Glossário GRC
Os termos que aparecem em qualquer projeto de risco, segurança ou conformidade, explicados em poucas linhas.
A
- Ameaça
Causa potencial de um incidente que pode danificar um ativo: um ataque de ransomware, um erro humano, um corte de energia ou uma inundação. Quando uma ameaça encontra uma vulnerabilidade, surge o risco.
Relacionado: Gestão de riscos
- Análise de impacto no negócio (BIA)
Estudo que identifica os processos críticos, quanto tempo podem estar parados e de que recursos precisam para voltar a funcionar. Dele saem o RTO, o RPO e as prioridades do plano de continuidade.
Relacionado: Continuidade de negócio
- Análise de lacunas (Gap analysis)
Comparação entre o que a organização faz hoje e o que uma norma ou regulamento exige. O resultado é a lista de requisitos por cumprir e o plano para os fechar.
Relacionado: Conformidade regulamentar
- Apetite de risco
Nível de risco que a gestão está disposta a assumir para atingir os seus objetivos. Fica definido por escrito e serve para decidir que riscos se aceitam e quais é preciso tratar.
Relacionado: Gestão de riscos
- Ativo de informação
Tudo o que tem valor para a organização e precisa de ser protegido: dados, aplicações, servidores, pessoas-chave ou instalações. O inventário de ativos é o ponto de partida de qualquer análise de riscos.
Relacionado: Segurança da informação
- Auditoria de certificação
Revisão feita por uma entidade acreditada para confirmar que um sistema de gestão cumpre uma norma certificável, como a ISO 27001 ou a ISO 22301. Se a superar, a organização obtém o certificado, que se mantém com auditorias de acompanhamento.
Relacionado: Gestão de auditorias
- Auditoria interna
Função independente que verifica se os controlos, a gestão de riscos e o governo da organização funcionam como deviam. Reporta ao conselho de administração ou à comissão de auditoria.
Relacionado: Gestão de auditorias
- Avaliação de impacto sobre a proteção de dados (AIPD)
Análise prévia que o RGPD exige quando um tratamento pode implicar um risco elevado para as pessoas, por exemplo dados de saúde em grande escala ou vigilância sistemática.
Relacionado: RGPD
- Avaliação de riscos
Processo de identificar os riscos, analisá-los (probabilidade e impacto) e avaliá-los face ao apetite de risco para decidir quais tratar primeiro.
Relacionado: Gestão de riscos
C
- Canal de denúncias (Canal de denúncia interna)
Via confidencial para comunicar infrações dentro da organização. A Diretiva europeia de proteção de denunciantes (2019/1937) torna-o obrigatório para o setor público e para as empresas com 50 ou mais trabalhadores.
Relacionado: Canal de denúncias
- Ciber-resiliência
Capacidade de continuar a prestar serviço durante um ciberataque e de recuperar depois. Além de prevenir, inclui detetar, responder, recuperar e aprender com o que aconteceu.
Relacionado: DORA
- Classificação da informação
Atribuir a cada informação um nível (pública, interna, confidencial, restrita…) consoante o dano que a sua divulgação causaria. Cada nível tem as suas regras de acesso, envio e destruição.
Relacionado: ISO 27001
- COBIT
Referencial da ISACA para o governo e a gestão das tecnologias de informação. Alinha os objetivos de TI com os do negócio e define processos, responsabilidades e métricas.
Relacionado: COBIT
- Compliance (Conformidade regulamentar)
Conjunto de políticas, controlos e responsáveis que garantem que a organização cumpre a lei, as normas que adotou e os seus próprios compromissos éticos. O objetivo é evitar sanções e danos reputacionais.
Relacionado: Compliance
- Confidencialidade, integridade e disponibilidade (Tríade CIA)
As três propriedades que a segurança da informação protege: só acede quem deve, os dados não são alterados sem controlo e estão disponíveis quando são precisos.
Relacionado: Segurança da informação
- Constatação de auditoria
Resultado de comparar a evidência com um critério. Pode ser uma não conformidade, uma observação ou uma oportunidade de melhoria, e costuma dar origem a um plano de ação.
Relacionado: Gestão de auditorias
- Controlo
Medida que reduz a probabilidade ou o impacto de um risco. Pode ser técnica (cifra, cópias de segurança), organizativa (uma política, uma segregação de funções) ou física (controlo de acesso a um edifício).
Relacionado: Controlos internos
- Controlo compensatório
Controlo alternativo aplicado quando o controlo previsto não é viável. Deve cobrir o mesmo risco com um nível de proteção equivalente, e convém documentar porque foi escolhido.
Relacionado: Controlos internos
- Controlo interno
Processo concebido pela gestão para dar uma segurança razoável sobre a fiabilidade da informação, a eficácia das operações e o cumprimento das normas. O referencial mais usado é o COSO.
Relacionado: Controlos internos
D
- Declaração de aplicabilidade (SoA)
Documento obrigatório na ISO 27001 que lista os controlos do anexo A, indica quais se aplicam e justifica as exclusões. É das primeiras coisas que o auditor analisa.
Relacionado: ISO 27001
- DORA
Regulamento (UE) 2022/2554 sobre a resiliência operacional digital, aplicável desde janeiro de 2025 a bancos, seguradoras, gestoras de ativos e outras entidades financeiras. Abrange a gestão do risco de TIC, a notificação de incidentes, os testes de resiliência e o risco dos fornecedores de TIC.
Relacionado: DORA
- Due diligence (Diligência devida)
Revisão feita antes e durante uma relação com um terceiro (fornecedor, parceiro, cliente) para conhecer os seus riscos financeiros, de segurança, de conformidade ou de reputação.
Relacionado: Risco de terceiros
- Dupla materialidade
Princípio da CSRD segundo o qual um tema de sustentabilidade é relevante se a empresa tem impacto nas pessoas ou no ambiente (materialidade de impacto) ou se afeta os seus resultados (materialidade financeira). Basta uma das duas.
Relacionado: ESG e sustentabilidade
E
- Encarregado da proteção de dados (EPD ou DPO)
Figura que supervisiona o cumprimento do RGPD, aconselha a organização e faz a ligação com a autoridade de controlo. É obrigatório nos organismos públicos e em alguns tratamentos em grande escala.
Relacionado: RGPD
- ESG
Sigla de ambiental, social e de governo. Agrupa os critérios não financeiros com que investidores, clientes e reguladores avaliam uma empresa.
Relacionado: ESG e sustentabilidade
- ESRS
Normas europeias de relato de sustentabilidade. Definem que dados, e em que formato, devem publicar as empresas sujeitas à CSRD.
Relacionado: CSRD
- Evidência
Prova de que um controlo foi executado: um registo, uma captura de ecrã, uma ata ou um relatório. Sem evidências, para o auditor o controlo não existe.
Relacionado: Gestão de auditorias
G
- Gestão de incidentes
Processo para detetar, registar, classificar, resolver e aprender com os incidentes. No DORA, na NIS2 e no RGPD inclui também notificar o regulador dentro do prazo.
Relacionado: Gestão de incidentes
- Gestão de riscos empresariais (ERM)
Abordagem que gere todos os riscos da organização (estratégicos, financeiros, operacionais, de conformidade) com um mesmo método e uma visão de conjunto, em vez de departamento a departamento.
Relacionado: Gestão de riscos
- Governação da IA
Políticas, funções e controlos para desenvolver e usar sistemas de inteligência artificial de forma segura, ética e conforme a lei. Inclui o inventário de sistemas, a sua classificação de risco e a sua supervisão.
Relacionado: Governação da IA
- GRC (Governo, risco e conformidade)
Forma de trabalhar que junta o governo da sociedade, a gestão de riscos e a conformidade regulamentar num mesmo modelo, com dados partilhados em vez de folhas de cálculo isoladas.
Relacionado: Plataforma GRC
I
- Indicador-chave de risco (KRI)
Métrica que avisa que um risco está a crescer antes de se materializar, como o número de vulnerabilidades críticas em aberto ou a rotatividade num cargo-chave. São-lhe fixados limiares de alerta.
Relacionado: Gestão de riscos
- Infraestrutura crítica
Instalação ou sistema indispensável para serviços essenciais, como a energia, a água ou os transportes. Na União Europeia, a Diretiva CER fixa as obrigações das entidades críticas.
Relacionado: Infraestruturas críticas
- ISO 22301
Norma internacional certificável para sistemas de gestão da continuidade de negócio. Exige analisar o impacto, definir estratégias de recuperação e testar os planos.
Relacionado: ISO 22301
- ISO 27001
Norma internacional certificável para sistemas de gestão de segurança da informação (SGSI). Assenta numa avaliação de riscos e num anexo de controlos que é preciso aplicar ou justificar.
Relacionado: ISO 27001
- ISO 27701
Extensão da gestão da segurança da informação à privacidade. Ajuda a demonstrar o cumprimento do RGPD e de outras leis de proteção de dados.
Relacionado: ISO 27701
- ISO 31000
Diretrizes internacionais para a gestão do risco em qualquer tipo de organização. Não é certificável: descreve princípios, uma estrutura e um processo.
Relacionado: ISO 31000
- ISO 37001
Norma certificável para sistemas de gestão antissuborno. Exige avaliar o risco de suborno, controlar terceiros e dispor de canais para comunicar suspeitas.
Relacionado: ISO 37001
M
- Mapa de calor de riscos
Matriz de probabilidade por impacto em que cada risco ocupa uma célula colorida. Mostra de relance quais são críticos e permite comparar o risco inerente com o residual.
Relacionado: Gestão de riscos
- Mapeamento de controlos
Relacionar um mesmo controlo com os requisitos de várias normas (por exemplo ISO 27001, NIS2 e DORA) para o implementar e evidenciar uma só vez.
Relacionado: Conformidade regulamentar
- Matriz de riscos e controlos (RCM)
Tabela que relaciona cada risco com os controlos que o mitigam, o seu responsável, a sua frequência e a evidência esperada. É a base da revisão do controlo interno.
Relacionado: Controlos internos
- Modelo das três linhas
Repartição de funções na gestão de riscos: a primeira linha (as áreas operacionais) gere o risco, a segunda (riscos e conformidade) supervisiona-o e a terceira (auditoria interna) dá uma opinião independente.
Relacionado: Gestão de auditorias
- MTPD (Período máximo tolerável de interrupção)
Tempo a partir do qual parar um processo causa um dano inaceitável à organização. O RTO tem de ser sempre menor.
Relacionado: Continuidade de negócio
N
- Não conformidade
Incumprimento de um requisito da norma ou do próprio sistema de gestão. Classifica-se como maior ou menor e obriga a analisar a causa e a aplicar uma ação corretiva.
Relacionado: Gestão de auditorias
P
- Painel de riscos
Vista que reúne os riscos, os seus indicadores e o estado dos planos de ação, para que a gestão veja de relance onde está a exposição e como evolui.
Relacionado: Relatórios
- PCI DSS
Norma de segurança do setor dos cartões de pagamento. Têm de a cumprir as entidades que armazenam, processam ou transmitem dados de cartões.
Relacionado: PCI DSS
- Plano de ação
Conjunto de tarefas com responsável e prazo para tratar um risco, fechar uma constatação ou corrigir uma não conformidade. O seu acompanhamento mostra que a organização melhora.
Relacionado: Mitigação de riscos
- Plano de continuidade de negócio (BCP)
Documento que descreve como manter ou recuperar os processos críticos após uma interrupção grave: quem decide, o que se ativa e por que ordem.
Relacionado: Continuidade de negócio
- Plano de recuperação de desastres (DRP)
Parte técnica da continuidade: como restaurar os sistemas e os dados após um desastre dentro do RTO e do RPO acordados.
Relacionado: ISO 27031
- Política de segurança
Documento aprovado pela gestão que fixa os objetivos e as regras de segurança da informação. Tudo o resto (normas, procedimentos, controlos) desenvolve-se a partir dela.
Relacionado: Segurança da informação
- Prestador terceiro de serviços de TIC
No DORA, empresa que presta serviços digitais ou de dados a uma entidade financeira. A entidade deve avaliá-lo, incluí-lo no seu registo de informação e prever uma estratégia de saída.
Relacionado: Risco de terceiros
- Privacidade desde a conceção
Princípio do RGPD que obriga a ter em conta a proteção de dados desde que se concebe um produto, serviço ou processo, e não no fim.
Relacionado: Privacidade
R
- Registo das atividades de tratamento
Inventário que o RGPD exige de cada tratamento de dados pessoais: finalidade, categorias de dados, destinatários, prazos de conservação e medidas de segurança.
Relacionado: RGPD
- Regulamento europeu da IA (AI Act)
Regulamento (UE) 2024/1689, a primeira lei geral sobre inteligência artificial. Classifica os sistemas por nível de risco: proíbe alguns usos, impõe obrigações estritas aos de risco elevado e exige transparência noutros.
Relacionado: EU AI Act
- Resiliência operacional
Capacidade de uma organização continuar a prestar os seus serviços importantes perante qualquer interrupção, seja tecnológica, de um fornecedor ou física.
Relacionado: DORA
- Responsável pelo risco (Risk owner)
Pessoa com a responsabilidade e a autoridade para gerir um risco concreto. Decide o seu tratamento e responde pela sua evolução.
Relacionado: Gestão de riscos
- RGPD (Regulamento Geral sobre a Proteção de Dados)
Regulamento (UE) 2016/679, que regula o tratamento de dados pessoais na União Europeia. Exige fundamento jurídico, transparência, segurança e responsabilidade demonstrável.
Relacionado: RGPD
- Risco de terceiros (TPRM)
Risco que chega através de fornecedores, parceiros ou subcontratados. Gere-se avaliando-os antes de contratar, acompanhando-os durante a relação e planeando a saída.
Relacionado: Risco de terceiros
- Risco inerente
Nível de risco antes de aplicar qualquer controlo. Mostra a exposição real se nada funcionasse.
Relacionado: Gestão de riscos
- Risco operacional
Perdas causadas por falhas em processos, pessoas ou sistemas, ou por acontecimentos externos. É um dos riscos que os supervisores da banca e dos seguros mais vigiam.
Relacionado: Banca
- Risco quantitativo
Análise que exprime o risco em dinheiro em vez de escalas de cores, normalmente simulando milhares de cenários com o método de Monte Carlo. Responde a perguntas como «quanto podemos perder num ano?».
- Risco residual
Risco que fica depois de aplicar os controlos. Se continuar acima do apetite de risco, é preciso reforçar o tratamento ou aceitá-lo de forma explícita.
Relacionado: Gestão de riscos
- RPO (Ponto de recuperação objetivo)
Quantidade máxima de dados que se pode perder, medida em tempo. Um RPO de quatro horas obriga a ter cópias de, no máximo, quatro horas antes do incidente.
Relacionado: Continuidade de negócio
- RTO (Tempo de recuperação objetivo)
Prazo máximo para recuperar um processo ou sistema após uma interrupção. Resulta da análise de impacto e deve ser menor do que o MTPD.
Relacionado: Continuidade de negócio
S
- Segregação de funções
Repartir por pessoas diferentes as tarefas que, nas mãos de uma só, permitiriam cometer e ocultar um erro ou uma fraude, como aprovar um pagamento e registá-lo.
Relacionado: Controlos internos
- SGSI (Sistema de gestão de segurança da informação)
Conjunto de políticas, processos e controlos com que uma organização gere a segurança da sua informação de forma sistemática e em melhoria contínua. É o que a ISO 27001 certifica.
Relacionado: ISO 27001
- SOX (Lei Sarbanes-Oxley)
Lei norte-americana de 2002 para as empresas cotadas nos Estados Unidos e as suas filiais. A secção 404 obriga a avaliar e certificar o controlo interno sobre o relato financeiro.
Relacionado: SOX
- Subcontratante
Pessoa ou organização que trata dados pessoais por conta de outra, o responsável pelo tratamento. A relação entre ambos é regulada pelo contrato que o RGPD exige.
Relacionado: Privacidade
T
- TISAX
Esquema de avaliação de segurança da informação do setor automóvel, gerido pela associação ENX e baseado no questionário VDA ISA. Os fabricantes exigem-no aos seus fornecedores.
Relacionado: TISAX
- Tolerância ao risco
Desvio aceitável face ao apetite de risco num objetivo concreto. Traduz o apetite, mais geral, em limites mensuráveis.
Relacionado: Gestão de riscos
- Tratamento do risco
Decisão sobre o que fazer com um risco: reduzi-lo com controlos, transferi-lo (com um seguro, por exemplo), evitá-lo deixando a atividade ou aceitá-lo.
Relacionado: Mitigação de riscos
V
- Violação de dados pessoais
Incidente que provoca a destruição, perda, alteração ou acesso não autorizado a dados pessoais. Segundo o RGPD, se representar um risco para as pessoas deve ser notificada à autoridade de controlo no prazo de 72 horas.
Relacionado: Privacidade
- Vulnerabilidade
Fraqueza de um ativo ou de um controlo que uma ameaça pode aproveitar, como software sem atualizações ou uma palavra-passe partilhada.
Relacionado: Segurança da informação