Política de Gestão de Riscos de Terceiros (TPRM)

Versão: 1.0 | Última atualização: [Data] | Dono do documento: [Cargo responsável, ex: CISO / Gerente de Risco]

1. Objetivo

Esta política estabelece os requisitos para identificar, avaliar, monitorar e mitigar os riscos associados a fornecedores, parceiros e prestadores de serviço que tenham acesso a dados, sistemas ou instalações da [Nome da Empresa].

2. Escopo

Aplica-se a todos os fornecedores, subcontratados e parceiros comerciais que processem dados da empresa, tenham acesso a sistemas internos, ou prestem serviços críticos para a operação, independentemente do porte do contrato.

3. Classificação de Fornecedores

Todo fornecedor deve ser classificado em um dos três níveis de risco antes da contratação:

• Nível 1 — Crítico: acesso a dados sensíveis (pessoais, financeiros, propriedade intelectual) ou a sistemas essenciais à operação.
• Nível 2 — Relevante: acesso limitado a dados ou sistemas, sem criticidade operacional direta.
• Nível 3 — Baixo risco: acesso apenas a informações públicas ou nenhum acesso a sistemas/dados da empresa.

4. Processo de Due Diligence

• Fornecedores Nível 1: questionário de segurança completo alinhado a frameworks reconhecidos (ISO 27001, NIST CSF), solicitação de evidências (certificações, relatórios de auditoria/pentest, políticas assinadas), e avaliação técnica externa quando aplicável.
• Fornecedores Nível 2: questionário simplificado e validação de controles básicos (MFA, criptografia, gestão de acesso).
• Fornecedores Nível 3: cláusulas contratuais padrão de confidencialidade, sem avaliação técnica adicional.

Nenhum contrato com fornecedor Nível 1 ou 2 deve ser assinado sem a conclusão da due diligence correspondente.

5. Cláusulas Contratuais Obrigatórias

Todo contrato com fornecedores Nível 1 e 2 deve incluir: obrigações de confidencialidade e proteção de dados, direito de auditoria, notificação obrigatória de incidentes de segurança em até [prazo, ex: 48 horas], e cláusula de rescisão por descumprimento de requisitos de segurança.

6. Monitoramento Contínuo e Reavaliação

• Fornecedores Nível 1: reavaliação anual obrigatória, com monitoramento contínuo de sinais externos de risco (exposição técnica, vazamentos públicos, reputação).
• Fornecedores Nível 2: reavaliação a cada [18–24 meses].
• Fornecedores Nível 3: revisão apenas em caso de mudança relevante no escopo do serviço.

7. Papéis e Responsabilidades

• [Cargo, ex: Gerente de Compras/Procurement]: garante que nenhum fornecedor seja contratado sem classificação de risco prévia.
• [Cargo, ex: CISO/Time de Segurança]: conduz e aprova as avaliações técnicas de fornecedores Nível 1 e 2.
• [Cargo, ex: Gestor do contrato]: monitora obrigações contratuais e reporta incidentes envolvendo o fornecedor.

8. Não Conformidade

O descumprimento desta política por um fornecedor pode resultar em suspensão do acesso a sistemas, revisão contratual ou rescisão, conforme a gravidade do risco identificado.

9. Revisão da Política

Esta política deve ser revisada a cada 12 meses ou após mudanças regulatórias relevantes (ex: alterações na LGPD ou em normas setoriais aplicáveis).