Uma empresa global de serviços financeiros usava um questionário de TPRM padronizado de quatrocentas perguntas, enviado a todos os fornecedores independentemente de sua função, acesso a dados ou perfil de risco. O questionário havia sido desenvolvido a partir de várias estruturas do setor (ISO 27001, NIST CSF, critérios do SOC 2) e cobria de forma abrangente todos os principais domínios de segurança. Os fornecedores levavam em média de três a quatro semanas para preenchê-lo. As respostas confirmavam a existência de políticas de segurança da informação, programas de classificação de dados, processos de gestão de vulnerabilidades, planos de resposta a incidentes e estruturas de controle de acesso. Para um fornecedor de análise de dados em nuvem que tratava registros de clientes financeiros, o questionário produziu uma pontuação de postura de segurança que atingiu o limite para o status de “fornecedor aprovado”. O questionário não perguntou: por quanto tempo os tokens de API são válidos nas integrações de análise? A plataforma de análise permite a exportação de dados em massa por qualquer usuário autenticado? O data lake de análise está incluído no escopo do SOC 2? Os modelos analíticos foram avaliados quanto ao risco de vazamento de dados de treinamento? O status de fornecedor aprovado se baseava em respostas precisas a perguntas derivadas de estruturas. Os riscos específicos criados por um fornecedor de análise em nuvem que tratava registros de clientes financeiros não estavam refletidos em nenhuma das quatrocentas perguntas.
Por que isso importa
A fadiga de questionários é importante para TPRM porque representa a abordagem dominante de avaliação de risco de terceiros e tem desempenho sistematicamente fraco na pergunta que a gestão de riscos mais precisa responder: quais são os riscos específicos criados por esta relação específica com o fornecedor, e esses riscos estão adequadamente controlados? Um questionário projetado para cobertura geral dos domínios de segurança responde a uma pergunta diferente (para quais domínios de segurança esse fornecedor tem programas) e produz um sinal de risco que, na melhor das hipóteses, tem correlação fraca com o risco real da relação.
A dimensão da manipulação pelos fornecedores amplia o problema da relação entre sinal e ruído. Fornecedores que preenchem dezenas de questionários padronizados por ano desenvolvem processos de resposta eficientes: bibliotecas de respostas prontas, plataformas de gestão de questionários e modelos de resposta que permitem preencher rapidamente as perguntas padronizadas. Essas ferramentas permitem respostas precisas às perguntas padrão com esforço mínimo. Também criam uma dinâmica em que a capacidade de responder questionários e a capacidade real de implementar segurança são competências organizacionais que podem divergir. Um fornecedor com um excelente processo de gestão de questionários e uma implementação de segurança medíocre produzirá respostas aprovadas na avaliação enquanto apresenta o perfil de risco de uma organização de segurança medíocre.
Onde a maioria das equipes erra
A falha mais recorrente é tratar o preenchimento de questionários e o alinhamento a estruturas como evidência de gestão de riscos real, e não como evidência da existência de um programa. Um fornecedor que preenche um questionário de quatrocentas perguntas com pontuações satisfatórias demonstrou um programa que cobre os domínios avaliados. Não demonstrou que os riscos específicos da relação estão controlados. A distinção entre a existência de um programa e a gestão de riscos específicos é a lacuna que o TPRM centrado em questionários sistematicamente não consegue fechar.
- Tratar o preenchimento do questionário como avaliação de risco, e não como documentação do programa
- Perguntas padronizadas aplicadas a todos os fornecedores, independentemente do perfil de risco específico
- Pontuação de risco que trata todas as perguntas da mesma forma, independentemente de sua relevância para a relação específica
- Nenhuma pergunta específica da relação que trate do risco real criado pela função específica do fornecedor
- Esforço de avaliação desproporcional ao risco: o mesmo esforço para todos os fornecedores, independentemente do nível de risco
Como é uma boa prática
Programas maduros de TPRM combinam um questionário básico enxuto, que cobre a higiene de segurança fundamental, com perguntas específicas da relação, adaptadas ao perfil de risco real de cada relação com fornecedor, fazendo as quatro perguntas mais relevantes para um fornecedor de análise em nuvem em vez de enviar quatrocentas perguntas genéricas.
- Questionário básico enxuto: higiene de segurança fundamental, cobrindo os domínios relevantes para todos os fornecedores
- Perguntas complementares específicas da relação: perguntas direcionadas que tratam dos riscos específicos da função e do acesso a dados de cada fornecedor
- Profundidade da avaliação por nível de risco: avaliação mais extensa para as relações de maior risco
- Pontuação de risco ponderada pela relevância: perguntas ponderadas conforme sua pertinência para a relação específica
- Solicitações de evidências, em vez de perguntas de questionário, para as relações de maior risco: artefatos específicos que demonstrem a eficácia dos controles
Ferramentas
Plataformas de TPRM: ProcessUnity, OneTrust, Prevalent, Venminder
As plataformas de TPRM oferecem gestão de questionários com recursos de personalização, permitindo conjuntos de perguntas específicos da relação junto com um questionário básico padrão. Algumas plataformas incluem pontuação por aprendizado de máquina que pondera as respostas com base no perfil de risco do fornecedor. Para profissionais de TPRM, passar de um único questionário para todos a conjuntos de questionários por nível de risco, com perguntas complementares específicas da relação, é a principal melhoria no desenho de questionários viabilizada pelas plataformas.
Questionários padronizados: CAIQ (CSA), SIG (Shared Assessments), VSAQ
Questionários padrão do setor, como o CAIQ da CSA e o SIG da Shared Assessments, oferecem um vocabulário comum para a avaliação de programas de segurança que reduz o esforço de preenchimento pelos fornecedores. Para profissionais de TPRM, usar questionários padrão do setor como base e complementá-los com perguntas específicas da relação combina eficiência para o fornecedor (as perguntas padrão podem ser respondidas a partir de bibliotecas de respostas) com especificidade na avaliação (as perguntas complementares tratam do perfil de risco real da relação).
Desafios de governança
O desafio de governança do TPRM baseado em questionários é o problema do volume. A maioria dos programas de TPRM gerencia de dezenas a centenas de relações com fornecedores, e personalizar questionários para o perfil de risco específico de cada relação exige um esforço analítico que cresce com o número de relações. A solução de governança é o desenho de questionários por nível de risco: um questionário básico enxuto e padronizado para todos os fornecedores, um conjunto complementar moderado para as categorias de fornecedores de maior risco (nuvem, tratamento de dados, infraestrutura) e uma avaliação direcionada sob medida para as relações individuais de maior risco.
- Desenvolver bancos de perguntas complementares específicas da relação para cada categoria de risco de fornecedor
- Aplicar o questionário básico a todos os fornecedores e perguntas complementares conforme o nível de risco
- Identificar as cinco perguntas mais relevantes para cada relação com fornecedor e priorizá-las
- Solicitar evidências, e não respostas, para as perguntas de maior risco
- Acompanhar as perguntas específicas que anteciparam problemas em avaliações anteriores e priorizá-las
Se você faz parte de uma equipe pequena
Na sua próxima avaliação de fornecedor, acrescente cinco perguntas específicas da relação depois de enviar o questionário padrão. Identifique as cinco perguntas mais relevantes para o risco específico que esse fornecedor cria, aquelas que, se respondidas de forma desfavorável, mais alterariam sua classificação de risco. Essas cinco perguntas, feitas além do questionário padrão, produzirão mais informação acionável sobre o risco do que as quatrocentas derivadas de estruturas que são feitas independentemente da função do fornecedor. O questionário cobre programas. As cinco perguntas cobrem o risco real.
- Identificar as cinco perguntas de risco mais relevantes para cada relação com fornecedor de maior risco
- Acrescentar perguntas específicas da relação ao questionário padrão para os fornecedores de maior risco
- Solicitar evidências para as perguntas mais relevantes em vez de aceitar respostas de sim ou não
- Acompanhar quais perguntas foram mais preditivas das constatações reais de risco
O que exigir
Pergunte diretamente:
“Além do nosso questionário de segurança padrão, identificamos as seguintes perguntas de risco como as mais relevantes para a sua função e o seu acesso a dados na nossa relação: [lista de cinco perguntas específicas da relação]. Respondam a elas com evidências de apoio, e não com respostas de sim ou não.”
O que esperar como evidência
- Respostas às perguntas específicas da relação, com evidências de apoio
- Reconhecimento do perfil de risco específico que a relação cria
- Evidências de controles que tratam os riscos específicos identificados
Um fornecedor que respondeu a um questionário de quatrocentas perguntas deve receber as cinco perguntas sobre sua função específica que o questionário não fez. O questionário descreve o programa. As cinco perguntas descrevem o risco.
Como comprovar
- Documentação das perguntas específicas da relação para os fornecedores de maior risco
- Solicitações de evidências para as perguntas de risco relevantes
- Documentação da profundidade da avaliação por nível de risco
- Registros de complementação de questionários
Principal conclusão
Quatrocentas perguntas cobrindo todos os principais domínios de segurança produzem respostas precisas para todas as quatrocentas perguntas e deixam de fora as cinco perguntas mais relevantes para o risco real da relação. O questionário é abrangente para os domínios que foi projetado para cobrir. O risco específico está nas perguntas que ele não foi projetado para fazer. A fadiga de questionários é o sintoma de uma abordagem de TPRM que otimiza a conclusão do processo de avaliação, e não a compreensão do risco. O fornecedor preencheu o questionário e atingiu o limite. O data lake de análise está fora do escopo do SOC 2. Os tokens de API são válidos indefinidamente. Os controles de exportação em massa não existem. Nada disso estava nas quatrocentas perguntas. O questionário foi minucioso. A avaliação, não.