Cadeia automotiva
Chegou a cláusula no contrato e com ela um vocabulário novo: escopo, objetivo de avaliação, VDA ISA, audit provider. A DM11 traduz esse pedido em um plano com prazo e responsável, e conduz sua empresa até a avaliação com o resultado já previsível.
A DM11 prepara sua empresa para a avaliação. Quem avalia e emite os labels é um audit provider contratado pela ENX Association, e essa separação é exigência do próprio esquema.
Quem conduz a preparação
O ponto de partida
TISAX não é lei nem regulação. É um requisito que a montadora ou o Tier 1 coloca no contrato, com prazo definido por ele. Por isso a primeira conversa não é sobre segurança da informação: é sobre entender exatamente o que foi pedido, porque o pedido determina o tamanho de tudo o que vem depois.
A ENX Association governa o TISAX e contrata os audit providers. O catálogo de critérios, o VDA ISA, é publicado pela associação da indústria automotiva alemã. Entre os membros da ENX estão Audi, BMW, Bosch, Ford, Magna, Mercedes-Benz, Renault, Valeo e Volkswagen.
Quando sua empresa recebe desenho de engenharia, dado de peça em desenvolvimento ou informação pessoal de um cliente, o risco dele passa a morar na sua rede. O TISAX é a forma que a cadeia encontrou de verificar isso uma vez só, em vez de cada montadora auditar cada fornecedor.
Você publica o resultado uma vez e libera para os parceiros que escolher. Acaba o ciclo de responder um questionário de segurança diferente para cada cliente, cada um com planilha própria e prazo próprio. O X do nome é justamente esse: exchange, troca.
O que é, de fato
O manual oficial do participante responde à pergunta de forma direta: não existe certificado para pendurar na parede. TISAX é um mecanismo de avaliação e troca. Você é avaliado contra o catálogo VDA ISA, recebe labels e os compartilha na plataforma da ENX com quem você autorizar. Quem trata isso como certificação costuma errar também no resto.
O resultado são labels publicados na plataforma da ENX, não um certificado. Fornecedor que promete “certificar sua empresa em TISAX” está descrevendo algo que não existe no esquema.
A avaliação usa o catálogo VDA ISA, com controles de segurança da informação, proteção de protótipos e proteção de dados. Cada controle recebe uma nota de maturidade de 0 a 5, e não um simples atende ou não atende.
Vale a versão vigente quando você contrata a avaliação. A VDA ISA 6.0.3 rege as avaliações contratadas até 31/12/2026. A partir de 01/01/2027, vale a VDA ISA2027, publicada em julho de 2026, que reforça requisitos de segurança da cadeia de suprimentos e reestrutura a proteção de protótipos.
Os labels valem três anos contados da reunião de encerramento da avaliação inicial. Diferente da ISO 27001, não há auditoria de manutenção anual no período. A renovação repete o processo, e a recomendação oficial é começar um ano antes do vencimento.
A avaliação cobre localidades, não a empresa como pessoa jurídica. Três plantas podem significar três localidades no mesmo escopo, e todas precisam ter os mesmos objetivos de avaliação. Dimensionar isso errado no registro cobra caro depois: ampliar o escopo mais tarde não é um simples ajuste.
Se o resultado for não conformidade menor, você recebe labels temporários enquanto executa o plano de ação. Não existe reprovação permanente, e ninguém precisa ver o resultado de uma tentativa anterior. O que existe é prazo: as ações corretivas têm limite de nove meses.
Tradução
Dentro do TISAX o que se contrata é o objetivo de avaliação, e é ele que determina o nível. Se o pedido do seu cliente não trouxer o objetivo, essa é a primeira pergunta a fazer a ele, antes de qualquer orçamento.
| O que pedem | O que significa | O que isso exige de você |
|---|---|---|
| “Precisamos que você tenha TISAX” | Pedido incompleto. Falta o objetivo de avaliação. | Volte ao cliente e peça o objetivo por escrito. Sem isso, qualquer orçamento é chute e o registro pode sair errado. |
| Confidential | Informação de alta necessidade de proteção, na dimensão de confidencialidade. Nível AL 2. | Autoavaliação consistente, verificação de plausibilidade e entrevista, em geral por videoconferência. |
| Strictly confidential | Necessidade de proteção muito alta. Nível AL 3. | Auditor presente na sua planta, exame minucioso de evidências, entrevistas planejadas e não planejadas, observação dos processos. |
| High availability | Alta necessidade de proteção na dimensão de disponibilidade. Nível AL 2. | Continuidade de negócios com evidência de teste, não apenas plano escrito. |
| Proto parts, Proto vehicles | Proteção de peças, componentes ou veículos protótipo. Nível AL 3. | Áreas segregadas, controle de acesso físico com registro, regras de câmera e celular, tratamento específico de mídia. |
| Test vehicles, Proto events | Veículos de teste e protótipos em eventos ou filmagens. Nível AL 2. | Regras de manuseio, transporte e cobertura, com responsabilidade definida por evento. |
| Data | Proteção de dados, derivada do artigo 28 do GDPR, que trata do operador. Nível AL 2. | Registro de operações, avaliação de impacto, regras de transferência e tratamento de solicitações de titulares. Conversa direta com o que a LGPD já exige de você. |
| Special data | Dados pessoais de categorias especiais. Nível AL 3. | Tudo do anterior, com verificação presencial e controles reforçados. |
Os objetivos Info high e Info very high deixaram de ser selecionáveis em abril de 2024. Se o pedido do seu cliente ainda usa esses nomes, vale confirmar com ele: normalmente significa Confidential ou Strictly confidential, e a diferença muda o nível da avaliação.
Níveis
O nível não é escolha sua. Ele decorre do objetivo de avaliação que seu cliente exige.
Uso interno
O auditor apenas confirma que existe uma autoavaliação preenchida, sem examinar o conteúdo. Ponto que costuma surpreender: o AL 1 não gera label TISAX. Serve para uso interno ou para um parceiro específico, fora do mecanismo de troca.
A maioria dos fornecedores
Verificação de plausibilidade da sua autoavaliação, com checagem de evidências e entrevista com o responsável pela segurança da informação, normalmente por videoconferência. Aqui o esforço interno é alto: sua autoavaliação precisa se sustentar sozinha, com evidência por trás de cada nota.
Protótipos e proteção muito alta
O auditor vai até suas localidades. Examina documentos e evidências, conduz entrevistas planejadas com donos de processo e não planejadas com quem executa, observa as condições locais e a execução real dos processos. É o nível em que a diferença entre processo escrito e processo praticado aparece.
Para quem já tem ISO 27001
Ter ISO 27001 ajuda bastante e não dispensa a avaliação TISAX. O catálogo VDA ISA é alinhado às boas práticas da norma e traz referências cruzadas, então boa parte da sua documentação é reaproveitável. O que costuma pegar não é o que já existe: é o que a ISO não pede e a lógica de escopo, que funciona ao contrário.
Autodiagnóstico
Quatorze perguntas sobre os domínios que o catálogo VDA ISA cobre. O resultado aparece inteiro na tela, com a nota de cada domínio e uma leitura honesta da distância até uma avaliação. Não pedimos e-mail para mostrar o resultado.
Aprovada pela direção, com data de revisão. Documento antigo sem dono costuma contar como ausência.
Como conduzimos
Cada fase termina com entregável, não com relatório de status. Você sabe o que recebe antes de começar.
Antes de qualquer diagnóstico técnico, traduzimos o que seu cliente exigiu em objetivo de avaliação, nível e localidades. É a decisão que define o tamanho de tudo o que vem depois, e a que mais se erra por pressa.
Você recebe
Avaliamos sua situação atual controle a controle, na versão do catálogo que valerá para a sua avaliação, com a nota de maturidade que o avaliador vai usar. O resultado mostra a distância real, não uma impressão.
Você recebe
Transformamos as lacunas em um plano com responsável, prazo e ordem de execução. A sequência importa: alguns controles dependem de outros e executá-los fora de ordem gera retrabalho.
Você recebe
Conduzimos a execução junto com seu time: políticas, processos, controles de acesso físico e lógico, gestão de fornecedores e a documentação que sustenta cada nota. O time aprende a operar o que foi construído.
Você recebe
Simulamos a avaliação com o rigor do avaliador, incluindo entrevistas com donos de processo e com quem executa. É onde aparece a diferença entre o processo escrito e o processo praticado, ainda dá tempo de corrigir.
Você recebe
Apoiamos durante a avaliação conduzida pelo audit provider e, se houver não conformidades, na construção e execução do plano de ação corretiva dentro do prazo do esquema.
Você recebe
Histórias
Anonimizamos os clientes pelo mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, e o padrão dos problemas se repete. Referências nominais, quando o cliente autoriza, apresentamos em conversa.
Uma pergunta que você deveria fazer
O manual do participante é explícito: um audit provider só pode conduzir sua avaliação se não tiver prestado consultoria a você antes. Quem prepara fica impedido de avaliar aquele cliente. Não é detalhe burocrático, é o que sustenta a credibilidade do resultado perante a montadora que vai confiar nele.
Dúvidas frequentes
Respostas ancoradas no manual oficial do participante. Onde não existe dado oficial, dizemos que não existe.
Não. O manual oficial do participante responde diretamente a isso: não existe certificado a ser emitido. TISAX é um mecanismo de avaliação e troca. Você é avaliado contra o catálogo VDA ISA, recebe labels e os compartilha na plataforma da ENX com os parceiros que autorizar. Fornecedor que promete certificado está descrevendo algo que o esquema não tem.
Mais dúvidas? Veja as perguntas frequentes da DM11
Uma conversa de trinta minutos costuma bastar para transformar a exigência do seu cliente em escopo, nível e ordem de grandeza de esforço. Sem compromisso.