Analista Senior de TPRM

Sobre la posición

Buscamos un(a) Analista Senior de TPRM para evaluar, gestionar y monitorear los riesgos asociados a terceros, con enfoque en proveedores críticos y estratégicos. Esta persona será responsable de realizar evaluaciones de riesgos, analizar cuestionarios y evidencias de controles, identificar brechas de seguridad y cumplimiento, y dar seguimiento a los planes de acción hasta su conclusión.

La posición requiere capacidad analítica, pensamiento crítico, organización y habilidad para interactuar con proveedores y áreas internas, garantizando que los riesgos identificados sean evaluados, documentados, tratados y reportados adecuadamente.

Principales responsabilidades

• Gestión de riesgos de terceros: realizar evaluaciones de TPRM de proveedores críticos, estratégicos y de alto riesgo, considerando el impacto en el negocio, la seguridad de la información y la continuidad operativa.
• Análisis de cuestionarios: revisar y evaluar formularios de evaluación de seguridad, privacidad, cumplimiento y gestión de riesgos completados por los proveedores.
• Validación de evidencias: analizar documentos y evidencias presentados por los proveedores, verificando su consistencia, validez, alineación con los controles requeridos y suficiencia para respaldar las respuestas proporcionadas.
• Identificación de brechas: identificar debilidades, no conformidades, ausencia de controles, inconsistencias y riesgos asociados a los procesos y entornos de los proveedores.
• Seguimiento de pendientes: controlar y dar seguimiento a puntos pendientes, solicitudes de evidencias complementarias y planes de acción para el tratamiento de los riesgos identificados.
• Validación de planes de acción: evaluar la adecuación de las acciones correctivas propuestas por los proveedores, dar seguimiento a los plazos y validar las evidencias de implementación de los controles antes de cerrar los pendientes.
• Monitoreo continuo: monitorear la situación de los proveedores críticos, incluyendo reevaluaciones periódicas, cambios relevantes en el perfil de riesgo, incidentes y cambios que puedan impactar la seguridad o la continuidad de los servicios.
• Gestión de criticidad: apoyar la clasificación y priorización de los proveedores considerando el acceso a datos, información sensible, sistemas corporativos, servicios críticos e impacto potencial en el negocio.
• Informes e indicadores: elaborar informes de seguimiento, tableros e indicadores de riesgo, incluyendo evaluaciones en curso, pendientes, retrasos, brechas críticas y avance de los planes de acción.
• Interacción con stakeholders: trabajar con las áreas de Seguridad de la Información, GRC, Privacidad, Cumplimiento, Legal, Compras, gerentes de contratos y responsables de los proveedores.
• Documentación y trazabilidad: mantener actualizados los registros de las evaluaciones, evidencias, riesgos identificados, decisiones, responsables, plazos y aprobaciones.
• Escalación de riesgos: comunicar riesgos críticos, retrasos relevantes y situaciones sin evidencias suficientes a las áreas responsables, apoyando la toma de decisiones y la eventual aceptación formal del riesgo residual.
• Mejora continua: contribuir al mejoramiento de metodologías, criterios de evaluación, flujos de trabajo, controles y procesos de gestión de riesgos de terceros.

Requisitos obligatorios

• Experiencia previa en TPRM, Third-Party Risk Management, Third-Party Risk Assessment o evaluación de riesgos de proveedores.
• Conocimiento en Seguridad de la Información, GRC, gestión de riesgos cibernéticos y evaluación de controles.
• Experiencia en el análisis de cuestionarios de seguridad y validación de evidencias documentales.
• Experiencia en la identificación de brechas, registro de riesgos y seguimiento de planes de acción.
• Conocimiento de controles relacionados con la gestión de accesos, protección de datos, gestión de vulnerabilidades, respuesta a incidentes, continuidad del negocio y seguridad en la nube.
• Capacidad para analizar críticamente la información recibida, identificar inconsistencias y solicitar información complementaria cuando sea necesario.
• Experiencia en la elaboración de informes gerenciales, indicadores y documentación de evaluaciones de riesgo.
• Buena comunicación escrita y verbal, organización, autonomía y capacidad para gestionar múltiples evaluaciones simultáneamente.

Conocimientos deseables

• Familiaridad con ISO 27001 e ISO 27002.
• Conocimiento de ISO 27701, LGPD, NIST Cybersecurity Framework y CIS Controls.
• Conocimiento de continuidad del negocio, gestión de incidentes y gestión de vulnerabilidades.
• Experiencia con herramientas de GRC, plataformas de TPRM, flujos de evaluación y gestión de planes de acción.
• Conocimiento de marcos y prácticas de gestión de riesgos corporativos.
• Certificaciones como ISO 27001, CRISC, CISA, CISM o equivalentes se considerarán un diferencial.

Competencias comportamentales

• Perfil analítico, investigativo y orientado a riesgos.
• Pensamiento crítico para cuestionar respuestas y evaluar la calidad de las evidencias.
• Organización y disciplina para dar seguimiento a plazos y pendientes.
• Proactividad y autonomía en la conducción de las evaluaciones.
• Comunicación asertiva para interactuar con proveedores y áreas internas.
• Capacidad de priorización según criticidad e impacto en el negocio.
• Actitud colaborativa, con enfoque en calidad, cumplimiento y mitigación de riesgos.

Resultados esperados

• Evaluaciones de proveedores realizadas con calidad, consistencia y dentro de los plazos establecidos.
• Evidencias analizadas y validadas con trazabilidad y justificación técnica.
• Brechas y riesgos identificados, clasificados y debidamente documentados.
• Pendientes y planes de acción con seguimiento hasta la validación de la conclusión o la escalación formal del riesgo residual.
• Mayor visibilidad sobre la exposición a riesgos de los proveedores críticos.
• Indicadores actualizados para apoyar la gestión, la priorización y la toma de decisiones.

Diferencial de la posición

Buscamos un profesional que vaya más allá de la revisión documental, con capacidad para comprender el contexto del proveedor, evaluar la efectividad de los controles presentados y contribuir a una gestión de riesgos de terceros más eficiente, estructurada y alineada con las necesidades del negocio.

Modelo de trabajo y ubicación

El modelo de trabajo es híbrido, en São Paulo, SP, combinando días presenciales en la oficina con trabajo remoto.