Building a vendor risk process at a digital agencyUm processo de risco de fornecedores numa agência digital
How I designed a proportional vendor risk process for a small agency that handles highly sensitive political data, and applied it to seven vendors, three of them critical.
Como desenhei um processo proporcional de risco de fornecedores para uma pequena agência que trata dados políticos muito sensíveis, e o apliquei a sete fornecedores, três deles críticos.
- OrganizationOrganização
- Digital marketing agency, around 18 core staff growing to about 25 with on-demand freelancers during election periods, fully remote, running campaigns for political organizationsAgência de marketing digital, cerca de 18 pessoas fixas e até 25 com freelancers em períodos eleitorais, totalmente remota, com campanhas para organizações políticas
- My roleO meu papel
- Led the company's first information security program based on ISO/IEC 27001:2022 and designed its vendor risk processLiderei o primeiro programa de segurança da informação da empresa, baseado na ISO/IEC 27001:2022, e desenhei o processo de risco de fornecedores
- ScopeÂmbito
- Vendor classification, due diligence, minimum contract clauses, adoption of new tools (including generative AI), annual reviewClassificação de fornecedores, due diligence, cláusulas contratuais mínimas, adoção de novas ferramentas (incluindo IA generativa), revisão anual
- FrameworksReferenciais
- ISO/IEC 27001:2022 (clause 8.1, controls A.5.19 to A.5.23), Brazilian data protection law (LGPD)ISO/IEC 27001:2022 (cláusula 8.1, controlos A.5.19 a A.5.23), lei brasileira de proteção de dados (LGPD)
- Status
- Policy and models designed in August 2025; applied to 7 vendors, 3 of them critical; ISO/IEC 27001 program now in implementation and monitoringPolítica e modelos desenhados em agosto de 2025; aplicados a 7 fornecedores, 3 deles críticos; programa ISO/IEC 27001 agora em implementação e monitorização
ContextContexto
The agency handles client and voter data for political campaigns across Brazil; by its own public figures, it collected more than 1.5 million data records in the 2022 and 2024 election cycles. Some clients compete with each other, and data that reveals political opinions is among the most sensitive data a company can hold. At the same time, the team depends on cloud tools, including generative AI, to deliver work fast.
A agência trata dados de clientes e de eleitores em campanhas políticas por todo o Brasil; segundo os seus próprios números públicos, recolheu mais de 1,5 milhões de registos nos ciclos eleitorais de 2022 e 2024. Alguns clientes concorrem entre si, e dados que revelam opiniões políticas estão entre os mais sensíveis que uma empresa pode ter. Ao mesmo tempo, a equipa depende de ferramentas na cloud, incluindo IA generativa, para trabalhar depressa.
That combination defines the vendor risk problem: every tool that touches client data becomes part of the agency's attack surface, and the agency stays accountable to clients and data subjects for whatever it shares with a vendor.
Esta combinação define o problema: cada ferramenta que toca em dados de clientes passa a fazer parte da superfície de ataque da agência, e a agência continua responsável perante clientes e titulares por tudo o que partilha com um fornecedor.
Objective. Design a vendor risk process that fits a small company: strict where the data is sensitive, light everywhere else, and simple enough that the team would actually follow it.
Objetivo. Desenhar um processo de risco de fornecedores à medida de uma empresa pequena: exigente onde os dados são sensíveis, leve no resto, e simples o suficiente para a equipa o cumprir de facto.
ApproachAbordagem
- Start from interested parties (clause 4.2). I mapped 21 internal and external parties on a power and interest matrix. This showed which external parties hold or touch the agency's information and set the scope for vendor risk.
- Classify vendors by impact on information, not by spend. Three tiers: Critical, Relevant, Low.
- Make due diligence proportional to the tier. Critical vendors get a full questionnaire and risk assessment; low-impact vendors get none.
- Define minimum contract clauses per tier. A reference table the external lawyer uses when drafting or reviewing contracts.
- Write a specific path for new tools, including AI. What the team can do while an assessment is pending, and what happens if a vendor never signs.
- Close the loop. Annual review of Critical vendors, reassessment triggers and two simple KPIs.
- Partir das partes interessadas (cláusula 4.2). Mapeei 21 partes internas e externas numa matriz de poder e interesse. Isso mostrou que partes externas detêm ou tocam na informação da agência e definiu o âmbito do risco de fornecedores.
- Classificar fornecedores pelo impacto na informação, não pelo valor do contrato. Três níveis: Crítico, Relevante, Baixo.
- Due diligence proporcional ao nível. Os fornecedores críticos recebem o questionário completo e uma avaliação de risco; os de baixo impacto não recebem nenhum.
- Definir cláusulas contratuais mínimas por nível. Uma tabela de referência que o advogado externo usa ao redigir ou rever contratos.
- Criar um caminho próprio para novas ferramentas, incluindo IA. O que a equipa pode fazer enquanto a avaliação está pendente, e o que acontece se o fornecedor nunca assinar.
- Fechar o ciclo. Revisão anual dos fornecedores críticos, gatilhos de reavaliação e dois indicadores simples.
Key decisions and whyDecisões-chave e porquê
One criterion is enoughBasta um critério
A vendor is placed in the highest tier for which it meets any criterion. Averaging scores would let a vendor that hosts sensitive data slip into a lower tier because it scores low elsewhere.
O fornecedor fica no nível mais alto em que cumpra qualquer critério. Fazer médias deixaria um fornecedor que aloja dados sensíveis cair para um nível inferior só por ter pontuações baixas noutros pontos.
Two classifications, two questionsDuas classificações, duas perguntas
In the stakeholder map, technical vendors sit in "Monitor": low power and interest over the security program. In the vendor policy, the same vendors are Critical, because there the question is impact on information. Keeping both made that difference explicit instead of confusing.
No mapa de partes interessadas, os fornecedores técnicos ficam em "Monitorizar": pouco poder e interesse sobre o programa de segurança. Na política de fornecedores, os mesmos fornecedores são Críticos, porque aí a pergunta é o impacto na informação. Manter as duas tornou a diferença explícita em vez de confusa.
"Don't know" counts as "no""Não sei" vale "não"
A questionnaire answer without evidence is treated as negative. The burden of proof stays with the vendor.
Uma resposta sem evidência é tratada como negativa. O ónus da prova fica do lado do fornecedor.
Zero tolerance where it mattersTolerância zero onde importa
Risk appetite for vendors is moderate in general. Any vendor handling electoral data, or data that could expose one client to a competitor, is Critical without exception, and formal risk acceptance is not allowed.
O apetite ao risco para fornecedores é, em geral, moderado. Qualquer fornecedor que trate dados eleitorais, ou dados que possam expor um cliente a um concorrente, é Crítico sem exceção, e a aceitação formal do risco não é permitida.
Innovation with safeguards for AIInovação com salvaguardas para IA
AI tools are not banned. Until the assessment is done and, for Critical vendors, a data processing agreement is signed, they can only be used with public or fictional data. If the agreement is not signed within 60 days, leadership must choose: replace the vendor, restrict it to public data, or accept the risk for a maximum of 90 days (never for electoral data).
As ferramentas de IA não são proibidas. Até a avaliação estar feita e, para fornecedores críticos, o acordo de tratamento de dados estar assinado, só podem ser usadas com dados públicos ou fictícios. Se o acordo não for assinado em 60 dias, a direção decide: substituir o fornecedor, restringi-lo a dados públicos ou aceitar o risco por um máximo de 90 dias (nunca para dados eleitorais).
Accountability can't be outsourcedA responsabilidade não se subcontrata
The contract splits tasks, not responsibility toward clients and data subjects.
O contrato divide tarefas, não a responsabilidade perante clientes e titulares dos dados.
The processO processo
| StageEtapa | What happensO que acontece | OwnerResponsável |
|---|---|---|
| 1. Identification1. Identificação | The business team flags the need; the vendor is classified and registeredA equipa de negócio sinaliza a necessidade; o fornecedor é classificado e registado | Team lead, ISMS coordinatorLíder de equipa, coordenação do SGSI |
| 2. Assessment2. Avaliação | Due diligence proportional to the tier; risk assessment for Critical vendorsDue diligence proporcional ao nível; avaliação de risco para fornecedores críticos | ISMS coordinator, DPO, OperationsCoordenação do SGSI, DPO, Operações |
| 3. Contracting3. Contratação | Minimum clauses per tier; Critical vendors get no client data before NDA and DPA are signedCláusulas mínimas por nível; fornecedores críticos não recebem dados de clientes antes de NDA e DPA assinados | Partners, ISMS coordinatorSócios, coordenação do SGSI |
| 4. Access4. Acesso | Least privilege and MFA; any integration with the main platform goes through change managementPrivilégio mínimo e MFA; qualquer integração com a plataforma principal passa pela gestão de mudanças | OperationsOperações |
| 5. Monitoring5. Monitorização | Changes in terms, incidents and performance; annual review for Critical vendorsAlterações de termos, incidentes e desempenho; revisão anual dos fornecedores críticos | ISMS coordinator, OperationsCoordenação do SGSI, Operações |
| 6. Exit6. Saída | Access revoked within 5 business days; written confirmation that data, including backups, was deletedAcessos revogados em 5 dias úteis; confirmação escrita de que os dados, incluindo cópias de segurança, foram apagados | Operations, ISMS coordinatorOperações, coordenação do SGSI |
Classification modelModelo de classificação
| TierNível | Criteria (any one is enough)Critérios (basta um) | Typical vendorsFornecedores típicos |
|---|---|---|
| CriticalCrítico | Processes personal data or confidential client data; hosts or runs the main platform; its outage would stop campaigns with no immediate alternativeTrata dados pessoais ou dados confidenciais de clientes; aloja ou opera a plataforma principal; a sua indisponibilidade pararia campanhas sem alternativa imediata | Hosting provider, generative AI and data collection tools that receive client contentAlojamento, ferramentas de IA generativa e de recolha de dados que recebem conteúdo de clientes |
| RelevantRelevante | Occasional access to confidential or internal information, without personal data at scale; professional services under confidentialityAcesso ocasional a informação confidencial ou interna, sem dados pessoais em escala; serviços profissionais sob confidencialidade | Legal support, auditors, collaboration and storage tools without personal dataApoio jurídico, auditores, ferramentas de colaboração e armazenamento sem dados pessoais |
| LowBaixo | No access to company or client information beyond public content; easy to replaceSem acesso a informação da empresa ou de clientes além de conteúdo público; fácil de substituir | Productivity tools without company data, content subscriptionsFerramentas de produtividade sem dados da empresa, subscrições de conteúdo |
Proportional due diligenceDue diligence proporcional
| ActivityAtividade | CriticalCrítico | RelevantRelevante | LowBaixo |
|---|---|---|---|
| Vendor register entryRegisto de fornecedores | RequiredObrigatório | RequiredObrigatório | OptionalOpcional |
| Due diligence questionnaireQuestionário de due diligence | Full (12 questions), with evidenceCompleto (12 perguntas), com evidência | Short (3 questions)Resumido (3 perguntas) | Not requiredNão exigido |
| Risk assessmentAvaliação de risco | RequiredObrigatória | Only with confidential dataSó com dados confidenciais | Not requiredNão exigida |
| DPO opinionParecer do DPO | RequiredObrigatório | When personal data is involvedQuando há dados pessoais | Not requiredNão exigido |
| ApprovalAprovação | PartnersSócios | ISMS coordinatorCoordenação do SGSI | Team leadLíder de equipa |
Every assessment answers three questions: what data and access the vendor will get; where that data will live and who else (subprocessors) can reach it; and what happens to the data at the end. If any answer is unknown, the vendor cannot be approved as Critical.
Cada avaliação responde a três perguntas: que dados e acessos o fornecedor vai ter; onde ficam esses dados e quem mais (subcontratados) lhes pode aceder; e o que acontece aos dados no fim. Se alguma resposta for desconhecida, o fornecedor não pode ser aprovado como Crítico.
Minimum contract clausesCláusulas contratuais mínimas
| ClauseCláusula | CriticalCrítico | RelevantRelevante |
|---|---|---|
| Confidentiality (NDA)Confidencialidade (NDA) | RequiredObrigatória | RequiredObrigatória |
| Data processing agreementAcordo de tratamento de dados | RequiredObrigatório | With personal dataCom dados pessoais |
| No use of company or client data to train modelsProibição de usar dados da empresa ou de clientes para treinar modelos | Required (AI and data tools)Obrigatória (IA e recolha de dados) | RecommendedRecomendada |
| Subprocessors disclosed and approvedSubcontratados comunicados e autorizados | RequiredObrigatória | RecommendedRecomendada |
| Data location and international transfer rulesLocalização dos dados e regras de transferência internacional | Required if outside the countryObrigatória se fora do país | When applicableQuando aplicável |
| Incident notificationNotificação de incidentes | Within 24 hoursAté 24 horas | Within 48 hoursAté 48 horas |
| Data return and deletion at exit, with written confirmationDevolução e eliminação dos dados na saída, com confirmação escrita | RequiredObrigatória | RecommendedRecomendada |
| Right to security evidence and annual reviewDireito a evidências de segurança e revisão anual | RequiredObrigatório | OptionalOpcional |
| Continuity: notice of discontinuation and data portabilityContinuidade: aviso de descontinuação e portabilidade dos dados | Required for hosting and platformsObrigatória para alojamento e plataformas | OptionalOpcional |
| Notice of material changes to terms or architectureAviso de alterações relevantes nos termos ou na arquitetura | RequiredObrigatório | RecommendedRecomendado |
Results and limitationsResultados e limitações
The classification model and the questionnaire were applied to seven vendors. Three were classified as critical: generative AI tools and the hosting provider. The assessments led to actions agreed with leadership and to a rule that no new tool is adopted before a risk check.
O modelo de classificação e o questionário foram aplicados a sete fornecedores. Três foram classificados como críticos: ferramentas de IA generativa e o fornecedor de alojamento. As avaliações resultaram em ações acordadas com a direção e numa regra: nenhuma ferramenta nova é adotada sem uma verificação de risco.
- Built for a small company whose team grows with freelancers during elections: one person combines ISMS coordination and the DPO role, there is no GRC tool, and the register lives in a spreadsheet.
- Small vendors rarely share audit reports with a small customer, so evidence review relies mostly on public documentation and the vendor's answers.
- The legal basis is Brazilian (LGPD), not GDPR or DORA.
- Pensado para uma empresa pequena cuja equipa cresce com freelancers em período eleitoral: a mesma pessoa acumula a coordenação do SGSI e a função de DPO, não há ferramenta de GRC e o registo vive numa folha de cálculo.
- Fornecedores pequenos raramente partilham relatórios de auditoria com um cliente pequeno, por isso a análise de evidências assenta sobretudo em documentação pública e nas respostas do fornecedor.
- A base legal é brasileira (LGPD), não o RGPD nem o DORA.
How this would change in an EU bankO que mudaria num banco europeu
The logic carries over. The rules and the level of formality change.
A lógica mantém-se. Mudam as regras e o nível de formalidade.
| AreaÁrea | This agencyEsta agência | EU bankBanco europeu |
|---|---|---|
| Processor obligationsObrigações do subcontratante | LGPD article 39LGPD, artigo 39 | GDPR article 28RGPD, artigo 28.º |
| ClassificationClassificação | Impact on informationImpacto na informação | Also: does the vendor support a critical or important function under DORA?Também: o fornecedor suporta uma função crítica ou importante, nos termos do DORA? |
| ContractContrato | Minimum clauses per tierCláusulas mínimas por nível | DORA article 30 mandatory provisions, including audit and access rights, termination rights and exit strategiesDisposições obrigatórias do artigo 30.º do DORA, incluindo direitos de auditoria e acesso, direitos de rescisão e estratégias de saída |
| RegisterRegisto | SpreadsheetFolha de cálculo | DORA register of information, reported to the supervisorRegisto de informação do DORA, reportado ao supervisor |
| ConcentrationConcentração | Not assessedNão avaliada | ICT concentration risk under DORARisco de concentração de TIC ao abrigo do DORA |
| International transfersTransferências internacionais | LGPD articles 33 to 36LGPD, artigos 33 a 36 | GDPR Chapter VRGPD, capítulo V |
| OwnershipResponsabilidade | Partners approveOs sócios aprovam | Business owns the risk, TPRM challenges as second line, internal audit verifiesO negócio é dono do risco, o TPRM desafia como segunda linha, a auditoria interna verifica |
What I learnedO que aprendi
- Proportionality is what keeps a process alive in a small company. A process that asks too much on day one gets bypassed.
- The hardest vendor to manage is the one already in use. That is why the policy defines what the team can do while an assessment is pending.
- Writing down what happens when a vendor says no (the 60-day path) mattered more than the questionnaire itself.
- A proporcionalidade é o que mantém um processo vivo numa empresa pequena. Um processo que pede demasiado no primeiro dia acaba por ser contornado.
- O fornecedor mais difícil de gerir é o que já está a ser usado. Por isso a política define o que a equipa pode fazer enquanto a avaliação está pendente.
- Pôr por escrito o que acontece quando um fornecedor diz que não (o prazo de 60 dias) contou mais do que o próprio questionário.