ESPECIALISTA EM GOVERNANÇA RISCO E COMPLIANCE DE TI (GRC) - JABAQUARA/SP

Buscamos uma pessoa Especialista de GRC para acelerar a construção e a maturidade de Security Assurance e atuar transversalmente em IT Controls Assurance e IT Risk. A posição será referência para temas complexos, ambíguos ou sem dono claro, conectando requisitos técnicos, riscos, controles, auditoria e prioridades de negócio.

A pessoa deverá transitar com credibilidade entre equipes técnicas e fóruns executivos, representar a gestão quando necessário, conduzir conversas difíceis e transformar diagnósticos em decisões, compromissos e resultados.

A pessoa atuará em um ambiente colaborativo, com forte interação entre equipes locais e globais, contribuindo para a evolução da maturidade dos processos de TI. Procuramos alguém com perfil protagonista, alta autonomia, senso de dono e capacidade de influenciar stakeholders, liderando iniciativas e conduzindo entregas com foco em resultados.

A equipa valoriza colaboração, inovação, responsabilidade e melhoria contínua, oferecendo a oportunidade de atuar em projetos de grande impacto para o negócio e com visibilidade junto às lideranças.

Responsibilities

Principais responsabilidades

• Estruturar e evoluir o modelo de Security Assurance, incluindo escopo, critérios, ritos, indicadores, evidências e governança de planos de ação.

• Liderar avaliações de segurança, risco e controle em aplicações, infraestrutura, cloud, projetos, mudanças relevantes e terceiros.

• Atuar como referência transversal entre Security Assurance, IT Controls Assurance e IT Risk.

• Definir abordagens para temas complexos, ambíguos ou com múltiplos stakeholders, propondo opções e recomendações claras.

• Representar a gestão em reuniões, auditorias, comitês e fóruns técnicos ou executivos, dentro de alçadas previamente definidas.

• Traduzir vulnerabilidades, deficiências de controle e cenários técnicos em impacto, exposição e decisão de negócio.

• Conduzir reuniões difíceis, negociar compromissos, remover bloqueios e promover escalonamentos objetivos.

• Desafiar evidências, justificativas, exceções e planos de remediação de forma técnica, construtiva e independente.

• Apoiar o desenho e a racionalização do ambiente de controles, evitando redundância e priorizando riscos materiais.

• Conectar apontamentos de auditoria, assessments, incidentes, vulnerabilidades e riscos para identificar causas sistêmicas.

• Orientar analistas e pares por influência técnica, sem depender de gestão hierárquica.

• Produzir materiais executivos com mensagem clara, recomendação, decisão requerida e consequências de não agir.

Entregas esperadas

• Modelo de Security Assurance claro, aplicável e conectado aos processos de risco e controles.

• Assessments consistentes, priorizados por risco e convertidos em decisões e planos de ação executáveis.

• Auditorias e fóruns conduzidos com narrativa coerente, evidência robusta e posicionamento institucional.

• Temas críticos com accountability, cadência e pressão proporcionais ao risco.

• Maior integração entre Security Assurance, IT Risk e IT Controls Assurance.

• Redução da dependência direta da gestão em discussões técnicas e executivas recorrentes.

Requirements

Requisitos essenciais

• Experiência extensa em GRC, Segurança da Informação, Auditoria de TI, Riscos de Tecnologia ou Controles Internos.

• Histórico de liderança técnica em assessments, auditorias, programas de remediação ou iniciativas de maturidade.

• Domínio de avaliação de risco, desenho e efetividade de controles, tratamento de deficiências e gestão de exceções.

• Capacidade comprovada de atuar com executivos, auditores, áreas de negócio e times técnicos.

• Comunicação executiva: síntese, clareza de recomendação, exposição de trade-offs e pedido objetivo de decisão.

• Capacidade de influenciar sem autoridade formal e operar com autonomia em ambientes ambíguos.

• Inglês profissional (verbal e escrita) para reuniões, auditorias, negociação e produção de materiais.
• Conhecimento em ferramentas de IA.

Conhecimentos e experiências desejáveis

• ISO/IEC 27001 e 27002, NIST Cybersecurity Framework, COBIT, CIS Controls e modelos de Three Lines.

• Cloud security e assurance em Microsoft Azure, Amazon Web Services ou Google Cloud.

• Third-Party Risk Management, secure-by-design, vulnerabilidades, exceções de segurança e compliance tecnológico.

• SOX ou ambientes regulados, quando aplicável ao contexto da organização.

• Ferramentas de GRC, como ServiceNow GRC, Archer ou MetricStream.

• Certificações como CISA, CRISC, CISSP, CCSP, CGEIT ou ISO 27001 Lead Auditor.
• Diferenciais: Alemão e Espanhol (idiomas)

Competências comportamentais

• Presença, credibilidade e serenidade em fóruns de alta pressão.

• Leitura organizacional e capacidade de adaptar a mensagem ao público técnico, gerencial ou executivo.

• Assertividade com respeito e capacidade de sustentar posições impopulares quando o risco justificar.

• Pensamento sistêmico e habilidade para conectar sinais dispersos.

• Pragmatismo, senso de prioridade e foco em decisão.

• Autonomia, responsabilidade e compromisso com excelência.