Uma das coisas que as normas têm em comum, além de gerenciamento de ativos e riscos, é a necessidade de elencar as Questões Externas e Internas que podem impactar a organização e desviá-la dos seus objetivos. Por exemplo, na ISO 9001 e na 27001, o tópico 4.1 fala sobre esse assunto.
Em inglês, o termo usado é External and Internal Issues e foi traduzido para o português como Questões Externas e Internas. Lembrando também que, enquanto em português a sigla usada para Sistema de Gestão da Segurança da Informação é SGSI, em inglês é usado ISMS(information security management system).
O item das normas que fala sobre essas questões apresenta requisitos para que a organização planeje e implemente o seu sistema(seja ele Sistema de Qualidade ou de Segurança ou outro qualquer), a partir da análise de objetivos estratégicos da empresa e requisitos e expectativas das partes interessadas. Os requisitos dessa cláusula são divididos em quatro tópicos, comentados a seguir.
Em particular, sempre ficava me perguntando sobre o que eram essas tais de questões. Depois de algumas leituras vi que esse item, que fala sobre questões, exige que a organização considere questões como as necessidades e expectativas das partes interessadas(como clientes, fornecedores e reguladores), o ambiente social, cultural, legal e tecnológico em que opera e os riscos e oportunidades que podem surgir dessas questões. Essas informações são usadas para estabelecer o escopo e os objetivos do SGSI, ou ISMS, e para desenvolver uma estratégia de gerenciamento de riscos. Assim, garantir que a organização adote uma abordagem abrangente e proativa para entender o contexto em que opera, para que possa gerenciar com eficácia os riscos de segurança da informação e proteger a confidencialidade, integridade e disponibilidade de suas informações.
A ISO 31000
Essas questões Internas e Externas são criadas baseadas no que pede a ISO 31000 (uma ISO para gestão de riscos).
Seguem trechos retirados da ISO 31000 que fala sobre tais questões:
Estabelecimento do contexto externo
O contexto externo é o ambiente externo no qual a organização busca atingir seus objetivos.
Entender o contexto externo é importante para assegurar que os objetivos e as preocupações das partes interessadas externas sejam considerados no desenvolvimento dos critérios de risco. O contexto externo é baseado no contexto de toda a organização, porém com detalhes específicos sobre requisitos legais e regulatórios, percepções de partes interessadas e outros aspectos dos riscos específicos para o escopo do processo de gestão de riscos.
O contexto externo pode incluir, mas não está limitado a:
- ambientes cultural, social, político, legal, regulatório, financeiro, tecnológico, econômico, natural e competitivo, quer seja internacional, nacional, regional ou local;
- fatores–chave e tendências que tenham impacto sobre os objetivos da organização; e
- relações com as partes interessadas externas e suas percepções e valores.
Estabelecimento do contexto interno
O contexto interno é o ambiente interno no qual a organização busca atingir seus objetivos.
Convém que o processo de gestão de riscos esteja alinhado com a cultura, processos, estrutura e estratégia da organização. O contexto interno é algo dentro da organização que pode influenciar a maneira pela qual uma organização gerenciará os riscos. Convém que ele seja estabelecido, porque:
- a gestão de riscos ocorre no contexto dos objetivos da organização;
- convém que os objetivos e os critérios de um determinado projeto, processo ou atividade sejam considerados tendo como base os objetivos da organização como um todo; e
- algumas organizações deixam de reconhecer oportunidades para atingir seus objetivos estratégicos, de projeto ou de negócios, o que afeta o comprometimento, a credibilidade, a confiança e o valor organizacional.
É necessário compreender o contexto interno. Isto pode incluir, mas não está limitado a:
- governança, estrutura organizacional, funções e responsabilidades;
- políticas, objetivos e estratégias implementadas para atingi-los;
- capacidades, entendidas em termos de recursos e conhecimento (por exemplo, capital, tempo, pessoas, processos, sistemas e tecnologias);
- sistemas de informação, fluxos de informação e processos de tomada de decisão (formais e informais);
- relações com as partes interessadas internas, e suas percepções e valores;
- cultura da organização;
- normas, diretrizes e modelos adotados pela organização, e
- forma e extensão das relações contratuais.
Exemplos Questões Externas e Internas
Sei que ainda fica muito confuso essa explicação e, por isso, deixo abaixo exemplo para clarear nosso entendimento.
Cito exemplos a seguir levando em conta a ISO 27001 que discorre sobre tecnologia. Então, tenha mente isso: são exemplos sobre tecnologia.
Questões Externas:
- Mudanças na tecnologia que podem impactar a segurança da informação da organização
- Alterações nas leis e regulamentos relacionados à segurança da informação, privacidade de dados ou proteção de dados
- Concorrentes ou agentes de ameaças que podem estar visando os ativos de informação da organização
- Fatores econômicos, políticos ou sociais que podem afetar a capacidade da organização de manter seu SGSI
- Mudanças nos requisitos ou expectativas do cliente relacionadas à segurança da informação
Questões Internas:
- Mudanças na estrutura da organização, como fusões, aquisições ou reestruturações
- Alterações nos processos de negócios da organização que podem afetar a segurança de seus ativos de informação
- Alterações na infraestrutura de tecnologia da organização, como atualizações ou migrações
- Mudanças nas funções e responsabilidades dos funcionários ou contratados que têm acesso aos ativos de informação da organização
- Mudanças no perfil de risco ou apetite de risco da organização com relação à segurança da informação.
Swot
![](https://upload.wikimedia.org/wikipedia/commons/thumb/8/88/SWOT-2.png/300px-SWOT-2.png)
Uma coisa comum é o uso de uma ferramenta chamada de Swot para usar como gerenciador de Questões Externas e Internas. Se a roda existe não precisamos reinventá-la, não é mesmo? Então o uso de uma ferramenta já usada amplamente nos alivia e evita a necessidade de criar algo novo.
O termo SWOT é uma sigla oriunda do idioma inglês, e é um acrônimo de Forças (Strengths), Fraquezas (Weaknesses), Oportunidades (Opportunities) e Ameaças (Threats).
Segundo a Wikipedia:
Análise SWOT ou Análise FOFA (Forças, Oportunidades, Fraquezas e Ameaças em português) é uma técnica de planejamento estratégico utilizada para auxiliar pessoas ou organizações a identificar forças, fraquezas, oportunidades, e ameaças relacionadas à competição em negócios ou planejamento de projetos
wikipedia
Usar a sigla FOFA fica estranho 🙂 vamos manter o SWOT. Trata-se de uma tabela(ou matriz) então chamar de Matrix FOFA ou Matriz Swot é algo comum para alguns usuários.
Estas análises de cenário se dividem em:
Ambiente interno (Forças e Fraquezas) – Integração dos Processos, Padronização dos Processos, Eliminação de redundância, Foco na atividade principal
Ambiente externo (Oportunidades e Ameaças) – Confiabilidade e Confiança nos dados, Informação imediata de apoio à Gestão e Decisão estratégica, Redução de erros.
Ainda segundo a Wikipedia:
As forças e fraquezas são determinadas pela situação atual da empresa e relacionam-se, quase sempre, a fatores internos. Estas são particularmente importantes para que a empresa rentabilize o que tem de positivo e reduza, através da aplicação de um plano de melhoria, os seus pontos fracos. Já as oportunidades e ameaças são antecipações do futuro e estão relacionadas a fatores externos, que permitem a identificação de aspectos que podem constituir constrangimentos (ameaças) à implementação de determinadas estratégias, e de outros que podem constituir-se como apoios (oportunidades) para alcançar os objetivos delineados para a organização.
wikipedia
Esperto que tenha entendido e gostado da explicação.
Comment on “ISOs e Normas: O que São as Questões Externas e Internas?”