Gestão de risco de fornecedores: boas práticas

A gestão de risco de fornecedores funciona quando você classifica cada terceiro por criticidade, exige evidências proporcionais a esse risco e monitora a postura de segurança entre as avaliações. O problema não é falta de questionário. É depender de planilhas que envelhecem, tratar todos os fornecedores da mesma forma e descobrir a exposição só depois do incidente.

Este guia percorre as etapas práticas de um programa de risco de terceiros: por que esse vetor cresceu tanto, como estruturar o ciclo de ponta a ponta, como classificar e monitorar por criticidade, o papel de questionários e evidências, e onde a automação via GRC tira o trabalho manual do caminho.

Por que o risco de terceiros é um dos maiores vetores de incidentes

Na edição 2026 do Data Breach Investigations Report (DBIR), divulgada em maio, a Verizon aponta que as violações com participação de terceiros chegaram a 48% do total, alta de 60% (Verizon, 2026 Data Breach Investigations Report). Na edição 2025, essa participação já havia dobrado para 30% (Verizon, 2025 Data Breach Investigations Report). Quando um fornecedor é comprometido, o atacante herda os acessos, as integrações e a confiança que você concedeu a ele.

O raciocínio é direto. Sua empresa pode ter controles maduros, mas a superfície de ataque se estende a cada parceiro que toca seus dados, sistemas ou operações. Um provedor de software, um escritório terceirizado de folha, uma API de pagamento: cada conexão é uma porta.

Esse risco cresce por acúmulo. Em 2025 foram publicados 48.185 CVEs, 20,6% a mais que em 2024 (Jerry Gamblin, 2025 CVE Data Review), e cada fornecedor traz o próprio software e a própria fila de correções. Com a dependência de serviços terceirizados, de nuvem e SaaS, a exposição tende a crescer mais rápido do que a maioria das equipes consegue acompanhar manualmente.

A consequência de negócio é concreta: interrupção de operação, vazamento de dados de clientes, sanções sob a LGPD e desgaste de reputação. Por isso o risco de terceiros deixou de ser assunto só da área técnica e passou a figurar nas pautas de risco corporativo e do board.

Etapas de um programa de gestão de risco de fornecedores

Um programa eficaz segue um ciclo de vida, do primeiro contato ao encerramento do contrato. Uma pesquisa do Ponemon Institute com a Imprivata, divulgada em fevereiro de 2025 e feita com 1.942 profissionais de TI e segurança, mostra por que o esforço vale a pena: 47% das organizações sofreram, nos 12 meses anteriores, uma violação de dados ou ataque cibernético que envolveu o acesso de um terceiro à sua rede (Imprivata e Ponemon Institute, The State of Third-Party Access in Cybersecurity, 2025).

O NIST CSF 2.0 organiza esse ciclo na categoria Cybersecurity Supply Chain Risk Management (GV.SC), da função Govern: ela vai da priorização dos fornecedores por criticidade (GV.SC-04) e dos requisitos em contrato (GV.SC-05) à due diligence (GV.SC-06), ao monitoramento ao longo da relação (GV.SC-07), à inclusão de terceiros na resposta a incidentes (GV.SC-08) e ao que acontece depois do fim do contrato (GV.SC-10) (NIST CSWP 29, The NIST Cybersecurity Framework 2.0). Veja o panorama completo em as seis funções do NIST CSF 2.0.

As etapas essenciais são:

Inventário e descoberta. Levante todos os fornecedores, inclusive os contratados por áreas de negócio sem passar pela segurança. O que não está no inventário não é gerido.
Classificação por criticidade. Ordene os terceiros pelo risco que representam, considerando acesso a dados, integração técnica e dependência operacional.
Due diligence e avaliação. Aplique questionários e colete evidências compatíveis com o nível de criticidade.
Contratação e cláusulas. Formalize obrigações de segurança, proteção de dados, notificação de incidentes, subcontratação e direito de auditoria no contrato. Em instituições reguladas pelo Banco Central, a Resolução CMN nº 4.893/2021 lista cláusulas obrigatórias para serviços de processamento, armazenamento de dados e nuvem; veja o guia de risco de terceiros na Resolução CMN 4.893.
Monitoramento contínuo. Acompanhe a postura do fornecedor ao longo do relacionamento, não apenas no onboarding.
Resposta e encerramento. Defina como reagir a incidentes do fornecedor e como revogar acessos, devolver ou excluir dados quando o contrato termina.

Cada etapa gera registros. Manter essa rastreabilidade em um único lugar é o que permite responder a auditores e reguladores sem corrida de última hora. Para quem está desenhando o programa de risco mais amplo, vale combinar essa visão com uma matriz de risco 5x5 bem calibrada para priorizar ameaças de forma consistente.

Como classificar e monitorar fornecedores por criticidade

Classificar por criticidade significa medir o risco de cada fornecedor antes de decidir quanto controle aplicar. Tratar todos igual desperdiça esforço nos irrelevantes e deixa pouca atenção para os que realmente importam. A classificação proporcional é o ponto de partida de todo programa maduro.

Avalie cada terceiro por três dimensões:

Sensibilidade dos dados. O fornecedor trata dados pessoais, financeiros ou estratégicos?
Nível de acesso. Ele tem acesso privilegiado a sistemas, redes ou credenciais?
Impacto operacional. Se o serviço cair, quanto da sua operação para junto?

A partir dessas respostas, agrupe os fornecedores em camadas, por exemplo crítico, alto, médio e baixo. Um provedor de nuvem que hospeda dados de clientes é crítico. Um fornecedor de material de escritório, baixo. A profundidade da avaliação e a frequência de reavaliação seguem a camada.

Na ISO/IEC 27001:2022, os controles 5.19 a 5.23 do Anexo A cobrem essa relação: segurança da informação nas relações com fornecedores, requisitos nos contratos, cadeia de suprimentos de TIC, monitoramento e gestão de mudanças nos serviços dos fornecedores e uso de serviços em nuvem (ISO/IEC 27001:2022). O checklist do Anexo A da ISO 27001 mostra onde eles se encaixam.

Monitorar é a parte que a maioria dos programas negligencia. Uma avaliação feita no onboarding descreve o fornecedor naquele dia. Meses depois, a realidade mudou: certificados expiram, vulnerabilidades surgem, equipes de segurança são cortadas. O monitoramento contínuo preenche esse intervalo, sinalizando quando a postura de um terceiro se deteriora antes que isso vire incidente.

Questionários, evidências e monitoramento contínuo

Questionários coletam a autodeclaração do fornecedor; evidências comprovam que o controle existe e funciona; o monitoramento contínuo mostra se ele continua funcionando. Os três são complementares, e confiar em apenas um deles cria pontos cegos. A expectativa de piora reforça a urgência: na mesma pesquisa, 64% dos respondentes disseram que as violações por terceiros vão aumentar ou continuar em níveis alarmantemente altos nos 12 a 24 meses seguintes (Imprivata e Ponemon Institute, 2025).

Equipe analisando painéis de risco e indicadores de segurança em ambiente corporativo

Use questionários de forma proporcional. Um fornecedor crítico responde a um questionário robusto, baseado em frameworks reconhecidos. Um fornecedor de baixo risco recebe uma versão enxuta. Padronizar com base em referências como ISO/IEC 27001, SOC 2 e NIST CSF evita reinventar perguntas e facilita a comparação entre terceiros.

Peça evidências para sustentar as respostas de maior risco:

Relatórios SOC 2 Tipo II e certificados ISO/IEC 27001 válidos, conferindo o escopo coberto e a data de validade.
Políticas de segurança, planos de resposta a incidentes e de continuidade.
Resultados de testes de intrusão e varreduras de vulnerabilidade recentes.
Cláusulas contratuais de proteção de dados quando há tratamento de dados pessoais. A LGPD não impõe um modelo de contrato, mas o operador deve tratar os dados segundo as instruções do controlador (art. 39) e ambos devem adotar medidas de segurança (art. 46) (Lei nº 13.709/2018); o contrato é o lugar natural para registrar isso. Veja também o checklist de adequação à LGPD.

O monitoramento contínuo fecha o ciclo. Ele observa sinais externos de postura de segurança e mudanças relevantes entre as avaliações formais, convertendo uma foto anual em um acompanhamento vivo do relacionamento.

Automatizando a avaliação de terceiros com GRC

A automação via GRC reduz o trabalho manual de coletar, cruzar e atualizar informações de fornecedores, liberando a equipe para analisar risco em vez de perseguir e-mails. Processos sustentados em planilhas tendem a não escalar quando o portfólio de terceiros passa de algumas dezenas, e o retrabalho entre frameworks consome o tempo que deveria ir para a decisão.

Uma plataforma de GRC concentra os fornecedores em um inventário único e conecta cada avaliação aos controles, às evidências e ao risco correspondente. O ganho prático é o reaproveitamento: um mesmo controle, com sua evidência, pode ser mapeado para requisitos da ISO/IEC 27001, da LGPD, do SOC 2 e do NIST CSF, sem recomeçar a avaliação a cada norma.

O módulo Third-Party Risk do Eagle, da Futture, foi pensado para esse ciclo: cadastro de fornecedores, assessments e classificação de criticidade, riscos, contratos e revisões periódicas, sinais de risco, monitoramento e planos de ação, ligando o risco da cadeia ao risco corporativo. A IA apoia a classificação e a priorização no modelo human-in-the-loop, e a decisão final permanece com o analista.

Na prática, isso muda a dinâmica da avaliação. Em vez de abrir uma planilha para cada fornecedor, a equipe vê quais terceiros mudaram de risco, quais evidências venceram e onde agir primeiro. Para aprofundar a escolha da ferramenta, vale revisar como escolher um software GRC antes de decidir.

Conclusão

Comece pelo que você não enxerga: monte o inventário completo de fornecedores e classifique cada um por criticidade. Essa lista, por mais imperfeita que seja no início, é o que transforma risco de terceiros de uma surpresa em uma decisão gerenciável. A partir dela, aplique questionários e evidências proporcionais, ative o monitoramento contínuo nos fornecedores críticos e avalie quais etapas podem ser automatizadas em uma plataforma de GRC. O próximo incidente de terceiro não avisa antes de chegar; a diligência feita agora é o que define se ele vira um evento controlado ou uma crise.

Para aprofundar: Software de Due Diligence com IA para Terceiros; Matriz de Risco: Como Construir e Priorizar Ameaças.

Perguntas frequentes

O que é gestão de risco de fornecedores?

É o processo de identificar, classificar, avaliar e monitorar os riscos que fornecedores e prestadores de serviço trazem para a sua operação, dados e conformidade, do onboarding ao encerramento do contrato.

Com que frequência reavaliar um fornecedor crítico?

Uma prática comum é reavaliar formalmente os fornecedores críticos pelo menos uma vez por ano, e também sempre que houver mudança relevante no serviço ou um incidente, complementando com monitoramento contínuo que sinaliza mudanças de postura de segurança entre os ciclos.

Questionário de segurança substitui evidência?

Não. O questionário captura a autodeclaração do fornecedor. Evidências como relatórios SOC 2 Tipo II, certificados ISO/IEC 27001 válidos e resultados de testes mostram que o controle existe e, no caso do SOC 2 Tipo II, que operou durante um período.

Como a LGPD afeta a gestão de fornecedores?

Ao contratar um operador que trata dados pessoais em seu nome, a empresa continua sendo a controladora: as decisões sobre o tratamento são dela (art. 5º, VI), o operador deve seguir suas instruções (art. 39) e ambos devem adotar medidas de segurança (art. 46). Por isso convém avaliar a segurança do fornecedor, formalizar instruções e cláusulas de proteção de dados no contrato e guardar o registro dessa diligência.

Gestão de Risco de Fornecedores: Boas Práticas