Analista de TPRM Sênior

Sobre a posição

Buscamos um(a) Analista Sênior de TPRM para atuar na avaliação, gestão e monitoramento dos riscos associados a terceiros, com foco em fornecedores críticos e estratégicos. Esse profissional será responsável por conduzir avaliações de riscos, analisar questionários e evidências de controles, identificar gaps de segurança e compliance e acompanhar os planos de ação até a sua conclusão.

A posição exige capacidade analítica, senso crítico, organização e habilidade para interagir com fornecedores e áreas internas, garantindo que os riscos identificados sejam adequadamente avaliados, documentados, tratados e reportados.

Principais responsabilidades

• Gestão de riscos de terceiros: realizar avaliações de TPRM de fornecedores críticos, estratégicos e de alto risco, considerando os impactos para o negócio, a segurança da informação e a continuidade operacional.
• Análise de questionários: revisar e avaliar formulários de assessment de segurança, privacidade, compliance e gestão de riscos preenchidos pelos fornecedores.
• Validação de evidências: analisar documentos e evidências apresentados pelos fornecedores, verificando sua consistência, validade, aderência aos controles exigidos e suficiência para comprovar as respostas fornecidas.
• Identificação de gaps: identificar fragilidades, não conformidades, ausência de controles, inconsistências e riscos associados aos processos e ambientes dos fornecedores.
• Acompanhamento de pendências: controlar e acompanhar pontos pendentes, solicitações de evidências complementares e planos de ação para tratamento dos riscos identificados.
• Validação de planos de ação: avaliar a adequação das ações corretivas propostas pelos fornecedores, acompanhar prazos e validar as evidências de implementação dos controles antes do encerramento das pendências.
• Monitoramento contínuo: acompanhar a situação dos fornecedores críticos, incluindo reavaliações periódicas, mudanças relevantes no perfil de risco, incidentes e alterações que possam impactar a segurança ou a continuidade dos serviços.
• Gestão de criticidade: apoiar a classificação e priorização dos fornecedores considerando acesso a dados, informações sensíveis, sistemas corporativos, serviços críticos e impacto potencial para o negócio.
• Relatórios e indicadores: elaborar relatórios de acompanhamento, dashboards e indicadores de risco, incluindo avaliações em andamento, pendências, atrasos, gaps críticos e evolução dos planos de ação.
• Interação com stakeholders: atuar junto às áreas de Segurança da Informação, GRC, Privacidade, Compliance, Jurídico, Compras, gestores de contratos e responsáveis pelos fornecedores.
• Documentação e rastreabilidade: manter os registros das avaliações, evidências, riscos identificados, decisões, responsáveis, prazos e aprovações devidamente atualizados.
• Escalonamento de riscos: comunicar riscos críticos, atrasos relevantes e situações sem evidências suficientes às áreas responsáveis, apoiando a tomada de decisão e a eventual aceitação formal do risco residual.
• Melhoria contínua: contribuir para o aprimoramento de metodologias, critérios de avaliação, fluxos de trabalho, controles e processos de gestão de riscos de terceiros.

Requisitos obrigatórios

• Experiência prévia em TPRM, Third-Party Risk Management, Third-Party Risk Assessment ou avaliação de riscos de fornecedores.
• Conhecimento em Segurança da Informação, GRC, gestão de riscos cibernéticos e avaliação de controles.
• Experiência na análise de questionários de segurança e validação de evidências documentais.
• Experiência na identificação de gaps, registro de riscos e acompanhamento de planos de ação.
• Conhecimento de controles relacionados a gestão de acessos, proteção de dados, gestão de vulnerabilidades, resposta a incidentes, continuidade de negócios e segurança em nuvem.
• Capacidade de analisar criticamente as informações recebidas, identificar inconsistências e solicitar complementações quando necessário.
• Experiência na elaboração de relatórios gerenciais, indicadores e documentação de avaliações de risco.
• Boa comunicação escrita e verbal, organização, autonomia e capacidade de gerenciar múltiplas avaliações simultaneamente.

Conhecimentos desejáveis

• Familiaridade com ISO 27001 e ISO 27002.
• Conhecimento de ISO 27701, LGPD, NIST Cybersecurity Framework e CIS Controls.
• Conhecimento de continuidade de negócios, gestão de incidentes e gestão de vulnerabilidades.
• Experiência com ferramentas de GRC, plataformas de TPRM, workflows de assessment e gestão de planos de ação.
• Conhecimento de frameworks e práticas de gestão de riscos corporativos.
• Certificações como ISO 27001, CRISC, CISA, CISM ou equivalentes serão consideradas diferenciais.

Competências comportamentais

• Perfil analítico, investigativo e orientado a riscos.
• Senso crítico para questionar respostas e avaliar a qualidade das evidências.
• Organização e disciplina para acompanhamento de prazos e pendências.
• Proatividade e autonomia na condução das avaliações.
• Comunicação assertiva para interagir com fornecedores e áreas internas.
• Capacidade de priorização conforme criticidade e impacto para o negócio.
• Postura colaborativa, com foco em qualidade, conformidade e mitigação de riscos.

Resultados esperados

• Avaliações de fornecedores conduzidas com qualidade, consistência e dentro dos prazos estabelecidos.
• Evidências analisadas e validadas com rastreabilidade e justificativa técnica.
• Gaps e riscos identificados, classificados e devidamente documentados.
• Pendências e planos de ação acompanhados até a validação da conclusão ou encaminhamento formal do risco residual.
• Maior visibilidade sobre a exposição a riscos dos fornecedores críticos.
• Indicadores atualizados para apoiar a gestão, a priorização e a tomada de decisão.

Diferencial da posição

Buscamos um profissional que vá além da conferência documental, com capacidade de compreender o contexto do fornecedor, avaliar a efetividade dos controles apresentados e contribuir para uma gestão de riscos de terceiros mais eficiente, estruturada e alinhada às necessidades do negócio.

Modelo de trabalho e local

A atuação é no modelo híbrido, em São Paulo SP, combinando dias presenciais no escritório com trabalho remoto.