Os terceiros acrescentam uma camada de complexidade e risco que pode conduzir a muitos tipos diferentes de perturbações e impactos nos negócios. As organizações estão a tornar-se uma teia complexa de produtos e serviços, processos e tecnologias fornecidos por terceiros, e este ecossistema complexo e em constante mudança torna cada vez mais difícil gerir os riscos de forma clara. A recente violação de segurança da SolarWinds é um acontecimento lamentável que destaca o desafio que as organizações enfrentam atualmente com a combinação de ciberataques e riscos associados a terceiros. Este acontecimento destaca três áreas principais: TI, segurança e gestão de riscos.
- As organizações devem estar constantemente atentas aos ciberataques provenientes de diversos vetores de ameaça e autores.
- As organizações devem compreender as relações com os fornecedores e a cadeia de abastecimento, incluindo não só os fornecedores de componentes dos seus produtos e serviços, mas também os fornecedores de software e de serviços de TI.
- A resiliência empresarial, incluindo a continuidade das operações e a gestão de crises, deve estar profundamente enraizada na organização para fazer face a uma grande variedade de situações — desde incidentes físicos até perturbações nas tecnologias da informação.
Neste exemplo, a ligação entre as diferentes dimensões da gestão de riscos é evidente. Infelizmente, a gestão de riscos de terceiros pode representar um desafio em termos de recursos. À medida que a sua organização alarga as suas ligações a entidades externas, os riscos herdados tornam-se uma questão significativa.
As organizações têm dificuldade em gerir e controlar eficazmente estes terceiros, uma vez que os métodos tradicionais não são escaláveis. Muitas vezes, as relações com terceiros introduzem riscos imprevisíveis e herdados que podem levar a surpresas e a potenciais perdas. Quando a supervisão de terceiros é gerida de forma diferente ao longo de uma organização, criam-se lacunas devido a inconsistências na identificação, avaliação e gestão dos riscos decorrentes desses terceiros. Por fim, com processos de governação inconsistentes e incompletos, as organizações não conseguem obter uma visão completa e precisa dos riscos introduzidos pelos terceiros na sua organização.
É fundamental para a estratégia de gestão do risco de terceiros ter uma visão clara do seu ecossistema de terceiros, como fornecedores, consultores e prestadores de serviços. A formalização da gestão do risco de terceiros através de processos integrados melhora toda a gestão de riscos. Melhor ainda, os recursos podem ser concentrados nas atividades mais importantes e de maior impacto. Quando analisamos os clientes da Archer, a gestão de riscos empresariais e operacionais é um ponto de entrada predominante para a gestão do risco de terceiros. Os nossos clientes que possuem casos de utilização de gestão de riscos empresariais e operacionais têm quase o dobro de probabilidades de possuírem casos de utilização relacionados com a governação de terceiros. Os casos de utilização de gestão de riscos de TI e de segurança são outra área adjacente que observamos. Quase 40% dos nossos clientes de gestão de riscos de TI e de segurança também possuem casos de utilização relacionados com terceiros.
Uma vez que as entidades reguladoras estão a estabelecer padrões de responsabilização cada vez mais elevados para a supervisão das relações com terceiros, é especialmente pertinente alargar a sua estratégia à gestão de riscos de terceiros. Embora muitas organizações disponham de alguns programas ou processos de avaliação de riscos relacionados com o risco de terceiros, o vasto leque de potenciais impactos nos negócios exige que as organizações dêem um passo em frente no sentido da governação de terceiros. Os programas de risco empresarial e operacional, de conformidade ou de risco de TI constituem excelentes pontos de partida para começar a integrar os esforços de gestão de riscos de terceiros.
Se a sua organização estiver a enfrentar dificuldades relacionadas com qualquer tipo de perturbação na cadeia de abastecimento ou por parte de terceiros, leia o nosso breve artigo com sugestões para reorientar a sua organização para os princípios básicos da gestão de riscos relacionados com fornecedores e terceiros. Além disso, pode ler este relatório gratuito da Gartner:«Monitorizar os principais critérios de risco para mitigar a falha dos fornecedores».
