Checklist de Gestão de Segurança – Proteção de Ativos (POA)

 

Profissionais de Security, aqui está o seu “Santo Graal”. 

Quer atuar como um CPP? Então siga esta Ultimate Version. 😉 

Checklist - Protection of Assets / POA

1. GOVERNANÇA E GESTÃO DA SEGURANÇA

• Definir claramente a missão da área de Segurança.
• Identificar quem são os “clientes” internos e externos da Segurança.
• Alinhar os objetivos da Segurança aos objetivos estratégicos da organização.
• Definir objetivos estratégicos e metas para a área.
• Definir estrutura organizacional, responsabilidades e autoridade.
• Estabelecer papéis de planejamento, organização, direção, coordenação e controle.
• Integrar Segurança às demais áreas do negócio.
• Estabelecer políticas corporativas de segurança.
• Transformar políticas em procedimentos operacionais claros.
• Garantir que procedimentos sejam divulgados às pessoas afetadas.
• Criar processos de controle da execução das políticas.
• Estabelecer métricas e indicadores.
• Avaliar periodicamente se os objetivos de segurança estão sendo alcançados.
• Registrar resultados, falhas, incidentes e aprendizados.
• Ajustar programas com base nos resultados.
• Criar cultura de qualidade dentro da Segurança.
• Padronizar processos sempre que possível.
• Implantar mecanismos de melhoria contínua.
• Rever políticas e procedimentos diante de mudanças organizacionais ou de risco.
• Trabalhar com abordagem de planejamento → gestão → avaliação → melhoria. 

O POA trata explicitamente essas três funções como ferramentas centrais e inclui relatório, documentação e ajuste como partes da avaliação.

  2. GESTÃO DE RISCOS

• Identificar os ativos que precisam ser protegidos.
• Identificar ameaças relevantes.
• Identificar vulnerabilidades.
• Avaliar impacto potencial das perdas.
• Estimar probabilidade/possibilidade dos cenários.
• Priorizar os riscos.
• Documentar os resultados da avaliação de riscos (Risk Assessment).
• Definir critérios de risco aceitável.
• Selecionar tratamentos proporcionais ao risco.
• Evitar controles excessivos para riscos pequenos.
• Concentrar recursos nos riscos com maior possibilidade de dano.
• Avaliar os controles já existentes.
• Identificar lacunas (gaps) de proteção
• Reavaliar riscos quando o ambiente mudar.
• Atualizar os planos após incidentes relevantes.
• Incorporar riscos físicos, humanos, informacionais, operacionais e externos.
• Considerar risco para pessoas, operações, reputação e continuidade.
• Relacionar investimentos de segurança à redução de exposição.

3. FINANÇAS, ORÇAMENTO E VALOR DA SEGURANÇA

• Elaborar orçamento formal da Segurança.
• Conhecer os custos fixos e variáveis da operação.
• Registrar custos de incidentes e perdas.
• Manter base histórica de perdas.
• Estabelecer método uniforme de reporte de perdas.
• Capturar dados de incidentes de forma sistemática.
• Analisar tendências das perdas.
• Demonstrar financeiramente os benefícios dos controles.
• Aplicar análise custo-benefício.
• Avaliar retorno dos investimentos em proteção.
• Comparar custo do controle com exposição ao risco.
• Buscar o menor custo compatível com o resultado necessário.
• Rever controles que custam mais do que o benefício produzido.
• Priorizar controles procedimentais quando forem suficientes e mais econômicos.
• Criar indicadores financeiros para Segurança.
• Apresentar à administração o valor produzido pela área.
• Revisar o plano se custo e resultado não estiverem equilibrados. 

O POA é bastante explícito: operações devem ser conduzidas da maneira menos dispendiosa que ainda seja eficaz, mantendo o menor custo compatível com o resultado e buscando o maior retorno possível.

4. SEGURANÇA FÍSICA

• Definir os objetivos do Physical Protection System — PPS.
• Vincular os objetivos do PPS à estratégia da empresa.
• Realizar identificação de ativos.
• Realizar avaliação de ameaças.
• Realizar avaliação de vulnerabilidades.
• Avaliar consequências/perdas.
• Projetar proteção considerando dissuasão, detecção, retardo e resposta.
• Integrar pessoas, procedimentos e tecnologia.
• Definir critérios mensuráveis de desempenho.
• Avaliar perímetros.
• Avaliar barreiras.
• Avaliar entradas e saídas.
• Avaliar controle de acesso de pessoas.
• Avaliar controle de veículos.
• Avaliar fechaduras, portas, cofres e áreas restritas.
• Avaliar iluminação de segurança.
• Avaliar sensores internos e externos.
• Avaliar vídeo/CFTV.
• Avaliar alarmes e comunicação de alarmes.
• Integrar alarmes e capacidade de resposta.
• Verificar se o tempo de detecção + avaliação + resposta é compatível com o tempo de penetração do adversário.
• Testar efetividade do sistema como um todo.
• Criar planos compensatórios para falha de equipamentos.
• Manter documentação técnica atualizada.
• Registrar manutenção, falhas e falsos alarmes.
• Realizar testes periódicos diurnos e noturnos.
• Testar equipamentos contra as ameaças consideradas no projeto.
• Treinar operadores.
• Realizar manutenção preventiva.
• Fazer calibração, alinhamento e verificação de sensibilidade.
• Registrar treinamento e manutenção.
• Planejar substituição tecnológica e ciclo de vida.
• Testar depois de modificações significativas.

O POA orienta expressamente instalação, manutenção, testes, operação, treinamento, manutenção periódica, testes operacionais e planos compensatórios em caso de perda de equipamentos.

5. CPTED E AMBIENTE FÍSICO

• Avaliar visibilidade e vigilância natural.
• Eliminar pontos cegos.
• Avaliar paisagismo que possa esconder pessoas.
• Definir claramente espaços públicos e privados.
• Direcionar naturalmente os fluxos de pessoas.
• Avaliar acessos e circulação.
• Avaliar estacionamentos.
• Avaliar iluminação.
• Criar linhas de visão adequadas.
• Usar sinalização clara.
• Controlar áreas de permanência e reunião.
• Manter áreas externas em boas condições.
• Integrar arquitetura, operações e tecnologia.
• Avaliar se o ambiente facilita comportamento indevido.
• Incorporar segurança ainda na fase de projeto de instalações. 

O POA trabalha vigilância, acesso natural, territorialidade, definição de limites, gestão e manutenção como componentes do CPTED.

6. VIGILANTES E OPERAÇÕES

• Definir exatamente por que vigilantes são necessários.
• Não utilizar mão de obra de segurança como solução isolada.
• Dimensionar efetivo conforme risco e função.
• Comparar uso de pessoas com soluções tecnológicas.
• Reavaliar periodicamente a necessidade do número de postos.
• Definir requisitos de contratação.
• Realizar seleção adequada.
• Definir qualificações mínimas.
• Elaborar as diretrizes gerais.
• Elaborar atribuições específicas de cada posto.
• Definir supervisão.
• Criar escalas adequadas.
• Estabelecer padrão de relatórios e livros de ocorrência.
• Analisar os relatórios produzidos pela equipe.
• Criar programa inicial de treinamento.
• Fazer levantamento das necessidades de treinamento.
• Criar currículo conforme função e risco.
• Testar conhecimento e desempenho.
• Manter treinamento contínuo.
• Treinar observação e relato de incidentes.
• Treinar comunicação.
• Treinar controle de acesso.
• Treinar proteção da informação.
• Treinar resposta a emergências.
• Treinar safety.
• Treinar procedimentos do posto.
• Treinar sobre violência no ambiente de trabalho.
• Treinar resolução de conflitos.
• Treinar controle de multidão quando necessário.
• Treinar primeiros socorros conforme função.
• Treinar crisis management.
• Treinar requisitos legais.
• Treinar uso da força quando aplicável.
• Avaliar desempenho após treinamento.
• Manter evidências e registros de capacitação.
• Criar caminhos de carreira e desenvolvimento.
• Auditar execução das atribuiçções de cada posto.
• Analisar desempenho de prestadores terceirizados.
• Formalizar Scope of Work em contratos.
• Definir SLAs/KPIs e responsabilidades contratuais.
• Fazer avaliação técnica das propostas.
• Administrar continuamente o contrato. 

O POA recomenda treinamento básico e contínuo baseado nas funções, com currículo formal, testes e temas como legislação, operação, armas, administração, eletrônica, transporte e uso da força.

• 7. INVESTIGAÇÕES

• Criar política formal de investigações corporativas.
• Obter aprovação da alta administração para os protocolos.
• Definir quem pode iniciar uma investigação.
• Definir quem conduz.
• Definir quem deve ser informado.
• Definir quando o Jurídico deve participar.
• Definir quando RH deve participar.
• Definir critérios de encaminhamento à polícia.
• Avaliar credibilidade da denúncia e da fonte.
• Preservar evidências.
• Identificar a necessidade de preservar o local.
• Entrevistar testemunhas prioritárias.
• Priorizar informações perecíveis.
• Registrar quem recusou entrevista.
• Registrar condições ambientais relevantes.
• Registrar todos os envolvidos na resposta inicial.
• Fazer entrevistas complementares.
• Consultar bancos de dados relevantes.
• Documentar todas as notificações.
• Identificar gaps de informação.
• Definir como preencher cada gap.
• Corroborar evidências.
• Manter objetividade.
• Evitar pré-julgamento.
• Formular hipóteses e permitir que mudem diante dos fatos.
• Manter confidencialidade.
• Produzir relatório formal.
• Inserir casos em base pesquisável.
• Registrar necessidade de acompanhamento (follow-up).
• Realizar controle de qualidade do processo investigativo.
• Treinar Segurança no protocolo.
• Coordenar investigações de má conduta ou violação de regras com RH e Jurídico.
• Criar programa de due diligence.
• Fazer due diligence de parceiros.
• Fazer due diligence de fornecedores.
• Fazer due diligence de possíveis aquisições/joint ventures quando aplicável.
• Criar processo de background screening.
• Definir critérios legais para coleta e uso das informações.
• Documentar entrevistas investigativas.
• Preservar cadeia de custódia quando aplicável.
• Produzir recomendação de ação corretiva ao final. 

O protocolo-modelo do POA inclui exatamente credibilidade da fonte, evidências, entrevistas, registros, consultas a bancos, gaps, notificações, encaminhamento e documentação.

8. INFORMAÇÃO E CONVERGÊNCIA FÍSICO-CYBER

• Inventariar ativos de informação.
• Classificar informação por criticidade.
• Identificar quem realmente precisa acessar cada informação.
• Implementar need-to-know.
• Definir controles físicos e eletrônicos.
• Criar política de Information Asset Protection.
• Criar política de privacidade.
• Nomear responsável pelo programa de privacidade.
• Avaliar riscos à confidencialidade, integridade e disponibilidade.
• Fazer due diligence de pessoas com acesso privilegiado.
• Sugerir e vetar fornecedores e terceiros.
• Utilizar NDAs contratuais quando apropriado.
• Rever periodicamente screening e vetting.
• Controlar visitantes.
• Identificar visitantes por identificação.
• Restringir fotografia em áreas sensíveis.
• Restringir acesso a instalações produtivas.
• Proteger protótipos e modelos como informação sensível.
• Destruir protótipos obsoletos de forma segura.
• Proteger materiais durante transporte.
• Criar política de retenção de documentos.
• Eliminar documentos obsoletos regularmente.
• Destruir informações de forma que não possam ser reconstruídas.
• Registrar quando e onde ocorreu a destruição.
• Armazenar material aguardando destruição em recipiente seguro.
• Selecionar cuidadosamente empresas de destruição.
• Restringir acesso a processos produtivos.
• Separar informações de diferentes níveis de classificação.
• Utilizar barreiras visuais quando necessário.
• Criar plano de resposta a perda/vazamento.
• Criar processo de recuperação.
• Integrar Segurança Física e Cybersecurity.
• Avaliar o impacto de controles tecnológicos sobre o risco corporativo. 

Diversas dessas medidas — destruição segura, retenção, transporte, controle de protótipos, NDAs, identificações, screening e revisão de vetting — estão explicitamente descritas no POA.

9. CRISE, EMERGÊNCIA E CONTINUIDADE

• Fazer análise das emergências relevantes para cada site.
• Elaborar Emergency Operations Plan — EOP corporativo.
• Elaborar planos locais específicos.
• Criar Business Continuity Plan.
• Definir processos e operações críticas.
• Definir ações de mitigação.
• Definir preparação/prontidão.
• Definir resposta.
• Definir recuperação.
• Definir critérios de ativação dos planos.
• Formar Crisis Management Team — CMT.
• Incluir áreas relevantes no CMT.
• Definir autoridade e responsabilidades.
• Definir processo de decisão.
• Definir alternativas de ação.
• Definir comunicação de crise.
• Preparar estratégia de mídia.
• Definir comunicação com familiares/vítimas.
• Definir interface com autoridades.
• Definir interface com agências externas.
• Definir recursos disponíveis.
• Definir fornecedores emergenciais.
• Criar Emergency Operations Center/Crisis Management Center.
• Controlar acesso ao Operations Center/Crisis Management Center.
• Criar EOC alternativo em outro local.
• Garantir comunicações redundantes.
• Garantir energia de emergência/redundante (backup).
• Prever recursos essenciais para operação prolongada.
• Criar listas atualizadas de contatos.
• Treinar integrantes do CMT.
• Realizar exercícios.
• Testar planos.
• Avaliar exercícios.
• Registrar lições aprendidas.
• Corrigir planos.
• Repetir exercícios periodicamente.
• Preparar equipes para situações não previstas.
• Garantir flexibilidade decisória. 
• Coordenar implantação dos contingency plans.
• Coordenar recursos para as equipes de resposta.
• Coordenar áreas internas e externas.
• Desenvolver cursos alternativos de ação.
• Definir media management.
• Definir EOC primário e alternativo.

O POA enfatiza que não basta ter procedimento: ele deve ser planejado e testado, e grandes organizações devem ter EOP corporativo mais planos específicos por local.

10. AMEAÇAS, BOMBAS E SITUAÇÕES ESPECIAIS

• Fazer avaliação específica do risco de ameaça quando aplicável.
• Monitorar tendências.
• Identificar possíveis alvos.
• Conhecer contexto político, social e operacional.
• Criar equipe de avaliação de ameaças.
• Criar procedimentos para recebimento de ameaças.
• Treinar pessoas para reconhecer e reportar objetos suspeitos.
• Treinar gestores para responder a relatos.
• Manter áreas organizadas para facilitar identificação de objetos incomuns.
• Implementar defense-in-depth.
• Estabelecer distância de segurança sempre que possível.
• Integrar controle de acesso, vídeo, rondas e sensores.
• Definir critérios de evacuação total, parcial ou permanência.
• Coordenar Security, Infra, Safety, RH, Meio Ambiente, Operações, Relações Públicas e Finanças.
• Atualizar os planos à medida que o cenário muda.
• Fazer exercícios antes de precisar do procedimento de verdade. 

O POA recomenda risk assessment precoce, revisão conforme o ambiente muda, conscientização dos funcionários/equipe, treinamento de gestores, controles em profundidade e equipamentos integrados ao plano.

11. PROTEÇÃO EXECUTIVA E RISCOS EM VIAGENS

• Realizar avaliação de risco de Proteção Executiva individualmente.
• Identificar quem poderia desejar causar dano ao executivo.
• Avaliar exposição pública.
• Avaliar patrimônio e estilo de vida.
• Avaliar adversários e fontes de informação sobre o executivo.
• Avaliar padrões de deslocamento.
• Determinar nível de proteção proporcional ao risco.
• Avaliar escritório.
• Avaliar residência.
• Realizar reconhecimento e planejamento antecipado.
• Definir recursos e apoio.
• Evitar simplesmente distribuir recursos igualmente entre todas as ameaças; priorizar as mais relevantes.
• Classificar risco de países.
• Definir regras para viagens conforme nível de risco.
• Preparar e conscientizar o viajante sobre os riscos de segurança antes da viagem.
• Avaliar hotel e residência.
• Avaliar meios de transporte.
• Avaliar saúde/assistência médica no destino.
• Fazer a avaliação dos riscos de saúde relacionados à viagem.
• Dar treinamento adicional para destinos de alto risco.
• Estabelecer contato de emergência.
• Avaliar fornecedores locais de segurança.
• Vetar motoristas e apoio doméstico quando aplicável.
• Avaliar supply-chain partners no exterior.
• Analisar legalidade de background checks e testes locais.
• Preparar procedimentos para prisão/detenção.
• Preparar resposta a Sequestro/Resgate/Extorsão.
• Avaliar necessidade de Seguro contra Sequestro, Resgate e Extorsão.
• Proteger informações levadas em viagens.
• Avaliar riscos de espionagem, escuta clandestina/interceptação indevida (eavesdropping).
• Utilizar medidas seguras de comunicação.
• Monitorar e ajustar o programa continuamente. 

O POA recomenda risk assessment do alojamento/local, avaliação médica do viajante, avaliação dos meios de transporte, hotéis, apoio local, políticas de teletrabalho e due diligence de parceiros internacionais.

12. EVENTOS CORPORATIVOS

• Realizar risk assessment específico para cada evento.
• Não assumir que eventos recorrentes possuem sempre o mesmo risco.
• Levantar público estimado.
• Avaliar perfil da audiência.
• Avaliar local.
• Avaliar entradas/saídas.
• Garantir acesso de emergência.
• Definir proteção de VIPs.
• Definir o gerenciamento da multidão.
• Definir controle de acesso.
• Definir recursos humanos.
• Definir recursos tecnológicos.
• Definir emergência médica.
• Elaborar plano preventivo e reativo.
• Treinar pessoal especificamente para o evento.
• Considerar contratar especialistas quando a capacidade interna não for suficiente.
• Avaliar o evento novamente imediatamente antes da execução.
• Realizar reunião de avaliação pós-evento. 

O POA deixa claro que eventos exigem planos preventivos e reativos próprios porque as condições podem mudar mesmo quando o evento acontece todos os anos no mesmo local.

13. FRAUDE, FURTO E PREVENÇÃO DE PERDAS

• Criar processo sistemático de reporte de perdas.
• Criar canal para denúncias.
• Proteger confidencialidade dos denunciantes.
• Analisar padrões de perdas.
• Investigar discrepâncias.
• Integrar Segurança, Auditoria, Compliance, RH e Jurídico.
• Identificar oportunidades para fraude/furto.
• Segregar funções quando necessário.
• Criar controles procedimentais.
• Monitorar exceções.
• Manter registros suficientes para investigação.
• Realizar due diligence em parceiros e fornecedores.
• Identificar causas de fraudes.
• Realizar corrective actions.
• Avaliar eficácia dos controles após incidentes.

14. CONSCIENTIZAÇÃO E CULTURA DE SEGURANÇA

• Criar programa formal de Conscientização de Segurança.
• Identificar os públicos-alvo.
• Definir comportamentos desejados.
• Comunicar responsabilidades individuais.
• Ensinar reconhecimento de ameaças.
• Ensinar como reportar comportamentos/eventos suspeitos.
• Comunicar consequências do descumprimento de políticas.
• Utilizar vários canais de comunicação.
• Reforçar treinamento periodicamente.
• Medir a eficácia do programa de conscientização.
• Ajustar campanhas conforme incidentes e riscos.
• Envolver líderes.
• Tratar Segurança como responsabilidade de todos.

15. VIOLÊNCIA NO TRABALHO

• Criar política de prevenção de violência no trabalho.
• Criar processo de reporte.
• Estabelecer equipe multidisciplinar.
• Definir critérios para avaliar o risco de ameaça/violência.
• Treinar gestores para reconhecer sinais e relatar preocupações.
• Avaliar ameaças individualmente.
• Coordenar Security, RH, Jurídico e Safety.
• Documentar avaliações.
• Criar planos de gerenciamento e intervenção.
• Definir quando envolver autoridades.
• Fazer acompanhamento após incidentes.
• Rever controles e políticas depois do evento.

16. ÉTICA, JURÍDICO E COMPLIANCE

• Adotar código de ética.
• Comunicar padrões éticos.
• Definir conflitos de interesse.
• Treinar pessoal de Segurança em limites legais.
• Identificar leis e regulamentos aplicáveis.
• Manter licenças e autorizações em ordem.
• Consultar Jurídico regularmente.
• Rever políticas sempre que legislação mudar.
• Verificar legalidade de novas tecnologias.
• Verificar privacidade e proteção de dados.
• Avaliar responsabilidades civis.
• Avaliar aspectos trabalhistas.
• Definir regras de preservação de evidências.
• Treinar pessoas que possam prestar depoimentos.
• Documentar ações relevantes.
• Preparar Segurança para auditorias e inspeções.
• Garantir evidências de compliance.

Não tomar como referência automática a legislação norte-americana/canadense do POA para operações brasileiras; o próprio material é organizado predominantemente em torno da legislação desses países. Para aplicação real, validar requisitos locais com Jurídico.

O POA recomenda revisões frequentes com o Jurídico porque a legislação muda continuamente.

17. TERCEIROS, FORNECEDORES E CONSULTORES

• Identificar quais competências não existem internamente.
• Determinar quando contratar especialista externo.
• Definir escopo formal.
• Realizar due diligence do consultor.
• Verificar experiência e qualificações.
• Avaliar conflito de interesses.
• Verificar seguros profissionais.
• Definir entregáveis.
• Definir prazos.
• Definir confidencialidade.
• Avaliar custos.
• Estabelecer contrato.
• Acompanhar execução.
• Exigir transferência de conhecimento quando aplicável.
• Utilizar consultores para validação independente quando necessário.
• Rever recomendações antes da implementação. 

O próprio POA lista usos como identificar problemas, avaliar programas, revisar orçamento, treinar pessoas, validar atividades, melhorar contratos e alertar administração para riscos.

18. QUALIDADE, AUDITORIA E MELHORIA CONTÍNUA

• Documentar políticas.
• Documentar procedimentos.
• Definir responsáveis.
• Criar registros/evidências.
• Criar indicadores.
• Definir metas.
• Monitorar desempenho.
• Auditar processos.
• Registrar não conformidades.
• Analisar causas.
• Criar ações corretivas.
• Definir responsáveis e prazo.
• Verificar eficácia das ações.
• Realizar análise crítica pela gestão.
• Atualizar procedimentos.
• Retreinar pessoas quando necessário.
• Testar os sistemas novamente.
• Registrar lições aprendidas.
• Incorporar os aprendizados no próximo ciclo.
• Manter o ciclo Plan → Do → Check → Act como lógica de gestão. 

O material relaciona explicitamente sistemas de gestão de segurança e resiliência a critérios auditáveis para estabelecimento, verificação, manutenção e melhoria do sistema.

👊

Como sugestão, eu colocaria tudo isto em uma planilha com mais 05 colunas:

Status | Evidência | Gap encontrado | Plano de ação | Prioridade

Inciciaria com a revisão geral sobre a maturidade da empresa em cada linha, desconsiderando neste primeiro momento, aquilo que foge aos olhos ou que necessita entendimento mais detalhado.

E então passar a aplicar o PDCA, pelo menos o que for prioridade ou o que conseguir de imediato (Ganhos rápidos).

Este checklist não descreve apenas tarefas de segurança: organiza a função de Segurança como um sistema de gestão alinhado aos objetivos do negócio.

Para um gestor de segurança, o mais importante não é ser o melhor especialista técnico em cada uma das áreas, mas dirigir e governar o sistema: 

Estabelecer a estratégia

Definir políticas e prioridades

Gerir riscos

Coordenar equipes e recursos

Estabelecer indicadores

Avaliar resultados

Assessorar a alta administração na tomada de decisões. 

A ideia é estabelecer uma base coerente, abrangente e atual para a gestão da Segurança Corporativa em nível gerencial. Com foco mais executivo, não são apenas disciplinas de segurança empresarial, e sim um modelo de gestão. 

A pergunta não é "o que eu sei fazer?", mas "como gerir tudo isto para gerar resultado na empresa?"

Então, por tópico: 

Governança define missão, políticas, estrutura e métricas. 

Riscos definem prioridades e investimentos. 

Finanças justificam valor e orçamento. 

Segurança física e vigilância garantem um sistema integrado que funciona. 

CPTED influencia projetos e Infra. 

Investigações criam método, critérios e interfaces. 

Convergência físico-cyber exige coordenação com TI. 

Gestão de crises assegura preparação e resiliência. 

Ameaças especiais, proteção executiva, eventos e prevenção de perdas são programas que o gestor supervisiona com políticas, governança, indicadores e parcerias internas. 

Cultura, conformidade, gestão de terceiros e melhoria contínua garantem sustentabilidade e evolução do sistema. 

Esse, para mim, é o verdadeiro papel gerencial em segurança empresarial.

... e assim por diante. 

Boa caçada! 💪👮