GRC, risco, compliance e jurídico

Objetivo e mapa da área

Esta área cobre governance, risco, conformidade e aspetos jurídicos. É composta por quatro hubs ligados: GRC (políticas, controlos, auditorias, findings), Compliance (obrigações, evidências, declarações), Risk (registo de riscos com metodologias estruturadas) e Legal (processos jurídicos e documentos). Cobre os tipos GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING e as entidades jurídicas.

GRC

Para que serve. É o painel GRC (Governance, Risk & Compliance): governação de políticas, controlos, auditorias e findings mapeados nos frameworks normativos.

Quando a usar. Para a visão de conjunto do programa GRC e o acesso aos seus objetos.

Como a abrir. A partir da Home / Security Hub (painel GRC).

O que mostra e como se usa. O painel GRC com os objetos GRC-POLICY (ciclo de vida: rascunho→revisão→aprovação→publicação→atualização→retirada, com declaração), GRC-CONTROL (controlos mapeados nos frameworks: estado, evidências, testes), GRC-AUDIT (planeamento, execução, finding review, relatório) e GRC-FINDING (severidade, owner da remediação, acompanhamento até ao fecho/aceitação do risco).

O que acontece depois. As políticas publicadas exigem declaração; os findings abertos orientam a remediação.

Notas. Os frameworks suportados incluem ISO 27001, NIS2, SOC2, RGPD.

Compliance & Governance

Para que serve. Gere os controlos de compliance mapeados nos frameworks, com estado de conformidade, evidências e testes periódicos.

Quando a usar. Para gerir o conjunto dos controlos e verificar a sua conformidade.

Como a abrir. A partir da área GRC / Legal Hub.

O que mostra e como se usa. A lista dos controlos por framework com estado, evidências e datas de teste.

O que acontece depois. Os controlos não conformes geram findings/ações.

Notas. Complementa o Compliance Workspace (Compliance Workspace).

Compliance Hub

Para que serve. É a entrada no módulo de conformidade da empresa, que reutiliza o motor das campanhas de RH (com a tag module) para obrigações, controlos, evidências e declarações.

Quando a usar. Para escolheres a área de trabalho da conformidade.

Como a abrir. A partir da Home / Security Hub (painel Compliance).

O que mostra e como se usa. Os painéis para as vistas do Compliance Workspace (Compliance Workspace).

O que acontece depois. Abre-se a vista escolhida.

Notas. Módulo do Core que partilha o motor de campanhas com RH.

Compliance Workspace

Para que serve. É a consola de trabalho da conformidade, organizada em vistas.

Quando a usar. Para gerir obrigações, controlos, evidências, auditorias, privacidade e declarações.

Como a abrir. A partir do Compliance Hub (painéis).

O que mostra. As vistas disponíveis:

Vista	Conteúdo
board	Painel de síntese de compliance
adempimenti	Obrigações e prazos
controls	Controlos de conformidade
ccm	Continuous Controls Monitoring
evidence	Evidências recolhidas
gap	Gap analysis
audit	Auditorias de compliance
incidents	Incidentes de compliance
risk	Riscos de conformidade
privacy	Privacidade / RGPD
m231	Modelo 231
cra	Cyber Resilience Act
esg	ESG (sustentabilidade)
regwatch	Monitorização regulamentar
suppliers	Conformidade de fornecedores
training	Formação em compliance
catalog	Catálogo de obrigações/requisitos
aigov / aiasst	AI Governance e assistente de IA

Como se usa. Selecionas a vista; cada vista oferece listas, detalhes e ações próprias (criação de obrigações, recolha de evidências, lançamento de campanhas de declaração, gap analysis). As campanhas de declaração exigem a assinatura de tomada de conhecimento.

O que acontece depois. As obrigações e as evidências alimentam o estado de conformidade; as campanhas geram os pedidos de assinatura.

Notas. O motor das campanhas é partilhado com o Hub RH.

Risk Management Hub

Para que serve. É a entrada na gestão do risco.

Quando a usar. Para aceder ao registo, ao cockpit e às ferramentas de análise do risco.

Como a abrir. A partir da Home / Security Hub (painel Risk).

O que mostra e como se usa. Os painéis para o Risk Cockpit e o Risk Register (e as ferramentas bowtie/FAIR/entity/crosswalk).

O que acontece depois. Abre-se a ferramenta escolhida.

Notas. Cobre IT-RISK e os riscos GRC.

Enterprise Risk Register

Para que serve. É o registo de riscos da empresa: catálogo dos riscos com avaliação e tratamento.

Quando a usar. Para registar, avaliar e monitorizar os riscos.

Como a abrir. A partir do Risk Hub, painel Register.

O que mostra. A lista dos riscos com likelihood, impact, score calculado e plano de tratamento (Accept/Mitigate/Transfer/Avoid), owner e data de revisão; um heat map (probabilidade × impacto) e a exposição por categoria.

Como se usa. Crias/avalias um risco, atribuis o tratamento e o owner, planeias a revisão.

O que acontece depois. Os riscos altos orientam as ações de mitigação e as decisões da direção (Risk Cockpit).

Notas. O score é calculado como likelihood × impact.

Risk Cockpit

Para que serve. É a vista de direção do risco: síntese para a direção.

Quando a usar. Para a monitorização estratégica do perfil de risco.

Como a abrir. A partir do Risk Hub, painel Cockpit.

O que mostra e como se usa. Os KPI de risco agregados, as tendências e os principais riscos, com drill-down.

O que acontece depois. Orienta as decisões da direção sobre o risco.

Notas. Reservado aos papéis de direção (ver Cockpits e vistas de direção).

Risk Bowtie

Para que serve. Executa a análise bow-tie: causas → evento → consequências, com as barreiras preventivas e reativas.

Quando a usar. Para analisar um risco em profundidade e desenhar as barreiras.

Como a abrir. A partir do Risk Hub / do registo.

O que mostra e como se usa. O diagrama bow-tie com causas, evento central, consequências e barreiras; modelas os elementos.

O que acontece depois. As barreiras tornam-se controlos/ações a acompanhar.

Notas. Metodologia qualitativa estruturada.

Risk FAIR

Para que serve. Executa a análise quantitativa FAIR (Factor Analysis of Information Risk): estimativa económica do risco.

Quando a usar. Para quantificar em termos monetários a exposição de um risco.

Como a abrir. A partir do Risk Hub / do registo.

O que mostra e como se usa. Os fatores FAIR (frequência, magnitude) e a distribuição de perda estimada.

O que acontece depois. A quantificação apoia as decisões de tratamento e de seguro.

Notas. Metodologia quantitativa.

Risk Entity

Para que serve. Gere as entidades de risco (objetos/ativos/processos a que os riscos se referem).

Quando a usar. Para ligar os riscos às entidades de referência.

Como a abrir. A partir do Risk Hub.

O que mostra e como se usa. As entidades com os riscos associados.

O que acontece depois. Melhora a rastreabilidade risco↔entidade.

Notas. Complementa o registo.

Compliance Crosswalk

Para que serve. É o crosswalk que mapeia os riscos/controlos nos vários frameworks de compliance (correspondências entre normas).

Quando a usar. Para reutilizar um controlo em vários frameworks e evitar duplicações.

Como a abrir. A partir do Risk Hub / área Compliance.

O que mostra e como se usa. A matriz de correspondência entre controlos e requisitos dos vários frameworks.

O que acontece depois. Reduz o esforço de conformidade multi-framework.

Notas. Liga Risk e Compliance.

Legal Hub

Para que serve. É a entrada na área jurídica: processos, contratos, consentimentos, DSAR, legal hold, assinatura eletrónica.

Quando a usar. Para aceder às ferramentas jurídicas.

Como a abrir. A partir da Home / Security Hub (painel Legal).

O que mostra e como se usa. Os painéis para o Legal Cockpit, as entidades jurídicas (por categoria), os contratos, a KB, o report builder e as ligações a GRC/Risk/PSA.

O que acontece depois. Abre-se a ferramenta escolhida.

Legal Entity

Para que serve. Gere, por categoria, as entidades jurídicas.

Quando a usar. Para tratar processos, consentimentos, DSAR, legal hold e envelopes de assinatura.

Como a abrir. A partir do Legal Hub, painéis por categoria.

O que mostra. As entidades por categoria:

Categoria	Conteúdo
matter	Processo/contencioso jurídico
legal_intake	Receção de pedidos jurídicos
dsar_request	Pedidos DSAR (direitos do titular dos dados, RGPD)
consent_record	Registo dos consentimentos
legal_hold	Bloqueios legais (conservação de documentos)
esign_envelope	Envelopes de assinatura eletrónica

Como se usa. Selecionas a categoria e geres as respetivas entidades (criação, avanço, assinatura).

O que acontece depois. Os processos seguem o seu percurso; os envelopes de assinatura ativam a assinatura eletrónica.

Notas. A gestão documental usa as collections jurídicas.

Legal Cockpit

Para que serve. É a vista de direção jurídica: síntese dos processos e dos indicadores.

Quando a usar. Para a supervisão da área jurídica.

Como a abrir. A partir do Legal Hub, painel Cockpit.

O que mostra e como se usa. Os KPI jurídicos (processos abertos, prazos, exposição) com drill-down.

O que acontece depois. Orienta as prioridades da área jurídica.

Notas. Reservado aos papéis jurídicos/de direção.

Records Management

Para que serve. Governa a conservação dos records (documentais e genéricos) segundo as políticas de retenção.

Quando a usar. Para gerir os records sujeitos a conservação e os legal holds.

Como a abrir. A partir do Legal Hub / Builder.

O que mostra e como se usa. Os records com a sua classe de conservação e estado; os records genéricos podem ser entidades construídas com o Builder (Administração).

O que acontece depois. Os records são conservados/eliminados segundo as regras; os legal holds bloqueiam a sua eliminação.

Notas. Ligado ao legal hold (Legal Entity).

Collections (risk-collections, legal-collections)

Para que serve. Gerem as coleções documentais dos domínios Risk e Legal (conjuntos de documentos/evidências).

Quando a usar. Para organizar e consultar os documentos ligados a riscos e processos jurídicos.

Como a abrir. A partir das páginas Risk/Legal.

O que mostra e como se usa. As coleções com os documentos associados; abertura no visualizador/assinatura.

O que acontece depois. Os documentos alimentam evidências e processos.

Notas. Reutilizam o visualizador de anexos e a assinatura de documentos.