TRA — Análise de Risco Direcionada
Um documento estruturado que justifica formalmente uma decisão de risco pontual — por exemplo, a frequência de um controle ou uma abordagem personalizada — identificando o ativo analisado, a ameaça mitigada, os fatores de probabilidade/impacto, e a decisão resultante com sua justificativa.
Por que importa
Sem uma TRA por escrito, uma frequência de controle 'trimestral' ou um risco aceito é só uma opinião — não resiste a uma auditoria. Com ela, a decisão fica rastreável e defensável, com data de revisão definida.
Exemplo
O PCI DSS v4.0.1 exige literalmente esse documento no Requisito 12.3.1 sempre que a norma deixa a frequência de um controle a critério da empresa, e o mesmo requisito manda revisá-lo no mínimo a cada 12 meses. A abordagem personalizada tem uma TRA própria, mais extensa (12.3.2), aprovada pela alta gestão. A ferramenta gera os dois documentos em Gestão de Controles → TRA; o de frequência também pode ser ligado a qualquer framework do registry ou ser avulso.
Onde aparece
- PCI DSS
- ISO 31000
- Resolução CMN 4.893/2021