Gestão de Riscos de Terceiros (TPRM): 6 Etapas para Avaliar

Sumário:

• A gestão de riscos de terceiros (TPRM, do inglês Third-Party Risk Management) é o processo de avaliar e acompanhar os riscos de segurança, privacidade, continuidade e conformidade que fornecedores e parceiros trazem para a empresa, antes e durante o contrato.
• Nem todo fornecedor precisa do mesmo nível de avaliação. A profundidade da análise deve ser proporcional à criticidade de cada fornecedor, que é definida pelo acesso a dados, pela importância do serviço, pela dependência operacional e pelo impacto que um incidente causaria.
• A avaliação de um fornecedor não termina na contratação, cada decisão (aprovar, mitigar, aceitar ou recusar um risco) precisa de um responsável registrado e de uma data de reavaliação, que deve ser mais próxima para os fornecedores mais críticos.
• Avaliar os fornecedores da sua empresa não é diferente de responder aos questionários de segurança enviados pelos seus clientes, embora as duas atividades façam parte do mesmo programa de conformidade.

A gestão de riscos de terceiros é o conjunto de práticas que uma empresa usa para identificar, avaliar e acompanhar os riscos trazidos por fornecedores, prestadores de serviço e parceiros que acessam seus dados, sistemas ou processos. Neste artigo, o foco são os riscos de segurança da informação, privacidade, continuidade do negócio e conformidade.

O processo de gestão de riscos de terceiros é diferente da gestão de compras. Enquanto o time de compras avalia preço, prazo, qualidade e saúde financeira do fornecedor, a gestão de riscos de terceiros avalia o que acontece com a empresa (e com os dados dos clientes dela) se esse fornecedor sofrer um vazamento, ficar fora do ar ou descumprir a LGPD.

Uma das etapas centrais desse processo é a due diligence de fornecedores, que o NIST SP 1326 define como "a pesquisa de todas as informações relevantes sobre um fornecedor ou produto para embasar decisões" (como contratação e manutenção de sistemas). Dessa forma, a due diligence é a investigação feita antes e durante o contrato, e a gestão de riscos de terceiros é o ciclo completo, que inclui essa investigação, a decisão e o acompanhamento ao longo do relacionamento.

Quando a gestão de riscos de terceiros é necessária

Toda empresa que contrata serviços em nuvem, sistemas de RH, ferramentas de CRM ou prestadores de serviço com acesso a dados já está exposta a riscos de terceiros. A necessidade de um processo estruturado costuma aparecer em quatro situações:

• Fornecedores que tratam dados pessoais: pela LGPD, o operador deve tratar os dados conforme as instruções do controlador, e os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas para proteger esses dados. Quando um fornecedor causa dano no tratamento de dados pessoais, a lei também prevê responsabilidade pela reparação.
• Certificações de segurança: a ISO/IEC 27001:2022 dedica controles específicos ao tema, que tratam da segurança nas relações com fornecedores, dos requisitos em contrato, da cadeia de suprimentos de TIC e do monitoramento dos serviços prestados.
• Exigências de clientes: questionários de segurança enviados por clientes corporativos costumam perguntar como a empresa avalia os próprios fornecedores.
• Aumento dos incidentes ligados a terceiros: o Verizon Data Breach Investigations Report 2025 mostrou que a participação de terceiros em violações de dados dobrou, chegando a 30%.

As publicações do NIST, como o NIST SP 800-161 Rev. 1 e o NIST SP 1326, são referências norte-americanas de boas práticas para a gestão de riscos na cadeia de suprimentos. No Brasil, elas não são obrigatórias por lei, mas são úteis para ajudar a estruturar um método reconhecido internacionalmente.

Avaliar fornecedores vs. responder questionários de clientes

Um erro comum é misturar as duas pontas da relação com terceiros: a relação com fornecedores e a relação com clientes. Na gestão de riscos de terceiros, a sua empresa avalia quem ela contrata. Já quando um cliente envia um questionário de segurança, é a sua empresa que está sendo avaliada.

As duas avaliações se conectam, porque os clientes costumam perguntar justamente como a sua empresa gerencia os próprios fornecedores, e uma gestão de riscos de terceiros organizada permite responder com evidências.

Como classificar fornecedores por criticidade

Exigir a mesma profundidade de avaliação de todos os fornecedores consome tempo da equipe e atrasa contratações simples. O próprio NIST SP 1326 recomenda priorizar a due diligence pela criticidade e ajustar o nível de análise (básico ou aprofundado) aos recursos disponíveis e à importância de cada aquisição.

Para classificar cada fornecedor, avalie quatro critérios:

• Acesso a dados: o fornecedor acessa, armazena ou processa dados pessoais, dados de clientes ou informações confidenciais?
• Criticidade do serviço: o serviço sustenta uma atividade essencial do negócio ou da entrega ao cliente?
• Dependência operacional: seria difícil ou demorado substituir esse fornecedor?
• Impacto de um incidente: um vazamento ou uma interrupção nesse fornecedor afetaria clientes, contratos ou obrigações legais?

Com base nas respostas, cada fornecedor recebe um nível de criticidade. A tabela abaixo é um modelo de partida, a ser ajustado à tolerância a risco da sua empresa:

Como funciona o processo de gestão de riscos de terceiros

O processo pode ser organizado em seis etapas, que se repetem ao longo de todo o relacionamento com cada fornecedor.

1. Inventariar os terceiros

Liste todos os fornecedores, prestadores e ferramentas contratados, incluindo os serviços de nuvem e os softwares assinados diretamente pelas equipes. Para cada um, registre o serviço prestado, a área responsável pela contratação e os dados que ele acessa.

2. Classificar a criticidade

Aplique os quatro critérios de classificação a cada fornecedor do inventário para definir quais precisam de análise aprofundada e quais podem seguir com uma verificação simples.

3. Solicitar documentos e questionários

Envie aos fornecedores um questionário compatível com o nível de criticidade de cada um e peça as evidências correspondentes (como políticas, certificados ou relatórios de auditoria).

4. Analisar respostas e lacunas

Compare as respostas com os requisitos da sua empresa e identifique as lacunas, como respostas vagas, uma evidência vencida ou um certificado que não cobre o serviço contratado.

5. Decidir e registrar

Para cada lacuna relevante, a empresa decide entre mitigar o risco (por exemplo, com uma cláusula contratual ou um controle adicional), aceitar o risco de forma consciente ou recusar a contratação. A decisão precisa ter um responsável identificado e ficar registrada.

6. Programar a reavaliação

Defina quando o fornecedor será avaliado novamente e quais eventos antecipam essa revisão. Sem essa etapa, a avaliação vira um formulário pontual que nunca mais é revisado, o que é o erro mais comum na gestão de riscos de terceiros.

Que evidências pedir e quais perguntas fazer aos fornecedores

Não existe uma lista universal de evidências. O que você deve pedir depende da criticidade do fornecedor e do serviço contratado. Os temas abaixo servem como um ponto de partida:

• Política de segurança: O fornecedor tem uma política de segurança da informação aprovada e revisada periodicamente?
• Incidentes: O fornecedor sofreu incidentes de segurança recentes? Qual foi a gravidade e que medidas foram tomadas? Essas perguntas seguem a linha sugerida pelo NIST SP 1326 para avaliar as práticas de segurança de fornecedores.
• Controle de acesso: Quem, na equipe do fornecedor, pode acessar os seus dados? Há autenticação multifator e revisão periódica de acessos?
• Privacidade: Qual é o papel do fornecedor na LGPD (operador, por exemplo)? Ele usa suboperadores? Onde os dados ficam armazenados e em quanto tempo ele notifica um incidente?
• Continuidade: Há backups testados, um plano de continuidade de negócios e níveis de serviço (SLA) definidos em contrato?
• Certificados e relatórios: Quando relevante, peça o certificado ISO 27001 ou o relatório SOC 2 e confira o escopo, a validade e se o serviço contratado está coberto.

Para fornecedores de nível baixo, duas ou três dessas perguntas costumam bastar. Já para os de nível alto, vale aprofundar todos os temas e cruzar as respostas com as cláusulas do contrato.

Com que frequência reavaliar fornecedores e como documentar a decisão

Não há um prazo único definido por norma. O NIST SP 1326 orienta cada organização a definir a própria tolerância ao risco e a decidir quando as informações sobre o fornecedor precisam ser atualizadas, considerando também um processo de monitoramento contínuo.

A regra prática é que a frequência acompanhe a criticidade: quanto mais crítico o fornecedor, mais próxima deve ser a reavaliação. Além do calendário, alguns eventos devem antecipar a revisão:

• Um incidente de segurança no fornecedor ou envolvendo os serviços dele.
• Uma mudança no escopo do serviço ou nos dados que ele passa a acessar.
• A renovação do contrato.
• O vencimento de um certificado ou um relatório apresentado como evidência.

Para documentar a decisão, o registro de cada fornecedor deve reunir:

Esse registro também é o que o auditor vai pedir quando perguntar como a empresa avalia os seus fornecedores.

Exemplo: três fornecedores, três níveis de criticidade

Para ilustrar o processo, considere uma startup B2B fictícia, com 20 colaboradores, que desenvolve um software para o mercado financeiro. Na revisão do inventário, a equipe classificou três fornecedores:

Os prazos de reavaliação desse exemplo refletem a tolerância a risco da empresa fictícia, e cada empresa deve definir os seus.

Os riscos da gestão manual de fornecedores

Muitas empresas começam a gestão de riscos de terceiros com planilhas e trocas de e-mail. Com poucos fornecedores, esse modelo funciona por algum tempo, mas tende a apresentar os mesmos problemas à medida que a lista cresce:

• Informações perdidas: Questionários e evidências ficam espalhados em caixas de e-mail de pessoas diferentes.
• Documentação desatualizada: Certificados vencem e políticas mudam sem que ninguém perceba.
• Ausência de histórico: Quando o auditor pergunta por que um fornecedor foi aprovado, ninguém encontra o registro da decisão.
• Reavaliações esquecidas: Sem controle de prazos, a revisão periódica depende da memória de alguém ou de um lembrete na agenda.

Uma plataforma de gestão de fornecedores centraliza essa jornada: o inventário, a classificação, o envio de questionários, as respostas, as evidências e os prazos de reavaliação ficam em um único lugar. A análise das respostas e a decisão sobre cada risco continuam sendo trabalho das pessoas, mas o processo deixa de depender de lembretes e buscas manuais.

Gestão de fornecedores na Imara: avaliação e reavaliação em um só lugar

A Imara é a plataforma brasileira de automação de compliance que reúne, em um só ambiente, a gestão de fornecedores e os demais processos de conformidade. Na gestão de fornecedores, com a Imara a equipe pode:

• Classificar a criticidade e o risco de cada fornecedor.
• Enviar questionários de segurança e receber as respostas dentro da plataforma.
• Programar reavaliações periódicas com prazo controlado.
• Manter as evidências de cada fornecedor organizadas durante todo o vínculo.
• Acompanhar as datas de renovação e centralizar as avaliações.

A plataforma também reúne a gestão de riscos, com matriz e plano de tratamento, e a gestão de evidências usada nas auditorias. Do outro lado da relação, o Trust Center e os recursos de IA para formulários de clientes ajudam a sua empresa a responder aos questionários de segurança que recebe. A gestão de fornecedores está disponível desde o plano inicial.

Assim, quando o auditor ou um cliente perguntar como a sua empresa avalia os fornecedores, as decisões, as evidências e o histórico já estarão registrados. Para ver como isso funciona na prática, conheça os recursos da plataforma ou solicite uma demonstração dos fluxos de gestão de fornecedores. 

FAQ: Perguntas frequentes

Um certificado ISO 27001 do fornecedor dispensa a avaliação?

Não, mas ele reduz bastante o trabalho. Antes de aceitar o certificado como evidência, confira se ele está válido e se o escopo cobre o serviço que a sua empresa contrata. Também vale complementar a análise com as cláusulas de privacidade do contrato, porque a certificação não substitui as obrigações do fornecedor como operador na LGPD.

O que fazer quando um fornecedor crítico não responde ao questionário?

Registre a falta de resposta e envolva a área que contratou o fornecedor, que costuma ter mais acesso ao relacionamento comercial. Enquanto isso, use as evidências públicas disponíveis, como o Trust Center ou os relatórios do fornecedor. Se a resposta não vier, a liderança decide entre aceitar o risco por um prazo definido ou buscar uma alternativa. Em novas contratações, incluir a obrigação de responder às avaliações no contrato evita esse impasse.

Quem deve ser o responsável pela gestão de riscos de terceiros?

A responsabilidade costuma ser compartilhada: a equipe de segurança ou GRC define o método, conduz as avaliações e analisa as respostas; a área que contrata o fornecedor responde pelo relacionamento e pelas informações do serviço; e a liderança decide sobre a aceitação dos riscos mais altos. Em startups sem equipe de GRC, o CTO ou um fundador costuma acumular a função.

Que cláusulas de segurança incluir no contrato com fornecedores críticos?

As cláusulas variam conforme o serviço contratado, mas costumam incluir confidencialidade, prazo para a notificação de incidentes, regras para o uso de suboperadores, direito de solicitar evidências ou auditar o fornecedor e a devolução ou eliminação dos dados ao fim do contrato. Quando o fornecedor trata dados pessoais, o contrato também deve deixar claras as instruções da sua empresa e as obrigações dele como operador na LGPD.

Os fornecedores dos seus fornecedores também precisam ser avaliados?

Sim, mas de forma indireta. A sua empresa normalmente não tem contrato com os subcontratados de um fornecedor (as chamadas quartas partes), então a avaliação acontece por meio dele: pergunte quais suboperadores ou subcontratados críticos ele usa, como os avalia e se avisa sobre mudanças. O NIST SP 1326 inclui a análise dos níveis da cadeia de suprimentos entre os componentes da due diligence de fornecedores.

A gestão de riscos de terceiros também vale para fornecedores que já estão contratados?

Sim, o inventário deve incluir todos os fornecedores ativos, inclusive os contratados antes da criação do processo. Para não sobrecarregar a equipe, comece pelos fornecedores de criticidade alta e aproveite a próxima renovação de cada contrato para incluir as cláusulas de segurança e privacidade que estiverem faltando.

É possível terceirizar a avaliação de fornecedores?

Sim, em parte. Uma consultoria pode aplicar os questionários e analisar as evidências, mas a decisão sobre aprovar, mitigar ou aceitar cada risco continua sendo da sua empresa. Se optar por contratar ajuda, defina antes o escopo, o prazo e as entregas do trabalho.