Comitê de risco em grande anunciante: contas, fornecedores e log

Grande anunciante já tem comitê para fornecedor, para marca e para dado. Conta de anúncio entra tarde, quando a BM já tem dezoito admins, três agências, um app de staging no mesmo Chrome do head e um pixel que ninguém sabe quem instalou. O comitê não precisa virar mesa de mídia. Precisa tratar tráfego pago como sistema com dono, log e recorte de risco. Campanha é operação. Acesso é governança.

Este texto é o recorte enterprise. Não substitui o procedimento do gestor. Complementa. Quem pausa lance não é o comitê. Quem aceita que uma agência tenha admin eterno sem log, é.

Por que ads entra no comitê e não só no marketing

Marketing vê verba e criativo. Risco vê superfície.

Uma BM corporativa concentra: identidade da marca, método de pagamento, catálogo, público, comentários, parcerias, pixels, acessos de gente que já saiu. Não é “a ferramenta do performance”. É um sistema que mexe em dinheiro e em dado. Restrição de conta para o tráfego pago grande não é só CPC. É continuidade de receita e de reputação.

O comitê já olha fornecedor de cloud, de folha, de mídia off. Olhar agência de performance e ferramenta de browser com a mesma seriedade não é paranoia. É consistência. O laptop do analista com extensão livre é fornecedor informal. Ninguém fez due diligence nele.

Três perguntas cabem na pauta trimestral:

Quem são os anunciantes de fato — CNPJ, BM, MCC, seller — e quem é dono de cada um.

Quem acessa, com qual papel, desde quando, com qual log.

O que acontece em 24 horas se uma pessoa ou um fornecedor sair, ou se uma conta restringir.

Se a pauta só tem ROAS, o comitê está na reunião errada.

Mapa mínimo: contas, não campanhas

O comitê não lê estrutura de campanha. Lê identidade.

Entregável 1: lista de identidades de ads. Empresa, país, plataforma, titular de pagamento, pixel principal, se é produção ou teste. Holding com dez marcas não é uma linha. É dez, ou as que o jurídico tratar como um anunciante de propósito.

Entregável 2: lista de fornecedores com acesso. Agência, freelancer, ferramenta de relatórios, ferramenta de browser, proxy, CRM que lê audiência. Cada um com contrato, DPA se couber, data de início, dono interno.

Entregável 3: lista de pessoas humanas com papel admin ou de faturamento. Nome, e-mail corporativo, gestor, data do último acesso. Gmail pessoal nessa lista é achado. Não é detalhe.

Sem os três entregáveis, o comitê discute feeling. Com eles, discute exceção.

Fornecedores: agência, tool e o laptop que ninguém nomeou

Agência de mídia é fornecedor de acesso. Não é “parceiro especial” fora do vendor management. Convite na BM é equivalente a credencial. Credencial sem prazo é falha.

Ferramenta de automação, de relatórios, de criativo e de navegação isolada entram na mesma lógica. Quem conecta API lê dado. Quem abre perfil de browser mexe em sessão. O comitê pergunta: onde está o dado, quem vê o log, qual a retenção, se há sede e contrato no Brasil, se a saída da tool revoga de verdade.

O laptop é o fornecedor invisível. BYOD do analista, máquina da agência no escritório do cliente, computador da sala de reunião com sessão salva. Nenhum desses aparece no contrato da agência. Todos carregam cookie. Política de endpoint (MDM, extensão, disco cifrado) é pauta de risco. Não é capricho de TI que o marketing ignora.

Quando o fornecedor pede “acesso admin para agilizar”, o comitê pede recorte e data de revisão. Agilizar sem recorte é o padrão que gera os dezoito admins.

Log: o que o comitê lê sem virar polícia

Log de ads não é SIEM da empresa inteira. É o suficiente para reconstruir incidente.

O comitê pede evidência de: convite e revogação; abertura de perfil de navegação em ferramenta da operação; troca de proxy; export de cookie ou de audiência; login de faturamento. Não pede gravação de tela do gestor. Não pede senha no ticket.

Cultura sem caça às bruxas importa. Log que só serve para punir some. Log que serve para saída limpa e para disputa com fornecedor permanece. A pergunta na reunião não é “quem errou o lance”. É “conseguimos ver quem tinha admin na terça”.

Histórico de atividades da operação — quem abriu perfil, quem convidou, quem trocou proxy — é o tipo de registro que o time de mídia consegue manter. O Lauth Score, quando existe na operação, entra como sinal de higiene de conta, não como previsão de ban. Comitê que trata score como oráculo compra conforto falso. Comitê que trata score como amostra a investigar está no eixo certo.

Complemento de privacidade: LGPD e acessos a contas de anúncio define quem viu o quê. O comitê não precisa virar DPO. Precisa garantir que o DPO tem log para trabalhar.

Score e amostra: higiene, não profecia

Grande anunciante ama dashboard. Dashboard de “risco de ban” sem método é teatro.

O que dá para medir: consistência de ambiente (IP, WebRTC, DNS) numa amostra de perfis; contas sem dono; admins sem acesso há 90 dias; fornecedores sem contrato; incidentes de restrição classificados por eixo — política, pagamento, ambiente.

O que não dá: prometer que a conta não cai. Política de criativo e de pagamento não cabem em score de browser. O texto de auditoria interna de perfis detalha o que amostrar no trimestre. O comitê só precisa exigir que a amostra exista, com dono e com relatório de uma página.

Se a operação não tem score nenhum, a amostra manual ainda vale. Dez perfis, teste de vazamento, conferência de proxy, conferência de extensão. Feio e honesto. Melhor que um número inventado.

Incidente: o papel do comitê quando a conta cai

Quando a conta restringe, o time de mídia diagnostica. O comitê não abre apelação no calor.

Papel do comitê no incidente: garantir que o eixo foi classificado; que ninguém nasceu conta gêmea no mesmo cartão; que o fornecedor não “resolveu” com login pessoal; que o log do período está preservado; que a comunicação externa não promete milagre.

Papel que não é do comitê: escolher o lance da campanha de contingência. Isso é mesa de mídia. Misturar os papéis gera reunião de duas horas e zero revogação.

Se o incidente for credencial — senha vazada, extensão estranha, laptop perdido — o rito é de segurança, não de mídia. Revogar, rotacionar, preservar evidência. O comitê cobra o rito. Não inventa o procedimento na hora.

Cadência que não morre

Trimestral: revisar lista de identidades, de fornecedores e de admins. Ler o relatório de amostra de perfis. Encerrar acessos órfãos. Rever exceções de BYOD e de agência no laptop interno.

Mensal, no time de mídia, com resumo de uma página ao sponsor do comitê: incidentes, novos convites admin, ferramentas novas.

Sob demanda: saída de fornecedor, fusão de marca, entrada em país novo, mudança de titular de pagamento.

Anual: contrato e DPA das tools de operação; retenção de log; teste de saída simulado — escolher uma pessoa e um fornecedor e revogar de ponta a ponta.

Se a cadência só existe no kickoff, não existe. Dono do rito: alguém de risco ou de ops com mandato. Head de mídia opera. Não se autoaudita com conforto.

O que o comitê não compra

Não compra “navegador que zera restrição”. Não compra BM pronta como plano de continuidade sem due diligence. Não compra métrica 10x de entrega. Não compra log que a ferramenta não exporta.

Compra evidência, contrato, recorte, amostra e tempo de revogação. O resto é criativo e mídia, e fica na mesa que já existe.

Quando esses itens estão na pauta, o grande anunciante deixa de tratar ads como exceção sofisticada. Trata como o sistema que já é: dinheiro, dado, fornecedor e sessão. O Chrome único do head deixa de ser folclore. Vira achado.

Pauta trimestral que cabe em uma hora

Comitê que vira workshop de mídia morre. Comitê que só ouve ROAS também. Uma hora, material enviado na véspera, decisões no fim.

Primeiros quinze minutos: mapa. Identidades novas ou encerradas. Fornecedores novos. Admins a mais ou a menos. Sem discussão de criativo.

Quinze seguintes: incidentes do trimestre, classificados por eixo. Quantos foram política, pagamento, ambiente, credencial. O que o time fez de errado no rito — BM gêmea, login pessoal, apelação no calor. Sem caça às bruxas. Com ação.

Quinze seguintes: amostra de perfis. Achados, correções vencidas, reincidentes. Score só como fila de higiene, se existir. Não como previsão.

Últimos quinze: decisões. Revogar fornecedor X. Exigir DPA da tool Y. Proibir BYOD no perfil Z. Patrocínio de quem executa até a próxima reunião. Se a decisão é “o marketing vê”, não houve reunião de risco.

Fora da hora: material de leitura. Lista de admins. Lista de ferramentas. Relatório de uma página da auditoria. Quem não leu não debate o feeling.

Entrada de fornecedor de mídia

Agência nova, ferramenta nova, freelancer sênior: o comitê não precisa entrevistar o portfólio. Precisa da ficha.

Ficha mínima: CNPJ, contrato, DPA se couber, recorte de acesso pedido versus recorte concedido, data de revisão, dono interno, canal de incidente, se opera no laptop próprio ou no do anunciante, se usa perfil isolado ou Chrome da casa.

Primeiros trinta dias: admin só se o recorte exigir. Começar com operar. Admin é exceção com prazo. Quem pede admin no kickoff para “não travar” está pedindo a superfície.

Saída de fornecedor: igual saída de gente, com data no contrato. A lista de convites sai do palpite. Sai do log. Se o log não existe, a saída é cega. Cegueira é achado do trimestre em que o fornecedor entrou, não do trimestre em que saiu.

Mídia programática, afiliados, influenciadores com login em ads: entram na mesma ficha. O comitê que só olha a agência de performance ignora metade da BM.

Fusão, marca nova e país novo

M&A cola grafos. Duas empresas, duas BMs, dois pixels, dois times, um deck de sinergia. A sinergia de mídia costuma ser “vamos juntar tudo num login”. O comitê pergunta se o titular jurídico juntou. Se não juntou, o login único é pré-integração de risco, não de eficiência.

Marca nova no portfólio: identidade nova no mapa antes do primeiro anúncio. Não “usa a BM da marca irmã até o CNPJ sair”. Até o CNPJ sair, o anunciante é outro. O atalho vira o grafo eterno.

País novo: moeda, fuso, pagamento, dado, transferência. Perfil de navegação com geo coerente. Não é o Chrome do Brasil operando a conta do México no almoço. Agência local versus time interno: a ficha de fornecedor de novo. O comitê não escolhe o lance em peso. Escolhe se o acesso atravessa fronteira sem mapa.

Relação com DPO, TI e financeiro

DPO: lista de quem vê público e pixel; retenção de log; subprocessador de browser e de relatório. O comitê garante que o DPO recebe o mapa. Não redige o registro de operações na reunião de risco.

TI: MDM, BYOD, extensão, onde o antidetect roda, o que acontece no laptop perdido. Marketing sozinho homologando exe é o padrão que o comitê deveria ter matado.

Financeiro: quem tem acesso de faturamento, quantos cartões, se o teto existe, se o alerta existe. Verba sem dono de acesso é risco de fraude interna tão clássico quanto o phishing. O comitê não aprova o extra da Black Friday. Cobra que exista rito de extra.

Quando DPO, TI, financeiro e mídia nunca estão na mesma pauta, cada um acha que o outro controla a BM. Ninguém controla. O comitê existe para nomear o buraco.