Página do fornecedor: risco, contrato e documentos
A página do fornecedor organiza tudo sobre uma relação em abas: a visão geral, o contrato, a avaliação de risco, os arquivos, o histórico, a exposição no Trust Center e as avaliações enviadas.
É a tela que responde, em um minuto, à pergunta que um auditor faz sobre qualquer terceiro: o que ele acessa, como vocês avaliaram isso, e o que vocês têm de prova?
Visão Geral#
Traz as informações do fornecedor, os contatos, a classificação e o status no Trust Center, além das datas de criação e última atualização.
Aparece aqui também um bloco de Itens de Ação Relacionados, com o que está pendente e o que já foi resolvido. É onde o trabalho sobre esse fornecedor fica visível, em vez de morar na cabeça de alguém.
Captura de tela
página do fornecedor, aba Visão Geral.
Contrato & Acesso, e os avisos que aparecem sozinhos#
Reúne as datas do contrato, o tipo de autenticação e os comentários operacionais.
A plataforma sinaliza três situações sem você pedir:
Aviso | O que significa |
|---|---|
Contrato expirado | A data de fim já passou |
Contrato expirando em breve | O vencimento está próximo |
Revisão atrasada | A revisão periódica passou do prazo |
Esses avisos são o principal motivo para preencher as datas com cuidado. Sem elas, nada avisa, e a descoberta acontece na renovação ou na auditoria.
As três datas, e por que elas são diferentes#
Aqui está a parte menos óbvia da tela, e vale ler com atenção porque muita gente preenche a errada.
Campo | Quem preenche |
|---|---|
Data da Última Revisão | Você, manualmente, para registrar quando olhou esse fornecedor pela última vez |
Data da Última Avaliação | A plataforma, quando você conclui a revisão de um questionário desse fornecedor |
Data da Próxima Revisão | A plataforma, no mesmo momento: a data de conclusão mais a periodicidade do nível de risco do fornecedor |
A periodicidade é ajustada em Configurações de fornecedores. Os padrões são 6 meses para Crítico, 12 para Alto, 24 para Médio, 36 para Baixo e 12 para um fornecedor sem nível. Vale para qualquer resultado da revisão, inclusive Reprovado.
Avaliação de Risco#
Mostra o Nível de Risco Selecionado, o Nível de Risco Calculado, o Score de Risco e o Detalhamento do Score de Risco.
O detalhamento é o que torna a avaliação defensável, porque expõe em que ela se baseia: o nível base, o tipo de ambiente, a sensibilidade dos dados, sinais de segurança e a condição de associado de negócios.
Entre os sinais de segurança, dois aparecem de forma bem direta e valem atenção:
- Possui relatório de auditoria ou nenhum relatório de auditoria enviado.
- Autenticação SSO ou autenticação por senha.
Os dois são acionáveis. Pedir o relatório ao fornecedor e migrar o acesso para autenticação centralizada são as duas ações que mais reduzem risco de terceiro com menos esforço.
Se os níveis selecionado e calculado divergirem, o aviso pedindo revisão dos dados aparece aqui também.
Arquivos: onde a prova fica#
É aqui que a gestão de terceiros deixa de ser uma planilha e passa a ser evidência. Ao enviar um arquivo, você escolhe a Categoria do Arquivo:
- Relatório SOC 2
- Certificado ISO 27001
- Relatório PCI-DSS
- Relatório de Teste de Penetração
- Questionário SIG
- Whitepaper de Segurança
- Documentação de Privacidade
- Outro
Classificar corretamente importa porque você acha o documento depois, e porque o auditor pede o relatório pelo tipo.
Um arquivo aqui pesa no Score de Risco, mas não move as datas. Qualquer arquivo enviado conta para o sinal Possui relatório de auditoria, exceto a categoria Questionário SIG, que só conta quando vem de uma revisão de questionário aprovada. As datas de avaliação e de próxima revisão só andam quando você conclui a revisão de um questionário.
Um hábito que economiza muito trabalho: no dia em que o fornecedor publica o relatório novo, envie aqui. A próxima auditoria encontra tudo em ordem.
Atividade#
Registra o histórico da relação, com eventos identificados: criação, atualização, troca de responsável, envio e remoção de arquivo, alteração da avaliação de risco, mudança de status, arquivamento e mudança de visibilidade no Trust Center.
É a resposta pronta para “desde quando vocês monitoram este fornecedor?”.
Trust Center e Avaliações#
A aba Trust Center controla se o fornecedor aparece publicamente e com quanto detalhe, incluindo campos próprios de exibição como finalidade, onde é usado, país e link.
A aba Avaliações reúne os questionários enviados a esse fornecedor, com o Resultado de cada um. O botão Enviar questionário inicia uma nova avaliação. Veja Fornecedores – Enviar um questionário.
Achados e itens de ação#
A aba Achados mostra os achados abertos do fornecedor, até 25, ordenados por prazo, com severidade, número, status, prazo e o selo de atraso. Ver todos os achados deste fornecedor abre a lista de Achados filtrada por ele. Veja Fornecedores – Achados.
Cada achado aberto também vira um item de ação, com nome como “Achado de fornecedor F-3: …”. Ele aparece no bloco Itens de Ação Relacionados da Visão Geral e em Frameworks › Itens de Ação, e fecha sozinho quando o achado é encerrado.
Uma rotina que funciona#
Para cada fornecedor de risco alto, uma vez por ano:
- Peça o relatório de auditoria mais recente e envie na aba de arquivos.
- Confira se os tipos de dados tratados continuam corretos, porque escopo de fornecedor muda em silêncio.
- Verifique as datas de contrato.
- Envie o questionário e conclua a revisão dele. É isso que agenda a próxima revisão pela periodicidade do nível de risco.
- Atualize a data de última revisão para registrar que você olhou.
Fornecedores de risco baixo podem seguir um ciclo mais leve. O ponto é ter ciclo, não ter volume.
Problemas comuns#
A data de próxima revisão não muda. Ela só é recalculada quando a revisão de um questionário é concluída. Enviar um arquivo ou anotar a revisão manualmente não a recalcula.
A próxima revisão ficou longe demais (ou perto demais). Ela segue a periodicidade do nível de risco em Configurações de fornecedores. Ajuste o nível do fornecedor ou a periodicidade, e a próxima conclusão de revisão usa o valor novo.
Não consigo excluir o fornecedor. Arquive primeiro.
O risco calculado insiste em divergir. Reveja tipos de dados, ambiente e a presença de relatório de auditoria. Se a divergência é intencional, registre a justificativa.
Arquivei e ele saiu do Trust Center. É o comportamento esperado, e a plataforma avisa antes de arquivar.