Domínio 3
Conhecimento e gestão de riscos
Processos de identificação, análise, tratamento e monitoramento dos riscos que produtos, serviços e operações podem representar para crianças e adolescentes.
Por que este domínio é necessário?
- Reduz o risco de danos previsíveis passarem despercebidos até se tornarem incidentes.
- Sustenta os direitos à segurança, ao desenvolvimento saudável e à não discriminação.
- Sem avaliação estruturada, a organização responde apenas ao que já aconteceu.
- Permite priorizar investimentos onde o impacto sobre direitos é maior.
Direitos relacionados
- Segurança
- Desenvolvimento saudável
- Melhor interesse
- Não discriminação
Objetivos
- Conhecer os riscos específicos ao público infantojuvenil em cada produto e serviço.
- Tratar riscos de forma proporcional à severidade e à probabilidade.
- Monitorar riscos ao longo do tempo e a cada mudança relevante.
Capacidades
Capacidades interdependentes que compõem este domínio.
Identificação de riscos
Em validaçãoLevantamento estruturado dos riscos que produtos, funcionalidades e operações podem representar para crianças e adolescentes.
Abrir capacidadeAvaliação de impacto sobre direitos
Em validaçãoAnálise da severidade, da probabilidade e da reversibilidade dos impactos sobre direitos de crianças e adolescentes.
Abrir capacidadeTratamento de riscos
Em validaçãoDefinição e execução das medidas de mitigação, transferência, redução ou aceitação de riscos.
Abrir capacidadeMonitoramento de riscos
Em validaçãoAcompanhamento contínuo dos riscos, das mitigações e das mudanças de contexto.
Abrir capacidade
Práticas esperadas
- Mapa de funcionalidades com potencial exposição de crianças e adolescentes.
- Categorias de risco definidas: contato, conteúdo, conduta, contrato e dados.
- Registro do inventário com responsáveis.
- Metodologia documentada de avaliação.
- Critérios que incluam idade, vulnerabilidade e reversibilidade do dano.
- Registro das avaliações realizadas.
- Plano de tratamento com prazos e responsáveis.
- Critérios para aceitação formal de risco residual.
- Acompanhamento da execução.
- Indicadores de risco acompanhados periodicamente.
- Revisão de riscos a cada mudança relevante de produto.
- Reporte à governança.
Evidências
- Relatório de avaliação de risco por produto
- Matriz de riscos com severidade e tratamento
- Registro de decisões de aceitação de risco
- Plano de tratamento com prazos e responsáveis
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores
| Indicador | Objetivo | Cálculo | Periodicidade |
|---|---|---|---|
| Cobertura de avaliação de riscos | Verificar quantos produtos com exposição infantojuvenil foram avaliados. | Produtos avaliados dividido pelo total de produtos com exposição identificada. | Semestral |
| Tempo médio de tratamento de riscos críticos | Acompanhar a agilidade no tratamento dos riscos de maior severidade. | Média de dias entre identificação e mitigação de riscos classificados como críticos. | Trimestral |
Indicadores sugeridos. As metas devem ser definidas pela organização conforme porte, setor e risco.
Perguntas orientadoras
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Relação com os níveis de maturidade
Nível 1 · Reativo
Riscos são discutidos apenas após incidentes.
Nível 2 · Estruturado
Existem avaliações pontuais, sem periodicidade definida.
Nível 3 · Preventivo
Avaliações sistemáticas alimentam decisões de produto e priorização.
Nível 4 · Proativo e sistêmico
Riscos são monitorados continuamente, com métricas, testes e revisão de hipóteses.
Recursos e referências
- Comentário Geral nº 25
- NIST Cybersecurity Framework
- NIST Privacy Framework
- ISO/IEC 27001 - avaliação de riscos