{"id":26485,"date":"2022-04-13T21:39:44","date_gmt":"2022-04-13T21:39:44","guid":{"rendered":"https:\/\/building.nubank.com\/reinventing-it-cyber-risk-management-in-the-financial-market\/"},"modified":"2024-03-21T13:38:56","modified_gmt":"2024-03-21T13:38:56","slug":"reinventando-a-gestao-de-risco-cibernetico-e-de-ti-no-mercado-financeiro","status":"publish","type":"post","link":"https:\/\/building.nubank.com\/pt-br\/reinventando-a-gestao-de-risco-cibernetico-e-de-ti-no-mercado-financeiro\/","title":{"rendered":"Reinventando a Gest\u00e3o de Risco Cibern\u00e9tico e de TI no mercado financeiro"},"content":{"rendered":"\n

\u00c0 medida que os processos e rotinas se tornam cada vez mais dependentes de recursos tecnol\u00f3gicos, as empresas ficam mais expostas a Riscos de Ciberseguran\u00e7a e de TI. Assim, elas precisam aprimorar as estruturas de gest\u00e3o de risco para protegerem os clientes, parceiros, funcion\u00e1rios e a si mesmas de amea\u00e7as.<\/p>\n\n\n\n

Est\u00e1 claro que nenhuma empresa est\u00e1 isenta de riscos, portanto, existem rigorosas estruturas de gest\u00e3o de risco que as elas adotam para sistematizar as poss\u00edveis vari\u00e1veis que afetam os neg\u00f3cios e para prever cen\u00e1rios espec\u00edficos, a fim de minimizar perdas. <\/p>\n\n\n\n

Com o intuito de elevar a gest\u00e3o de risco no Nubank, n\u00f3s formamos uma equipe bastante diversificada e colaborativa para inovar a gest\u00e3o de riscos de TI e de Ciberseguran\u00e7a, al\u00e9m de orientar e apoiar as \u00e1reas de neg\u00f3cios e tecnologia da melhor forma poss\u00edvel.<\/p>\n\n\n\n

O modelo de tr\u00eas linhas para a gest\u00e3o de riscos<\/h2>\n\n\n\n

O Nubank tem um processo r\u00edgido de governan\u00e7a e gest\u00e3o de risco. Como a maioria das empresas pelo mundo, ele opera no modelo de tr\u00eas linhas, uma estrutura<\/a> padr\u00e3o projetada pelo IIA, O Instituto de Auditores Internos, tamb\u00e9m conhecido como \u201co modelo de tr\u00eas linhas de defesa\u201d<\/em>.<\/p>\n\n\n\n

Esse modelo ajuda a identificar as melhores estruturas e processos que auxiliam no cumprimento de objetivos e facilitam uma r\u00edgida governan\u00e7a<\/strong> e gest\u00e3o de risco. Como o nome diz, ele \u00e9 composto por tr\u00eas linhas, ou equipes, que trabalham juntas em um objetivo comum, com suas respectivas responsabilidades.<\/p>\n\n\n\n

Em outras palavras, assim como no futebol moderno, onde todos os jogadores participam da defesa quando necess\u00e1rio, o modelo de tr\u00eas linhas coloca todos os membros da empresa como jogadores respons\u00e1veis pela gest\u00e3o de risco<\/strong>, cada um com fun\u00e7\u00f5es espec\u00edficas.<\/p>\n\n\n\n

Primeira linha<\/h2>\n\n\n\n

Ao falar da primeira linha de defesa, nos referimos a todas as equipes respons\u00e1veis pelas \u00e1reas de neg\u00f3cios, opera\u00e7\u00f5es, tecnologia e suporte. Essa linha tem a fun\u00e7\u00e3o de desenvolver e implementar controles, pol\u00edticas e gerenciar os riscos.<\/p>\n\n\n\n

Voltando \u00e0 met\u00e1fora do futebol, as equipes da primeira linha est\u00e3o nas posi\u00e7\u00f5es de ataque<\/strong>: elas s\u00e3o respons\u00e1veis por marcar os gols, driblar os advers\u00e1rios, criar \u00f3timos produtos e vend\u00ea-los. Al\u00e9m disso, identificam, avaliam, controlam e minimizam os riscos.<\/p>\n\n\n\n

Segunda linha<\/h2>\n\n\n\n

A segunda linha envolve as \u00e1reas de Gest\u00e3o de Risco, Controles Internos e Compliance, a\u00e0 qual pertence a equipe de Risco de TI. Ela busca garantir que a empresa tenha uma visibilidade adequada dos riscos relevantes, um ambiente de controle eficaz<\/strong> para riscos e que estes sejam bem geridos. \u00c9 respons\u00e1vel por propor pol\u00edticas de gest\u00e3o de risco, desenvolvendo modelos e metodologias, al\u00e9m de avaliar e supervisionar a primeira linha sob a perspectiva do risco.<\/p>\n\n\n\n

Quando analisamos essas equipes sob a perspectiva da met\u00e1fora do futebol, a segunda linha joga no meio de campo, dando assist\u00eancia com a gest\u00e3o de riscos e, como os meio-campistas, elas transitam entre as linhas para garantir que tudo esteja fluindo bem. Dependendo da estrat\u00e9gia, elas podem atacar ou defender mais, a fim de apoiar os objetivos da equipe. <\/p>\n\n\n\n

Terceira linha<\/h2>\n\n\n\n

Por fim, a terceira linha, composta pela Auditoria Interna, \u00e9 respons\u00e1vel por avaliar de forma independente e peri\u00f3dica, se as pol\u00edticas, m\u00e9todos e procedimentos est\u00e3o implementados adequada e efetivamente para garantir a efic\u00e1cia da governan\u00e7a e da gest\u00e3o de risco. <\/p>\n\n\n\n

A terceira linha \u00e9 o goleiro do nosso time de futebol; a \u00faltima linha de defesa, que age de forma independente. Al\u00e9m de fazer parte do time, ele atua para impedir que o advers\u00e1rio fa\u00e7a gols e garantir adequa\u00e7\u00e3o e implementa\u00e7\u00e3o de controles de risco.<\/p>\n\n\n\n

Por ser uma empresa diferenciada, esse modelo tradicional n\u00e3o foi suficiente para atender \u00e0s nossas necessidades, considerando nosso extenso uso de tecnologias, crescimento acelerado e apetite pelo risco. Nosso principal valor no Nubank \u00e9 \u201cBuscar a Efici\u00eancia Inteligente\u201d, por isso estamos sempre inovando at\u00e9 na nossa organiza\u00e7\u00e3o interna. <\/p>\n\n\n\n

Isso mesmo, n\u00f3s usamos essa metodologia tradicional, contudo, tamb\u00e9m inovamos em busca de adapta\u00e7\u00f5es para a nossa realidade visando alcan\u00e7ar nossos objetivos. <\/p>\n\n\n\n

\"Reinventing
Tr\u00eas linhas de defesa trabalhando em equipe na sede do Nubank, em S\u00e3o Paulo, Brasil. 
<\/figcaption><\/figure>\n\n\n\n

A segunda linha tradicional e nossa forma de us\u00e1-la<\/h2>\n\n\n\n

Seguindo as metodologias tradicionais, as linhas de defesa t\u00eam um escopo espec\u00edfico, com todos os processos definidos. Esse modelo tradicional \u00e9 muito eficaz, mas devido \u00e0 falta de integra\u00e7\u00e3o entre as equipes, o trabalho pode se sobrepor e consumir mais tempo da primeira linha. Todos esses obst\u00e1culos no ciclo de desenvolvimento geram atritos e atrasos que prejudicam o crescimento das empresas de tecnologia que crescem rapidamente. <\/p>\n\n\n\n

Analisando o modelo tradicional, vemos que as equipes da segunda linha est\u00e3o focadas intensamente nos processos de neg\u00f3cios e t\u00eam um alcance t\u00e9cnico limitado. Elas tamb\u00e9m costumam ter pouca integra\u00e7\u00e3o com as equipes de risco, ciberseguran\u00e7a e engenharia, e acabam trabalhando isoladas, com um escopo de trabalho bem definido.  <\/p>\n\n\n\n

Esse modelo pode funcionar para a maioria das empresas, mas usar apenas essas metodologias \u00e9 impratic\u00e1vel para uma empresa de tecnologia como o Nubank. Para atender nossas demandas, n\u00f3s adaptamos os modelos tradicionais e criamos a nossa pr\u00f3pria metodologia. Operamos em uma l\u00f3gica de risco por design, assim a segunda linha fica envolvida em projetos relevantes desde o in\u00edcio. <\/p>\n\n\n\n

Divis\u00e3o em tr\u00eas esquadr\u00f5es<\/h2>\n\n\n\n

Para fornecer o melhor \u00e0 primeira linha, a equipe de Risco de TI \u00e9 dividida em tr\u00eas esquadr\u00f5es<\/strong>, juntamente com as equipes nos outros pa\u00edses onde o Nubank opera. <\/p>\n\n\n\n