Perfis de avaliação (P1 / P2 / P3)
Como o perfil de criticidade define o tamanho do questionário e o peso de impacto no scoring.
O que são perfis de avaliação
O perfil (P1, P2 ou P3) reflete a criticidade do fornecedor para o seu negócio — o quanto um incidente nele afeta suas operações, seus dados ou suas obrigações regulatórias. Ele decide duas coisas: quais controles do pool entram no questionário enviado ao fornecedor e qual peso de impacto esse fornecedor carrega no cálculo de risco.
A lógica é cumulativa. P2 responde tudo que P1 responde, mais o seu próprio conjunto; P3 responde os três níveis. Isso importa na hora de ler cobertura: o denominador de um P3 é maior, não diferente.
Perfil | Controles | Peso de impacto |
|---|---|---|
P1 — criticidade baixa | 79 | 0,25 |
P2 — criticidade média | 201 | 0,50 |
P3 — criticidade alta | 257 | 0,75 |
P1 — criticidade baixa
Recebe o questionário base de 79 controles: 32 de Cyber, 19 de Privacidade e 28 de Continuidade. Nenhum controle de IA — o pilar de IA só começa no P2. São fornecedores com acesso limitado a dados sensíveis, baixo impacto operacional em caso de incidente e contrato de escopo restrito. O peso de impacto 0,25 significa que, mesmo com gaps críticos, o dano potencial ao negócio entra menor na conta.
P2 — criticidade média
Responde 201 controles no acumulado: 89 de Cyber, 27 de Privacidade, 42 de Continuidade e 43 de IA. São fornecedores com acesso a dados pessoais ou sistemas internos, integração com processos críticos, ou contrato longo com dependência operacional. Peso de impacto 0,50.
P3 — criticidade alta
Responde o pool completo de 257 controles: 107 de Cyber, 34 de Privacidade, 50 de Continuidade e 66 de IA. São fornecedores cuja indisponibilidade ou comprometimento interrompe uma operação essencial, ou que tratam volume relevante de dados pessoais em seu nome. Peso de impacto 0,75.
Os pesos são configuráveis
Os valores 0,25 / 0,50 / 0,75 são o padrão da metodologia, não uma constante do produto. Cada organização pode ajustá-los em Configurações › Metodologia, e a mudança passa a valer para os cálculos seguintes. Se a sua carteira é toda de fornecedores críticos, comprimir a escala pode fazer mais sentido do que herdar a distribuição padrão.
E o P0
Existe um quarto perfil, P0, reservado a hiperescaladores — provedores de nuvem e plataformas globais que não respondem a questionário porque não respondem a questionários de cliente. Eles não têm pool de controles associado, e no cálculo de risco entram com o mesmo peso de impacto do P3. A avaliação desses fornecedores se apoia em evidência pública e nas certificações que eles publicam, não em resposta declarada.