quanto o seu responsável pelo relacionamento comercial. Exigimos a confirmação da remediação dentro de [SLA] e escalaremos para a alta gestão de ambas as partes caso esse prazo não seja cumprido.
Um fornecedor cuja comunicação de riscos é enviada apenas ao contato técnico recebeu uma solicitação de remediação. Um fornecedor cujo responsável pelo relacionamento comercial também recebe a comunicação recebeu um sinal de governança. Cada um serve a um propósito diferente.
- Recebimento da solicitação de remediação pelo contato técnico do fornecedor
- Recebimento da comunicação de riscos pelo responsável pelo relacionamento comercial com o fornecedor
- Caminho de escalonamento definido caso o SLA de remediação não seja cumprido
- Registro de comunicação documentando o público e o conteúdo
Como comprovar
- Matriz de públicos para a comunicação de riscos
- Registros de notificação dos responsáveis de negócio para achados de alta prioridade
- Registros de comunicação de escalonamento
- Documentação dos formatos de comunicação para diferentes públicos
Principal conclusão
O risco foi identificado. Foi documentado. A solicitação de remediação foi enviada ao contato técnico do fornecedor. O responsável da unidade de negócio com autoridade para agir sobre o relacionamento comercial nunca foi informado. A equipe de TI que poderia ter implementado controles compensatórios nunca foi avisada. Quando o fornecedor falhou seis meses depois, o risco era conhecido. As pessoas certas não o conheciam. A documentação de riscos é o registro de que o risco foi encontrado. A comunicação de riscos é o processo que garante que o achado chegue às pessoas que podem fazer algo a respeito. São objetivos diferentes, que exigem processos diferentes. Ambos são necessários.