RACI organiza quem faz e DACI organiza quem decide.
Em Segurança da Informação, muitos problemas de governança não estão na ausência de processos, mas na falta de clareza sobre responsabilidade e autoridade.
Quem executa?
Quem responde pelo resultado?
Quem precisa ser consultado?
E, principalmente, quem tem autoridade para decidir?
A RACI ajuda a organizar responsabilidades na execução. Pode ser aplicada em processos como gestão de vulnerabilidades, TPRM, auditorias, continuidade e tratamento de riscos.
A DACI entra quando precisamos estruturar uma decisão: quem conduz, quem aprova, quem contribui e quem precisa ser informado.
Um detalhe merece atenção: o “A” muda de significado.
🔸 RACI: Accountable - responde pelo resultado.
🔸 DACI: Approver - possui autoridade para aprovar.
Essa diferença fica especialmente importante na aceitação de riscos.
GRC pode conduzir a análise, consolidar evidências, questionar premissas e recomendar um tratamento. Isso não significa que GRC deva ser quem aceita o risco.
A decisão deve seguir a alçada definida pela organização, considerando o nível de risco e o apetite de risco aprovado.
Na prática, vale verificar cinco pontos:
🔹A matriz de alçadas está formalmente definida?
🔹O responsável pelo risco está claramente identificado?
🔹Quem aprova possui autoridade compatível com a faixa de risco?
🔹A decisão e suas condições ficam registradas?
🔹As exceções possuem prazo e revisão definidos?
Essa separação ajuda a evitar um problema bastante comum: ter responsabilidade definida, mas não ter autoridade para decidir, ou ter autoridade sem uma responsabilidade claramente atribuída.
RACI e DACI não substituem a governança de riscos. Mas podem ajudar a torná-la mais clara e, principalmente, mais praticável.
Governança não é apenas definir controles. É deixar claro quem executa, quem responde e quem decide.
Em Segurança da Informação, muitos problemas de governança não estão na ausência de processos, mas na falta de clareza sobre responsabilidade e autoridade.
Quem executa?
Quem responde pelo resultado?
Quem precisa ser consultado?
E, principalmente, quem tem autoridade para decidir?
A RACI ajuda a organizar responsabilidades na execução. Pode ser aplicada em processos como gestão de vulnerabilidades, TPRM, auditorias, continuidade e tratamento de riscos.
A DACI entra quando precisamos estruturar uma decisão: quem conduz, quem aprova, quem contribui e quem precisa ser informado.
Um detalhe merece atenção: o “A” muda de significado.
🔸 RACI: Accountable - responde pelo resultado.
🔸 DACI: Approver - possui autoridade para aprovar.
Essa diferença fica especialmente importante na aceitação de riscos.
GRC pode conduzir a análise, consolidar evidências, questionar premissas e recomendar um tratamento. Isso não significa que GRC deva ser quem aceita o risco.
A decisão deve seguir a alçada definida pela organização, considerando o nível de risco e o apetite de risco aprovado.
Na prática, vale verificar cinco pontos:
🔹A matriz de alçadas está formalmente definida?
🔹O responsável pelo risco está claramente identificado?
🔹Quem aprova possui autoridade compatível com a faixa de risco?
🔹A decisão e suas condições ficam registradas?
🔹As exceções possuem prazo e revisão definidos?
Essa separação ajuda a evitar um problema bastante comum: ter responsabilidade definida, mas não ter autoridade para decidir, ou ter autoridade sem uma responsabilidade claramente atribuída.
RACI e DACI não substituem a governança de riscos. Mas podem ajudar a torná-la mais clara e, principalmente, mais praticável.
Governança não é apenas definir controles. É deixar claro quem executa, quem responde e quem decide.
Nenhum comentário:
Postar um comentário