Riscos – Riscos gerados automaticamente por controles falhando

A plataforma cria riscos por conta própria em uma situação específica: quando um controle passa a falhar. A ideia é simples e útil. Se algo que deveria estar protegendo a empresa deixou de funcionar, isso é um risco, e ele deveria estar no registro em vez de existir apenas como um alerta técnico.

Este tutorial explica como esses riscos chegam, o que eles significam, e o que você precisa fazer com eles. A última parte é a mais importante, porque eles não se resolvem sozinhos.

Como você reconhece um risco automático

Três sinais:

• A marca Gerado automaticamente na lista.
• O nome faz referência ao controle que falhou, incluindo o código dele.
• A categoria indica que a origem é automática.

Além disso, o risco já vem com o controle vinculado, o que é a parte mais valiosa: você abre o risco e vê imediatamente qual controle está falhando.

Você também recebe uma notificação quando um desses riscos é criado.

O que ele traz, e o que ele não traz

Aqui está o ponto que evita mal-entendidos. O risco automático chega com:

A avaliação Alto e Alta é um valor de partida, não um julgamento. A plataforma não tem como saber se aquele controle específico, falhando na sua empresa, representa um risco crítico ou algo menor. Ela assume uma posição conservadora e devolve a decisão para você.

A consequência prática: se você tem muitos controles falhando, vai ter muitos riscos com exatamente a mesma pontuação. Isso não significa que todos sejam igualmente graves. Significa que nenhum foi avaliado ainda.

O que fazer com cada um

Quatro passos, na ordem:

1. Avalie de verdade. Ajuste severidade e probabilidade para o que faz sentido no seu contexto. Um controle de senha falhando em um sistema interno sem dados de cliente não é o mesmo que o mesmo controle falhando na produção.

2. Reescreva o nome. O nome original serve para você achar a origem, e não descreve a consequência. Trocar para algo como *contas administrativas sem segundo fator permitem acesso indevido a dados de produção* torna o registro legível para quem não conhece o código do controle.

3. Atribua responsável e prazo. Sem isso, o risco fica no registro sem ninguém encarregado, e a lista cresce sem que nada ande.

4. Escolha o tipo de tratamento. Corrigir o controle é Mitigar. Decidir conviver, por exemplo porque o sistema afetado vai ser desativado em dois meses, é Aceitar, e essa decisão deve ir para as notas.

O ponto mais importante: eles não fecham sozinhos

Quando você corrige o problema e o controle volta a passar, o item de ação correspondente é encerrado automaticamente. O risco não. Ele continua Aberto até que alguém o atualize.

Isso é deliberado no sentido de que encerrar um risco é uma decisão, e não um efeito colateral de um teste técnico voltar a passar. Mas gera uma consequência que você precisa conhecer: o registro de riscos não reflete o estado atual dos controles. Ele reflete o que aconteceu, mais o que as pessoas fizeram a respeito.

Por isso, inclua isto na rotina: ao revisar controles que voltaram a passar, feche ou marque como mitigado o risco correspondente, com uma nota dizendo o que foi corrigido e quando.

Se você não fizer isso, chega em auditoria com um registro cheio de riscos abertos que já foram resolvidos. O efeito é o oposto do desejado: parece que a empresa não trata os seus riscos.

E se o controle falhar de novo depois?

Atenção a isto, porque é o detalhe que mais surpreende.

Cada controle gera um risco automático uma única vez. Se você fechar esse risco e o mesmo controle voltar a falhar mais tarde, um novo risco não é criado.

Ou seja: não use o registro de riscos como alarme de recorrência. Para saber que um controle voltou a falhar, olhe o status do controle e os itens de ação, que são os mecanismos feitos para isso.

O registro de riscos serve para a decisão e o histórico. A detecção do dia a dia está nos controles.

Quando eles não aparecem

Se controles estão falhando e nenhum risco automático surge, a explicação mais provável é que o módulo de gestão de riscos não está ativo no seu plano. A criação automática depende dele.

Também não haverá novo risco para um controle que já gerou um antes, conforme explicado acima.

Problemas comuns

Dezenas de riscos idênticos em pontuação. Esperado, e é o sinal de que a revisão ainda não foi feita. Comece pelos controles que protegem dados sensíveis ou produção.

O registro está cheio de riscos de controles já corrigidos. Falta a rotina de fechamento. Filtre por Aberto, cruze com os controles que hoje passam, e encerre em lote com nota.

Excluí o risco automático em vez de fechá-lo. Você perde o histórico, que é justamente o que demonstra gestão. Prefira Fechado com nota.

Achei que o registro me avisaria de nova falha. Não avisa. Acompanhe os controles e os itens de ação para isso.