A maioria das compras ruins de software é decidida antes da primeira demonstração, e a categoria de gestão de riscos sofre mais com isso do que a maioria.
A sequência costuma ser esta. Um fundador vê um fornecedor em uma conferência, ou um colega menciona a ferramenta que usa. Uma demonstração é agendada. A demonstração é boa, porque demonstrações são feitas para ser boas. Depois vêm a comparação de recursos com dois concorrentes, a negociação de preço e o pedido de compra. Em algum ponto desse processo, a única pergunta que realmente importa nunca é feita em voz alta: contra o que estamos tentando nos proteger?
O resultado é um tipo específico de fracasso. Não uma ferramenta ruim. Uma boa ferramenta, funcionando exatamente como foi concebida, resolvendo um problema que você não tinha.
Este guia explica o que a categoria realmente é, o que avaliar, quanto custa, qual retorno oferece e, depois, apresenta um processo de escolha em cinco etapas. Três delas vêm antes de você olhar para qualquer fornecedor. Se você começa com uma lista de recursos, está começando na quarta etapa, que é mais ou menos onde nasce o arrependimento.
Um aviso franco: para boa parte de quem está lendo, a conclusão honesta será que você não precisa do que vendemos ou que não precisa comprar nada. Direi isso quando for o caso. Um guia de compra que não consegue fazer você desistir de uma compra não é um guia: é um folheto comercial.
O que é, de fato, gestão de riscos corporativos?
Vamos começar pelo termo, porque a maior parte desses softwares é vendida com esse nome, e vale deixar claro o que ele significa.
A gestão de riscos corporativos, ou ERM, é a prática de identificar, avaliar e gerenciar todo o conjunto de riscos de uma organização em uma visão coordenada, em vez de deixar cada departamento cuidar dos próprios riscos isoladamente.
Essa última parte resume toda a ideia. Antes da ERM, a equipe financeira gerenciava o risco financeiro, a TI cuidava dos riscos cibernéticos, o jurídico dos processos judiciais e as operações dos riscos operacionais, e ninguém tinha a visão completa. A ERM surgiu para colocar tudo em um único mapa, permitindo que a liderança e o conselho enxerguem a exposição total da organização e definam prioridades para o conjunto, em vez de fazê-lo dentro de áreas isoladas.
Na prática, o software de ERM reúne as ferramentas que tornam essa coordenação possível em escala. Um registro que reúne todos os riscos identificados. Uma forma de pontuá-los e classificá-los. Controles associados a eles. Fluxos de trabalho para atribuir responsáveis e acompanhar a mitigação. E relatórios claros o suficiente para apresentar a um comitê de riscos do conselho.
É uma disciplina importante e, na escala para a qual foi criada, indispensável. Uma instituição regulada com centenas de controles e onze referenciais não consegue gerenciar riscos em uma planilha. As plataformas de ERM existem porque esse problema é real.
Mas há algo que vale perceber desde o início, porque determina tudo o que vem a seguir neste guia. A ERM foi concebida para coordenar os riscos que uma organização consegue enxergar dentro de si. Seu objeto central é o registro interno de riscos. Ela nunca foi criada para observar o mundo fora da organização em seu nome e, para alguns tipos de empresa, é nesse mundo externo que se concentra a maior parte dos riscos. Guarde essa ideia.
O problema de começar a compra pelos recursos
“Software de gestão de riscos” não é uma coisa só. É um rótulo aplicado a várias categorias de produtos que não substituem umas às outras. O erro mais caro desse mercado é comprar uma delas esperando as capacidades de outra.
Por isso, uma lista de recursos é o ponto de partida errado. Ela pressupõe que você já sabe de qual categoria precisa. A maioria dos compradores não sabe, e a demonstração não vai esclarecer isso, porque cada fornecedor prepara a sua para fazer sua categoria parecer o mercado inteiro.
Assim, o processo abaixo segue uma ordem deliberada. Primeiro, o conjunto de exposições a risco. Depois, a categoria. Em terceiro, desenvolver ou comprar. Só então, recursos e fornecedores. Vamos às etapas.
Etapa um: mapeie suas exposições a risco antes de abrir o site de qualquer fornecedor
Você não consegue escolher uma ferramenta para gerenciar seus riscos antes de colocar no papel quais são esses riscos. Parece óbvio. Quase ninguém faz isso antes de procurar uma solução, e é por isso que esta é a primeira etapa.
Não de forma abstrata. De forma específica. Sente-se e responda honestamente a três perguntas.
O que realmente poderia nos custar dinheiro ou credibilidade? As exposições reais, aquelas que você teria de explicar em uma reunião, não as que apenas fazem um documento parecer completo.
Onde está cada uma delas? Dentro da empresa ou fora dela? Essa distinção importa mais do que qualquer outra.
E como descobriríamos hoje que isso aconteceu, e em quanto tempo? Seja honesto a ponto de se sentir desconfortável. Se a resposta verdadeira para algum risco for “ficaríamos sabendo quando alguém nos contasse”, escreva isso.
A distinção entre interno e externo determina todas as decisões seguintes. Uma empresa cujos riscos são principalmente internos — seus controles, funcionários e sistemas — precisa de uma ferramenta fundamentalmente diferente da necessária para uma empresa cujos riscos estão em entidades externas que ela não controla. As duas podem avaliar o mesmo fornecedor, e uma delas estará cometendo um erro.
Se quiser uma forma estruturada de fazer isso, escrevemos sobre como mapear riscos adequadamente e sobre o eixo que a maioria dos mapas de risco deixa de fora. Faça o mapeamento primeiro. Tudo o que vem depois fica mais fácil.
Etapa dois: descubra de qual categoria você realmente precisa
Cinco categorias compartilham esse rótulo. Aqui estão elas, de forma breve e equilibrada.
Plataformas de ERM e GRC. Os sistemas de registro descritos acima. Registros de riscos, gestão de políticas, relatórios para o conselho, fluxos de trabalho. Archer, LogicGate, OneTrust, Resolver. Se você tem centenas de controles e um comitê de riscos do conselho, precisa de uma. Se sua equipe tem onze pessoas, quase certamente não precisa.
Automação de segurança e compliance. Controles internos e certificação segundo referenciais. SOC 2, ISO 27001. Vanta, Drata, Sprinto, Hyperproof. Se você vende para grandes empresas e precisa comprovar sua própria postura de segurança, esta é a categoria, e ela é boa.
Identidade e PLD. Verificação e triagem de clientes no onboarding e depois dele. Sumsub, Persona, Onfido. Se você faz onboarding de usuários ou empresas e responde pelo risco de crime financeiro deles, precisa disso.
Fornecedores de dados de risco. As fontes de dados brutos, como sanções, mídia negativa e registros empresariais. LexisNexis Risk Solutions, Moody’s, OpenCorporates. São insumos, não produtos prontos. Você ou seu fornecedor constrói a camada de inteligência sobre eles.
Inteligência de risco contínua de entidades. Monitoramento de entidades externas às quais você está exposto, mas com as quais não realiza transações, como empresas do portfólio, contrapartes e fundadores. Esta é a nossa categoria, e a apresento como uma entre cinco, não como a resposta à sua pergunta, porque, para a maioria de quem está lendo, ela não será.
O importante é que essas categorias não são concorrentes entre si. Uma fintech pode precisar de três delas. Comprar uma plataforma de ERM quando você precisava de monitoramento de entidades não entrega uma versão pior do monitoramento. Entrega um arquivo de documentos, e caro.
Mapeamos as cinco em detalhes aqui, caso você esteja travado na segunda etapa, que é onde isso mais acontece.
Etapa três: decida entre desenvolver e comprar
É com essa pergunta que os compradores criteriosos realmente se debatem, e a maioria dos guias a ignora porque às vezes a resposta é “não compre nada”. Vou abordá-la mesmo assim.
Se seu risco está bem definido, você tem engenheiros e uma equipe de dados, e o requisito é estável, às vezes é possível licenciar as fontes de dados e desenvolver as ferramentas internamente. Algumas grandes organizações fazem exatamente isso, e é a decisão certa para elas.
O motivo pelo qual a maioria de quem tenta se arrepende não são os dados. Os dados são a parte fácil, e você pode comprá-los. A parte difícil é a camada de relevância: transformar dez mil sinais brutos por semana nos quatro que importam e depois manter essa camada à medida que as fontes mudam, os formatos se alteram e surgem lacunas de cobertura. Essa camada representa a maior parte do trabalho real, nunca fica pronta e quase sempre é subestimada no planejamento.
O teste honesto é este: se separar sinais de ruído em todo o seu conjunto de exposições a risco é uma competência central que você quer dominar e manter com uma equipe permanente, desenvolva. Se é algo que precisa funcionar, mas para o qual você não quer manter uma equipe, compre. A maioria das empresas está no segundo grupo e se convence de que está no primeiro.
O que avaliar em um software de gestão de riscos corporativos
Se a segunda etapa apontou para uma plataforma de ERM ou GRC — ou seja, seus riscos são principalmente internos e sua escala justifica um sistema de registro —, veja o que de fato diferencia uma boa plataforma de uma plataforma cara.
Um registro de riscos que as pessoas realmente usem. O registro é o coração de um sistema de ERM, e um registro que ninguém atualiza é apenas uma base de dados das preocupações do ano passado. Aqui, a facilidade de inserir dados importa mais do que a profundidade dos recursos.
Um mapeamento de controles que reflita sua operação real. O valor da ERM está em mostrar quais controles tratam quais riscos e onde estão as lacunas. Se mapear um controle leva vinte minutos, ninguém fará isso, e o mapa ficará desatualizado.
Relatórios que o conselho aceite sem resistência. Muitas vezes, esse é o verdadeiro motivo da compra do software, então vale testar diretamente. Ele consegue produzir, em um clique, algo que seu comitê de riscos vai ler?
Um fluxo de trabalho que atribua responsáveis. Um risco sem responsável fica sem resposta. Boas ferramentas de ERM deixam a responsabilidade explícita e cobram o acompanhamento. Ferramentas fracas deixam os riscos sem responsável em um registro para sempre.
Suporte aos referenciais de que você precisa. Se sua gestão segue ISO 31000, COSO ou um regime regulatório específico, a plataforma deve trabalhar com essa estrutura de forma nativa, sem exigir adaptações posteriores.
E escalabilidade de verdade. Algumas ferramentas de ERM são concebidas e precificadas para empresas da Fortune 500 e vão sobrecarregar uma empresa de médio porte com uma complexidade desnecessária. Outras são tão simples que não passam de planilhas com uma apresentação melhor. Ajuste a complexidade ao seu porte.
O ROI real do software de gestão de riscos
Todo fornecedor tem uma calculadora de ROI, e a maioria delas é um exercício de multiplicação criativa. Esta é a versão honesta de onde o retorno realmente vem e de onde ele não vem.
O retorno indireto, mas real, é o tempo. O trabalho com riscos que consumia dias dos analistas — reunir evidências, cobrar responsáveis, compilar relatórios — passa a ser feito pelo software. Isso é mensurável e é o retorno mais fácil de defender, embora também seja o mais fácil de exagerar.
O retorno maior e mais difícil de medir está nas perdas evitadas. É difícil quantificá-lo porque você está atribuindo um valor a eventos que não aconteceram. Um risco identificado cedo custa menos do que o mesmo risco identificado tarde, às vezes com diferenças de ordens de grandeza. O problema é que um ano sem incidentes tem a mesma aparência se seu software evitou três desastres ou se nenhum estava por vir, e nenhuma calculadora consegue dizer qual foi o caso.
Para tornar isso concreto, em vez de hipotético, calcule o custo de uma única falha de detecção. Quanto custa de fato um risco relevante descoberto tarde demais, somando perda direta, remediação, despesas jurídicas, reputação e tempo da alta gestão? Compare o custo do software com esse número, e o cálculo deixa de tratar de recursos e passa a tratar de valor esperado.
Criamos um modelo de cálculo completo exatamente para isso, porque, se você precisa defender a despesa em uma reunião de orçamento, precisa de um número que resista ao escrutínio, não de um multiplicador do fornecedor.
Uma ressalva. Desconfie de qualquer cálculo de ROI baseado no maior desastre histórico do seu setor, multiplicado por uma suposta taxa de prevenção de cem por cento. Nenhuma ferramenta evita tudo, e um modelo que presume isso está vendendo uma sensação, não uma previsão.
Os recursos que realmente justificam sua presença
Em todas as categorias, alguns recursos ajudam a prever se você ficará satisfeito com a compra, enquanto outros só impressionam na demonstração. Veja a distinção honesta.
Cobertura compatível com suas exposições a risco. Repare na formulação. Não é “o maior número de fontes”, que é uma métrica de vaidade. São as fontes certas para aquilo a que você realmente está exposto. Uma ferramenta que cobre onze mil fontes, mas nenhuma delas alcança seu risco específico, não cobre nada que importe para você.
Relação entre sinal e ruído. Pergunte diretamente sobre as taxas de falsos positivos e desconfie de quem não aceita discuti-las. Uma ferramenta que gera quatrocentos alertas por semana que ninguém lê é funcionalmente idêntica a uma ferramenta que não gera nada, e custa mais. A filtragem é o produto. A cobertura é a matéria-prima.
Rastreabilidade das fontes. Deixo claro que esse é um ponto ao qual damos importância, então leve isso em conta ao avaliar o argumento. Todo resultado pode ser rastreado até uma fonte primária que você consegue abrir e verificar, ou é uma conclusão na qual pedem que você confie? Isso importa cada vez mais à medida que mais ferramentas geram resumos, e é uma pergunta justa para qualquer fornecedor do mercado, inclusive nós. A resposta certa é um link, não um parágrafo.
Tempo até gerar valor. Dias, semanas ou uma implantação de seis meses com serviços profissionais cobrados à parte? Em algumas categorias, uma implantação longa é inevitável. Em outras, é um sinal de que o produto precisa que você faça a configuração por ele.
Integração com a forma como sua equipe já trabalha. Uma ferramenta que exige acesso a um painel separado, que as pessoas vão esquecer de abrir, acaba ignorada na sexta semana, por melhor que seja sua detecção. Ela deve chegar à equipe onde a equipe já está.
Alertas e escalonamento com atribuição a uma pessoa. Detecção sem encaminhamento é ruído. As melhores ferramentas associam um responsável identificado e um prazo de resposta ao que encontram. As fracas apenas mostram o achado e consideram o trabalho concluído.
E custo total, incluindo o trabalho humano. A licença tem um custo. A pessoa que opera a ferramenta tem outro, frequentemente maior. Uma ferramenta barata que exige um analista em tempo integral não é barata.
O que seduz, mas não deveria: uma interface refinada, números brutos de fontes, uma variedade de recursos que você nunca usará e uma demonstração feita com um exemplo cuidadosamente escolhido. Tudo isso parece relevante em uma avaliação e quase nada diz sobre sua satisfação com a compra daqui a um ano.
Quais recursos oferecem mais valor prático?
Se eu tivesse de resumir a lista acima aos três recursos que melhor distinguem uma ferramenta que você continuará usando de uma que abandonará discretamente, seriam estes.
Filtragem, antes de qualquer outra coisa. Todo o valor de um software de riscos está em transformar volume em uma lista curta do que realmente merece sua atenção. Uma ferramenta que faz isso bem merece ser mantida, mesmo que seja fraca em outros aspectos. Uma ferramenta que faz isso mal não tem valor, mesmo que seja forte em todo o resto, porque você ficará sobrecarregado.
Depois, a possibilidade de verificação. Em algum momento, você terá de agir com base no que o software informa e talvez justificar essa ação a um regulador, a um cotista ou a um conselho. Se não consegue rastrear a afirmação até uma fonte, está agindo por fé, e fé não é uma posição defensável na gestão de riscos.
Em seguida, a adequação ao seu fluxo de trabalho. A ferramenta com a melhor detecção do mundo fracassa se fica em um lugar que sua equipe nunca consulta. O valor prático depende, em parte, de a ferramenta realmente ser usada, e o uso depende principalmente de onde ela aparece.
Etapa cinco: teste a solução contra as quatro formas de dar errado
Antes de assinar, avalie o que pretende comprar diante dos quatro tipos de falha responsáveis pela maior parte do arrependimento nessa categoria. Cada um corresponde a uma pergunta que você deve fazer ao fornecedor, em voz alta, observando como ele responde.
| Tipo de falha | A pergunta a fazer |
| O recipiente vazio | A ferramenta encontra riscos ou apenas organiza os riscos que eu insiro? |
| A enxurrada de alertas | Como é uma semana normal de alertas e quantos exigem ação? |
| O perímetro errado | A ferramenta observa minha empresa ou as entidades às quais estou exposto? |
| O resultado impossível de verificar | Quando ela me informa algo, consigo conferir a informação em uma fonte? |
O recipiente vazio é a armadilha específica da ERM que merece mais atenção. Um sistema de registro não é uma fonte de inteligência. Ele organiza o que você insere e não encontra nada por conta própria. Empresas compram ERM esperando que ela revele riscos externos e descobrem, meses depois, que o registro contém exatamente o que alguém digitou nele. Se você precisava de algo que procurasse e encontrasse informações, uma plataforma de ERM não faz esse trabalho. Confirmar isso antes de assinar evita muita decepção.
Uma observação sobre IA, já que todos os fornecedores agora dizem usá-la
Hoje, todo produto desse mercado exibe IA na página inicial, inclusive o nosso. Portanto, a presença dela não diz nada. A pergunta útil é mais específica.
A IA é transformadora em uma coisa: ler volumes enormes de informação não estruturada e destacar a fração que importa, em idiomas e fontes que nenhuma equipe humana conseguiria cobrir. Isso é real, e é a parte pela qual vale pagar.
Ela é perigosa em uma coisa: afirmar uma conclusão cuja origem você não consegue rastrear. Um resumo confiante e errado no seu arquivo, com aparência de autoridade, é pior do que nenhum resumo, porque você agirá com base nele sem nunca saber que estava errado.
Portanto, o critério de compra não é se a ferramenta tem IA. É se você consegue verificar o que a IA informa. Peça o link da fonte a todos e trate a ausência dele como resposta a uma pergunta mais importante.
Como implantar sem o arrependimento de sempre
A compra é a parte fácil. É na implantação que boas ferramentas acabam abandonadas. Seis pontos que vale acertar, apresentados de forma breve de propósito.
Ative o monitoramento de um ou dois riscos, não de trinta. Uma enxurrada no primeiro dia só ensina as pessoas a ignorar o canal. Depois que elas param de ler, nada mais que você fizer importa.
Defina quem age sobre cada alerta antes de ativá-lo. Caso contrário, ele chega a todos, o que significa que não chega a ninguém.
Espere que seus primeiros limites de alerta estejam errados. Isso acontece com todos. Reajuste-os mensalmente por um tempo, não apenas uma vez.
Leve os alertas para onde a equipe já trabalha. Escondidos em um painel de que ninguém se lembra, é como se não existissem.
Agende uma data de revisão agora. Ferramentas de risco ficam desatualizadas como as políticas, e um compromisso no calendário é a única forma confiável de perceber isso.
É isso. O detalhe mais importante — como encaminhar e priorizar o que a ferramenta encontra — foi abordado separadamente, no artigo sobre encaminhamento de alertas.
Perguntas frequentes
Conclusão
A maior parte de uma boa escolha acontece antes de você olhar para qualquer fornecedor. Mapeie suas exposições a risco. Identifique a categoria. Resolva a questão de desenvolver ou comprar. Acerte essas três decisões, e a comparação de fornecedores no final se torna quase mecânica, porque você já sabe o que procura e, de forma igualmente útil, o que não procura.
Erre nessas decisões, e nenhuma matriz de recursos vai salvar você, porque estará comparando as coisas erradas dentro da categoria errada com muita precisão.
E uma observação específica para um tipo de leitor, já que este guia se apoiou bastante na distinção entre interno e externo. Se você fez a primeira etapa e descobriu que seus riscos estão principalmente fora da empresa, em empresas do portfólio, contrapartes, fundadores e entidades às quais está exposto, mas que não controla, uma plataforma de ERM vai organizar muito bem tudo o que você já sabe e não dirá nada de novo sobre o mundo externo. Isso não é uma falha da ERM. Apenas não é para isso que ela serve.
Esse mundo externo é a categoria em que atuamos.
A Beady AI monitora as entidades às quais você está exposto em sanções, mídia negativa, registros empresariais e casos de falsificação de identidade, com cada sinal rastreado até sua fonte. Agende uma sessão e faremos a análise das suas participações reais, para que você possa avaliá-la com base nos seus próprios riscos, e não na nossa demonstração.
E, se a primeira etapa apontou para outro caminho — a Vanta, uma plataforma de ERM, o desenvolvimento interno ou a conclusão de que uma planilha e uma data de revisão realmente bastam por enquanto —, este guia cumpriu seu papel. Esse também é um bom resultado, e honesto.
