O programa de TPRM de uma empresa de tecnologia financeira gerenciava quarenta e sete relações com fornecedores. Cada fornecedor havia sido avaliado individualmente, pontuado quanto ao risco e gerenciado pelos processos padrão do programa. Trinta e dois dos quarenta e sete foram classificados como de risco baixo ou médio. Quando um examinador regulatório pediu ao responsável por TPRM que descrevesse a exposição agregada a riscos da carteira, o responsável resumiu a distribuição: seis fornecedores de alto risco, nove de risco médio e trinta e dois de risco baixo a médio. O examinador fez uma pergunta complementar: dos trinta e dois fornecedores de risco baixo a médio, quantos usam a AWS como infraestrutura de nuvem principal? A resposta foi dezenove. O examinador perguntou então quantos dos dezenove tinham acesso aos mesmos dados centrais de transações de clientes. A resposta foi onze. O examinador observou que onze fornecedores avaliados independentemente como de risco baixo a médio, todos compartilhando a infraestrutura da AWS e todos com acesso ao mesmo conjunto de dados de transações, representavam uma concentração de risco correlacionado que as avaliações individuais não capturavam: um único evento de indisponibilidade da AWS afetaria os onze simultaneamente, e um comprometimento do conjunto de dados de transações em qualquer um dos onze afetaria o conjunto de dados em todos os onze caminhos de acesso. A exposição agregada da carteira à indisponibilidade da AWS e ao comprometimento do conjunto de dados de transações era significativamente maior do que a distribuição das pontuações de risco individuais sugeria.
O que é, de fato, o problema da agregação de riscos de fornecedores?
A agregação de riscos de fornecedores é a análise das exposições a riscos no nível da carteira que surgem da combinação de relações com fornecedores avaliadas individualmente, especificamente os riscos correlacionados criados por dependências de infraestrutura, acessos a dados e caminhos operacionais compartilhados, que fazem vários fornecedores de baixo risco individual se comportarem como um único risco concentrado quando a dependência compartilhada falha ou é comprometida. A avaliação de risco individual examina cada fornecedor isoladamente. A agregação de riscos examina a carteira como um sistema de relações interdependentes.
O problema da correlação é o desafio central da agregação de riscos de fornecedores. A moderna teoria de carteiras de risco, desenvolvida para ativos financeiros, distingue entre risco diversificado, que diminui quando mantido em uma carteira porque os riscos não são correlacionados, e risco correlacionado, que se concentra em uma carteira porque as exposições subjacentes são correlacionadas. Uma carteira de dezenove fornecedores, cada um de baixo risco individualmente, que usam todos a mesma infraestrutura de nuvem tem um risco correlacionado decorrente dessa dependência compartilhada: o cenário de indisponibilidade da AWS afeta os dezenove simultaneamente. As pontuações individuais de baixo risco não capturam essa correlação porque as avaliações individuais examinam a postura de segurança de cada fornecedor, não a estrutura de dependências da carteira.
O problema do acesso compartilhado a conjuntos de dados cria outro tipo de risco correlacionado. Quando vários fornecedores têm acesso independente ao mesmo conjunto de dados sensíveis, cada um por seu próprio caminho de integração e cada um avaliado individualmente, a exposição efetiva do conjunto de dados é a soma de todos os caminhos de acesso. Um conjunto de dados acessado por onze fornecedores por onze caminhos independentes tem onze rotas potenciais de comprometimento, independentemente de a postura de segurança de cada fornecedor ser de baixo risco. As pontuações de risco individuais descrevem a probabilidade e o impacto do comprometimento de um único fornecedor. A exposição agregada descreve a probabilidade de que pelo menos um dos onze caminhos seja comprometido, uma probabilidade significativamente maior do que qualquer avaliação individual captura.
- Pontuações de risco individuais que não refletem dependências compartilhadas: pontuações individuais de baixo risco que mascaram o risco correlacionado da carteira
- Concentração de infraestrutura não analisada: vários fornecedores que usam o mesmo provedor de nuvem ou infraestrutura não identificados como uma concentração
- Acesso a conjuntos de dados compartilhados não agregado: vários fornecedores com acesso simultâneo a conjuntos de dados não analisados quanto à exposição combinada
- Nenhuma modelagem de cenários de falhas correlacionadas: como falhas simultâneas de fornecedores decorrentes de dependências compartilhadas afetariam a organização
- Ausência de análise no nível da carteira: gestão de riscos que se encerra nas avaliações individuais, sem síntese da carteira
Por que isso importa
A agregação de riscos de fornecedores é relevante para TPRM porque conselhos e reguladores esperam cada vez mais que as organizações compreendam sua exposição agregada a riscos decorrente das relações com fornecedores: não apenas a distribuição das pontuações de risco individuais, mas os riscos de concentração que as dependências compartilhadas criam. A orientação do FFIEC sobre gestão de risco de terceiros observa especificamente que as organizações devem avaliar “o impacto agregado das relações com terceiros”, incluindo concentrações que possam resultar em risco sistêmico. Um programa de TPRM que avalia com precisão os fornecedores individuais, mas não analisa a concentração no nível da carteira, oferece uma dimensão do quadro de riscos e deixa de lado a outra.
O cenário de risco sistêmico é o risco de agregação de maiores consequências. Uma falha de um provedor de infraestrutura de nuvem compartilhado, como uma grande interrupção da AWS, do Azure ou do GCP, que afete simultaneamente todos os fornecedores que dependem dessa infraestrutura não é um risco teórico: grandes interrupções de nuvem já ocorreram e afetaram organizações cujas carteiras de fornecedores estavam concentradas no provedor afetado sem que ninguém tivesse decidido explicitamente aceitar essa concentração. A decisão de usar fornecedores dependentes da AWS foi tomada fornecedor por fornecedor, cada uma por seus próprios méritos, sem que ninguém agregasse a dependência da carteira em relação à AWS.
Onde a maioria das equipes erra
A falha mais recorrente é tratar os resultados das avaliações individuais como o quadro completo do risco da carteira sem realizar a análise no nível da carteira que identifica concentração e correlação. As avaliações individuais são necessárias. Não são suficientes para a gestão de riscos no nível da carteira.
- Tratar as avaliações individuais como o quadro completo de riscos
- Nenhum mapeamento de dependências de infraestrutura em toda a carteira de fornecedores
- Nenhuma agregação dos acessos a conjuntos de dados compartilhados
- Nenhuma análise de cenários de falhas correlacionadas
- Risco da carteira descrito pela distribuição das pontuações de risco, e não por uma análise de concentração
Como é uma boa prática
Programas maduros de agregação de riscos de fornecedores realizam o mapeamento de dependências no nível da carteira, identificando infraestrutura, conjuntos de dados e caminhos operacionais compartilhados, e analisam o risco correlacionado que essas dependências compartilhadas criam, junto com as avaliações de risco individuais dos fornecedores.
- Mapeamento de dependências de infraestrutura: quais provedores de nuvem, data centers e serviços de infraestrutura a carteira de fornecedores usa
- Mapeamento do acesso a conjuntos de dados compartilhados: quais fornecedores têm acesso simultâneo aos mesmos conjuntos de dados sensíveis
- Análise de limites de concentração: exposição da carteira a qualquer provedor de infraestrutura ou caminho de dados específico
- Análise de cenários de falhas correlacionadas: modelagem do impacto de falhas simultâneas de fornecedores decorrentes de dependências compartilhadas
- Relatórios no nível da carteira: risco de concentração apresentado junto com a distribuição das pontuações de risco individuais
Ferramentas
Inteligência da cadeia de suprimentos: Interos, Coupa Risk
Plataformas de inteligência da cadeia de suprimentos mapeiam as dependências da cadeia de suprimentos estendida em toda a carteira de fornecedores, identificando provedores de nuvem compartilhados, subprestadores de serviços comuns e concentrações geográficas. Para profissionais de TPRM, usar inteligência da cadeia de suprimentos para mapear dependências no nível da carteira oferece a visibilidade da concentração que as avaliações individuais não oferecem.
Inteligência de Negócios sobre dados de TPRM: Power BI, Tableau
Ferramentas de BI aplicadas aos dados de TPRM permitem a análise de agregação no nível da carteira, identificando grupos de fornecedores por provedor de infraestrutura, sobreposição de acesso a dados e concentração geográfica. Para profissionais de TPRM, construir visões de agregação no nível da carteira sobre os dados das avaliações individuais oferece a análise de concentração que os relatórios padrão das plataformas de GRC não oferecem.
Desafios de governança
O desafio de governança da agregação de riscos de fornecedores é o problema da disponibilidade de dados. Identificar quais fornecedores compartilham qual infraestrutura exige que os fornecedores divulguem seus provedores de infraestrutura (o que muitos não fazem por iniciativa própria) ou o uso de plataformas de inteligência da cadeia de suprimentos que mapeiem essas dependências externamente. A solução de governança combina requisitos de divulgação das dependências de infraestrutura pelos fornecedores com ferramentas de inteligência para cobrir as lacunas.
- Exija a divulgação do provedor de infraestrutura: pergunte a cada fornecedor qual provedor de nuvem ele usa
- Mapeie o acesso a conjuntos de dados compartilhados: identifique quais fornecedores têm acesso a cada conjunto de dados sensíveis
- Realize uma análise anual do risco de concentração: agregue os dados de dependências de infraestrutura
- Defina limites de concentração: exposição máxima aceitável a qualquer provedor de infraestrutura específico
- Informe ao conselho o risco de concentração da carteira junto com a distribuição dos riscos individuais
Se você faz parte de uma equipe pequena
Faça a cada fornecedor de Nível 1 e Nível 2 uma pergunta: qual provedor de infraestrutura de nuvem vocês usam principalmente para os serviços que nos prestam? Agregue as respostas. Se mais de trinta por cento das suas relações críticas com fornecedores usam o mesmo provedor, há um risco de concentração que vale a pena apresentar ao conselho. Essa única pergunta, feita aos seus fornecedores de maior risco, mapeia a concentração de infraestrutura que as pontuações de risco individuais não conseguem revelar. As pontuações individuais são precisas. A concentração é a dimensão adicional que elas não capturam.
- Pergunte a cada fornecedor de Nível 1 e Nível 2 qual provedor de infraestrutura de nuvem ele usa
- Agregue as respostas para identificar a concentração
- Mapeie quais fornecedores têm acesso aos mesmos conjuntos de dados sensíveis
- Apresente o risco de concentração junto com a distribuição dos riscos individuais nos relatórios ao conselho
O que exigir
Pergunte diretamente:
“Qual provedor de infraestrutura de nuvem vocês usam principalmente para os serviços que prestam à nossa organização, e há outros subprestadores de serviços críticos cuja disponibilidade seja necessária para que vocês nos prestem seus serviços?”
O que esperar como evidência
- Divulgação do principal provedor de infraestrutura de nuvem
- Lista de subprestadores de serviços críticos
- Plano de continuidade de negócios para eventos de disponibilidade do provedor de infraestrutura
- Infraestrutura alternativa ou capacidade de failover
A um fornecedor que apresenta uma pontuação de baixo risco, também se deve perguntar qual é o seu provedor de infraestrutura. A pontuação de risco descreve sua postura de segurança individual. A resposta sobre o provedor de infraestrutura permite a análise de agregação que revela se esse baixo risco individual faz parte de uma concentração correlacionada na carteira.
Como comprovar
Principal conclusão
Três fornecedores de baixo risco que compartilham a mesma infraestrutura de nuvem, o mesmo conjunto de dados de clientes e os mesmos caminhos de acesso à produção não formam uma carteira de baixo risco. São um risco concentrado que parece diversificado quando examinado fornecedor por fornecedor e se revela quando examinado em toda a carteira. As pontuações de risco individuais são precisas. A correlação é a dimensão adicional que as pontuações individuais não capturam. O mapeamento de dependências no nível da carteira revela a concentração. A divulgação do provedor de infraestrutura a torna possível. A inteligência da cadeia de suprimentos a automatiza. As avaliações individuais são a base necessária. A análise da carteira é a dimensão que torna essa base suficiente para compreender o risco real.