08
Perguntas
Norma ISO 31000 · Diretrizes, sem certificação
A gestão do risco, com método e critério.
A ISO 31000 são as diretrizes internacionais da gestão do risco: princípios, um quadro de gestão e um processo para identificar, analisar, avaliar e tratar o risco. Não se certifica. É o método por trás da análise de risco que a NIS2, a ISO 27001 e o DORA exigem.
Instrumento
A matriz de risco e os seus limites
Escolha a célula que descreve um risco da sua atividade. A matriz classifica. O que a classificação obriga a fazer é decisão da organização, tomada antes, nos critérios de risco.
O risco em que está a pensaropcional
Probabilidade
Quase certa
Provável
Possível
Pouco provável
Rara
InsignificanteMenorModeradoMaiorGrave
ImpactoModeradoProbabilidade possível, impacto moderadoTrata-se quando o esforço o justificar. Requer responsável, prazo e medida documentada.
Esta escala é uma ilustração, não um critério da N4A. Na ISO 31000 os critérios de risco são da organização e definem-se no quadro de gestão, antes de qualquer classificação. Se a ordem for invertida, classificando primeiro e definindo depois o significado da classificação, a matriz passa a servir para justificar decisões já tomadas.
Na União Europeia, 75,62 % das grandes empresas fazem avaliação de risco das TIC, contra 29,35 % das pequenas. Eurostat, 2024.
Fonte: ISO 31000:2018, processo de gestão do risco, passo de avaliação do risco Ver a fonte →
01
A ISO 31000 não se certifica. É o método de gestão do risco em que assenta a avaliação de risco da ISO 27001.
A ISO 31000 descreve como uma organização integra a gestão do risco na tomada de decisão: princípios (integrada, estruturada, à medida, inclusiva, dinâmica, baseada na melhor informação), um quadro que a liderança assume e um processo com passos definidos, do contexto e dos critérios de risco à identificação, análise, avaliação, tratamento, monitorização e reporte.
É uma norma de diretrizes, não de requisitos, e por isso não existe certificação ISO 31000 para organizações. O que existe é aplicá-la bem, e poder demonstrá-lo: à administração, que tem de justificar decisões, ao auditor da ISO 27001, que vai pedir a avaliação de risco, e à autoridade da NIS2, que exige uma abordagem a todos os perigos. É esse o serviço da N4A: consultoria e auditoria interna de gestão do risco, conduzidas por um auditor certificado em ISO 31000.
02
Para quem
Quem procura a ISO 31000.Quatro situações em que a norma se torna necessária.
01
Administrações que têm de justificar decisões
Aceitar, transferir, reduzir ou evitar um risco é uma decisão de gestão. A norma dá o método para a tomar e para a defender perante o regulador ou os acionistas.
02
Quem prepara a ISO 27001
A avaliação de risco é o elemento central do SGSI. Feita segundo a ISO 31000, resiste à auditoria de certificação e serve o negócio, não só o certificado.
03
Entidades abrangidas pela NIS2 e pelo DORA
As duas exigem gestão de risco documentada e proporcional. A norma é a referência que os supervisores conhecem.
04
Quem tem vários sistemas de gestão
Qualidade, ambiente, segurança, continuidade: todos pedem avaliação de risco. Um único método evita quatro registos de risco incompatíveis.
03
O que a norma orienta
O que caracteriza uma gestão do risco implementada.Seis pontos, pela ordem da norma. Assinale o que a sua organização já tem e leve a lista do que falta para a reunião.
01
Princípios
A gestão do risco integrada na atividade, estruturada, à medida da organização, inclusiva, dinâmica e assente na melhor informação disponível.
Evidência de implementaçãoA gestão do risco aparece nas decisões e nos processos, não só num documento.
02
Quadro de gestão do risco
Liderança e compromisso, integração nos processos, conceção, implementação, avaliação e melhoria do próprio quadro.
Evidência de implementaçãoPolítica de gestão do risco, responsabilidades e apetite ao risco aprovados pela gestão.
03
Âmbito, contexto e critérios
O que se avalia, em que contexto interno e externo, e com que critérios se decide o que é aceitável.
Evidência de implementaçãoCritérios de risco definidos e escritos antes da avaliação.
04
Identificação, análise e avaliação
Que riscos existem, com que probabilidade e consequência, e como se comparam com os critérios definidos para decidir o tratamento.
Evidência de implementaçãoRegisto de risco com probabilidade, consequência e avaliação face aos critérios.
05
Tratamento do risco
Evitar, reduzir, partilhar ou aceitar, com planos de tratamento, responsáveis e prazos. A decisão fica registada e justificada.
Evidência de implementaçãoPlanos de tratamento com responsáveis, prazos e decisão justificada.
06
Monitorização, registo e reporte
Os riscos revistos ao ritmo da atividade, os registos mantidos e a informação a chegar a quem decide.
Evidência de implementaçãoRevisões periódicas registadas e reporte à gestão.
Marque o que já tem.Cada ponto indica a evidência que o auditor externo vai pedir, que é o critério para aferir se está cumprido.
Levar esta lista à reunião →04
Como trabalhamos
Como trabalhamos a gestão do risco consigo.
01
Diagnóstico da gestão do risco
Como a organização identifica e decide hoje sobre o risco, com que registos e com que critérios. Onde está face às diretrizes.
02
Quadro e critérios de risco
Política, responsabilidades, apetite ao risco e critérios de avaliação definidos com a gestão de topo, à medida da organização.
03
Processo aplicado
Identificação, análise, avaliação e tratamento dos riscos reais, com o registo de risco que a ISO 27001, a NIS2 ou o DORA vão pedir.
04
Auditoria interna de gestão do risco
Conduzida por um auditor certificado em ISO 31000: o processo é seguido, as decisões estão justificadas, os registos resistem a uma auditoria externa.
05
O ritmo recomendado
O risco revê-se ao ritmo das decisões.
Antes
Critérios de risco definidos com a gestão antes de avaliar.
Trimestral
Revisão do registo de risco e dos planos de tratamento.
Anual
Revisão do quadro de gestão do risco pela gestão de topo.
Sempre
Antes de decisões relevantes: novo fornecedor, novo sistema, nova atividade.
06
ISO 31000 + ISO 27001 + NIS2
A avaliação de risco que a 27001 e a NIS2 exigem.
A ISO 27001 pede uma avaliação de risco da segurança da informação e o tratamento dos riscos identificados. A NIS2 exige medidas proporcionais ao risco e uma abordagem a todos os perigos. Nenhuma diz como se avalia o risco. A ISO 31000 diz, e é a referência que os auditores e as autoridades esperam encontrar por trás do registo de risco.
Ver a certificação ISO 27001 →ISO/IEC 27001, cláusula 6.1Avaliação e tratamento do risco da segurança da informação com método reconhecido.
NIS2, art. 21.º, abordagem a todos os perigosAnálise de risco proporcional e demonstrável perante a autoridade.
DORA, quadro de gestão do risco das TICCritérios, registo e reporte do risco que o supervisor espera.
07
O risco gerido por especialistas certificados ISO 31000, com critérios definidos pela gestão antes de avaliar.
20+anos em segurança da informação, desde 2006
30+consultores e auditores no grupo
15normas e regulamentos na carta de serviços
A ISO 31000 não é certificável: demonstra-se pela aplicação nos processos e pela auditoria interna, que é o que o auditor da 27001 e a autoridade da NIS2 vão pedir. As certificações da equipa →
O que ganho em aplicar a ISO 31000?+
Decisões de risco com método, defendidas perante a administração, o auditor e a autoridade. Não confere certificado, e esta página indica-o. Dá o que a ISO 27001, a NIS2 e o DORA exigem sem dizer como: a análise de risco. Na União Europeia, 30 % das entidades NIS2 não fizeram uma avaliação de cibersegurança no último ano, e só 29,35 % das pequenas empresas fazem avaliação de risco das TIC.
O que é a ISO 31000?+
São as diretrizes internacionais da gestão do risco: princípios, um quadro de gestão e um processo para identificar, analisar, avaliar, tratar, monitorizar e reportar o risco, integrado na tomada de decisão da organização.
A ISO 31000 é certificável?+
Não. É uma norma de diretrizes, não de requisitos, e por isso não existe certificação ISO 31000 para organizações. O que existe é aplicá-la e demonstrá-lo. O serviço da N4A é consultoria e auditoria interna de gestão do risco, conduzidas por um auditor certificado em ISO 31000.
Qual é a utilidade, se não há certificado?+
Serve para as decisões de risco serem tomadas com método e ficarem justificadas. E serve às normas e leis que exigem avaliação de risco sem dizer como: a ISO 27001, a NIS2, o DORA, a ISO 22301. A avaliação de risco feita segundo a ISO 31000 é a que resiste ao auditor e ao supervisor.
Qual é a relação com a ISO 27001?+
A ISO 27001 exige uma avaliação e um tratamento do risco da segurança da informação e remete para a ISO 31000 como referência de método. A avaliação de risco é a peça do SGSI que o auditor de certificação mais examina.
A NIS2 exige gestão de risco?+
Sim. O artigo 21.º exige medidas técnicas, operacionais e organizativas adequadas e proporcionais ao risco, com uma abordagem a todos os perigos, e políticas de análise de risco. A ISO 31000 é o método para essa análise ser consistente e demonstrável perante a autoridade.
Ver também
Enquadramentos relacionados.
Saiba como está hoje a gestão do risco.
Uma reunião com quem conduz as auditorias, para determinar o que já está implementado, o que falta e por que ordem.
Agendar reunião →