Dejan Jasnic · Cofundador e Responsável de Compliance, Trusty · Mais de 20 anos em antifraude e compliance · Membro da direção do ACFE Swiss Chapter
Sabia que 62% das violações de dados ocorrem através de fornecedores externos?
Além disso, mais de 80% das empresas partilham dados sensíveis com terceiros e 98% das organizações estão ligadas a pelo menos um fornecedor que sofreu uma violação de segurança nos últimos dois anos.
Estes números, retirados do Data Breach Investigations Report da Verizon, mostram que o verdadeiro desafio na gestão de compliance é agora a gestão de terceiros: fornecedores,
parceiros de negócio e colaboradores externos (como plataformas de cloud computing, centros de dados ou processadores de salários) podem ser, ao mesmo tempo, aliados estratégicos e fontes de risco.
Esta relação significa que as empresas têm de alargar os seus esforços de compliance e de segurança a estes terceiros, para garantir um ambiente de negócio seguro e fiável.
O que é a Compliance 2.0?
A “Compliance 2.0” vai além das regras e exigências internas: representa uma abordagem estratégica em que as empresas procuram não só cumprir a lei, mas criar um sistema abrangente de proteção e ética que abranja tanto os seus colaboradores como todas as partes interessadas externas.
Isto significa que os terceiros devem ser monitorizados e avaliados com critérios semelhantes aos aplicados aos colaboradores internos, uma vez que podem ter acesso a sistemas, dados confidenciais e recursos que, se forem comprometidos, colocariam em risco a segurança e a reputação da empresa.
Tipos de risco e a importância da segurança de terceiros.
Uma das principais razões pelas quais a Compliance 2.0 deve começar com terceiros é que estes estão expostos a ameaças semelhantes às enfrentadas por qualquer departamento interno.
Um fornecedor com segurança digital fraca, por exemplo, pode ser o ponto de entrada para ataques ou fugas de dados. Além disso, uma falha ética ou regulamentar de um terceiro pode comprometer a reputação e as operações da empresa principal.
E quais são os riscos mais comuns que surgem ao trabalhar com fornecedores externos?
- Riscos de cibersegurança.
- Riscos de compliance.
- Riscos financeiros.
- Riscos reputacionais.
- Riscos operacionais.
- Riscos estratégicos.
Neste contexto, gerir terceiros significa gerir a extensão da segurança e da ética empresarial.
Passos para implementar uma Compliance 2.0 eficaz
Então, como pode a Compliance 2.0 ser executada de forma eficaz numa empresa?
- Identificação e avaliação de terceiros críticos
Para implementar um programa de Compliance 2.0 robusto, o primeiro passo
é identificar os terceiros que representam maior risco. Estes
podem ser prestadores de serviços-chave, como empresas de TI ou
consultoras, que tratam informação sensível.
É essencial que cada empresa avalie os seus terceiros em termos de
segurança, ética e capacidade de cumprir os requisitos regulamentares do
setor. - Monitorização contínua e ferramentas de avaliação de risco
Monitorizar e avaliar terceiros não deve ser um processo pontual,
mas contínuo. À medida que as ameaças evoluem, também evoluem
os riscos associados a cada fornecedor.
Recorrer a ferramentas de software de compliance, como as disponibilizadas pela
Trusty, permite acompanhar continuamente os riscos associados a
cada terceiro e detetar rapidamente qualquer comportamento irregular ou
incumprimento. - Cultura, transparência e comunicação em toda a cadeia de abastecimento
Construir uma cultura de compliance eficaz também tem de se estender aos terceiros. Isto implica transmitir a fornecedores e parceiros a importância de cumprirem as mesmas regras e práticas éticas.
As empresas podem definir requisitos específicos nos contratos e formar os seus parceiros nas melhores práticas de compliance, segurança e gestão de dados. Ao promover uma cultura de compliance em toda a cadeia de abastecimento, garante-se que os terceiros compreendem os padrões da empresa e estão mais preparados para proteger os seus interesses.
Por isso, ser transparente com terceiros, comunicar com eles regularmente e realizar avaliações periódicas ajuda a prevenir problemas e a promover a confiança mútua, evitando violações de segurança.
Benefícios da Compliance 2.0 centrada em terceiros
Adotar uma abordagem de compliance centrada em terceiros não só mitiga riscos, como também oferece vantagens competitivas. As empresas com programas de compliance robustos conseguem atrair parceiros e clientes que valorizam a segurança e o cumprimento ético. Além disso, um sistema bem implementado melhora a eficiência operacional, minimiza o risco de penalizações e reforça a reputação corporativa.
Em última análise, a Compliance 2.0 reconhece que as empresas já não estão isoladas, mas operam num ambiente interligado em que os terceiros desempenham um papel crucial. Gerir os riscos de terceiros é essencial para proteger os ativos, a reputação e o cumprimento regulamentar de uma empresa.
As soluções da Trusty podem facilitar o processo de criação de um ecossistema seguro e em conformidade. Os sistemas de denúncia (whistleblowing) disponibilizados pela Trusty permitem às empresas implementar políticas claras de ética e compliance, ao mesmo tempo que promovem um canal de comunicação seguro e anónimo.
Leitura relacionada: Compliance na Cadeia de Abastecimento para PME: O que muda em 2026 e Como as PME podem cumprir os requisitos da NIS2 com um processo simples de reporte de vulnerabilidades.
Perguntas frequentes
Uma abordagem estratégica que vai além das regras internas. A empresa cria um sistema abrangente de proteção e ética que abrange os seus colaboradores e todas as partes interessadas externas, e monitoriza e avalia terceiros com critérios semelhantes aos aplicados aos colaboradores internos.
Porque é aí que grande parte do risco está. O Data Breach Investigations Report da Verizon atribui 62% das violações de dados a fornecedores externos, mais de 80% das empresas partilham dados sensíveis com terceiros e 98% das organizações estão ligadas a pelo menos um fornecedor que sofreu uma violação nos últimos dois anos.
Riscos de cibersegurança, compliance, financeiros, reputacionais, operacionais e estratégicos. Um fornecedor com segurança digital fraca pode ser o ponto de entrada para ataques ou fugas de dados, e uma falha ética ou regulamentar de um terceiro pode comprometer a reputação e as operações da empresa principal.
Identifique e avalie os terceiros que representam maior risco, monitorize-os continuamente com ferramentas de avaliação de risco em vez de verificações pontuais e estenda a cultura de compliance a toda a cadeia de abastecimento através de requisitos contratuais, formação e comunicação regular e transparente.
RASTREIO DE RISCO DE TERCEIROS
QuickScreen360: faça o rastreio de fornecedores e parceiros quanto a riscos de conformidade. Envie pedidos de due diligence, atribua formação e monitorize resultados numa só plataforma.