Domínio 3 · Conhecimento e gestão de riscos
Identificação de riscos
Levantamento estruturado dos riscos que produtos, funcionalidades e operações podem representar para crianças e adolescentes.
Resultado esperado
A organização mantém um inventário atualizado de riscos infantojuvenis.
Por que é importante
Só é possível tratar o que foi identificado e descrito com clareza.
Direitos relacionados
- Segurança
- Desenvolvimento saudável
- Melhor interesse
- Não discriminação
Práticas fundamentais
Medidas mínimas necessárias para estruturar a capacidade.
- Mapa de funcionalidades com potencial exposição de crianças e adolescentes.
- Categorias de risco definidas: contato, conteúdo, conduta, contrato e dados.
- Registro do inventário com responsáveis.
Práticas de evolução
Medidas que ampliam consistência, integração, monitoramento e melhoria contínua.
- Uso de dados de atendimento, denúncias e pesquisa para revelar riscos emergentes.
- Análise de riscos de sistemas automatizados e recomendação de conteúdo.
Evidências possíveis
- Relatório de avaliação de risco por produto
- Matriz de riscos com severidade e tratamento
- Registro de decisões de aceitação de risco
- Plano de tratamento com prazos e responsáveis
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores sugeridos
Cobertura de avaliação de riscos
- Objetivo
- Verificar quantos produtos com exposição infantojuvenil foram avaliados.
- Método de cálculo
- Produtos avaliados dividido pelo total de produtos com exposição identificada.
- Periodicidade
- Semestral
- Fonte
- Registros de avaliação
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Tempo médio de tratamento de riscos críticos
- Objetivo
- Acompanhar a agilidade no tratamento dos riscos de maior severidade.
- Método de cálculo
- Média de dias entre identificação e mitigação de riscos classificados como críticos.
- Periodicidade
- Trimestral
- Fonte
- Sistema de gestão de riscos
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Perguntas de autoavaliação
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Dependências
Responsáveis recomendados
- Gestão de riscos
- Produto
- Segurança
- Privacidade
Riscos de implementação
- Avaliações genéricas que não consideram o público infantojuvenil
- Foco exclusivo em risco jurídico ou reputacional
- Riscos identificados sem plano de tratamento
Exemplos orientativos
- Organização de pequeno porte: começa formalizando identificação de riscos em um documento simples, com responsável nomeado.
- Organização de grande porte: integra identificação de riscos aos processos corporativos, com indicadores e revisão periódica.
Referências
- Comentário Geral nº 25
- NIST Cybersecurity Framework
- NIST Privacy Framework
- ISO/IEC 27001 - avaliação de riscos
Conteúdo orientativo. Não constitui certificação, conformidade automática ou parecer jurídico, técnico ou regulatório.