Ao longo dos anos, a conformidade tem-se baseado em normas, políticas, procedimentos e auditorias. As organizações identificavam as obrigações que lhes eram aplicáveis, elaboravam a documentação necessária e verificavam periodicamente se estavam a cumprir essas obrigações.
Esse modelo continua a ser necessário. Mas isso já não chega.
As empresas enfrentam um número crescente de exigências em matéria de cibersegurança, privacidade, ética, inteligência artificial, sustentabilidade ou gestão de terceiros. Ao mesmo tempo, clientes, auditores e outras partes interessadas já não se limitam a perguntar se uma organização cumpre as normas: pedem provas que o demonstrem.
O desafio já não consiste apenas em definir como é que uma organização deve agir. Consiste em fazer com que o cumprimento das regras faça parte do seu dia-a-dia.
Essa transição do documento para a execução é o que entendemos por Conformidade Operacional.
O que é a conformidade operacional?
Podemos definir a Conformidade Operacional como a gestão contínua da conformidade de uma organização, transformando normas e políticas em processos, responsáveis, controlos e evidências que permitem cumprir e demonstrar que se cumpre.
Em termos simples, consiste em conseguires responder, a qualquer momento, a quatro perguntas:
O que é que temos de fazer? Quem é que deve fazer isso? Quando é que deve ser feito? Conseguimos provar que foi feito?
Isto não significa substituir os conhecimentos jurídicos nem os modelos tradicionais de conformidade. Significa acrescentar a vertente operacional que os traslada para o funcionamento real da organização.
Uma política pode determinar que os fornecedores críticos têm de ser avaliados periodicamente. A Conformidade Operacional é o que garante que saibamos quais são os fornecedores críticos, quem os deve avaliar, quando é que isso deve ser feito, que controlos devem ser revistos, que provas devem ser solicitadas e o que acontece se o resultado não for satisfatório.
Resumindo:
Passar de ter a conformidade documentada para ter a conformidade a funcionar.
A conformidade está a mudar
Há duas mudanças que explicam por que é que esta mudança de abordagem se tornou necessária.
De obrigação legal a obrigação comercial
Tradicionalmente, o principal motor da conformidade tem sido a regulamentação: uma nova obrigação legal levava as organizações a implementar determinados procedimentos ou controlos.
Esse fator continua a ser fundamental, mas surgiu outro igualmente relevante: os clientes.
As grandes organizações estão cada vez mais a transferir as suas exigências em matéria de cibersegurança, privacidade, ética, sustentabilidade, continuidade do negócio ou governação da inteligência artificial para a sua cadeia de abastecimento. Como resultado, muitas pequenas e médias empresas têm de implementar determinadas medidas, não porque uma norma lhes seja diretamente aplicável, mas porque os seus clientes precisam de ter a certeza de que lhes oferecem garantias suficientes.
Questionários de segurança, avaliações de fornecedores, códigos de ética, políticas de privacidade, certificações, controlos de acesso, gestão de incidentes ou informações sobre a utilização da inteligência artificial já fazem parte do quotidiano de muitas relações B2B.
A conformidade está a deixar de ser apenas uma obrigação legal para se tornar também uma condição para fazer negócios.
Para muitas empresas, conseguir demonstrar que cumprem as normas começa a tornar-se uma vantagem competitiva e, em alguns casos, uma condição para aceder a determinados clientes.
Do documento à evidência
A segunda transformação é igualmente importante.
Ter uma política de segurança não significa que os acessos estejam a ser verificados. Ter um procedimento de aprovação de fornecedores não significa que os fornecedores críticos tenham sido avaliados. Ter um plano de formação não significa que as pessoas o tenham concluído. E ter um procedimento de gestão de incidentes não significa que se saiba como se agiu perante o último incidente.
A conformidade efetiva deixa rasto: aprovações, avaliações, registos, controlos realizados, documentos, assinaturas, revisões, comunicações e ações.
Por isso, é cada vez mais importante que as organizações consigam passar de dizer «temos um procedimento para o fazer» para poderem demonstrar «fazemo-lo, e estas são as provas».
A conformidade está a passar do papel para a prova concreta: já não basta definir o que deve ser feito, é preciso conseguir demonstrar que isso está realmente a ser feito.
O problema de gerir a conformidade em silos
À medida que as obrigações aumentam, surge outro problema: a fragmentação.
A ISO 27001, por um lado. A NIS2, por outro. A ENS, o RGPD, a Lei da IA, a conformidade penal, os requisitos ESG, as exigências dos clientes…
Se cada nova norma dá origem a um novo ficheiro Excel, um novo repositório documental, um novo questionário, novos controlos e, por vezes, uma nova ferramenta, a complexidade cresce sem parar.
Mas a realidade da organização não está dividida por normas.
Um fornecedor é o mesmo fornecedor, quer seja analisado do ponto de vista da proteção de dados, da cibersegurança ou da inteligência artificial. Um incidente pode afetar simultaneamente várias obrigações. Uma política pode responder a vários requisitos ao mesmo tempo. E um mesmo controlo pode mitigar diferentes riscos e servir de prova no âmbito de diferentes quadros regulamentares.
O problema, portanto, não é só gerir cada vez mais regulamentos: é gerir corretamente as relações que existem entre eles.
Da conformidade documentada à conformidade operacional
A Conformidade Operacional não pretende substituir o modelo tradicional de conformidade. Complementa-o, transferindo as obrigações, políticas e controlos para o dia-a-dia da organização.
| Abordagem documental | Abordagem operacional |
|---|---|
| Normas | Processos |
| Documentos | Prova |
| Políticas | Aplicação das políticas |
| Controlos definidos | Controlos realizados |
| Revisões periódicas | Acompanhamento contínuo |
| Informação dispersa | Informações relacionadas |
| Tarefas manuais | Automatização |
| «Cumprimos» | «Podemos prová-lo» |
Ambas as abordagens precisam uma da outra.
A legislação define as obrigações e os objetivos de conformidade; o conhecimento especializado permite interpretá-los e aplicá-los à realidade de cada organização.
A Conformidade Operacional organiza como fazer com que tudo isso aconteça no dia a dia.
Os elementos da Conformidade Operacional
Para que isso seja possível, temos de deixar de pensar apenas em regulamentos e começar a pensar nos elementos reais que compõem uma organização:
Pessoas · Fornecedores · Ativos · Aplicações · Riscos · Políticas · Controlos · Incidentes · Avaliações · Evidências
Estão todos interligados.
Vamos pensar num fornecedor de tecnologia essencial que armazena informações da empresa, trata dados pessoais e usa inteligência artificial na prestação do seu serviço.
Essa informação não devia ser registada várias vezes só porque diz respeito a obrigações diferentes. A informação sobre esse fornecedor devia ser suficiente para determinar quais são os riscos existentes, quais os controlos necessários, que documentação é preciso solicitar, que questionários tem de preencher, com que periodicidade deve ser reavaliado e quais os quadros de conformidade que podem ser afetados.
A informação devia existir apenas uma vez e ser reutilizada sempre que fosse preciso.
A Conformidade Operacional precisa de estabelecer ligações entre:
Riscos → Controlos → Políticas → Pessoas → Terceiros → Ativos → Incidentes → Avaliações → Evidências
O valor não está apenas em gerir cada um desses elementos separadamente. Está em gerir as relações entre eles.
Um modelo de conformidade na prática
Quando esses elementos estão interligados, a conformidade deixa de ser apenas um instantâneo tirado no momento de uma auditoria e pode tornar-se um sistema dinâmico.
Se mudares de fornecedor, surgir um novo risco, um documento perder a validade, for contratada uma nova pessoa, falhar um controlo ou ocorrer um incidente, o sistema devia ser capaz de determinar quais as partes da conformidade que podem ser afetadas e quais as medidas necessárias.
Isto permite passar de um modelo baseado principalmente em revisões periódicas para outro em que certas alterações na organização podem desencadear automaticamente revisões, tarefas ou controlos.
A conformidade deixa assim de ser algo que se verifica ocasionalmente para se integrar progressivamente no próprio funcionamento da empresa.
Uma única fonte de informação para vários contextos
Esta forma de trabalhar permite resolver outro dos grandes problemas do compliance atual: a duplicação. Pensemos num controlo de autenticação multifator. A organização não devia precisar de um controlo de MFA para a norma ISO 27001, outro para a NIS2 e outro para a ENS.
Tem um sistema de autenticação multifator.
Esse controlo pode depois ser associado a diferentes riscos, ativos e requisitos normativos. O mesmo se aplica a uma política, a uma avaliação de fornecedores, a uma formação ou a um registo.
Por isso, uma das ideias centrais da Conformidade Operacional é:
Os controlos pertencem à organização; os vários quadros de conformidade reutilizam-nos.
É assim que se avança para um modelo muito mais eficiente:
Uma ação → uma evidência → várias exigências de conformidade.
Uma única fonte de informação capaz de dar resposta a diferentes quadros, clientes, auditorias ou processos de avaliação.
Automatizar sem criar mais burocracia
Pôr a conformidade em prática não devia significar sobrecarregar a organização com tarefas administrativas. Devia ser exatamente o contrário.
Quando os processos e a informação estão bem organizados, grande parte do trabalho pode ser automatizada.
Se o certificado de um fornecedor expirar, o sistema pode solicitar automaticamente a sua renovação. Se for contratada uma nova pessoa, podem ser atribuídas as políticas, formações e aceitações correspondentes. Se um fornecedor começar a utilizar inteligência artificial, podem ser ativadas novas perguntas, controlos ou avaliações.
Se acontecer algum incidente, o procedimento correspondente pode ser iniciado automaticamente, com as respetivas tarefas, responsáveis e prazos. E se uma verificação deixar de ser executada, pode ser gerada uma ação e escalada quando for preciso.
O objetivo não é automatizar só por automatizar, mas sim fazer com que as pessoas dediquem o seu tempo às decisões em que realmente acrescentam valor.
Os sistemas têm de funcionar para as pessoas, e não as pessoas a terem de se esforçar para manter os sistemas.
Qual é o papel da inteligência artificial?
A inteligência artificial abre enormes possibilidades na área do compliance, mas há um passo prévio que muitas vezes é ignorado:
Primeiro, é preciso estruturar a informação; depois, já se pode aplicar inteligência a ela.
Se a informação estiver espalhada por documentos, e-mails, folhas de cálculo e aplicações independentes, as possibilidades de automatização e análise são limitadas.
Por outro lado, quando se conhecem as relações entre fornecedores, riscos, controlos, políticas, incidentes e evidências, a IA pode tornar-se um verdadeiro assistente do profissional de conformidade: ajudar a rever documentação, detetar informações em falta, localizar evidências, preparar avaliações, identificar possíveis riscos ou propor medidas.
O objetivo não é que a IA decida, mas sim que o profissional chegue à decisão com o trabalho prévio já feito, garantindo sempre a confidencialidade da informação, a proteção de dados, a segurança e uma supervisão humana adequada.
Conformidade operacional para pequenas e médias empresas
As grandes empresas há anos que gerem estas necessidades através de plataformas de GRC, departamentos especializados e projetos complexos.
Mas a conformidade está a alargar-se muito para além das grandes organizações.
Hoje em dia, uma empresa com 100 ou 200 funcionários pode ter de responder a questionários de segurança dos seus clientes, avaliar fornecedores essenciais, gerir políticas, dar formação aos seus funcionários, documentar incidentes, analisar riscos e apresentar provas das suas medidas de controlo.
A resposta não pode ser simplesmente aplicar a mesma estrutura e complexidade que uma multinacional usa.
As pequenas e médias empresas precisam do mesmo rigor, mas não da mesma complexidade.
E é aí que a tecnologia desempenha um papel decisivo: simplificar processos, reutilizar informação, automatizar tarefas e tornar acessível uma forma de gerir a conformidade que, até agora, estava reservada, sobretudo, a organizações com muito mais recursos.
A visão da ithikios: tornar a conformidade uma realidade
Na ithikios, estamos a evoluir de uma solução que surgiu em torno do canal de denúncias para uma plataforma de Conformidade Operacional.
Canal de denúncias, gestão de políticas, terceiros, riscos, controlos, incidentes, avaliações, Trust Center ou automatização fazem parte desse percurso.
Mas o nosso objetivo não é reunir muitas ferramentas de conformidade numa única plataforma.
O objetivo é fazer com que todas elas partilhem informações e trabalhem em conjunto.
Que um risco esteja relacionado com os controlos que o atenuam. Que esses controlos gerem evidências. Que uma mudança de fornecedor possa desencadear uma avaliação. Que um incidente afete riscos e controlos. Que uma mesma evidência sirva para diferentes quadros de referência.
E que toda essa informação permita saber, a cada momento, não só o que a organização deveria fazer, mas também o que está realmente a fazer.
Porque o futuro da conformidade não consiste em acumular mais documentos, mais ferramentas e mais burocracia.
Consiste em integrar a conformidade no próprio funcionamento da empresa.
Da conformidade à confiança
O resultado final da Conformidade Operacional não é só cumprir as regras. É criar confiança.
Confiança para a direção, que conhece a situação real do cumprimento. Confiança para o responsável pela conformidade, que dispõe de rastreabilidade e provas. Confiança para os clientes e parceiros, que podem verificar determinadas garantias. E confiança para a própria organização, que sabe que as suas políticas e controlos não existem apenas no papel.
A Conformidade Operacional significa fazer com que a conformidade funcione no dia-a-dia: transformar obrigações em ações, ações em provas e provas em confiança.
ithikios · Conformidade Operacional
Tornamos a conformidade prática: fácil de gerir, integrada no dia-a-dia e comprovável com evidências.
