Como recursos finitos poderão atender a um universo de riscos infinitos?

No entanto, essa maior centralização revelou uma falta de conhecimento nas áreas organizacionais. As empresas ainda têm dificuldade em encontrar a abordagem e os recursos certos para executar as atividades de gestão de mudanças com eficiência. Por exemplo, menos da metade dos entrevistados tinha um módulo de treinamento em TPRM para comunicar as expectativas às partes interessadas internas, sendo que 82% recorriam a páginas da intranet, políticas, procedimentos ou FAQs. Como as organizações continuam a evoluir em um ritmo rápido para lidar com as tecnologias emergentes, as novas capacidades de dados e um mundo em constante mudança, essa educação passiva simplesmente não é suficiente. Essa possível desconexão oferece uma oportunidade para engajar melhor as partes interessadas durante todo o ciclo de vida dos terceirizados para que elas entendam a proposta de valor da TPRM, além de sua função operacional e sua responsabilidade.

Modelos operacionais que utilizam suporte externo

As operating models change, so do decisions on delivery structures. This year’s survey found that respondents are leveraging multiple forms of external support. Managed service providers, market utilities and sector-based consortiums are helping companies do more with reduced spend and resources. In parallel, internal talent is being retained and enabled to focus on differentiating risks and high-value activities.

Conforme os modelos operacionais mudam, as decisões sobre as estruturas de entrega também mudam. A pesquisa deste ano constatou que os entrevistados estão recorrendo a várias formas de suporte externo. Esses modelos operacionais estão ajudando as empresas a fazer mais com menos gastos e recursos. Paralelamente, há retenção de talentos internos, que estão sendo direcionados aos riscos diferenciados e atividades de alto valor.

Em termos de categorização, as organizações continuam a reduzir o número de terceiros classificados como críticos (organizações com mais de 5.000 terceirizados classificaram menos de 5% de sua população como crítica). Há um menor número de terceirizados classificados em categorias de alto risco, sendo que os entrevistados classificam um número cada vez maior em “outros riscos” contra os 26% no ano passado. Essas mudanças aceleradas são provavelmente resultado das pressões de custo relacionadas à pandemia e concentram-se na resiliência de terceiros, levando as empresas a reavaliar seus critérios de classificação para se concentrar nos terceirizados que mais importam e têm impacto maior sobre a organização. Os entrevistados observaram que os três critérios mais importantes para definir terceiros críticos foram a criticidade dos serviços prestados, a sensibilidade dos dados envolvidos na prestação dos serviços e a continuidade e resiliência do negócio.

Embora a maioria dos programas de TPRM esteja alinhada com algumas áreas internas, como segurança da informação e compras, muitas outras áreas ficam por conta própria pois realizam a avaliação de terceiros de forma independente. Ao trabalhar com terceiros, muitas áreas coletam dados semelhantes, mas não se conversam, deixando a organização desinformada sobre a visão integrada do risco. As organizações capazes de preencher essa lacuna com uma abordagem integrada de gestão de risco acharão muito mais fácil ser resiliente em tempos de incerteza.

Aproximadamente 86% dos entrevistados fornecem dados relacionados à TPRM às áreas de segurança da informação como parte de seus programas de TPRM. No entanto, o nível de integração cai drasticamente entre as outras partes interessadas pesquisadas, incluindo compras (71%), risco operacional/risco empresarial (65%), compliance – linha de negócio (57%), assessoria jurídica/geral (52%) e tecnologia/ operações (51%). 

A integração entre áreas dentro do programa de TPRM oferece uma grande oportunidade para integrar ainda mais taxonomias, melhorar a qualidade dos dados e evitar a replicação desnecessária de dados, melhorando o inventário de terceiros. Isso, por sua vez, reduziria o desgaste das áreas de negócio e controle de terceiros, pois elas atenderiam a menos solicitações de dados duplicados. 

Um melhor alinhamento também aceleraria a tomada de decisões sobre gastos diretos e indiretos ao longo do ciclo de vida dos terceiros. Isso ofereceria a transparência necessária para ajudar a reduzir a proliferação de terceiros em áreas-chave como TI e segurança cibernética e em processos de negócio importantes que dependem muito de um grande volume de terceiros, como sinistros, originação de empréstimos, fornecedores de peças e fornecedores de matérias-primas.

O difícil caminho para a integração

Infelizmente, o caminho para a integração apresenta vários obstáculos. Diferentes áreas podem estar usando diferentes ferramentas ou tecnologias para coletar dados, sendo que 27% a 34% dos entrevistados não possuem tecnologia dedicada ou não conhecem o ecossistema de ferramentas disponíveis para seus programas. Não há uma solução única para implementar a tecnologia; no entanto, as organizações precisam considerar uma forma de gerir o ciclo de vida completo e integrado, pesando os benefícios de uma ferramenta corporativa mais abrangente ou de uma ferramenta de TPRM dedicada e menos abrangente.

De acordo com o relatório EY Global Board Risk Survey, muitas organizações estão investindo pesado em tecnologia para tornar os processos internos mais eficientes e criar novas experiências para os clientes. Mas, inerente a essas transformações digitais, há uma complexa teia de fatores de risco — do viés da inteligência artificial a violações de dados. Uma gestão de risco eficaz é essencial para a concepção e aplicação de iniciativas de transformação, considerando-se a ampla gama de potenciais disruptores. 

E embora as organizações pareçam intrigadas com tecnologias e serviços emergentes, suas ações ainda não correspondem às suas intenções. Muito do que é possível continua sendo apenas isso — uma possibilidade — uma vez que as empresas têm dificuldade para integrar provedores de dados externos, serviços de mercado (market utilities) e automação robótica de processos (RPA) em seus processos de TPRM, a fim de reduzir o esforço e o tempo de ciclo e melhorar os recursos de monitoramento. 

Embora 84% das organizações estejam usando algum tipo de provedor de dados externo, uma parcela significativa os usa apenas em determinadas áreas. Pouco mais de um terço dessas organizações consideram essas tecnologias e produtos extremamente ou muito úteis, indicando que organizações ainda estão relutantes em adotar essas tecnologias, incluí-las nas metodologias de risco e usá-las para impulsionar o valor e a eficiência geral.

Há uma oportunidade para aproveitar as fontes de dados externas disponíveis (por exemplo, financeiros, cibernéticos, geopolíticos) para monitorar os principais indicadores de risco contra os limites predefinidos de apetite ao risco e de tolerância ao risco, reduzindo os esforços de reavaliação. Repensar a metodologia de risco da TPRM de forma a incluir provedores de dados externos oferece uma chance para diminuir o desgaste da avaliação. De fato, 35% dos entrevistados continuam a realizar avaliações anuais de controle em seus segmentos de terceiros de menor risco (ou seja, os segmentos com o segundo maior risco, terceiro maior risco e outros riscos), e 21% das empresas pesquisadas sequer usam essas tecnologias em seus programas. Além disso, 45% dos entrevistados não usam nenhum provedor de dados externos para avaliar a saúde financeira e a reputação de terceiros, indicando uma oportunidade substancial para reduzir atividades de avaliação manuais e pontuais.

Ferramentas de inteligência

A aceleração da automação e da implantação de tecnologia proporcionará uma visão melhor dos problemas e ameaças reais, como exposição em toda a empresa e concentrações de risco. Com 64% dos entrevistados atribuindo valor ao uso de ferramentas de inteligência de ameaças e risco, as empresas têm a chance de amadurecer seus programas de TPRM para ganhar eficiência e, ao mesmo tempo, melhorar a supervisão de riscos em tempo real. Há também uma oportunidade significativa de aproveitar a automação para melhorar os recursos de monitoramento contínuo, uma vez que 34% das organizações pesquisadas consideram essas ferramentas de mercado extremamente úteis ou muito úteis.

Investimento em atividades

Mesmo com esse uso mais amplo de ferramentas de inteligência, apenas uma em cada cinco das organizações pesquisadas utiliza análise avançada, e um número ainda menor usa a inteligência artificial (IA), RPA ou blockchain. No entanto, muitas outras organizações reconhecem os benefícios que essas tecnologias podem proporcionar. Mais de um em cada três entrevistados espera começar a usar análise avançada nos próximos dois ou três anos, e quase um em cada três planeja usar a IA.

Tempos e tipos de ciclo de avaliação

Ao considerar o impacto da pandemia, as organizações reduziram as avaliações presenciais, dando preferência às remotas e virtuais. A avaliação virtual — com compartilhamento na tela dos artefatos e materiais normalmente examinados presencialmente — fornece cobertura e conforto similares aos de uma típica avaliação presencial, o que também pode ajudar a reduzir o tempo do ciclo de avaliação. À medida que as organizações encontram novas maneiras inovadoras de alcançar um resultado semelhante, essa tendência deve provavelmente continuar pois reduz o custo e o tempo do ciclo.

Acompanhar esse ritmo exige uma base de gestão de risco de terceiros com governança inteligente e execução de programas — complementada com treinamento de funcionários, categorização do escopo de inventário com base na criticidade e modelos operacionais que incluam suporte externo. Ao se empenharem para transformar seus programas de TPRM, as organizações devem considerar melhorias na integração e o alinhamento entre áreas, o uso de fontes de dados externos e ferramentas de inteligência, bem como de novas formas de trabalho, como avaliações remotas e virtuais.

Saiba mais em: ey.com.br/tprm