Etapa 5: cadastrar um fornecedor ou um risco
Esta etapa pede uma de duas coisas: cadastrar um fornecedor ou cadastrar um risco. Qualquer um dos dois conclui a etapa.
Os dois registros existem porque toda norma pergunta as mesmas duas coisas: *o que pode dar errado na sua empresa?* e *quem mais tem acesso aos seus dados?* O objetivo aqui é sair do zero em um deles e entender a mecânica.
Qual dos dois escolher#
- Cadastre um fornecedor se a sua empresa depende de serviços de terceiros que tocam dados ou sistemas, como hospedagem, folha de pagamento ou ferramentas em nuvem. É o caso da maioria das empresas.
- Cadastre um risco se você já tem clareza de uma preocupação concreta que quer registrar e acompanhar.
Se estiver em dúvida, comece pelo fornecedor. É mais objetivo: você olha a lista de contratos e serviços contratados e escolhe um.
Opção A: cadastrar um fornecedor#
- No menu, abra Fornecedores e escolha cadastrar um novo.
- Informe o nome e o que a empresa contrata dele.
- Indique se ele tem acesso a dados pessoais ou a sistemas internos. É esse campo que define a atenção que o fornecedor merece.
- Se souber, informe a área responsável pelo contrato.
- Salve.
Como preencher cada campo do cadastro#
O assistente de cadastro é dividido em quatro etapas: Visão Geral, Contrato & Acesso, Risco & Trust Center e Revisar & Salvar. Você pode avançar e voltar entre elas antes de salvar. Veja abaixo o que preencher em cada campo, com exemplos.
1. Visão Geral
Campo | O que preencher | Exemplo |
|---|---|---|
Nome do Fornecedor (obrigatório) | O nome pelo qual a empresa é conhecida. É o único campo obrigatório para salvar o cadastro. | AWS, Google Cloud, Datadog |
Website | O site institucional do fornecedor. | https://aws.amazon.com |
URL Trust Center / Segurança | A página pública onde o fornecedor publica suas práticas de segurança, certificações ou relatórios. Nem todo fornecedor tem uma. | https://aws.amazon.com/compliance |
Serviços Fornecidos | O que a empresa contrata dele, em poucas palavras. | Hospedagem de infraestrutura em nuvem |
Descrição | Um contexto breve sobre o fornecedor e por que ele é usado. | Provedor de nuvem que hospeda os servidores de produção da empresa |
Responsável | Quem, na sua empresa, responde por esse fornecedor. Aparece numa lista com as pessoas já cadastradas. | O gestor de infraestrutura, por exemplo |
Nome do Gerente de Conta | O contato do fornecedor que atende a sua empresa. | Maria Silva |
Email do Gerente de Conta | O email desse contato. | |
Categorias | Como o fornecedor é classificado, se a sua conta já tiver categorias criadas. Use Gerenciar categorias para criar uma nova. | Infraestrutura, Nuvem |
Departamentos | Qual área da empresa usa esse fornecedor. Use Gerenciar departamentos se precisar criar um novo. | Tecnologia |
Tags | Palavras livres para facilitar busca e filtro depois. | crítico, produção |
2. Contrato & Acesso
Campo | O que preencher | Exemplo |
|---|---|---|
Data de Início do Contrato | Quando o contrato com o fornecedor começou. | 01/03/2024 |
Data de Fim do Contrato | Quando o contrato termina ou é renovado. Deixe em branco se não houver prazo definido. | 01/03/2027 |
Data da Última Revisão | A última vez que alguém da sua empresa avaliou esse fornecedor. | 15/08/2026 |
Tipo de Autenticação | Como o acesso ao fornecedor é controlado, por exemplo login único (SSO), autenticação de dois fatores, ou usuário e senha simples. | SSO |
Relatórios de Auditoria | Anexe aqui certificações ou relatórios que o fornecedor forneceu, como um relatório SOC 2 ou um certificado ISO 27001. | SOC2_AWS_2026.pdf |
Comentários | Qualquer observação operacional que vale registrar e não cabe nos outros campos. | Renovação automática, cancelar com 60 dias de antecedência |
3. Risco & Trust Center
Campo | O que preencher | Exemplo |
|---|---|---|
Nível de Risco (Selecionado) | A sua avaliação inicial de quão arriscado é esse fornecedor. Pode ser ajustada depois, conforme a avaliação avança. | Médio |
Tipo de Ambiente | Se o fornecedor opera em ambiente de produção, homologação ou outro, já que isso muda o peso do risco. | Produção |
Tipos de Dados Tratados | Marque todas as opções que se aplicam: dados genéricos, informativos ou de marketing; informações de funcionários; informações corporativas proprietárias; informações públicas de clientes. Quanto mais sensível o dado, maior o risco calculado. | Um fornecedor de folha de pagamento marcaria “Informações de Funcionários” |
Este fornecedor é um Associado de Negócios? | Marque se o fornecedor processa dados em nome da sua empresa sob um contrato formal de tratamento de dados, não apenas presta um serviço qualquer. | Um fornecedor de backup de dados de clientes, por exemplo |
Esses campos alimentam o Detalhamento do Score de Risco, mostrado logo abaixo na mesma tela. Ele soma o nível base de risco, o tipo de ambiente, a sensibilidade dos dados, se é associado de negócios e os sinais de segurança encontrados, e chega a uma pontuação com uma classificação final, como Baixo, Médio ou Alto. Você não preenche essa parte, ela é calculada automaticamente conforme as respostas acima.
4. Revisar & Salvar
A última etapa mostra um resumo do que foi preenchido em cada seção anterior. Revise antes de confirmar, principalmente o score de risco, já que ele direciona a prioridade de acompanhamento desse fornecedor.
Duas opções de salvar:
- Salvar como Rascunho, se faltam informações e você quer continuar depois.
- Salvar & Ativar, quando o cadastro está completo e o fornecedor deve entrar na lista ativa de monitoramento.
Opção B: cadastrar um risco#
Um risco é algo que pode dar errado e causar dano: perda de dados, indisponibilidade do serviço, acesso indevido, vazamento de informação de cliente.
- No menu, abra Riscos e escolha cadastrar um novo.
- Descreva o risco em uma frase, de forma concreta. “Perda de dados por falta de backup testado” é útil; “problemas de TI” não é.
- Indique a probabilidade e o impacto. Não busque precisão científica: o objetivo é separar o que é urgente do que pode esperar.
- Indique um responsável, se já souber quem é.
- Salve.
Como escolher probabilidade e impacto#
É onde a maioria das pessoas trava. Uma forma prática de pensar:
Pergunta que você responde | |
|---|---|
Probabilidade | Com que frequência isso aconteceria se ninguém fizesse nada? Uma vez por ano? Uma vez por década? |
Impacto | Se acontecesse hoje, o que a empresa perderia? Algumas horas de trabalho, ou um cliente? |
Combinando as duas respostas você chega à gravidade do risco. Não precisa acertar de primeira, porque a avaliação é revisada com o tempo e é normal que mude.
Depois de cadastrar#
A etapa está concluída, mas o registro é para ser usado. Nos dois casos o próximo movimento natural é o mesmo: definir um responsável e uma ação.
Para fornecedores, o caminho seguinte é avaliá-los com um questionário. Para riscos, é registrar o que a empresa vai fazer a respeito. Os tutoriais das categorias Gestão de Fornecedores e Gestão de Riscos detalham cada um.