A política de compliance em TI muitas vezes pode ser confundida com políticas de segurança digital. As duas devem ser tratadas como estratégias complementares nas instituições para promoção de ambiente adequado de operações. O conjunto de políticas internas e externas, boas práticas e regras da organização denominado compliance deve garantir
- A)que fornecedores, parceiros comerciais e todos os afiliados tenham uma postura flexível contra riscos e que minimizem o risco de afetar a organização.
Errada, porque descreve postura genérica de terceiros diante de riscos, algo mais ligado a gestão de fornecedores e risco operacional do que a compliance.
- B)os processos, estruturas e políticas destinados a gerenciar e monitorar as atividades da empresa.
Errada, porque essa definição se aproxima de governança corporativa, que trata de processos, estruturas e políticas para dirigir e monitorar a organização.
- C)o monitoramento do risco de reputação, que significa a implementação de ações contra qualquer coisa que possa interromper, alterar ou afetar as operações de uma empresa e seus processos.
Errada, porque mistura risco de reputação com continuidade de negócios e resposta a incidentes, sem definir o foco de conformidade normativa.
- D)que as atividades de uma organização operem de forma alinhada aos regulamentos e às leis, especialmente quanto ao uso de tecnologia e dados.
Certa, porque compliance busca garantir que a organização atue em conformidade com leis, regulamentos e regras internas, inclusive no uso de tecnologia e dados.
- E)que os riscos são gerenciados, de acordo com as políticas, de forma contínua para seu manejo e sua redução por meio de controles.
Errada, porque fala em gestão contínua de riscos e controles, o que é mais associado à gestão de riscos de segurança da informação do que ao conceito de compliance.
Gabarito: D
Compliance em TI é, em essência, o conjunto de regras, controles e boas práticas que faz a organização jogar dentro das linhas, sem surpresas desagradáveis com lei, norma, contrato ou regulamento. Pense nele como o “fiscal interno” da empresa: ele não serve só para evitar multa, mas para mostrar que a instituição sabe o que pode fazer, como pode fazer e quem responde por isso. Em segurança da informação, isso anda junto com políticas de segurança digital, porque não basta proteger dados e sistemas: também é preciso agir conforme as exigências legais e regulatórias.