Mitigando Riscos de Terceirização: Guia do CIO para Parcerias de TI Seguras

Empresas estão cada vez mais entregando todas ou parte de suas funções de tecnologia da informação a provedores de serviços externos. Embora isso possa criar certas eficiências, a organização ainda é ultimamente responsável pelos riscos associados com a disponibilidade e funções de serviços de TI, bem como acesso adequado e uso de dados da empresa.

Responsabilidade do CIO

Isso significa que o chief information officer ou líder equivalente de TI deve garantir que provedores de serviços selecionados tenham a estrutura adequada, estabilidade financeira e planos de continuidade no lugar para consistentemente entregar os serviços contratados.

Também significa que líderes de TI devem avaliar a eficácia das políticas e procedimentos do provedor de serviços, para garantir a integridade e segurança dos dados sensíveis e informações proprietárias da empresa.

Indústria de $1 Trilhão por Ano

Uma indústria estimada em $1 trilhão por ano, terceirização de TI assume muitas formas. Uma organização pode entregar seu departamento de TI inteiro a um fornecedor, ou pode contratar um para realizar operações de data center, gerenciamento de rede ou outras funções específicas.

Funções de TI Comumente Terceirizadas

• Desenvolvimento de aplicações de software,
• Suporte a aplicações de software,
• Operações de data center,
• Suporte de help desk,
• Gerenciamento de rede,
• Cibersegurança,
• Plataforma ou infraestrutura como serviço, e
• Software como serviço.

Além da Cadeia de Suprimentos Física

No passado, CIOs focavam principalmente na cadeia de suprimentos de produtos físicos. Hoje, no entanto, eles devem se preocupar com a cadeia de suprimentos tanto para produtos quanto para serviços.

Avaliando e Gerenciando Risco

Avaliar e gerenciar risco em fornecedores de serviços de tecnologia terceirizados pode ser um desafio, já que porções significativas dos ambientes de serviço estão sob o controle do provedor, e provavelmente estão além do alcance da organização adquirente. Due diligence deve ser realizada antecipadamente para avaliar os riscos associados ao engajamento com uma parte externa.

Entendimento Prévio Necessário

Antes de engajar com um provedor de serviços de TI, o CIO deve entender:

• O que está sendo terceirizado,
• Quais processos de negócios serão suportados pelo serviço,
• Quais dados serão armazenados, processados ou acessíveis via serviço terceirizado, e
• Quem terá acesso a sistemas, aplicações e dados relacionados ao serviço terceirizado.

Formulários de Avaliação

O processo pode começar com um formulário básico de avaliação de risco de serviços de TI, projetado para capturar respostas a estas perguntas da equipe dentro da organização. Além disso, um formulário de pré-avaliação de fornecedor pode ser usado para coletar informações preliminares de um potencial provedor de serviços. Perguntas comuns para fazer em um formulário de pré-avaliação de fornecedor incluem:

• Sua empresa já declarou falência?
• A apólice de seguro da sua empresa inclui reclamações de erros e omissões (ou responsabilidade geral)? Se sim, quais são os limites da apólice?
• Sua empresa está envolvida em litígio pendente?
• Sua empresa já foi parte de uma investigação regulatória?
• Sua empresa tem uma política de privacidade?
• Sua empresa tem um programa de segurança documentado no lugar?
• Sua empresa concordará em completar um questionário sobre seus programas de segurança da informação e privacidade?
• Sua empresa tem um relatório de Controles de Organização de Serviço (SOC)?
• Sua empresa tem um plano abrangente de continuidade de negócios para abordar continuidade de operações no caso de incidentes disruptivos das operações normais?

Diligência Adicional Baseada em Risco

Estes formulários de avaliação devem fornecer informação suficiente para determinar se diligência adicional é necessária. Baseado no nível de risco potencial, esta diligência adicional poderia incluir exigir que o provedor de serviços responda a um questionário mais detalhado; revisar o relatório SOC do provedor de serviços em detalhes, ou engajar com a função de auditoria interna da organização ou uma firma de auditoria externa qualificada para conduzir uma avaliação de fornecedor.

Revisão Contínua

Conduzir estas avaliações é crítico ao estabelecer um relacionamento com um novo provedor. Também é importante continuar a revisar cada fornecedor de forma contínua. A frequência e extensão dessas revisões deve ser baseada nos riscos associados com os serviços sendo fornecidos.

Aplicação a Fornecedores de Produtos

Estas avaliações são adaptadas para provedores de serviços, mas os conceitos podem ser adaptados para fornecedores-chave de produtos de tecnologia também. A principal coisa é para o CIO entender os riscos potenciais de engajar com um fornecedor, e ter um entendimento de como cada fornecedor gerencia seus riscos de negócios. Dessa forma, o CIO será melhor capaz de antecipar o impacto de riscos de terceirização na organização.

Responsabilidade Final do CIO

Avaliações de provedores de serviços podem ser atribuídas a várias funções dentro de uma organização, incluindo TI, gerenciamento de risco ou auditoria interna. Avaliações também podem ser realizadas por uma terceira parte qualificada.

No entanto, é responsabilidade do CIO ou líder equivalente de TI revisar a informação coletada das avaliações, e determinar se engajar com o provedor de serviços de tecnologia proposto está alinhado com os objetivos e níveis de tolerância a risco da organização. Uma avaliação completa hoje ajudará a evitar problemas maiores no futuro.

Robert Neill é diretor de Serviços de Consultoria CIO para Weaver, uma firma nacional de CPA e consultoria.