Consultoria

Governação Corporativa & Compliance

Decisões rastreáveis, riscos conhecidos e uma operação que não para.

Reforçamos controlos, tomada de decisão e conformidade em setores regulados como Saúde, Financeiro, Seguradoras, Energia, Agroindústria, Apostas de Quota Fixa e Telecomunicações. Integramos compliance, gestão de riscos e continuidade de negócio num programa exequível.

ISO 31000
ISO 22301
ISO/IEC 27031
Regulação setorial

Pedido de proposta Falar no WhatsApp(abre num novo separador)

O desafio

Decisões rastreáveis, riscos conhecidos e uma operação que não para.

Obrigações dispersas

Leis, normas setoriais, autorregulação e contratos acumulam-se sem um mapa único de quem responde por quê.

Risco fora da decisão

Quando o risco não tem critério, dono e reporte, não chega à mesa onde as decisões são tomadas.

Plano de continuidade nunca testado

Um plano que nunca foi exercitado só revela as lacunas no dia da crise.

Como ajudamos

Frentes de trabalho

Compliance Regulatório

Objetivo

Assegurar a aderência regulatória e reduzir os riscos de sanções, restrições operacionais e danos reputacionais, estruturando um programa de compliance exequível no dia a dia, com governação, controlos, evidências e monitorização contínua, adequado às exigências de mercados regulados (Saúde, Financeiro, Seguradoras, Energia, Apostas de Quota Fixa e Telecomunicações).

O que fazemos

Mapeamento regulatório e diagnóstico

Levantamento das obrigações aplicáveis (leis, normativos setoriais, autorregulação e contratos).
Análise de lacunas por processo e área, com priorização por risco e criticidade.

Programa de compliance: estrutura e governação

Modelo de governação: papéis, comités, reuniões regulares, reporte e trilhos de decisão.
Política de compliance, código de conduta e diretrizes operacionais por tema.

Controlos e evidências

Desenho e reforço de controlos (preventivos e detetivos) e requisitos de evidência.
Padronização de registos, aprovações, segregação de funções e trilhos de auditoria.

Gestão de riscos de compliance

Metodologia, matriz de riscos, KRIs, KPIs e planos de tratamento.
Gestão de exceções, aceitações e alterações regulatórias com rastreabilidade.

Monitorização, auditorias e melhoria contínua

Testes periódicos de controlos, auditorias internas temáticas e planos de ação.
Acompanhamento de indicadores e revisão da efetividade (ciclo PDCA).

Terceiros e cadeia de fornecimento

Due diligence e requisitos contratuais, incluindo obrigações regulatórias e de conduta.
Monitorização do desempenho e da conformidade dos fornecedores críticos.

Formação e cultura

Percursos por público (liderança, áreas críticas e operação), comunicação e campanhas.
Registo de participação e medição da eficácia.

Preparação para certificações

Objetivo

Preparar a empresa para certificações e exigências técnicas e regulatórias, estruturando governação, processos, controlos e evidências de forma auditável, com o mínimo de retrabalho e o máximo de previsibilidade. A ISO 22301 é certificável; a ISO 31000 é uma norma de orientação e não dá origem a certificado, mas o framework de riscos que orienta é a base que auditorias, fiscalizações e as próprias certificações esperam encontrar.

O que fazemos

ISO 31000: framework de gestão de riscos

Diagnóstico de maturidade e desenho do framework de riscos (princípios, estrutura e processo).
Definição do apetite, da tolerância, dos critérios de risco e da metodologia corporativa.
Implementação do registo de riscos, do plano de tratamento e das reuniões de governação (comités e reporte).
KPIs e KRIs, integração com o planeamento e apoio a auditorias e revisões internas.

ISO 22301: certificação em continuidade de negócio

Readiness e definição do âmbito do SGCN (contexto, requisitos e objetivos).
BIA (Business Impact Analysis), estratégias de continuidade e requisitos de recuperação.
Elaboração e atualização de planos (continuidade, crise, comunicação, testes e lições aprendidas).
Realização de exercícios e testes, ajustes de eficácia e preparação para a auditoria.

Certificações técnicas por mercado

Mapeamento dos requisitos técnicos e regulatórios aplicáveis (por exemplo, Apostas de Quota Fixa no Brasil) e matriz de conformidade.
Estruturação das políticas, planos, normas e procedimentos exigidos, com evidências.
Implementação assistida de controlos, governação e rotinas de monitorização e reporte.
Preparação para inspeções, auditorias e certificações, incluindo dossiês de evidências.

Gestão de Riscos

Objetivo

Implementar e operar um modelo corporativo de Gestão de Riscos alinhado com a ISO 31000, integrando estratégia, processos e governação para apoiar decisões, reduzir incertezas e aumentar a previsibilidade. Estruturamos critérios, papéis, reuniões e indicadores para que o risco seja gerido de forma contínua, com rastreabilidade e foco em resultados.

O que fazemos

Framework ISO 31000: estrutura e processo

Definição da política, dos princípios, do âmbito e da integração com a gestão da empresa.
Modelo de governação: papéis, comités, linhas de defesa e reporte executivo.

Critérios e apetite ao risco

Apetite, tolerância, escalas de impacto e probabilidade e categorias de risco.
Regras para aceitações, exceções, escalonamento e priorização.

Identificação, análise e avaliação

Workshops com as áreas-chave e mapeamento de riscos por processos e objetivos.
Avaliação qualitativa, quantitativa quando aplicável, e consolidação do registo de riscos.

Tratamento e monitorização contínua

Planos de tratamento com responsáveis, prazos, custos e evidências.
KPIs e KRIs, revisão periódica, gestão de alterações e verificação da eficácia.

Padronização e sustentação

Modelos e guias: matriz de risco, registo, plano de ação e relatórios.
Capacitação das áreas e rotinas para manter vivo o ciclo de risco (PDCA).

Continuidade de Negócio

Objetivo

Estruturar e operacionalizar a Continuidade de Negócio para garantir resiliência, redução de impactos e retoma rápida das operações críticas. Combinamos a visão de risco da ISO 31000 com a estrutura de sistema de gestão da ISO 22301 e com a ISO/IEC 27031 (prontidão das TIC para a continuidade de negócio), criando processos, planos e evidências que funcionam na prática e se sustentam ao longo do tempo.

O que fazemos

Estratégia e âmbito (ISO 22301 e ISO/IEC 27031)

Definição do âmbito, do contexto, dos requisitos e dos objetivos do SGCN.
Modelo de governação, papéis, reuniões e comunicação de crise.

BIA e priorização (ISO 22301, ISO/IEC 27031 e ISO 31000)

Condução da BIA: serviços críticos, impactos, dependências e prazos de recuperação.
Requisitos de recuperação (RTO e RPO) e níveis mínimos de serviço.
Integração com o registo de riscos e com o apetite e a tolerância (ISO 31000).

Planos e controlos operacionais

Estratégias de continuidade e contingência por cenário (pessoas, processos, tecnologia e terceiros).
Planos de Continuidade, Gestão de Crise e Comunicação, com checklists e responsabilidades.
Alinhamento com fornecedores críticos e requisitos contratuais de continuidade.

Testes, exercícios e melhoria contínua

Planeamento e realização de exercícios (tabletop e simulações) e testes periódicos.
Registo de lições aprendidas, ações corretivas e verificação da eficácia.
Indicadores e rotina de revisão para manter o programa vivo e auditável.

Auditorias

Objetivo

Avaliar, com independência e evidências, a eficácia da governação, da gestão de riscos e da continuidade de negócio, verificando a aderência à ISO 31000 e à ISO 22301, além dos requisitos de conformidade em mercados regulados. O foco é antecipar pontos críticos antes de auditorias externas e fiscalizações, reduzir a exposição a não conformidades e reforçar a melhoria contínua.

O que fazemos

Auditoria interna de gestão de riscos (ISO 31000)

Revisão do framework: política, papéis, apetite, tolerância e integração com o negócio.
Teste de consistência do processo: identificação, avaliação, tratamento e monitorização.
Validação de evidências: registo de riscos, aceitações, planos e reporte executivo.
Relatório com lacunas, recomendações e plano de ação priorizado pelo risco.

Auditoria interna ISO 22301

Verificação do SGCN: âmbito, contexto, governação e requisitos documentais.
Revisão da BIA, das estratégias de continuidade, dos planos e dos mecanismos de comunicação.
Avaliação de testes e exercícios, lições aprendidas e eficácia das ações corretivas.
Relatório com não conformidades, melhorias e preparação para a auditoria externa.

Auditoria de conformidade em mercados regulados

Mapeamento de obrigações e critérios de auditoria (normas, regras setoriais e exigências técnicas).
Testes de controlos e trilhos de evidência (processos críticos, registos, segregação e reporte).
Avaliação da prontidão para fiscalizações e inspeções, com plano de remediação.

Referências

Normas, leis e frameworks que orientam o trabalho e as evidências.

ISO 31000: Orientações para a gestão de riscos. Orienta o framework; não é certificável.
ISO 22301: Requisitos do Sistema de Gestão de Continuidade de Negócio. Certificável.
ISO/IEC 27031: Prontidão das TIC para a continuidade de negócio.
Regulação setorial: Normativos de cada mercado, como os aplicáveis às Apostas de Quota Fixa no Brasil.

Formação relacionada