O que é TPRM (Third-Party Risk Management)?

Por que TPRM é importante?

Terceirizar a execução não terceiriza a responsabilidade. Um provedor de nuvem indisponível para o seu serviço; um fornecedor de folha de pagamento que sofre vazamento expõe os dados dos seus empregados; um prestador com acesso remoto mal protegido vira a porta de entrada no seu ambiente. Para clientes, titulares de dados e reguladores, o incidente é seu.

No Brasil, o setor financeiro tem exigência explícita. A Resolução CMN 4.893/2021 determina que a instituição contratante de serviços relevantes de processamento, armazenamento de dados e computação em nuvem é responsável pela confiabilidade, integridade, disponibilidade, segurança e sigilo desses serviços (art. 14), e exige governança proporcional à relevância do serviço antes da contratação (art. 12). Na LGPD, o operador trata dados pessoais em nome do controlador e segundo suas instruções (art. 39), e ambos têm o dever de adotar medidas de segurança (art. 46).

Como funciona

O ciclo de vida de um terceiro tem seis etapas, todas ligadas ao mesmo registro:

1. Inventário e classificação: quem são os terceiros, que serviço prestam, que dados acessam, quais processos sustentam e qual a criticidade de cada um.
2. Due diligence: avaliação antes da contratação, com profundidade definida pela criticidade.
3. Contratação: cláusulas de segurança, notificação de incidentes, direito de auditoria, subcontratação, localização dos dados e regras de saída.
4. Integração: acessos mínimos necessários, conexões seguras e responsáveis definidos dos dois lados.
5. Monitoramento contínuo: reavaliação periódica, evidências com data de validade, sinais externos e incidentes.
6. Encerramento: revogação de acessos, devolução ou eliminação de dados e transição do serviço.

Exemplo prático

Uma empresa contrata uma plataforma SaaS de folha de pagamento (exemplo ilustrativo). O serviço trata dados pessoais de todos os empregados, inclusive bancários, integra-se ao ERP e roda em um provedor de nuvem com processamento fora do Brasil. Classificação: crítico.

• Diligência: certificado ISO/IEC 27001 com escopo que de fato cubra o serviço contratado; relatório SOC 2 Tipo II com período recente e exceções lidas; perguntas específicas sobre MFA, criptografia, retenção e subcontratados.
• Contrato: prazo de notificação de incidentes, aviso de subcontratação, localização dos dados, direito de auditoria, exportação e eliminação dos dados ao término.
• Monitoramento: data de validade das evidências, revisão anual, acompanhamento de incidentes públicos e de mudanças no provedor de nuvem.
• LGPD: a transferência internacional de dados pessoais tem regras próprias na lei (art. 33) e precisa estar resolvida antes da contratação.

Para uma instituição autorizada pelo Banco Central, um serviço relevante de nuvem como esse aciona ainda a comunicação ao regulador e as regras para prestação no exterior — veja risco de terceiros e a Resolução CMN 4.893.

Como calcular ou avaliar

O risco de um terceiro combina dois fatores: o risco inerente da relação — o que o serviço envolve em dados, acessos, dependência e concentração — e a postura do terceiro, revelada pela avaliação. Os controles contratuais e técnicos aplicados pela contratante levam ao risco residual da relação, que é o que se compara ao apetite.

Indicadores úteis para o programa:

• Percentual de terceiros críticos com avaliação válida e evidência dentro do prazo.
• Achados abertos por terceiro crítico, com idade e plano de ação.
• Terceiros críticos sem plano de saída ou sem alternativa identificada.
• Concentração: quantos processos críticos dependem de um mesmo provedor.

TPRM na gestão de cyber risk

Terceiros são origem de cenários de risco cibernético: comprometimento do fornecedor usado como porta de entrada, indisponibilidade de um serviço crítico, vazamento de dados no ambiente do parceiro. Esses cenários pertencem ao mesmo registro dos riscos internos, com dono e critério de aceite, e podem ser quantificados com a mesma lógica de frequência e impacto. Ligar cada terceiro aos processos que dependem dele, a partir da BIA, é o que permite responder qual serviço para quando o fornecedor cai.

A ênfase também está mudando. Ao listar as tendências de cibersegurança de 2024, a Gartner recomendou deslocar parte do esforço concentrado na diligência inicial para a resiliência: planos de contingência para os terceiros de maior risco, playbooks de incidente específicos, exercícios de mesa e uma estratégia clara de saída, com revogação de acessos e destruição de dados.

Relação com frameworks

• NIST CSF 2.0: a categoria GV.SC cobre o ciclo inteiro — fornecedores conhecidos e priorizados por criticidade (GV.SC-04), requisitos em contratos (GV.SC-05), diligência antes da relação (GV.SC-06), riscos avaliados e monitorados ao longo da relação (GV.SC-07), terceiros incluídos em resposta a incidentes (GV.SC-08) e atividades após o fim do contrato (GV.SC-10). ID.RA-10 pede avaliação de fornecedores críticos antes da aquisição.
• ISO/IEC 27001:2022, Anexo A: controles 5.19 a 5.23, sobre segurança nas relações com fornecedores, acordos, cadeia de suprimentos de TIC, monitoramento de serviços e uso de serviços em nuvem.
• NIST SP 800-161 Rev. 1: práticas de gestão de riscos de cibersegurança na cadeia de suprimentos (C-SCRM).
• Resolução CMN 4.893/2021: artigos 12 a 17 tratam da contratação de processamento, armazenamento e nuvem. A 5.274/2025 alterou principalmente os controles do art. 3º, sem mudar esses artigos. Veja o que mudou com a 5.274.