As três partes
- Governação: quem decide, quem presta contas, e as políticas que transformam as orientações da direção em regras.
- Gestão de riscos: encontrar o que pode prejudicar a empresa, avaliá-lo e decidir o que fazer.
- Conformidade: saber que leis, normas e contratos se aplicam, cumpri-los e conseguir prová-lo.
Porque andam juntas
Tratadas em separado, as três criam trabalho duplicado: o mesmo controlo é documentado três vezes para três auditorias, e os riscos são revistos por pessoas que nunca veem as políticas.
Tratadas em conjunto, um único conjunto de controlos responde a várias obrigações. Um risco justifica um controlo, uma política exige-o e a mesma evidência serve todas as auditorias.
Por onde começar
- Definir o âmbito: que atividades, instalações e sistemas estão em causa.
- Listar as suas obrigações: leis, normas, contratos com clientes.
- Avaliar os seus riscos e registá-los num registo de riscos.
- Redigir as políticas que as suas obrigações e riscos exigem, e fazê-las aprovar.
- Fazer uma análise de lacunas para ver o que falta e planear o trabalho com responsáveis e datas.
- Rever regularmente: riscos, controlos e documentos envelhecem todos.
Quem é responsável pela GRC
A direção continua responsável. O trabalho diário cabe normalmente a um responsável de segurança, conformidade ou qualidade, e cada risco e cada controlo tem um dono designado no negócio. Regulamentos como a NIS2 e o DORA tornam agora os órgãos de direção explicitamente responsáveis.
Perguntas
- O que significa GRC?
- Governação, risco e conformidade: a forma como uma empresa se dirige, gere os seus riscos e cumpre as suas obrigações.
- A GRC é só para grandes empresas?
- Não. As pequenas empresas recebem os mesmos questionários de clientes e estão sujeitas a muitas das mesmas leis. Precisam de menos documentos e processos mais simples, não de nenhum.
- Qual a diferença entre GRC e SGSI?
- A GRC é a disciplina completa. Um sistema de gestão da segurança da informação (SGSI) aplica-a à segurança da informação, tal como definido pela ISO/IEC 27001.