ISO 31000: Foundation → Risk Manager → Lead Risk Manager.

Como é que o percurso ISO 31000 funciona efetivamente numa organização

A ISO 31000 não é algo que se implementa da forma como se implementa um sistema de gestão. Não há Declaração de Aplicabilidade, não há cláusulas obrigatórias a cumprir, não há ciclo de auditoria de acompanhamento. O que se constrói, em vez disso, é uma estrutura de gestão de risco: uma forma de o risco ser identificado, analisado, tratado, monitorizado e reportado de forma consistente em toda a organização, e um processo que as pessoas em funções operacionais efetivamente seguem. A norma dá-lhe os princípios e o vocabulário; o trabalho é torná-los reais na sua governança, nos seus comités e nos seus pontos de decisão.

É por isso que o percurso decorre da forma como decorre. A Foundation dá-lhe a linguagem partilhada para que "probabilidade", "critérios de risco", "apetite ao risco" e "risco residual" signifiquem o mesmo para todos os presentes na sala. A Risk Manager ensina-o a conduzir o processo dentro de um âmbito definido: um departamento, um programa, uma linha de produtos. A Lead Risk Manager ensina-o a conceber e dirigir a própria estrutura transversalmente às funções, o que é tanto um trabalho de governança como técnico.

O percurso é sequencial por conceção. A Foundation é o pré-requisito para as credenciais sénior, portanto a maioria dos profissionais começa pelo curso ISO 31000 Foundation antes de decidir se precisa do nível Risk Manager ou Lead Risk Manager.

Escolher o seu nível: Risk Manager ou Lead Risk Manager

A decisão não é sobre senioridade no papel, é sobre aquilo pelo qual será responsabilizado. A Risk Manager destina-se à pessoa que conduz o processo de risco dentro de um âmbito e é dona de um registo de risco: facilita workshops, pontua riscos face a critérios acordados, propõe tratamento e mantém o registo honesto ao longo do tempo. A Lead Risk Manager destina-se à pessoa que tem de tornar o conjunto coerente em toda a organização: definir os critérios e o apetite ao risco, conceber a estrutura, integrá-la com a estratégia e as restantes funções de garantia, e reportar ao conselho de administração.

Um teste útil: se o seu trabalho é responder "quais são os nossos principais riscos nesta área e o que estamos a fazer quanto a isso", a Risk Manager é o nível certo. Se o seu trabalho é responder "a nossa estrutura de gestão de risco é adequada ao propósito, e pode a liderança confiar nela para tomar decisões", precisa da Lead Risk Manager. Muitas pessoas fazem primeiro a Risk Manager, conduzem um programa durante um ou dois anos, e depois fazem a Lead Risk Manager quando passam para um papel empresarial ou próximo do CISO.

Por que não existe ISO 31000 Lead Auditor

Esta questão surge constantemente porque a maioria das outras credenciais ISO vem em pares: Lead Implementer e Lead Auditor, espelhando a norma certificável por detrás delas. A ISO 31000 não tem Lead Auditor porque não há nada contra o qual auditar. Uma auditoria verifica a conformidade com requisitos, as declarações "shall" de uma norma de sistema de gestão como a ISO 27001 ou a ISO 9001. A ISO 31000 contém orientação, o "should" das boas práticas, não requisitos. Não se pode certificar uma organização à ISO 31000, portanto não se pode realizar uma auditoria de certificação contra ela, portanto não existe credencial de auditor.

Isso não significa que a gestão de risco escape à garantia. É avaliada indiretamente. Quando um auditor da ISO 27001 examina o seu processo de avaliação e tratamento de risco, está a verificar a conformidade com as cláusulas 6.1 e 8.2/8.3 da ISO 27001, e a ISO 31000 (frequentemente através da ISO 27005) é a referência reconhecida para o aspeto que esse processo deve ter. Assim, o Lead Risk Manager constrói a estrutura, e o auditor de sistema de gestão testa se a estrutura é aplicada onde uma norma certificável o exige. São dois trabalhos diferentes, e confundi-los é o mal-entendido mais comum que as pessoas trazem para a sala de formação.

Como a ISO 31000 complementa a ISO 27005 e o EBIOS RM

Estas não são normas concorrentes; são lentes diferentes sobre a mesma disciplina, e os profissionais sénior usam-nas em conjunto. A ISO 31000 é o enquadramento genérico que se aplica a qualquer risco em qualquer organização. A ISO 27005 estreita esse enquadramento ao risco de segurança da informação, com o detalhe de ativo, ameaça e vulnerabilidade de que um ISMS precisa. O EBIOS Risk Manager, o método francês (ANSSI), aborda o problema a partir de cenários de ataque estratégicos e do ecossistema de atacantes e partes interessadas, o que é forte para o risco cibernético de elevada criticidade e cada vez mais esperado nos setores público e regulado da UE.

O padrão prático é em camadas: a ISO 31000 define os princípios, a estrutura e o processo que toda a organização partilha; a ISO 27005 Risk Manager dá-lhe o método específico de segurança da informação que encaixa num ISMS da ISO 27001; e o EBIOS Risk Manager dá-lhe a visão orientada por cenários e centrada no atacante para os riscos cibernéticos que mais importam. Não se contradizem, e o vocabulário da ISO 31000 é o que permite a uma equipa transitar entre eles sem confusão.

Relevância para além do cibernético, e os erros comuns

Porque a ISO 31000 é agnóstica quanto ao tipo de risco, a mesma estrutura cobre risco operacional, financeiro, da cadeia de fornecimento, de projeto, de segurança, de conformidade e estratégico. Esse é o seu verdadeiro valor para um CISO que quer um lugar à mesa empresarial: falar ISO 31000 significa falar a linguagem que o conselho de administração e a função de risco mais ampla já usam, não um dialeto cibernético que tenham de traduzir. A credencial viaja bem para fora da segurança, o que é parte da razão pela qual está no centro de uma carreira séria de GRC, e não na sua periferia.

Os erros são consistentes entre organizações. As pessoas tratam o registo de risco como um artefacto de conformidade a produzir uma vez por ano em vez de uma ferramenta de decisão viva. Definem critérios de risco com os quais ninguém concorda, pelo que a pontuação se torna teatro. Confundem apetite ao risco (uma decisão de liderança) com tolerância ao risco (o intervalo de operação), e não deixam que nenhum seja definido explicitamente, o que significa que as decisões de tratamento não têm âncora. E saltam a Foundation, lançando uma equipa inteira num curso de Risk Manager onde metade da sala ainda discute o que significa "probabilidade".

Se está a construir um programa em vez de apenas fazer um exame, a ordem que funciona é: levar a equipa pela ISO 31000 Foundation para vocabulário partilhado, pôr os donos de âmbito na ISO 31000 Risk Manager, e fazer com que quem é dono da estrutura empresarial faça a ISO 31000 Lead Risk Manager. Essa sequência evita o modo de falha mais dispendioso, que é uma estrutura que apenas uma pessoa compreende.