ESPECIALISTA EM GOVERNANÇA RISCO E COMPLIANCE DE TI (GRC) - JABAQUARA/SP
LM Mobilidade · São Paulo, SP, BR
Buscamos uma pessoa Especialista de GRC para acelerar a construção e a maturidade de Security Assurance e atuar transversalmente em IT Controls Assurance e IT Risk. A posição será referência para temas complexos, ambíguos ou sem dono claro, conectando requisitos técnicos, riscos, controles, auditoria e prioridades de negócio. A pessoa deverá transitar com credibilidade entre equipes técnicas e fóruns executivos, representar a gestão quando necessário, conduzir conversas difíceis e transformar diagnósticos em decisões, compromissos e resultados. A pessoa atuará em um ambiente colaborativo, com forte interação entre equipes locais e globais, contribuindo para a evolução da maturidade dos processos de TI. Procuramos alguém com perfil protagonista, alta autonomia, senso de dono e capacidade de influenciar stakeholders, liderando iniciativas e conduzindo entregas com foco em resultados. A equipa valoriza colaboração, inovação, responsabilidade e melhoria contínua, oferecendo a oportunidade de atuar em projetos de grande impacto para o negócio e com visibilidade junto às lideranças. **Responsabilidades e atribuições** Principais responsabilidades * Estruturar e evoluir o modelo de Security Assurance, incluindo escopo, critérios, ritos, indicadores, evidências e governança de planos de ação. * Liderar avaliações de segurança, risco e controle em aplicações, infraestrutura, cloud, projetos, mudanças relevantes e terceiros. * Atuar como referência transversal entre Security Assurance, IT Controls Assurance e IT Risk. * Definir abordagens para temas complexos, ambíguos ou com múltiplos stakeholders, propondo opções e recomendações claras. * Representar a gestão em reuniões, auditorias, comitês e fóruns técnicos ou executivos, dentro de alçadas previamente definidas. * Traduzir vulnerabilidades, deficiências de controle e cenários técnicos em impacto, exposição e decisão de negócio. * Conduzir reuniões difíceis, negociar compromissos, remover bloqueios e promover escalonamentos objetivos. * Desafiar evidências, justificativas, exceções e planos de remediação de forma técnica, construtiva e independente. * Apoiar o desenho e a racionalização do ambiente de controles, evitando redundância e priorizando riscos materiais. * Conectar apontamentos de auditoria, assessments, incidentes, vulnerabilidades e riscos para identificar causas sistêmicas. * Orientar analistas e pares por influência técnica, sem depender de gestão hierárquica. * Produzir materiais executivos com mensagem clara, recomendação, decisão requerida e consequências de não agir. Entregas esperadas * Modelo de Security Assurance claro, aplicável e conectado aos processos de risco e controles. * Assessments consistentes, priorizados por risco e convertidos em decisões e planos de ação executáveis. * Auditorias e fóruns conduzidos com narrativa coerente, evidência robusta e posicionamento institucional. * Temas críticos com accountability, cadência e pressão proporcionais ao risco. * Maior integração entre Security Assurance, IT Risk e IT Controls Assurance. * Redução da dependência direta da gestão em discussões técnicas e executivas recorrentes. **Requisitos e qualificações** Requisitos essenciais * Experiência extensa em GRC, Segurança da Informação, Auditoria de TI, Riscos de Tecnologia ou Controles Internos. * Histórico de liderança técnica em assessments, auditorias, programas de remediação ou iniciativas de maturidade. * Domínio de avaliação de risco, desenho e efetividade de controles, tratamento de deficiências e gestão de exceções. * Capacidade comprovada de atuar com executivos, auditores, áreas de negócio e times técnicos. * Comunicação executiva: síntese, clareza de recomendação, exposição de trade\-offs e pedido objetivo de decisão. * Capacidade de influenciar sem autoridade formal e operar com autonomia em ambientes ambíguos. * Inglês profissional (verbal e escrita) para reuniões, auditorias, negociação e produção de materiais. * Conhecimento em ferramentas de IA. Conhecimentos e experiências desejáveis * ISO/IEC 27001 e 27002, NIST Cybersecurity Framework, COBIT, CIS Controls e modelos de Three Lines. * Cloud security e assurance em Microsoft Azure, Amazon Web Services ou Google Cloud. * Third\-Party Risk Management, secure\-by\-design, vulnerabilidades, exceções de segurança e compliance tecnológico. * SOX ou ambientes regulados, quando aplicável ao contexto da organização. * Ferramentas de GRC, como ServiceNow GRC, Archer ou MetricStream. * Certificações como CISA, CRISC, CISSP, CCSP, CGEIT ou ISO 27001 Lead Auditor. * Diferenciais: Alemão e Espanhol (idiomas) Competências comportamentais * Presença, credibilidade e serenidade em fóruns de alta pressão. * Leitura organizacional e capacidade de adaptar a mensagem ao público técnico, gerencial ou executivo. * Assertividade com respeito e capacidade de sustentar posições impopulares quando o risco justificar. * Pensamento sistêmico e habilidade para conectar sinais dispersos. * Pragmatismo, senso