Como criar um registro de riscos com IA: Guia completo
Um registro de riscos é uma tabela que lista o que pode dar errado e qual é a probabilidade de isso acontecer. Ele também registra qual seria o dano, quem é o responsável e o que você decidiu fazer. A maioria das equipes cria o primeiro depois que algo deu errado e ninguém havia documentado. Este guia aborda o caminho manual e o mais rápido, usando exportações que você já possui.
O que é um registro de riscos
A definição mais clara vem do glossário do NIST, que o define como "um repositório de informações sobre riscos, incluindo os dados compreendidos sobre os riscos ao longo do tempo".
Uma segunda entrada na mesma página é mais útil para o trabalho prático. Ela descreve um registro central de riscos atuais para um determinado escopo ou organização.
Essa entrada faz então uma distinção que a maioria dos modelos perde. Os riscos atuais incluem tanto aqueles que você aceitou quanto aqueles com um caminho de mitigação planejado.
Essa é a ideia principal. Um registro de riscos não é uma lista de problemas aguardando correção. É um registro de decisões, e "analisamos isso e decidimos conviver com o problema" é uma entrada legítima.
Essa distinção tem uma consequência prática. Se os riscos aceitos estiverem ausentes, ninguém conseguirá notar a diferença entre um risco que foi avaliado e descartado e outro que nunca foi detectado. Seis meses depois, esses dois parecerão idênticos, e apenas um deles representa uma falha.
Uma observação sobre o escopo antes de começar a construir. O material do NIST está inserido em um contexto federal e de segurança cibernética. Sua entrada de glossário aponta para a Circular OMB A-11 para os conteúdos que um registro federal deve conter. O que se segue aqui é a versão de gestão que a maioria das equipes realmente precisa, e não um registro criado para um padrão de conformidade. Se você estiver se baseando em uma estrutura específica, use a lista de campos dessa estrutura.
No entanto, uma ideia dessa literatura se aplica aqui. O IR 8286 do NIST é estruturado em torno de registros. Seu resumo explica "o valor de consolidar medidas de risco geralmente tratadas em níveis inferiores de sistemas e organizações para o nível empresarial mais amplo".
Vale a pena projetar pensando nisso desde a primeira versão. Um registro cujas pontuações são baseadas em números comparáveis pode ser combinado com o de outra equipe; um construído com base em julgamentos subjetivos não pode.
O que você precisa antes de começar
Três insumos, e eles raramente andam juntos.
- Uma lista de perigos. Qualquer coisa com a qual sua equipe já se preocupe, por mais informalmente que esteja registrada.
- Dados de exposição. Gastos com fornecedores, termos contratuais, número de funcionários por local, inventário de sistemas, histórico de incidentes.
- Um mapa de responsáveis. Quem realmente pode decidir, não quem relatou o problema.
Você também precisa de um número acordado com antecedência. Esse é o limite de impacto acima do qual algo deve constar no registro de riscos. Sem ele, a tabela se enche de itens sobre os quais ninguém jamais tomará providências.
Defina-o nas mesmas unidades que seus dados de exposição. Um limite expresso em gastos anuais é verificável; um limite expresso como "relevante" reinicia a discussão a cada revisão.
Como criar um manualmente
Opção 1: Uma única tabela em uma planilha
Uma linha por risco, com probabilidade e impacto como colunas. É aqui que quase todo registro começa e, para uma equipe pequena, isso é suficiente.
O custo é a manutenção. Cada linha é digitada manualmente, e o registro fica desatualizado na semana seguinte ao workshop que o gerou.
Opção 2: Pontuar os riscos e ordenar
Adicione uma classificação para probabilidade e outra para impacto, multiplique-as e ordene. Agora a tabela tem uma ordem, que é a primeira coisa que a torna utilizável em uma reunião.
O atrito é a consistência. Duas pessoas pontuando o mesmo risco com um mês de diferença discordarão, e nada na planilha detecta isso.
Opção 3: Basear as pontuações em seus próprios dados
Esta é a versão que se sustenta sob questionamento. Em vez de pontuar o risco de um fornecedor de cabeça, você extrai os números reais. O gasto anual, o prazo de aviso prévio do contrato e quantas equipes dependem desse fornecedor definem, juntos, a classificação de impacto.
As diretrizes do Ready.gov da FEMA apontam na mesma direção para riscos físicos. Sua página de avaliação de riscos orienta as empresas a "buscar vulnerabilidades ou fraquezas que possam tornar seu negócio mais suscetível a danos causados por um perigo". Essas fraquezas, observa o site, "contribuem para a gravidade dos danos quando ocorre um incidente".
A mesma página enquadra a resposta em termos de investimento. Os impactos "podem ser reduzidos investindo em mitigação". Onde o impacto potencial for significativo, construir uma estratégia de mitigação "deve ser uma alta prioridade".
Este é o método correto e o mais lento. Cada risco significa voltar a uma exportação diferente.
Como criar um registro de riscos com IA
Passo 1: Faça o upload das exportações que descrevem sua exposição
Abra o Powerdrill Bloom e faça o upload do que você tem: a exportação de gastos com fornecedores, a lista de contratos, o inventário do sistema, os registros de incidentes anteriores. Faça o upload de todos juntos, em vez de um por um.
Em seguida, descreva seu escopo em linguagem natural. Diga qual parte da empresa o registro cobre, qual é o seu limite de impacto e em qual escala você pontua.
Passo 2: Peça números de exposição por risco, não classificações
Peça uma tabela com uma linha por risco candidato, contendo os números que devem orientar a pontuação. Gasto anual, número de equipes dependentes, prazo de aviso prévio e contagem de incidentes no último ano.
Peça a origem de cada número. A plataforma retorna uma resposta fundamentada com a página e a linha por trás de cada número. Em um registro de riscos, essa rastreabilidade é la diferença entre uma pontuação que você pode defender e outra que não pode.
Faça você mesmo a pontuação a partir desses números. O julgamento é a parte que deve continuar sendo humana.
Passo 3: Adicione suas decisões e exporte
Para cada linha, registre a decisão: aceitar, mitigar, transferir ou evitar. Onde a decisão for mitigar, adicione a ação planejada, o responsável e a data de revisão.
Em seguida, exporte a tabela, ordenada por pontuação. Mantenha os números de exposição como colunas em vez de excluí-los. A revisão do próximo trimestre começará verificando se esses números mudaram.
Se o registro se tornar uma entrega recorrente, as tarefas agendadas estão listadas em todos os planos, com uma no plano Free e 20 a partir do Pro. Uma atualização trimestral atende à maioria das equipes.
O que deve constar em cada linha
| Coluna | Por que merece seu espaço |
|---|---|
| Descrição do risco | Escrito como uma causa e um efeito, não um tópico |
| Probabilidade | Metade da pontuação, e a metade que as pessoas costumam adivinhar |
| Impacto | Deve ser rastreável até um número real |
| Número de exposição | O número de onde veio a classificação de impacto |
| Decisão | Aceitar, mitigar, transferir ou evitar |
| Mitigação e responsável | Só faz sentido com uma pessoa nominalmente indicada |
| Data de revisão | Sem ela, o registro envelhece silenciosamente |
A coluna do número de exposição é a que a maioria dos modelos omite. Mantê-la transforma uma classificação subjetiva em algo que o próximo revisor pode verificar.
Boas práticas e erros comuns
Registre também os riscos aceitos. Um registro que contém apenas itens em aberto é uma lista de tarefas. As entradas aceitas são o que protege você quando alguém perguntar mais tarde se alguém considerou aquilo.
Escreva os riscos como causa e efeito. "Concentração de fornecedores" é um tópico. "Nosso faturamento depende de um único fornecedor com um prazo de aviso prévio de 90 dias" é um risco que você pode pontuar.
Vincule o impacto a um número. Mesmo um número aproximado é melhor do que uma classificação tirada do nada, e isso torna a próxima revisão uma comparação, em vez de uma nova discussão.
Atribua um único responsável para cada linha. A responsabilidade compartilhada de um risco geralmente significa que ninguém o revisou, e o responsável deve ser quem pode autorizar a mitigação.
Defina datas de revisão por linha, não por registro. Um risco de fornecedor e um risco regulatório movem-se em ritmos diferentes, e uma única varredura trimestral os trata como se não fosse assim.
Mantenha-o separado do desempenho do fornecedor. Eles usam exportações que se sobrepõem e respondem a perguntas diferentes. Avaliar um fornecedor quanto à entrega e qualidade pertence ao nosso guia sobre scorecard de fornecedores; um registro trata do que acontece se esse fornecedor falhar.
Defina seus termos uma única vez. As faixas de probabilidade e os níveis de impacto devem significar a mesma coisa para todos que estão pontuando. Essa é a mesma disciplina abordada em nosso passo a passo sobre como criar um dicionário de dados. Se o resultado se tornar um documento permanente, a página do gerador de relatórios de IA mostra esse formato.
Conclusão
Um registro de riscos justifica sua existência ao converter preocupações dispersas em um registro de decisões, incluindo la decisão de aceitar algo e seguir em frente. A parte difícil nunca é o layout da tabela; é fundamentar cada classificação de impacto em um número, e não em um sentimento.
Crie o registro de riscos a partir das exportações que você já possui e mantenha os números de exposição visíveis ao lado das pontuações. Atribua a cada linha um responsável e uma data de revisão.
Já tem as exportações de fornecedores e incidentes? Experimente o Powerdrill Bloom e crie a primeira versão esta semana.
Perguntas frequentes
O que é um registro de riscos?
O glossário do NIST o descreve como um repositório de informações sobre riscos que abrange o que se compreende sobre os riscos ao longo do tempo. Na prática, é uma tabela que registra cada risco, sua classificação, seu responsável e a decisão tomada a respeito dele.
Quais colunas um registro de riscos deve ter?
No mínimo: o risco escrito como causa e efeito, probabilidade, impacto e o número por trás da classificação de impacto. Em seguida, a decisão, a mitigação e seu responsável, e uma data de revisão.
Os riscos aceitos devem permanecer no registro?
Sim. A definição do NIST considera que os riscos atuais incluem tanto os riscos aceitos quanto aqueles com um caminho de mitigação planejado. Remover os itens aceitos faz com que se perca o registro dessa decisão.
Com que frequência ele deve ser revisado?
Defina datas de revisão por linha, e não para todo o documento, pois diferentes categorias de risco mudam em escalas de tempo distintas. Uma varredura trimestral das linhas com maior pontuação atende à maioria das equipes.
Isso é o mesmo que uma avaliação de riscos?
Não. O Ready.gov descreve uma avaliação de riscos como o processo de identificar perigos e analisar o que poderia acontecer. O registro é o artefato que documenta os resultados e as decisões.