Como funciona na plataforma
Sai a planilha de fornecedores, entra um cadastro vivo. Cada terceiro tem sua ficha, sua classificação e o histórico completo de avaliações e decisões.
Cadastro centralizado
Todos os terceiros em um só lugar, segmentados por especialidade e criticidade.
Questionários
Modelos de mercado como SIG e CAIQ, além de questionários padrão e personalizados.
Portal do fornecedor
O terceiro responde e envia evidências por um portal externo, sem troca de e-mails.
Aprovação multi-área
Fluxos de aprovação para Compras, Segurança da Informação e Jurídico.
Cyber Rating e KRIs
Painéis com criticidade e indicadores de risco para a liderança decidir.
Planos de ação
Pendências dos fornecedores críticos acompanhadas até o fechamento.
Trilha de auditoria, evidências e exportação
Quando um auditor pergunta como a empresa avaliou um fornecedor, a resposta precisa estar pronta. No TPRM, ela está registrada por terceiro.
- Gestão de evidências com trilha de auditoria para cada avaliação.
- Reavaliação disparada por evento e por criticidade, não só por calendário.
- Histórico do onboarding ao offboarding, com a evidência de cada etapa.
- Apoio ao alinhamento com LGPD Art. 39, ISO 27036 e a regulação setorial aplicável.
Três dimensões de avaliação
Privacidade e proteção de dados
Volume e sensibilidade dos dados, encarregado, ROPA, RIPD, cláusulas contratuais e transferência internacional.
Segurança da informação
Aderência a ISO 27001, NIST CSF e PCI DSS, gestão de acessos, vulnerabilidades, criptografia, resposta a incidentes e backups.
Integridade
Antecedentes, reputação, relação com o poder público, estrutura de integridade e aderência contratual.
Como a plataforma se adapta à cadeia
Obras e empreiteiros
Subcontratados avaliados em obrigações trabalhistas, segurança e integridade antes e durante a obra.
Setores regulados
Prestadores relevantes avaliados conforme o regulador de energia, utilities e finanças.
Tecnologia e dados
Nuvem, SaaS e processadores de dados avaliados em segurança e privacidade.
Onde entra a consultoria
A plataforma organiza a rotina; montar o programa pede método. Os especialistas Autoritas podem apoiar em três frentes, contratadas juntas ou separadas:
- Estruturação: diagnóstico do processo atual, matriz de riscos, política e desenho do fluxo.
- Avaliação contínua: avaliações sob demanda nas três dimensões, com relatórios de risco.
- Capacitação dos times que operam o programa.
Do diagnóstico à operação
- 1
Diagnóstico · Início
Leitura do processo atual e relatório com o ponto de partida.
- 2
Desenho · Estruturação
Matriz de riscos, lista de controles e política de terceiros.
- 3
Implantação · 4 a 8 semanas
Fluxo do ciclo de vida do terceiro configurado na plataforma.
- 4
Treinamento · Contínuo
Sessões e material de apoio para quem opera o programa.
A estruturação completa leva de 12 a 20 semanas; a avaliação contínua pode começar a partir do terceiro mês.
Para quem é
- Empresas com cadeia relevante de terceiros
- Setores regulados (financeiro, saúde, energia)
- Empresas que compartilham muitos dados com fornecedores
- Organizações a caminho da ISO 27001 ou ISO 37001
- Multinacionais com programa global de fornecedores
Quando ainda não é o momento
- Empresas com poucos terceiros e nenhum deles crítico
- Quem prefere continuar na planilha
Conectado aos outros módulos
vDPO — Privacidade e LGPD
Operadores de dados avaliados e ligados ao programa de privacidade.
vCISO — Segurança da informação
Riscos de segurança da cadeia dentro da estratégia de segurança.
vCAIO — Governança de IA
Fornecedores que usam IA avaliados sob a mesma governança.
Plataforma GRC Autoritas
Riscos, controles e evidências de todos os módulos em uma visão.
O serviço da Tripla
Se você precisa principalmente de apoio consultivo para desenhar e conduzir o programa de terceiros, conheça a consultoria de TPRM da Tripla. O software descrito aqui é onde esse programa passa a funcionar no dia a dia.
Operação e estrutura da Tripla, certificada ISO/IEC 27001, 22301 e 20000-1 (Vanzolini), com +200 empresas atendidas.
Guias relacionados
Perguntas frequentes
TPRM (Third-Party Risk Management) é a gestão contínua dos riscos trazidos por fornecedores, prestadores e parceiros. Importa porque a falha de um terceiro pode virar responsabilidade da contratante sob a LGPD, a Lei Anticorrupção e regras setoriais.
Checar documentos confirma o mínimo no momento da contratação. O TPRM classifica cada terceiro por risco e o acompanha ao longo da relação em privacidade, segurança e integridade, com critérios que podem ser auditados.
Sim. A dimensão de integridade avalia antecedentes, relação com o poder público e estrutura de integridade, gerando o registro de diligência previsto na Lei 12.846/2013.
Sim. Apoia a gestão de fornecedores e prestadores relevantes exigida pelo regulador, incluindo serviços de processamento e nuvem tratados na Resolução CMN 4.893.
De dezenas a milhares. O que define quem entra no programa é a criticidade, não o volume total da base de fornecedores.
A cadeia de terceiros classificada por criticidade, Cyber Rating, KRIs, avaliações em andamento e planos de ação abertos para fornecedores críticos.
Internamente, o acesso é por papel (RBAC), com fluxos de aprovação para Compras, Segurança da Informação e Jurídico. Fornecedores usam um portal externo para responder questionários e enviar evidências.
Respostas, evidências, aprovações e reavaliações ficam registradas por terceiro, com versões e responsáveis, do cadastro ao encerramento da relação.
Sim. A gestão de evidências com trilha de auditoria reúne o que foi avaliado, quando e por quem, que é o que auditorias e fiscalizações pedem sobre a cadeia de fornecedores.
Dentro da Autoritas, operadores de dados alimentam o vDPO, riscos de segurança da cadeia vão para o vCISO e fornecedores que usam IA passam pelo vCAIO. A integração com ERP e ferramentas de compras é avaliada no diagnóstico inicial.
Quer ver o TPRM funcionando?
Peça uma demonstração do cadastro, do portal do fornecedor e dos painéis, ou fale com um especialista Autoritas sobre a sua cadeia.