Plano de tratamento de riscos ISO 27001: o que incluir e como conduzir
O plano de tratamento de riscos ISO 27001 registra o que será feito com cada risco que não é aceito do jeito que está: a opção escolhida (mitigar, transferir, evitar ou aceitar), os controles ou ações, o responsável, a data acordada, o progresso e o risco residual esperado. A ISO/IEC 27001:2022 o exige na cláusula 6.1.3, junto com a aprovação do plano e a aceitação do risco residual pelos proprietários dos riscos; a cláusula 8.3 exige que ele seja implementado, com evidências dos resultados guardadas.
O que a ISO/IEC 27001:2022 exige no tratamento de riscos
O tratamento começa onde termina a avaliação de riscos (cláusula 6.1.2). Em resumo, a cláusula 6.1.3 pede que a organização:
- escolha uma opção de tratamento adequada para cada risco, com base nos resultados da avaliação;
- determine os controles necessários para implementar essa opção, de qualquer fonte;
- compare esses controles com o Anexo A para que nenhum controle necessário fique de fora;
- elabore a Declaração de Aplicabilidade com os controles incluídos e excluídos e a justificativa;
- formule o plano de tratamento de riscos;
- obtenha a aprovação do plano e a aceitação do risco residual pelos proprietários dos riscos.
A cláusula 8.3 exige implementar o plano e manter informação documentada sobre os resultados. Ou seja, o auditor não verifica só se o plano existe: verifica se as ações avançam, se há evidências e se alguém com autoridade aprovou o risco que sobra. Para quem trata dados pessoais, a LGPD (art. 46) exige medidas de segurança aptas a proteger esses dados; um plano de tratamento bem mantido ajuda a demonstrar quais foram adotadas.
Colunas de um plano de tratamento de riscos em Excel
A norma não define um formato. Estas são as colunas do plano de tratamento do kit NexoDocs (ISMS-RSK-03 Plano de Tratamento de Riscos), pensadas para rastrear cada linha desde o registro de riscos até a Declaração de Aplicabilidade:
| Coluna | Para que serve |
|---|---|
| ID do risco e risco | O mesmo ID do registro de riscos: liga avaliação, tratamento e Declaração de Aplicabilidade |
| Nível atual | O nível avaliado na análise, antes do tratamento |
| Opção | Mitigar, Transferir, Evitar ou Aceitar |
| Ação ou controle a implementar | O que será feito de fato, em uma frase verificável |
| Controles do Anexo A | Os controles relacionados (por exemplo, A.5.17 e A.8.5 para credenciais) |
| Responsável e data acordada | Quem executa e até quando |
| Status e % de progresso | Planejado, Em andamento, Implementado, Aceito ou Cancelado; base do acompanhamento mensal |
| Impacto residual e probabilidade residual | A estimativa depois de aplicar a ação |
| Nível residual e categoria residual | Calculados automaticamente com os mesmos critérios da avaliação |
| Risco residual aprovado por e data de aprovação | A evidência de que o proprietário do risco o aceitou |
| Orçamento ou recursos | O que é preciso para cumprir a data |
| Resultado esperado / indicador de eficácia | Como saber que funcionou (por exemplo, 100% das contas com MFA) |
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)As quatro opções de tratamento de riscos
| Opção | Quando usar | Exemplo |
|---|---|---|
| Mitigar | O risco passa dos critérios de aceitação e existem controles razoáveis | Tornar o MFA obrigatório para reduzir o roubo de credenciais |
| Transferir | Um terceiro pode absorver parte do impacto | Seguro cibernético ou contrato com o provedor de nuvem |
| Evitar | A atividade não compensa o risco | Deixar de armazenar dados de cartão em servidores próprios |
| Aceitar | O nível está dentro dos critérios ou tratá-lo seria desproporcional | Risco baixo aceito pelo proprietário, com data e assinatura |
Transferir um risco não elimina a responsabilidade: a organização continua respondendo a clientes e autoridades e precisa gerenciar o terceiro. Aceitar também não é «não fazer nada»: é uma decisão documentada do proprietário do risco, revista na próxima avaliação.
Como avaliar o risco residual
O risco residual é o que sobra depois do tratamento. Avalie-o na mesma escala da avaliação (no kit, impacto vezes probabilidade, cada um de 1 a 4) e compare com os mesmos critérios de aceitação. Por padrão, o kit usa: Médio a partir de 6, Alto a partir de 9 e Crítico a partir de 16; um risco alto deve ser tratado em no máximo 3 meses. Se o nível residual continuar acima dos critérios, acrescente ações ou peça ao proprietário que o aceite de forma explícita e justificada.
Exemplo do kit preenchido (NubeSur): o roubo de credenciais de desenvolvedor começa no nível 12 (Alto). Com MFA obrigatório no repositório, na nuvem e no e-mail, o impacto residual é avaliado em 4 e a probabilidade em 1, o nível residual fica em 4 (Baixo), e o líder de desenvolvimento aprova com data.
A relação com a Declaração de Aplicabilidade
São dois lados do mesmo trabalho. O plano diz o que será feito com cada risco; a Declaração de Aplicabilidade diz quais controles do Anexo A estão incluídos ou excluídos, por quê e se estão implementados. Todo controle do plano deveria aparecer como incluído na Declaração, e todo controle incluído deveria ser justificado por um risco, um requisito legal ou contratual, ou uma decisão da organização.
Constatações comuns em auditoria
- Ações vagas como «melhorar a segurança», sem controle específico nem data.
- Responsáveis genéricos («a TI») em vez de um papel ou uma pessoa.
- Risco residual não avaliado ou não aprovado pelo proprietário do risco.
- Prazos vencidos sem nova data nem explicação.
- Controles do plano que faltam na Declaração de Aplicabilidade, ou o contrário.
- Um plano que não é atualizado depois de uma nova avaliação de riscos.
Modelo: o plano de tratamento de riscos do kit ISO 27001
O plano de tratamento do kit ISO 27001 da NexoDocs em português é uma pasta de trabalho Excel sem macros com as colunas deste guia, listas suspensas para opção e status, nível e categoria residuais calculados automaticamente conforme os critérios aprovados (aba «Critérios») e um exemplo completo de uma empresa fictícia. Ele se conecta à metodologia de avaliação de riscos, ao registro de riscos e à Declaração de Aplicabilidade do kit.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
O plano de tratamento de riscos é obrigatório na ISO 27001?
Sim. A cláusula 6.1.3 exige que ele seja formulado e mantido como informação documentada, e a cláusula 8.3 exige sua implementação com os resultados guardados.
Quem aprova o plano de tratamento de riscos?
Os proprietários dos riscos. Eles aprovam o plano e aceitam o risco residual; registre em cada linha o nome ou o papel e a data.
É possível aceitar riscos altos?
A norma permite, se o proprietário do risco tomar uma decisão informada e documentada, mas o auditor vai esperar uma justificativa clara e revisão periódica. Nos critérios do kit, isso só é previsto em caráter excepcional, com a aprovação da Alta Direção.
Com que frequência atualizar o plano?
Sempre que a avaliação de riscos mudar e no acompanhamento normal do SGSI; na prática, uma verificação mensal do progresso e uma revisão completa pelo menos uma vez por ano.
Um modelo garante passar na auditoria?
Não. A certificação depende de como o SGSI está implementado e da auditoria de um organismo de certificação; um bom modelo organiza o trabalho e deixa evidências claras.
Guias relacionados
Matriz de riscos ISO 27001: o que deve incluir e como usar
O que a ISO/IEC 27001:2022 exige na avaliação de riscos, quais colunas a matriz de riscos do SGSI deve ter e como calcular o nível de risco. Amostra grátis.
Ler o guia →Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
O que a Declaração de Aplicabilidade da ISO/IEC 27001:2022 deve conter para os 93 controles, como justificar exclusões e erros comuns. Com modelo em Excel.
Ler o guia →Análise de lacunas ISO 27001: a que distância o seu SGSI está da norma?
Análise de lacunas (gap analysis) ISO/IEC 27001:2022: 29 perguntas das cláusulas 4 a 10, os 93 controles do Anexo A, pontuação com semáforo e próximos passos.
Ler o guia →Atualizado: 2026-10-29