Riscos, resiliência e governança
Construímos os registros que mostram o que aconteceu, quem aprovou e o que os dados indicavam naquele momento, para que um risco fique visível antes de se tornar um incidente.
Nossa perspectiva
Na THEFOCUS, o trabalho em riscos, resiliência e governança abrange os registros e controles que mostram o que aconteceu, quem decidiu e com base em quais dados: registros de riscos alimentados pelos dados dos sistemas, programas de compliance, continuidade de negócios, integridade e rastreabilidade do fornecimento, controles de privacidade de dados e riscos de terceiros. Construímos e mantemos a trilha de evidências. A interpretação jurídica, os pareceres de auditoria e as certificações ficam com os assessores, os auditores e os organismos acreditados do cliente.
Um registro de riscos costuma conter apenas o que as pessoas se lembram de reportar. Muitas das exposições que causam danos reais já estão nos sistemas: uma conta de anúncios com um alerta de segurança não resolvido, um cartão de pagamento reserva vencido há meses, um fornecedor que entrega sem registro de qualidade, um ex-prestador de serviços que ainda tem acesso de administrador à plataforma de reservas. Elas ficam em logs e configurações que ninguém revisa, e assim o registro diz uma coisa e os sistemas dizem outra.
Começamos pela trilha de evidências. Cada risco recebe um responsável, uma fonte em um sistema identificado e uma verificação executada em uma periodicidade definida. As aprovações de preços, orçamentos, contratos e alterações de sistemas ficam registradas nas próprias ferramentas em que o trabalho acontece, de modo que o registro já existe quando alguém o solicita e ninguém precisa reconstruí-lo a partir de trocas de mensagens. A responsabilização passa então a se apoiar em dados: o que os números mostravam quando a decisão foi tomada e quem a tomou.
O FuelVeriq, nosso produto de qualidade de combustíveis e integridade do fornecimento, aplica a mesma lógica ao suprimento de combustíveis e está em estágio de MVP pré-lançamento, com consultas para pilotos abertas. Nos projetos com clientes, mantemos evidência e julgamento separados. Construímos e mantemos os registros, enquanto a interpretação jurídica, os pareceres de auditoria e as certificações ficam com os advogados, os auditores e os organismos acreditados do cliente.
Como ajudamos os clientes
Gestão de riscos corporativos
Registros de riscos alimentados pelos dados dos sistemas, com responsável, data de revisão e evidência por trás de cada classificação, reportados ao conselho em um formato que permite agir.
ExplorarProgramas de compliance regulatório
Registros de obrigações, controles e fluxos de evidências que transformam os requisitos definidos por seus assessores em verificações que a equipe executa nos sistemas do dia a dia.
ExplorarContinuidade de negócios e resiliência operacional
Planos de continuidade testados contra os sistemas, fornecedores, meios de pagamento e logins dos quais a empresa depende, com tempos de recuperação medidos em testes reais.
ExplorarIntegridade do fornecimento e rastreabilidade
Registros estruturados de controles de qualidade, lotes, incidentes e investigações ao longo da cadeia de suprimentos, desenhados para resistir a uma revisão posterior.
ExplorarPrivacidade e proteção de dados
Controles de consentimento, tratamento de dados e acesso configurados em sites, CRMs e ferramentas de analytics, documentados para seus assessores e medidos quanto ao efeito nos relatórios.
ExplorarRiscos de terceiros e fornecedores
Riscos de fornecedores, agências e prestadores acompanhados a partir de contratos, logs de acesso e dados de desempenho, com revisões programadas antes das renovações e no encerramento das relações.
Explorar
Desafios de negócio
01
Riscos que existem só na memória de uma pessoa
Exposições conhecidas, como um incidente de segurança em uma conta de anúncios que nunca foi totalmente encerrado, um cartão de pagamento reserva vencido ou um fornecedor sem registro de qualidade, ficam na lembrança de indivíduos e nunca são registradas com um responsável.
02
Aprovações sem trilha
Alterações de preços, orçamentos, contratos e sistemas em produção são combinadas por mensagens e ligações. Quando algo dá errado, ninguém consegue mostrar quem aprovou o quê, nem com base em quais números.
03
Planos de continuidade que nunca foram testados
O plano descreve a recuperação no papel, mas os backups nunca foram restaurados, o fornecedor alternativo nunca foi acionado e o único login de administrador de uma plataforma crítica pertence a uma só pessoa.
04
Integridade do fornecimento que não pode ser comprovada
Problemas de qualidade de combustível, material ou produto são investigados com planilhas improvisadas e fotos de celular, e o registro resultante não sustenta uma reclamação contra um fornecedor nem um processo interno de responsabilização.
05
Configurações de consentimento que não seguem as regras locais
As configurações de consentimento padrão da plataforma não cobrem o regime aplicável no mercado do cliente, de modo que o rastreamento ou funciona sem uma base válida ou é reduzido sem que ninguém saiba em que medida.
06
Terceiros com acessos que ninguém revisa
Agências, freelancers, fornecedores de aplicativos e integradores mantêm acesso a lojas, contas de anúncios e dados de clientes muito depois do fim de seus trabalhos.
Nossa abordagem
Inventariar as exposições
Listamos os riscos operacionais que a organização já conhece e os que encontramos em seus sistemas, cada um com um responsável, uma fonte e sua situação atual.
Registrar as decisões onde o trabalho acontece
Aprovações, alterações e investigações são registradas nos próprios sistemas que a equipe usa para executar o trabalho, de modo que o registro se forma à medida que o trabalho é feito, em vez de ser reconstruído depois.
Manter evidência e julgamento separados
Construímos e mantemos as evidências. A interpretação jurídica, as decisões regulatórias e as certificações ficam com os assessores e os auditores do cliente e com as autoridades competentes.
Revisar segundo um calendário
Os controles são verificados em uma periodicidade definida, com base em linhas de base estabelecidas, e qualquer mudança na exposição é reportada ao responsável designado.
Setores relevantes
- Petróleo, gás e distribuição de combustíveis
- Commodities, trading e suprimento
- Construção, materiais de construção e reforma residencial
- Varejo e e-commerce
- Alimentos e bebidas
- Hotéis e resorts
- Marinas e náutica
- Transporte e logística
- Setor público e organizações institucionais
- Tecnologia e software
Soluções associadas
- FuelVeriq Fase piloto
Como os resultados são avaliados
- Percentual de riscos identificados com responsável designado, fonte em sistema e evidência atualizada
- Percentual de alterações relevantes com aprovação registrada
- Tempo entre um incidente e um registro de investigação completo
- Percentual de terceiros cujo acesso foi revisado no último ciclo
- Etapas de recuperação testadas em relação ao plano de continuidade e o tempo de cada uma
Limites do escopo
- Não prestamos assessoria jurídica. Políticas, contratos e documentos de compliance que preparamos são minutas para revisão pelos assessores jurídicos qualificados do cliente.
- A THEFOCUS não é um órgão regulador, não atua em nome de nenhum e não trata com órgãos reguladores em nome do cliente.
- Não emitimos certificações, acreditações, atestados de conformidade nem pareceres de auditoria, e nosso trabalho não é uma auditoria independente das demonstrações financeiras nem uma auditoria interna.
Como começa um projeto com a THEFOCUS
A primeira conversa trata da sua situação. Se houver aderência, propomos um diagnóstico com escopo definido e entregável fixo antes de qualquer compromisso maior.
Conversar sobre este tema01
Uma conversa de trabalho
Quarenta e cinco minutos com a pessoa que conduziria o trabalho. Perguntamos sobre a decisão, os sistemas por trás dela e o prazo.
02
Um diagnóstico com escopo definido
Acesso somente leitura, prazo fixo e uma conclusão por escrito: o que os registros mostram, quanto isso custa e o que mudar primeiro.
03
Um plano pronto para execução
Mudanças, responsáveis, indicadores e exclusões por escrito. Em seguida, a mesma equipe implementa e mede, ou faz uma transição organizada.
- Uma única equipe responsável
- Quem faz o diagnóstico também constrói os sistemas e mede o resultado.
- Parceiros escolhidos para cada problema
- Especialistas independentes atuam nas partes que exigem sua participação, sob um único contrato.
- Registros antes de dashboards
- Pedidos, livros contábeis e logs são conciliados antes que qualquer recomendação dependa deles.
Perguntas que os executivos fazem
Vocês dão aprovação jurídica ou de compliance?
Não. Construímos os registros, os fluxos de trabalho e os controles, e preparamos minutas. A interpretação jurídica e a aprovação ficam com seus assessores qualificados, e a certificação fica com os organismos acreditados.
Vocês realizam auditorias ou emitem certificados?
Não. Não realizamos auditorias independentes nem internas, não emitimos pareceres de auditoria e não certificamos conformidade. Preparamos os registros, os controles e as evidências que seus auditores e organismos de certificação revisam.
Para que tipo de organização é este trabalho?
Empresas com exposições ligadas a fornecedores, qualidade, dados ou aprovações que hoje não conseguem comprovar, e instituições que estão levando processos manuais para sistemas digitais. Atuamos em suprimento de combustíveis e commodities, construção, varejo e e-commerce, alimentos e supermercados, hotéis e marinas.
Como começa um projeto?
Com um inventário dos riscos conhecidos e dos incidentes recentes, e acesso de leitura aos sistemas em que ficam as aprovações e os registros. O primeiro resultado é um registro que mostra quais exposições têm evidências e quais não têm.
Como vocês trabalham com nossas equipes jurídica, de auditoria e de compliance?
Elas definem os requisitos e mantêm o julgamento. Combinamos com elas o que cada registro deve conter e em que formato, e então o incorporamos aos sistemas que sua equipe já utiliza.
O que acontece depois que os controles estão implantados?
Sua equipe passa a ser dona dos registros e dos fluxos de trabalho. Podemos conduzir revisões periódicas com base nas linhas de base acordadas ou fazer a transição com documentação que sua auditoria interna possa utilizar.
Conversar sobre este tema
Alguns dados nos ajudam a encaminhar sua solicitação ao parceiro certo. Os campos marcados como opcionais podem ficar em branco.