O Plano de Tratamento de Riscos (PTR) é um dos elementos centrais da implementação da ISO/IEC 27001. É por meio dele que a organização transforma os resultados da avaliação de riscos em ações concretas para reduzir, evitar, compartilhar ou aceitar riscos relacionados à segurança da informação.
Mais do que uma planilha de controles, o PTR deve funcionar como uma ferramenta de gestão: definir o que será feito, por quem, em qual prazo e para tratar quais riscos.
Na ISO/IEC 27001:2022, o tratamento de riscos está relacionado principalmente às cláusulas 6.1.3 e 8.3, que tratam, respectivamente, do planejamento e da execução do tratamento dos riscos de segurança da informação.
O que é o PTR na ISO 27001?
O Plano de Tratamento de Riscos é o documento que organiza as medidas que a empresa decidiu adotar para tratar os riscos identificados e considerados relevantes segundo seus critérios de aceitação.
O processo começa antes do PTR.
Primeiro, a organização estabelece sua metodologia e seus critérios de avaliação. Depois, identifica, analisa e avalia os riscos. A partir desse resultado, determina quais riscos precisam ser tratados e quais opções serão adotadas.
O PTR é, portanto, a ponte entre:
risco identificado → decisão de tratamento → controle → responsável → prazo → evidência.
Essa lógica é fundamental para que a gestão de riscos não fique restrita a uma matriz que apenas classifica riscos sem produzir mudanças efetivas na organização.
O PTR é obrigatório na ISO 27001?
Sim. A ISO/IEC 27001:2022 estabelece requisitos relacionados ao plano de tratamento de riscos, especialmente na cláusula 6.1.3. A implementação do plano também está contemplada na cláusula 8.3.
Isso não significa que exista um modelo único de PTR determinado pela norma.
A organização deve estruturar sua documentação de acordo com seu contexto, porte, complexidade, metodologia de riscos e necessidades do SGSI.
O importante é conseguir demonstrar que os riscos foram avaliados, que as decisões de tratamento foram tomadas e que as ações planejadas estão sendo efetivamente executadas.
Qual é a relação entre matriz de riscos, SoA e PTR?
Essa é uma das principais dúvidas durante a implementação da ISO 27001.
Embora estejam relacionados, matriz de riscos, Declaração de Aplicabilidade (SoA) e PTR não são o mesmo documento.
A matriz de riscos registra e avalia os riscos identificados pela organização.
A SoA — Statement of Applicability ou Declaração de Aplicabilidade apresenta os controles selecionados e suas justificativas de inclusão ou exclusão, considerando o processo de tratamento de riscos e outros requisitos aplicáveis.
Já o PTR organiza a execução das ações definidas para tratar os riscos.
Em termos simplificados:
Matriz de riscos: quais riscos existem e qual sua relevância?
SoA: quais controles são aplicáveis e por quê?
PTR: o que será feito para tratar os riscos, quem fará e em qual prazo?
A integração desses elementos é essencial para construir um SGSI coerente.
O que deve constar em um Plano de Tratamento de Riscos?
Um PTR tecnicamente estruturado pode conter, conforme a metodologia adotada pela empresa:
- identificação do risco;
- ativo ou processo relacionado;
- causa e consequência;
- nível de risco;
- responsável pelo risco;
- opção de tratamento;
- controles associados;
- ação necessária;
- responsável pela execução;
- prioridade;
- prazo;
- recursos necessários;
- status;
- evidências de implementação;
- risco residual;
- aprovação ou aceite pelos responsáveis.
O nível de detalhamento pode variar.
O objetivo não é criar uma documentação excessivamente complexa, mas permitir que a organização consiga acompanhar e comprovar o tratamento dos riscos.
Quais são as opções de tratamento de riscos?
O tratamento não significa necessariamente implementar mais tecnologia.
Dependendo do risco e do contexto, a organização pode decidir evitar, reduzir, compartilhar ou reter o risco, desde que a decisão seja compatível com seus critérios e devidamente fundamentada.
Em alguns casos, o risco poderá ser reduzido mediante controles tecnológicos.
Em outros, a resposta poderá envolver alteração de processos, treinamento, gestão de fornecedores, controles contratuais, segregação de funções, políticas internas ou mudanças organizacionais.
A própria abordagem de gestão de riscos admite diferentes formas de modificar um risco, incluindo alterar sua probabilidade ou consequência, compartilhar o risco ou retê-lo mediante decisão informada.
Um dos erros mais comuns: confundir PTR com lista de controles
Esse problema aparece com frequência em projetos de implementação.
A empresa cria uma planilha contendo dezenas de controles e considera que possui um Plano de Tratamento de Riscos.
Mas controle não é sinônimo de tratamento de risco.
O controle é um mecanismo utilizado para tratar determinado risco.
O PTR precisa demonstrar a lógica entre o problema identificado e a ação planejada.
Por exemplo:
Risco: acesso indevido a informações sensíveis.
Tratamento: redução do risco.
Ação: implementar processo formal de revisão periódica de acessos.
Responsável: área definida pela organização.
Prazo: data estabelecida no plano.
Evidência: registros que demonstrem a execução da revisão.
Essa estrutura permite verificar não apenas se existe um controle documentado, mas se ele foi efetivamente implementado.
O que o auditor pode verificar?
Durante uma auditoria de certificação ou de manutenção, não basta apresentar um documento chamado “PTR”.
É necessário demonstrar que o processo funciona.
Entre as evidências relevantes estão a metodologia de avaliação e tratamento de riscos, os resultados da avaliação, a definição dos riscos que exigem tratamento, os controles selecionados, o PTR e evidências de sua implementação.
A cláusula 8.3 reforça justamente a necessidade de implementar os planos de tratamento de riscos e manter as informações documentadas correspondentes.
Por isso, um PTR “bonito” no papel pode ser insuficiente se as ações previstas não forem executadas.
O PTR termina quando o controle é implementado?
Não necessariamente.
Depois da implementação de uma medida, a organização precisa avaliar se o tratamento produziu o resultado esperado e qual é o risco residual.
Além disso, o cenário de riscos pode mudar.
Novos sistemas, fornecedores, processos, colaboradores, regulamentações, ameaças e mudanças no modelo de negócio podem exigir uma nova avaliação.
A ISO 27001 adota justamente uma abordagem de gestão contínua, voltada à identificação e tratamento de riscos e à melhoria do SGSI.
Por isso, o PTR não deve ser tratado como uma planilha criada apenas para “passar na auditoria”.
Conclusão
O Plano de Tratamento de Riscos (PTR) é um dos mecanismos que transformam a gestão de riscos da ISO 27001 em ação.
Uma implementação madura não se limita a identificar riscos. Ela precisa demonstrar quais riscos foram considerados relevantes, quais decisões foram tomadas, quais controles foram selecionados, quem é responsável pela execução e quais evidências comprovam o tratamento.
Quando bem estruturado, o PTR conecta avaliação de riscos, Declaração de Aplicabilidade, controles e operação do SGSI.
Em outras palavras:
a matriz identifica o risco; a decisão define o tratamento; a SoA organiza a aplicabilidade dos controles; e o PTR transforma o tratamento planejado em execução.
É essa conexão que permite que a ISO 27001 deixe de ser apenas documentação e passe a funcionar como um verdadeiro sistema de gestão de riscos de segurança da informação.
BARBOSA ADVOGADOS
Especialistas em Compliance e Cibersegurança
📞 (11) 97981-2035
✉️ contato@advogadosbarbosa.com
SOLICITE SUA AVALIAÇÃO DE MATURIDADE
https://form.respondi.app/7jYlVSe7