Os contratos com fornecedores de uma organização de saúde haviam sido redigidos por uma equipe jurídica com forte participação da área de segurança: todos os contratos com fornecedores de Nível 1 e Nível 2 incluíam uma cláusula de direito de auditoria que permitia à organização realizar auditorias de segurança dos fornecedores que lidavam com informações de saúde protegidas, diretamente ou por meio de um terceiro qualificado. A cláusula especificava aviso prévio de trinta dias, requisitos de cooperação razoável, proteções de confidencialidade e uma limitação de frequência de uma vez por ano civil. Durante um exame regulatório após um evento de dados envolvendo um fornecedor, o examinador pediu ao responsável pela segurança HIPAA da organização de saúde que descrevesse o programa de auditoria de fornecedores da organização. A resposta: o direito de auditoria estava incluído em todos os contratos pertinentes. O examinador perguntou quantas vezes o direito havia sido exercido nos três anos anteriores. A resposta: nenhuma. O examinador observou que uma cláusula de direito de auditoria que nunca foi exercida não oferece nenhuma garantia de que o fornecedor cumpre os requisitos de segurança do mesmo contrato. A organização tinha três anos de confirmações anuais por questionário de que o fornecedor estava em conformidade com o HIPAA. Não tinha nenhuma verificação independente de que alguma dessas confirmações fosse verdadeira.
O que é, de fato, o problema da efetivação dos direitos de auditoria de fornecedores?
Os direitos de auditoria de fornecedores são cláusulas contratuais que permitem ao cliente realizar, ou contratar, avaliações de segurança do ambiente, dos controles e das práticas do fornecedor. As cláusulas de direito de auditoria normalmente especificam o aviso prévio exigido, a frequência permitida, o escopo que pode ser avaliado, as proteções de confidencialidade aplicáveis às constatações e a cooperação que o fornecedor deve prestar. Essas cláusulas são padrão em contratos com fornecedores que lidam com dados sensíveis e fornecem a base legal para a verificação independente das declarações de segurança do fornecedor. Elas não produzem nenhuma verificação a menos que sejam efetivamente usadas.
A função dissuasória dos direitos de auditoria é o benefício de governança que os direitos não exercidos deixam de entregar. Um fornecedor que sabe que o cliente exerce os direitos de auditoria em um cronograma definido (anualmente para fornecedores de Nível 1, por exemplo) sabe que declarações falsas nas respostas aos questionários anuais podem ser detectadas na auditoria. O efeito dissuasório cria um incentivo para respostas honestas aos questionários e para a eficácia contínua dos controles. Um fornecedor que sabe que o cliente nunca exerceu um direito de auditoria em três anos sabe que as respostas aos questionários não serão verificadas de forma independente. O efeito dissuasório está ausente.
A dimensão da expectativa regulatória é cada vez mais explícita. As orientações do OCC sobre gestão de riscos de terceiros identificam especificamente as atividades de auditoria e avaliação como um componente do monitoramento contínuo. A Regra de Segurança do HIPAA, em 45 CFR 164.308(a)(1), exige que as entidades abrangidas implementem um processo de gestão de segurança que inclua a avaliação regular de suas salvaguardas de segurança, uma avaliação que, nos relacionamentos com fornecedores, deve incluir alguma verificação independente das salvaguardas que o fornecedor declara ter implementado. A cláusula de direito de auditoria fornece a base contratual para essa verificação. Um programa de auditoria exerce o direito e produz a verificação. A cláusula, por si só, não atende nem à expectativa de monitoramento nem ao requisito de avaliação.
- Direito de auditoria nunca exercido: a cláusula consta do contrato há anos sem um único exercício
- Nenhuma função dissuasória: o fornecedor não é incentivado pela perspectiva de auditoria
- Nenhuma verificação independente: as declarações nos questionários permanecem sem verificação durante toda a vigência do relacionamento
- Expectativa regulatória não atendida: a expectativa de monitoramento contínuo exige mais do que um direito contratual
- Programa de auditoria não criado: o direito existe, o mecanismo para exercê-lo não
Por que isso importa
A efetivação dos direitos de auditoria de fornecedores é importante para TPRM porque a verificação independente é o mecanismo de governança que distingue a gestão de riscos da documentação de riscos. Os questionários anuais produzem declarações do fornecedor. Os direitos de auditoria, quando exercidos, produzem verificação independente dessas declarações. Um programa que tem declarações, mas nenhuma verificação, tem a documentação da gestão de riscos sem a sua substância. As declarações podem ser verdadeiras. Podem não ser. Sem verificação, a organização não consegue distinguir uma coisa da outra.
O contexto de fiscalização do HIPAA é a consequência regulatória mais direta. As ações de fiscalização do OCR após violações sujeitas ao HIPAA examinam sistematicamente se a entidade abrangida exercia supervisão adequada sobre seus associados de negócios e se essa supervisão incluía verificação independente além das respostas anuais a questionários. Uma entidade abrangida com cláusulas de direito de auditoria que nunca foram exercidas terá dificuldade em demonstrar supervisão adequada dos associados de negócios em um contexto de fiscalização. A cláusula demonstra que o direito foi estabelecido contratualmente. O examinador da fiscalização perguntará o que foi feito com ele.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a inclusão da cláusula de direito de auditoria como equivalente ao funcionamento de um programa de auditoria. A cláusula estabelece o direito legal. O programa de auditoria o exerce. Ambos são necessários. Nenhum substitui o outro.
- Tratar a cláusula de direito de auditoria como um programa de auditoria
- Nenhum cronograma de auditoria definido: o direito está disponível, mas não há programa que defina quando e como exercê-lo
- Atrito no relacionamento que desestimula o exercício: a relutância em parecer hostil impede o desenvolvimento de um programa de auditoria
- Restrição de recursos: nenhuma capacidade de auditoria para realizar os exercícios
- Expectativa regulatória de monitoramento não atendida: a cláusula é tratada como se atendesse ao requisito de verificação independente
Como é uma boa prática
Programas maduros de direitos de auditoria exercem o direito em um cronograma definido para fornecedores de Nível 1, seja por meio de equipes de auditoria próprias, de avaliadores terceirizados contratados ou de exercícios estruturados de coleta de evidências que vão além das respostas a questionários. O programa é proporcional ao risco: exercícios anuais para os fornecedores de maior risco e critérios de acionamento definidos para os demais.
- Cronograma de auditoria definido para fornecedores de Nível 1: quando e como o direito é exercido
- Avaliador terceirizado contratado quando a capacidade interna de auditoria é limitada
- Exercício estruturado de coleta de evidências como alternativa simplificada a uma auditoria completa
- Acompanhamento das constatações de auditoria: o que os exercícios revelam e como as constatações são gerenciadas
- Dissuasão mantida: o fornecedor sabe que os exercícios ocorrem em um cronograma previsível
Ferramentas
Serviços de auditoria de terceiros: KPMG, Deloitte, NCC Group, empresas de auditoria especializadas em TPRM
Contratar avaliadores terceirizados para exercer as cláusulas de direito de auditoria em nome do cliente oferece capacidade de verificação independente sem exigir infraestrutura interna de auditoria. Para profissionais de TPRM, contratar uma auditoria de fornecedor por terceiros por ano para o relacionamento de maior risco, citando a cláusula de direito de auditoria como base contratual, fornece a verificação que a cláusula torna possível.
Solicitação estruturada de evidências: coleta direcionada de evidências como exercício de auditoria simplificado
Uma solicitação estruturada de evidências, que pede evidências técnicas específicas de controles específicos em vez de respostas a questionários, é um exercício de auditoria simplificado que pode ser realizado com investimento mínimo de recursos e oferece uma verificação de qualidade superior à das respostas a questionários isoladamente. Para profissionais de TPRM, apresentar solicitações direcionadas de evidências como exercício da cláusula de direito de auditoria fornece a documentação regulatória de que o exercício ocorreu.
Desafios de governança
O desafio de governança da efetivação dos direitos de auditoria é a preocupação com o atrito no relacionamento. Exercer direitos de auditoria pode parecer hostil em relacionamentos nos quais o cliente depende do fornecedor para serviços críticos e deseja manter uma relação de trabalho positiva. A solução de governança é normalizar os exercícios de auditoria como termos contratuais rotineiros, e não como sinais de desconfiança, apresentando o exercício como parte do cumprimento regulatório padrão e notificando os fornecedores pelo processo especificado no contrato.
- Exercer o direito para pelo menos um fornecedor de Nível 1 este ano, começando pelo relacionamento em que a verificação independente é mais valiosa
- Apresentar os exercícios como cumprimento rotineiro do contrato: normalizar, em vez de sinalizar desconfiança
- Contratar avaliadores terceirizados se a capacidade interna de auditoria for limitada
- Documentar o exercício: o que foi avaliado, o que foi constatado e como as constatações foram gerenciadas
- Usar a expectativa regulatória como justificativa: não uma suspeita interna, mas um requisito de conformidade
Se você faz parte de uma equipe pequena
Escolha o seu fornecedor de maior risco e exerça o direito de auditoria este ano por meio de uma solicitação estruturada de evidências. Identifique os cinco controles mais críticos para o seu relacionamento: MFA, criptografia, gestão de vulnerabilidades, revisão de acesso e resposta a incidentes. Solicite evidências técnicas de cada um, citando a cláusula de direito de auditoria como fundamento. Documente o exercício, o que foi solicitado, o que foi fornecido e como a qualidade das evidências foi avaliada. Essa solicitação estruturada de evidências é um exercício de auditoria. Ela cria verificação independente. Ela exerce o direito. Ela produz a documentação regulatória que a cláusula de direito de auditoria, por si só, não produz.
- Exercer o direito de auditoria para um fornecedor de maior risco este ano
- Usar uma solicitação estruturada de evidências para cinco controles críticos
- Documentar o exercício como exercício do direito de auditoria para o registro regulatório
- Contratar um avaliador terceirizado se for necessária uma verificação mais ampla
O que exigir
Pergunte diretamente:
"Estamos exercendo nosso direito de auditoria, conforme especificado na Seção [X] do nosso contrato. Solicitamos as seguintes evidências técnicas dos controles listados abaixo. Pedimos que sejam fornecidas até [data]. Este exercício faz parte do nosso programa rotineiro de supervisão de fornecedores."
O que esperar como evidência
- Evidências técnicas dos controles especificados, em vez de respostas a questionários
- Cooperação conforme especificado na cláusula de direito de auditoria
- Proteção da confidencialidade das constatações, conforme acordado
- Resposta dentro do prazo contratual
Um fornecedor cujo direito de auditoria nunca foi exercido saberá que ele nunca foi exercido. Exercê-lo, mesmo que na forma de uma solicitação estruturada de evidências, muda a dinâmica de dissuasão para todas as respostas futuras a questionários.
Como comprovar
- Registros do exercício do direito de auditoria: o que foi avaliado e quando
- Evidências de verificação independente
- Registros das constatações de auditoria e de sua gestão
- Documentação regulatória do exercício para fins de conformidade
Principal conclusão
O direito de auditoria está no contrato. Ele dá ao cliente a autoridade contratual para verificar de forma independente o que o fornecedor vem declarando nos questionários anuais. Três anos de declarações sem verificação. Três anos em que o fornecedor sabia que o direito existia e nunca havia sido usado. O direito produz dissuasão quando o fornecedor sabe que ele é exercido. Produz verificação quando o exercício acontece. Produz evidência regulatória quando o exercício é documentado. Sem exercício, é texto em um contrato. Crie o programa de auditoria. Exerça o direito. O examinador regulatório que perguntar quantas vezes o direito foi exercido não ficará satisfeito com a resposta de que o direito existe.