Como a IA navega pelo risco de terceiros em um cenário de risco em rápida mudança

As funções de TPRM precisam de novas maneiras de operar para lidar com as pressões concorrentes do novo ambiente de risco, o número e a complexidade crescentes dos relacionamentos com terceiros e a necessidade de fazer mais com menos. A transformação do TPRM é uma jornada que vai desde a busca de ganhos marginais de eficiência, em uma ponta, até a transformação fundamental, na outra. As empresas já estão nessa jornada há algum tempo, principalmente com o impulso para aumentar a centralização. O surgimento da IA oferece uma oportunidade para acelerar a centralização e transformar o TPRM.

A centralização do TPRM colocou as empresas no caminho da maior eficiência

Dando continuidade a um padrão de vários anos, a pesquisa de 2025 mostra uma tendência de aumento da centralização do TPRM. Um número cada vez maior de organizações usa programas de TPRM centralizados em toda a empresa (57% em 2025, acima dos 54% em 2023).

A centralização do TPRM oferece muitos benefícios. Isso reduz os pontos de atrito; em vez de entrar em contato com o mesmo terceiro várias vezes, muitas vezes com solicitações duplicadas e parcialmente redundantes, o contato pode ser feito uma vez e de forma coordenada e simplificada. Os dados da pesquisa sugerem que muitas organizações poderiam se beneficiar dessa simplificação. Ao realizar avaliações de controle, cerca de quatro em cada dez empresas (43%) ainda usam vários questionários para diferentes domínios de risco. Eles enviam a terceiros uma média de 55 questionários. Acrescente a isso o ônus da conformidade de cada questionário adicional (45% dos entrevistados afirmam que os questionários de avaliação de controle têm de 101 a 200 perguntas, enquanto outros 36% têm entre 201 e 350 perguntas) e fica evidente que há muito espaço para uma abordagem centralizada para reduzir o ônus da conformidade e os pontos de atrito com terceiros.

De forma crítica, o TPRM centralizado permite uma melhor coordenação e uma avaliação de risco mais holística. "Uma abordagem centralizada para o TPRM permite que uma organização conecte os pontos em todas as verticais e veja o quadro geral", diz Rohit Mathur, Líder de Estratégia de Consultoria de Risco Global da EY e Líder de Consultoria de Risco da EMEIA. "Por exemplo, a equipe de Segurança Cibernética de uma organização pode estar monitorando um terceiro com relação ao risco cibernético. Esse terceiro pode ter controles cibernéticos robustos e ter uma pontuação alta em relação ao risco cibernético. Mas, ao mesmo tempo, o partido pode estar sofrendo uma hemorragia de dinheiro, com grande probabilidade de falência nos próximos seis meses, o que obviamente prejudicaria sua capacidade de investir em controles cibernéticos no futuro. Se a organização não conectar os pontos entre o risco cibernético e o risco financeiro, ela perderá o panorama geral."

Os benefícios da centralização são visíveis nos dados da pesquisa. Noventa e dois por cento das organizações com uma estrutura centralizada do TPRM investiram diretamente na melhoria e otimização dos recursos e da eficácia do programa. Os principais benefícios relatados com esse amadurecimento incluem uma melhor experiência do usuário (56%), maior compreensão dos riscos durante o processo de tomada de decisão (52%), integridade e precisão dos dados (51%) e padronização (51%). 

As estruturas centralizadas de TPRM também demonstram maior maturidade em várias áreas importantes quando comparadas às estruturas híbridas. Elas são mais maduras em termos de inventário de terceiros (58% centralizado vs. 39% híbrido), modelos de risco (51% centralizado vs. 36% híbrido), metodologia de avaliação (49% centralizado vs. 33% híbrido), políticas e padrões (46% centralizado vs. 31% híbrido) e governança e supervisão (43% centralizado vs. 29% híbrido).

A IA é um catalisador de valor e uma oportunidade para reinventar o TPRM

A IA tem um enorme potencial para revolucionar o TPRM, permitindo não apenas maiores eficiências, mas também uma abordagem fundamentalmente diferente para identificar, monitorar e gerenciar riscos de terceiros.

Os primeiros casos de uso adotados pelas empresas geralmente se concentrarão no uso da IA para automatizar os processos manuais existentes e gerar eficiências operacionais. Isso inclui a simplificação de tarefas repetitivas, como coleta de dados, avaliações iniciais de risco e integração de fornecedores, e a aceleração das avaliações de risco. Além disso, o verdadeiro potencial da IA não está em automatizar os processos existentes, mas em implementá-la para criar valor ao conduzir o TPRM de maneiras fundamentalmente diferentes.

Considere como a IA poderia criar eficiências significativas e reinventar as formas tradicionais de trabalho, em diferentes estágios do ciclo de vida do TPRM:

• Identificação de fornecedores: Em vez de compilar manualmente listas de fornecedores, a IA usa algoritmos para examinar bancos de dados e identificar fornecedores com base em critérios predefinidos, tornando o processo mais rápido e abrangente.
• Avaliação de risco: Os modelos de IA avaliam os riscos com base em dados históricos e análises preditivas, fornecendo pontuações de risco objetivas.
• Due diligence: A IA substitui as revisões manuais de documentos, lentas e trabalhosas, pela coleta e análise automatizadas da documentação do fornecedor, como registros financeiros e de conformidade.
• Negociação de contratos: A IA analisa os termos do contrato usando o processamento de linguagem natural (NLP) para identificar riscos e sugerir melhorias com base nas práticas recomendadas.
• Integração: A IA simplifica o processo de integração por meio de fluxos de trabalho e listas de verificação automatizados, ao mesmo tempo em que solidifica a conformidade com os requisitos.
• Monitoramento: A IA monitora continuamente o desempenho do fornecedor usando a análise de dados em tempo real e alerta para quaisquer anomalias ou problemas de conformidade.
• Gerenciamento de incidentes: A IA utiliza a análise preditiva para identificar possíveis incidentes antes que eles ocorram e realiza análises de cenários para prever riscos de "efeito dominó" que podem estar ocultos em abordagens mais lineares e em silos.
• Treinamento e conscientização: AI fornece módulos de treinamento personalizados com base nas necessidades individuais dos funcionários e nos estilos de aprendizagem.

Apesar de seu potencial, a adoção da IA no TPRM ainda é relativamente baixa. Apenas 13% das empresas otimizaram a tecnologia e a automação em seus programas de TPRM (ou atingiram o "Nível 5" de maturidade).

"O uso da IA está em sua infância", diz Gennarini. "Até agora, a maioria das funções de TPRM está implementando a IA em baixa escala e usando recursos que já existem há muito tempo, como o reconhecimento óptico de caracteres (OCR) na pesquisa de documentos."

A nova geração de modelos de IA, incluindo a IA agêntica, deixará de buscar eficiências operacionais incrementais e passará a conduzir o TPRM de maneiras fundamentalmente diferentes. Por exemplo, em vez de usar apenas OCR e NLP para revisar os termos contratuais, um mundo de agentes de IA poderia permitir que os agentes trabalhassem diretamente com agentes de terceiros para negociar contratos com base em dados de mercado, objetivos comerciais e requisitos de governança/regulamentação. Após a revisão humana, os acordos finalizados poderiam ser codificados como contratos inteligentes no blockchain, garantindo transparência e segurança, bem como o monitoramento automatizado da conformidade e a execução de pagamentos de marcos.

A boa notícia é que as funções de TPRM têm o desejo de investir em IA e análise de dados. O principal motivador de investimentos futuros em programas de TPRM é "recursos de IA/ML para due diligence aprimorada e desempenho/monitoramento de contratos" (31% dos entrevistados), enquanto a "abordagem orientada por dados para monitorar terceiros" está em segundo lugar (28%) e a "automação da due diligence para fins de eficiência e gerenciamento de risco elevado" está em terceiro lugar (27%).

A IA e a centralização podem catalisar uma à outra

Vários fatores impedem a adoção mais ampla da IA e da centralização no TPRM.

Estruturas organizacionais fragmentadas e incentivos desalinhados levam a uma abordagem desarticulada e impedem a obtenção do potencial de valor total da centralização. Normalmente, o TPRM não é liderada por um executivo de nível C; em vez disso, ela está alguns níveis abaixo do C-suite. Muitas vezes, esse problema está disperso entre os líderes das unidades de negócios, que só têm a competência, os incentivos e o orçamento para lidar com ele em suas verticais — em vez de se alinharem com outras unidades de negócios e abordá-lo de forma holística em toda a empresa.

Embora os fatores responsáveis pela baixa adoção da IA variem de empresa para empresa, os desafios comuns incluem considerações de custo, falta de especialização e prontidão dos dados. Além disso, a amplitude e a complexidade do TPRM dificultam a integração das soluções de IA aos processos e fluxos de trabalho existentes do TPRM.

A relação simbiótica entre centralização e IA pode ajudar a superar algumas dessas barreiras e acelerar a adoção. Por exemplo, um dos principais pilares do TPRM centralizado é a harmonização e a centralização dos dados em todas as verticais da organização, mas isso também é um pré-requisito fundamental para a IA, portanto, poderia ajudar a superar a barreira da prontidão dos dados e acelerar a adoção da IA. Da mesma forma, a IA pode catalisar a centralização, fornecendo aos gerentes de TPRM os recursos para monitorar dados em tempo real em toda a empresa e no ecossistema de terceiros. 

Os líderes de negócios e de riscos podem adotar essas três ações para acelerar a transformação do TPRM e alcançar todo o potencial de valor da centralização e da adoção da IA:

1. Foco na empresa

O TPRM é conduzida em diferentes verticais da empresa, que são estruturadas e incentivadas a se concentrar em diferentes métricas. O setor de compras pode monitorar a conformidade do contrato e o desempenho do fornecedor. A segurança cibernética pode estar concentrada no tempo de resposta a incidentes e no custo das violações. A cadeia de suprimentos pode se preocupar com a conformidade do fornecedor e com as métricas de resiliência.

No entanto, para aproveitar todo o potencial da IA e da centralização, é necessário entender suas obrigações em nível empresarial - como regulamentos, imperativos da diretoria ou imperativos do investidor - e também como elas se traduzem em riscos de terceiros e se conectam às métricas de unidades de negócios individuais. Se você estiver analisando apenas riscos específicos, em vez de analisar como o seu ecossistema de terceiros pode afetar o negócio como um todo, estará limitando sua visão e poderá se preparar para tomar decisões abaixo do ideal.

Já escrevemos anteriormente sobre o conceito de um "administrador de riscos" - alguém encarregado de priorizar os requisitos de gerenciamento de riscos em todos os silos organizacionais e de conduzir uma abordagem de gerenciamento de riscos conectada e proativa. O TPRM é uma verdadeira horizontal que atravessa toda a empresa, com cada função interna tendo um impacto espelhado em terceiros. Você se beneficiaria enormemente de uma abordagem de administração de riscos.

2. Investir na preparação para a IA

As respostas da pesquisa mostram que a adoção da IA no TPRM é baixa, mas que as organizações têm a ambição de aumentar a adoção nos próximos anos. Para preencher essa lacuna e alcançar essa ambição, é necessário investir na preparação para a IA.

Isso inclui uma avaliação completa dos processos, ferramentas e práticas de gerenciamento de dados do TPRM existentes para identificar lacunas e áreas de melhoria na preparação para a integração da IA. Isso inclui investir na preparação de dados para melhorar a qualidade dos dados, padronizar os formatos de dados e implementar a governança de dados. Isso inclui a preparação da força de trabalho, eliminando as lacunas de habilidades e investindo em treinamento e aperfeiçoamento profissional.

De forma crítica, isso inclui o monitoramento de tendências, tanto para acompanhar as práticas recomendadas emergentes em TPRM quanto para se preparar para as próximas ondas de IA.

3. Questionar as suposições e acelerar os pontos de inflexão

"Há uma década, a maioria das empresas tinha políticas que proibiam que seus dados entrassem em contato com a nuvem pública, devido ao fator medo da tecnologia", diz Kawther Haciane, líder de risco digital da EY MENA. "Hoje, o roteiro se inverteu. As empresas em todos os lugares são "cloud first" — tudo migrou para a nuvem, e as exceções têm que justificar por que não deveriam estar na nuvem. O que aconteceu Chegamos a um ponto de inflexão, as premissas e a economia mudaram e isso desencadeou a adoção em massa."

De fato, a tecnologia está repleta de exemplos desses pontos de inflexão, enquanto o novo ambiente de risco está acelerando o ritmo das mudanças não lineares, tornando os pontos de inflexão cada vez mais prováveis. Considere como o lançamento do ChatGPT alterou as suposições sobre os recursos da GenAI e os prazos em que eles poderiam ser alcançados. Ou considere algo mais próximo de casa para as funções de TPRM: como a pandemia da COVID transformou alguns componentes de TPRM quase da noite para o dia, já que a mudança para o trabalho remoto eliminou a capacidade de fazer auditorias no local, forçando as organizações a adotar a tecnologia em escala.

É possível que agora estejamos nos aproximando de um ponto de inflexão semelhante para a adoção da IA no TPRM. Como o número e a complexidade dos relacionamentos com terceiros aumentaram nos últimos anos, o mesmo aconteceu com o atrito, a dor e o custo de fazer avaliações de risco de terceiros manualmente. Mas isso também está mudando a economia da adoção da IA. Quando você estiver fazendo avaliações em maior escala — aos milhares em vez de centenas —, terá um incentivo financeiro maior para investir em IA, bem como uma escala maior para recuperar esses investimentos.

Um ponto de inflexão ainda maior pode ser iminente no avanço da tecnologia. A nova geração de modelos de IA — incluindo IA agêntica, IA multimodal, IA de raciocínio e IA de autoaperfeiçoamento — está trazendo recursos inovadores, e combiná-los pode ser um divisor de águas para o TPRM. Isso poderia desafiar os cálculos de custo-benefício e tornar a proposta de valor da IA irresistível.

Os pontos de inflexão discutidos acima têm uma coisa em comum: eles pegaram a maioria das empresas de surpresa, exigindo que elas se esforçassem e preparassem uma resposta muitas vezes apressada. Mas há outro caminho. Ao antecipar um ponto de inflexão, você pode preparar sua organização para ele. Melhor ainda, você pode acelerar a mudança adotando as etapas identificadas acima para investir no futuro, corrigir incentivos desalinhados e realinhar as estruturas organizacionais.

O TPRM existe para garantir que o restante da organização não seja pego de surpresa por interrupções externas. Agora, mais do que nunca, talvez ela precise aplicar esse foco em si mesma.