Gestão de Conformidade

Toda a organização opera dentro de uma rede de requisitos externos e internos. Entre eles estão as leis de proteção de dados, a regulamentação setorial, as normas do setor, os compromissos contratuais e as políticas internas. Cada requisito, isoladamente, pode parecer gerível. Em conjunto, sobrepõem-se, mudam e por vezes entram em conflito. A gestão de conformidade organiza este cenário. Responde, de forma contínua, a três perguntas práticas: que obrigações nos aplicam, o que fazemos em relação a cada uma e se o conseguimos provar.

A palavra a reter é contínua. A gestão de conformidade não é um projeto que termina quando se publica uma política. As obrigações mudam à medida que as leis são alteradas, os reguladores emitem novas orientações e a empresa entra em novos mercados ou lança novos produtos. Um programa maduro funciona, por isso, em ciclo: identifica obrigações, avalia riscos, implementa controlos, verifica a sua eficácia e leva os resultados à revisão seguinte.

Um programa de conformidade assenta em seis componentes principais:

Na prática, o trabalho segue um ciclo que se repete. Começa pelo âmbito: inventariar as obrigações aplicáveis e relacioná-las com os processos, sistemas e dados que afetam. A avaliação de risco identifica depois onde o incumprimento é mais provável e mais prejudicial. Os controlos são então concebidos ou ajustados em resposta. A implementação inclui não só a implantação dos controlos, mas também a sua documentação e a formação das pessoas que trabalham segundo eles.

O ciclo fecha com verificação e melhoria. A monitorização e as auditorias internas confirmam se os controlos que existem no papel também funcionam na prática. As lacunas identificadas regressam como políticas atualizadas, novos controlos ou formação adicional. Os resultados, as métricas e os dados de incidentes sobem à gestão, e o registo de obrigações é revisto sempre que mudam o negócio ou o enquadramento regulatório.

1. 1

   Escopo

   Liste as obrigações aplicáveis e relacione-as aos processos, sistemas e dados que afetam.

2. 2

   Avaliação

   Classifique onde a não conformidade é mais provável e mais danosa.

3. 3

   Implementação

   Desenhe ou ajuste os controles, documente-os e treine as pessoas que trabalham com eles.

4. 4

   Verificação

   Teste se os controles funcionam na prática e leve as lacunas para a próxima revisão.

Reguladores e auditores raramente aceitam garantias dadas de boa-fé. Eles esperam registros. As provas assumem três formas principais, resumidas abaixo.

Uma trilha de auditoria completa e atribuível liga cada evento registado a um utilizador, a uma ação e a um carimbo temporal. É isso que permite à organização reconstruir o que aconteceu numa investigação ou numa auditoria externa.

A conservação faz parte da mesma disciplina. Os registos devem ser mantidos durante o tempo necessário para cumprir o requisito aplicável mais longo, protegidos contra alterações e recuperáveis a pedido. A má conservação documental é, por si só, uma constatação frequente em inspeções regulatórias, mesmo quando os controlos eram sólidos.

Retenção é uma configuração, não um hábito. No Anexet Reports Server, o administrador escolhe onde os dados coletados são armazenados, por quanto tempo são mantidos e quais coleções de dados são guardadas. Os relatórios construídos sobre esses dados estão descritos em relatórios de conformidade de segurança.

A gestão de conformidade é um dos três pilares do GRC: governação, gestão de risco e conformidade. GRC é o termo genérico para a forma como as organizações se dirigem e controlam. Os pilares sobrepõem-se de propósito. O risco de conformidade é uma categoria dentro da gestão de risco empresarial. A governação fornece as estruturas de responsabilização, o exemplo da liderança e os direitos de decisão em que assenta qualquer esforço de conformidade.

Tratar os pilares em conjunto evita trabalho duplicado. Um único exercício de classificação de dados pode, por exemplo, servir ao mesmo tempo um regulamento de privacidade, uma norma de segurança e uma política interna de arquivo. Muitas organizações executam estas atividades em plataformas GRC partilhadas, que mantêm ligados obrigações, riscos, controlos e provas. Assim, um controlo pode demonstrar conformidade com vários requisitos, e os relatórios baseiam-se numa única fonte de verdade.

Programas fracos costumam falhar nos mesmos poucos pontos, e cada falha aparece nos registros.

• Tratar a conformidade como projeto pontual, e as obrigações mudam sem que ninguém perceba
• Publicar políticas sem saber onde estão os dados regulados, o que responde a classificação de dados
• Não manter registro atribuível de quem fez o quê, o que deixa nada para mostrar ao auditor
• Tratar a comunicação de uma violação de dados como tarefa improvisada, e não como procedimento planejado

Comece pelas obrigações com maior risco de conformidade e depois relacione-as aos sistemas e dados que tocam. Um registro curto, com responsáveis nomeados, vale mais do que um documento longo que ninguém atualiza.

Os deveres de privacidade previstos nas regras de proteção de dados são um ponto de partida prático, porque nomeiam os dados e as pessoas envolvidas.

Leitura adicional: Use o sistema Anexet Ultimate DLP para atender ao RGPD.