Avaliação de fornecedores: como montar um processo com questionário de segurança
Boa parte dos incidentes de segurança e vazamentos de dados começa em um terceiro: um sistema contratado, um prestador com acesso à rede, um parceiro que recebe uma base de clientes. Por isso, clientes, auditores e reguladores querem saber como a empresa escolhe e acompanha seus fornecedores.
Um processo de avaliação bem montado protege a empresa e, ao mesmo tempo, não trava as contratações. O segredo é proporcionalidade: o nível de exigência acompanha o risco de cada fornecedor.
Por que avaliar fornecedores
Pela LGPD, o fornecedor que trata dados pessoais em nome da empresa é um operador e deve seguir as instruções do controlador (art. 39). Se o operador descumprir a lei ou essas instruções, pode responder solidariamente pelos danos (art. 42), mas a empresa contratante continua responsável perante os titulares e a ANPD.
A ISO 27001:2022 dedica cinco controles do Anexo A ao tema (5.19 a 5.23), cobrindo segurança na relação com fornecedores, cláusulas contratuais, cadeia de suprimentos de TIC, monitoramento de mudanças e serviços em nuvem.
1. Classifique o risco
Antes de enviar qualquer questionário, classifique o fornecedor com poucas perguntas: ele terá acesso a dados pessoais ou sensíveis? Acessa sistemas ou a rede da empresa? É crítico para a operação, a ponto de uma falha parar o negócio? Quantos dados e de quantos titulares?
Com as respostas, defina níveis, por exemplo baixo, médio e alto risco. Um fornecedor de material de escritório não precisa responder às mesmas perguntas de um provedor de nuvem que hospeda a base de clientes.
2. Monte o questionário
O questionário deve ser objetivo e baseado em referências reconhecidas, como ISO 27001, LGPD, NIST e CIS Controls. Para os fornecedores de risco alto, cubra pelo menos:
- políticas de segurança e responsáveis;
- controle de acessos, autenticação em múltiplos fatores e revisões periódicas;
- criptografia de dados em trânsito e armazenados;
- cópias de segurança e continuidade de negócios;
- gestão de vulnerabilidades e atualizações;
- resposta a incidentes e prazo de comunicação ao cliente;
- tratamento de dados pessoais: finalidade, localização, subcontratados e eliminação ao fim do contrato;
- certificações e relatórios independentes, como ISO 27001 ou SOC 2.
3. Peça evidências
Resposta sem evidência vale pouco. Para os itens mais importantes, peça documentos: certificado ISO 27001 válido (e o escopo dele), relatório SOC 2, políticas, resultado de testes de intrusão ou prints de configuração. Registre tudo junto da avaliação, com data, para mostrar a um auditor depois.
4. Aprovação e contrato
Com as respostas e evidências, a área de segurança ou compliance emite um parecer: aprovado, aprovado com ressalvas (com plano de ação e prazo) ou reprovado. Defina quem aprova em cada nível de risco, por exemplo com uma matriz RACI em que compliance é responsável, TI executa a análise técnica e o jurídico aprova as cláusulas.
O contrato deve refletir o que foi avaliado: obrigações de segurança, comunicação de incidentes, direito de auditoria e devolução dos dados. A assinatura digital com trilha de auditoria facilita guardar a prova de aceite.
5. Monitoramento contínuo
A avaliação não termina na contratação. Reavalie periodicamente, com frequência maior para os de alto risco, e sempre que houver mudança relevante no serviço, um incidente ou o vencimento de uma certificação. Indicadores como percentual de fornecedores avaliados, pendências abertas e prazo médio de correção mostram à diretoria como o risco de terceiros está evoluindo.
A Comply360 reúne classificação de risco, questionários ISO e LGPD, evidências, aprovação e assinatura digital em um só fluxo. Conheça a solução de avaliação de fornecedores e parceiros.
Fontes
Links oficiais conferidos em 31 de outubro de 2026.
Quer organizar a conformidade da sua empresa?
Converse com a Comply360 sobre normas, riscos, fornecedores e auditorias.
Leia também
Adequação à LGPD: passo a passo para empresas
Um roteiro prático de adequação à LGPD: mapeamento de dados, bases legais, encarregado, direitos dos titulares, incidentes, contratos e evidências.
ISO 27001: o que é e como se preparar para a certificação
O que é a ISO/IEC 27001:2022, o que mudou nos controles do Anexo A, quem deve buscar a certificação e as etapas até a auditoria.
Por que as empresas precisam de gestão de conformidade
Entenda o que é gestão de conformidade e por que ela reduz riscos legais, protege a reputação, abre portas em contratos B2B e fortalece a governança.