Duas pessoas dizem que estão avaliando software de compliance.
A primeira se refere a uma ferramenta que coleta capturas de tela da configuração da nuvem para que um auditor possa aprovar um relatório SOC 2. A segunda se refere a um sistema que avisa se a empresa para a qual transferiu oito milhões de dólares na última primavera mudou discretamente seu domicílio para as Ilhas Virgens Britânicas e incluiu um diretor de quem ninguém no fundo jamais ouviu falar.
A mesma expressão. Nenhuma sobreposição funcional. Nenhuma das duas está usando o termo de forma incorreta, o que diz algo bastante comprometedor sobre ele.
Vemos os mesmos três erros se repetirem. Empresas compram plataformas GRC e descobrem, quatro meses depois, que adquiriram um arquivo muito caro sem nada dentro. Outras compram verificação de identidade e descobrem que o produto, exatamente como foi projetado, deixa de funcionar no segundo dia do relacionamento. E fundos de cripto compram análise on-chain, presumem que o risco das entidades está coberto e se enganam de uma forma que só fica evidente depois.
Os três erros são cometidos por pessoas cuidadosas e inteligentes. Esse é justamente o ponto. São os nomes das categorias que induzem ao erro, não os compradores.
Por isso, este é um mapa. Ele aborda o que um software de compliance realmente é, como difere de um sistema de gestão de compliance, as seis categorias de produtos que compartilham esse nome, o que cada uma faz realmente bem, onde cada uma para e como identificar de qual você precisa. Inclui as partes do mapa que não ocupamos e uma parte que fica bem ao nosso lado e com a qual nos confundem quase toda semana.
O que um software de compliance realmente é
Deixando o marketing de lado, um software de compliance faz uma de duas coisas. Ou ajuda você a comprovar que está cumprindo um conjunto de obrigações, ou ajuda a enxergar riscos que passariam despercebidos.
Parecem coisas semelhantes. Não são, e a diferença determina quase tudo sobre o que você deve comprar.
Comprovar o cumprimento de obrigações é um problema de documentação. Você precisa de evidências, controles, políticas, uma trilha de auditoria e algo que satisfaça um fiscal ou auditor que chega com uma lista de verificação. O resultado é um registro defensável.
Enxergar riscos é um problema de inteligência. Você precisa de dados externos à sua organização, de uma forma de separar o que importa do que não importa e de um caminho que leve do sinal à decisão. O resultado é um alerta, com antecedência suficiente para agir.
Muitos produtos afirmam fazer as duas coisas. Pouquíssimos fazem, e os que mais alardeiam isso costumam ser fortes na primeira e fracos na segunda, porque a documentação é um problema de engenharia solucionável, e a inteligência é um problema de dados que nunca termina de verdade.
Gestão de compliance versus sistema de gestão de compliance
Essas expressões são usadas como sinônimos, mas não deveriam ser.
A gestão de compliance é a disciplina. É o trabalho: entender quais regras se aplicam a você, traduzi-las em políticas que as pessoas consigam seguir, treinar a equipe, verificar se as políticas estão sendo cumpridas e corrigir o que não está. Ela existe independentemente de você ter algum software. Muitas organizações fazem isso mal com ferramentas caras, e algumas fazem bem com uma planilha e uma pessoa dedicada.
Um sistema de gestão de compliance, ou CMS, é a estrutura que mantém essa disciplina coesa para que ela sobreviva à rotatividade, ao crescimento e ao escrutínio. É o arcabouço, não o aplicativo.
No setor financeiro regulado, o termo tem um significado bastante preciso. Os procedimentos de revisão da gestão de compliance do CFPB organizam um CMS em torno de alguns componentes: supervisão pelo conselho e pela alta administração, um programa formal de compliance que abrange políticas, treinamento, monitoramento e ações corretivas, supervisão de prestadores de serviços e terceiros, tratamento de reclamações de consumidores e auditoria independente de compliance. Os fiscais avaliam cada um separadamente. Políticas robustas com um conselho alheio ao assunto ainda resultam em um apontamento.
É aqui que a linguagem se confunde, e isso importa. A maioria das pessoas que diz “estamos comprando um sistema de gestão de compliance” está comprando software. Mas, no sentido regulatório, o software não é o sistema. É um componente do sistema e, em geral, um componente relativamente pequeno.
Inverta essa lógica e você chega à falha mais comum desse mercado: uma plataforma muito bem implementada dentro de uma organização sem uma disciplina de compliance funcional, produzindo relatórios organizados que descrevem um programa que ninguém está executando.
Por que um sistema de gestão de compliance importa e a parte que todos ignoram
Primeiro, as respostas óbvias, porque são verdadeiras.
Um CMS permite que o compliance sobreviva. O conhecimento não fica na cabeça de uma única pessoa; assim, quando ela sai no nono mês, o programa não vai embora com ela. Você passa a ter uma posição defensável quando um regulador, auditor, LP ou cliente de grande porte pergunta como você gerencia riscos. E ele cria o ciclo de feedback entre o que você disse que faria e o que de fato fez, que é o único mecanismo pelo qual os programas de compliance melhoram em vez de se desviarem.
Agora, a parte que fica de fora e que é a razão de este artigo existir.
Observe novamente os componentes de um CMS na definição regulatória. Supervisão pelo conselho. Programa de compliance. Tratamento de reclamações. Auditoria. E due diligence e supervisão contínuas de terceiros e prestadores de serviços.
Esse último componente tem um peso enorme, e quase ninguém percebe.
Ele olha para fora. Trata de entidades que não são você. E, fundamentalmente, é contínuo, não uma verificação feita uma vez na assinatura do contrato. O regulador é explícito: terceirizar uma operação não transfere a responsabilidade por ela.
Portanto, a exigência de monitorar continuamente entidades externas já faz parte da definição de um sistema de gestão de compliance. Há anos. O que falta não é a obrigação. Falta software que a atenda, uma lacuna estranha em um mercado tão cheio de ofertas, e o restante deste artigo trata, em grande parte, de por que essa lacuna existe.
Dois eixos, e tudo cabe neles
Todo produto desse mercado responde a duas perguntas, mesmo que sua página inicial não as apresente dessa forma.
Primeira: para onde ele olha?
Algumas ferramentas olham para dentro. Para seus próprios controles, suas políticas, suas evidências, sua configuração. O objeto da análise é você.
Outras olham para fora. Para as entidades às quais você está exposto. Contrapartes. Empresas do portfólio. Clientes. Fornecedores. Fundadores que você já apoiou e cujo apoio não pode desfazer. O objeto da análise é outra pessoa.
Segunda: quando ele olha?
Algumas verificam em um único momento. Onboarding, auditoria, fechamento da operação. Uma porta pela qual você passa e depois deixa para trás.
Outras continuam olhando, indefinidamente, e avisam quando algo muda.
Quatro quadrantes. Cada fornecedor da sua lista de candidatos ocupa um deles, e os que afirmam ocupar os quatro costumam ser fortes em exatamente um e fracos em todos os outros.
| Olhar interno (seus próprios controles) | Olhar externo (outras entidades) | |
| Pontual | Preparação manual para auditoria. Testes de controles em planilhas. A correria anual. | Verificação de identidade no onboarding. Relatórios de due diligence no fechamento. Triagem na assinatura. |
| Contínuo | Monitoramento contínuo de controles: Vanta, Drata, Sprinto, Scrut. | Análise on-chain (carteiras, transações). Inteligência de risco sobre entidades (pessoas, empresas). O quadrante menos ocupado do mapa. |
Guarde esse quadrante inferior direito. Ele é o mais interessante, está mais ocupado do que parece à primeira vista e quase tudo que confunde nesse mercado acontece dentro dele.
As seis categorias de software de compliance
Seis tipos de produto compartilham esse nome. Eles não se substituem, e os compradores frequentemente adquirem um esperando as capacidades de outro.
1. Verificação de identidade (KYC e KYB)
Verificação de documentos, checagens biométricas, prova de vida, confirmação de pessoas jurídicas, triagem de sanções e PEP no cadastro. A Sumsub é o nome que a maioria conhece. Persona e Onfido aparecem na maior parte das avaliações.
Vale separar as siglas, porque os compradores as usam sem muita precisão e os produtos são diferentes. KYC verifica uma pessoa física. KYB verifica uma empresa, um problema consideravelmente mais difícil, porque uma empresa tem uma estrutura societária, e estruturas societárias às vezes são desenhadas por pessoas que prefeririam que elas não fossem compreendidas.
Nos mercados regulados, essa categoria é madura, rápida e, francamente, muito boa. Um fluxo de KYB bem construído verifica uma pessoa jurídica em menos de um minuto. Vinte anos atrás, isso exigia um analista de compliance, uma semana e três telefonemas para um órgão de registro em um fuso horário no qual ninguém atendia.
O escopo é esse, e os fornecedores são honestos a respeito. É uma porta de entrada. A verificação é feita, a entidade é aprovada, o relacionamento começa. O produto nunca foi projetado para enxergar o que a entidade faz no quadringentésimo dia. Isso não é uma crítica. É um limite de projeto, e ignorá-lo é o que faz compradores se decepcionarem com um software que entregou exatamente o prometido.
2. Automação do compliance de segurança
SOC 2, ISO 27001, HIPAA, GDPR. Coleta de evidências, mapeamento de controles, preparação para auditoria e a central de confiança que você vincula à sua página de vendas para grandes empresas para que o setor de compras pare de enviar e-mails.
Vanta e Drata construíram essa categoria. Sprinto e Scrut desenvolveram negócios sólidos dentro dela, e hoje ela é competitiva o suficiente para que os preços tenham de fato caído, algo que não se pode dizer da maioria das ferramentas de compliance.
Essa categoria não se limitou a automatizar um processo existente. Mudou o modelo subjacente. Antes da Vanta, os testes de controles eram feitos em pânico três semanas antes de uma auditoria, com uma pasta compartilhada cheia de capturas de tela e um prestador cobrando por hora. Depois da Vanta, os controles passaram a ser monitorados continuamente e a auditoria virou uma consequência, em vez de um evento.
Foi uma mudança real de raciocínio, não uma funcionalidade. O mercado a recompensou à altura, e as pessoas que a construíram acertaram em algo que os fornecedores estabelecidos não haviam percebido em duas décadas. Guarde essa ideia, porque vamos voltar a ela.
O limite é simplesmente que ela olha para dentro. Vai dizer muito sobre sua própria postura de segurança e absolutamente nada sobre a empresa em que você investiu, a corretora pela qual sua empresa do portfólio liquida operações ou a pessoa que entrou no seu quadro societário na última rodada.
3. Plataformas GRC
Registros de riscos. Gestão de políticas. Bibliotecas de controles. Mecanismos de fluxo de trabalho. Relatórios para o conselho. Archer, LogicGate, OneTrust, Hyperproof, Onspring, StandardFusion.
Na escala real de uma grande empresa, elas são necessárias, e as boas são obras de engenharia impressionantes. Se você é uma instituição regulada com quatrocentos controles, onze referenciais e um comitê de riscos do conselho que se reúne trimestralmente, precisa de um sistema central de registro. Planilhas deixaram de ser viáveis nessa escala há muito tempo.
Mas entre com as expectativas certas. A implementação é medida em meses. Valores de seis dígitos são normais. E você vai precisar de alguém cuja função seja operar a plataforma, o que torna essa uma conversa sobre equipe tanto quanto sobre software.
Depois, há aquilo que os compradores costumam descobrir por volta do quarto mês.
Uma plataforma GRC é um recipiente. Ela é excelente para organizar informações de risco, encaminhá-las e produzir algo que um conselho aceite sem resistência. O que ela não faz é sair pelo mundo para encontrar essas informações.
Você ainda precisa alimentá-la. A plataforma é a prateleira, não os mantimentos. Empresas que compram GRC esperando inteligência externa adquiriram uma sala vazia muito bem organizada e depois passam boa parte de um ano se perguntando por que nada aparece ali. Isso não é culpa do fornecedor. É uma interpretação errada da categoria, e uma interpretação cara.
4. Provedores de dados de risco
Listas de sanções. Bases de PEP. Arquivos de mídia negativa que remontam a décadas. Registros empresariais e registros de beneficiários finais. LexisNexis Risk Solutions, Moody’s, Dow Jones, OpenCorporates.
Vale ser preciso sobre o que são, porque a palavra “software” induz sutilmente ao erro. São, em sua maioria, empresas de dados. São insumos. Várias fornecem insumos insubstituíveis, e qualquer produto sério de risco desse mercado consome seus fluxos de dados de uma forma ou de outra. O nosso inclusive, e seria tolice fingir o contrário.
A pergunta que elas impõem é desenvolver ou comprar. Se você tem engenheiros, uma equipe de dados e uma especificação clara, pode licenciar os fluxos de dados e construir a camada de inteligência por conta própria. Algumas grandes instituições fazem exatamente isso e, para algumas delas, é a decisão certa.
A maioria das que tentam subestima a segunda metade do problema. Cobertura é a parte fácil. Relevância é a parte difícil.
Uma enxurrada de menções em mídia negativa não é inteligência de risco. É um projeto de pesquisa que alguém entregou a você e que chega de novo toda manhã. Alguém ainda precisa decidir o que é sinal, o que é ruído, o que é notícia velha com manchete nova e o que precisa de análise humana antes de sexta-feira. Essa camada representa a maior parte do trabalho e é a camada que os provedores de dados deliberadamente deixam para você.
5. Análise on-chain
Essa é a categoria mais confundida com a nossa, e em cripto o engano custa caro.
Chainalysis, TRM Labs, Elliptic. Triagem de carteiras, rastreamento de transações, pontuação de exposição, análise de fluxos de recursos. Se o endereço da tesouraria de uma empresa do portfólio recebeu recursos a duas transferências de distância de um mixer sancionado, é essa categoria que avisa, e avisa rápido.
Veja onde ela fica no mapa. Olha para fora, porque examina a atividade de terceiros. É contínua, porque acompanha a blockchain em tempo real. Isso a coloca exatamente no quadrante inferior direito, e é por isso que eu disse que esse quadrante é mais ocupado do que parece.
São produtos excelentes. Em cripto, são quase obrigatórios, e um fundo que opera hoje sem triagem on-chain está fazendo uma escolha que eu teria dificuldade de defender diante de um LP.
Mas esta é a distinção que importa.
A análise on-chain olha para carteiras e transações. Responde: de onde veio esse dinheiro e para onde ele está indo?
A inteligência de risco sobre entidades olha para pessoas e empresas. Responde: quem são essas pessoas, o que fazem fora da blockchain e o que mudou a respeito delas desde a última verificação?
Não são a mesma pergunta e uma não substitui a outra.
Uma plataforma on-chain não vai avisar que o diretor financeiro recém-nomeado de uma empresa do portfólio foi citado em um processo por fraude em Singapura há seis semanas. Não vai avisar que a empresa transferiu seu domicílio para os Emirados Árabes Unidos em março e trocou dois diretores. Não vai avisar que existem agora onze canais falsos no Telegram se passando pelo suporte do projeto e desviando discretamente recursos de usuários que acreditam estar falando com a equipe.
Nada disso deixa rastro em uma blockchain. Nada disso acontece em uma blockchain.
O inverso também vale, e merece ser dito claramente em vez de ficar escondido. Não rastreamos fluxos de recursos. Se você precisa conhecer a exposição de uma carteira a uma entidade sancionada, precisa de análise on-chain e deve comprá-la de uma das três empresas citadas acima.
6. Inteligência de risco contínua sobre entidades
O canto do mapa que permaneceu pouco ocupado por mais tempo.
A pergunta: o que mudou nas entidades às quais estamos expostos desde a última vez que alguém realmente olhou?
Olha para fora, como os fornecedores de verificação de identidade. É contínua, como a Vanta. Consome os mesmos fluxos dos provedores de dados. Fica ao lado da análise on-chain, mas aponta para um objeto completamente diferente. E, em termos de estrutura, não é nenhuma delas.
Três características a definem. Observa entidades externas em vez de controles internos. Opera indefinidamente em vez de ser acionada uma única vez na entrada. E é orientada a eventos, ou seja, revela mudanças quando elas acontecem em vez de produzir a cada noventa dias um relatório que descreve um mundo que já mudou.
É aqui que a Beady AI se posiciona, e vou ser direto sobre nosso interesse óbvio em que você ache esse quadrante interessante. Mas ele existe independentemente de você comprar algo de nós. E o motivo de ter ficado vazio por tanto tempo é mais interessante do que qualquer discurso de vendas.
O paralelo que ninguém expôs em voz alta
Volte ao argumento que os fornecedores de compliance de segurança realmente apresentaram, porque é a coisa mais útil que alguém nesse mercado disse em quinze anos.
O argumento era que os testes pontuais de controles têm uma falha estrutural. Uma auditoria anual diz que seus controles funcionaram em uma terça-feira de outubro. Não diz nada sobre os outros trezentos e sessenta e quatro dias. Os controles precisam de monitoramento contínuo, porque suas falhas não consultam o calendário de auditoria antes de ocorrer.
Esse argumento estava correto. Deu origem a várias grandes empresas. Ninguém na área de segurança defende seriamente o modelo de auditoria anual hoje, e quem o defendia deixou discretamente de dizer isso em voz alta.
Agora, diga a mesma frase no outro eixo.
A triagem pontual de entidades tem uma falha estrutural. A due diligence no onboarding diz que uma entidade estava sem restrições no dia da verificação. Não diz nada sobre o décimo quarto mês. O risco externo precisa de monitoramento contínuo, porque inclusões em listas de sanções, reestruturações societárias, processos judiciais e campanhas de falsificação de identidade não consultam sua revisão trimestral do portfólio antes de ocorrer.
O mesmo argumento. Outro eixo. Ainda pouco discutido.
E aqui está o que deveria causar desconforto: como vimos antes, a definição regulatória de um CMS já exige supervisão contínua de terceiros. A obrigação esteve ali o tempo todo. Desenvolvemos esse argumento em detalhes em Além do onboarding, a versão longa do que esta seção condensa.
Não é uma observação sutil, e ainda me surpreende um pouco que o mercado não tenha acompanhado. Mas as categorias levam tempo para se tornar compreensíveis, e, até alguém dar nome a algo, ninguém reserva uma verba para isso.
O que um software de compliance realmente significa para sua empresa
Por trás da questão da categoria, há uma pergunta mais direta. O que muda, no dia a dia, se você comprar isso?
Três coisas, e vale ser honesto sobre elas, porque os fornecedores costumam prometer uma quarta que não se concretiza.
Muda quem faz o trabalho. Tarefas de compliance que consumiam horas dos analistas são absorvidas pelo software, e os analistas passam da coleta de informações para a tomada de decisões. Isso é real e é a principal razão de a categoria existir.
Muda a rapidez com que você fica sabendo. O intervalo entre algo dar errado e alguém perceber diminui, às vezes de meses para horas. Na prática, é aí que está a maior parte do valor, e também é o mais difícil de colocar em uma página de preços.
Muda o que você consegue comprovar. Quando um LP, auditor ou comprador de uma grande empresa pergunta como você gerencia riscos, você tem uma resposta com data, em vez de uma história.
O que ele não muda, e aqui está a quarta coisa que os fornecedores dão a entender: ele não cria uma área de compliance para você. O software não pode definir seu apetite a risco, assumir uma decisão nem se responsabilizar por ela. Se ninguém na organização responde pelos resultados, o software está produzindo um registro muito bem formatado de que nada está acontecendo.
Os desafios que ninguém coloca na página de preços
São cinco. Não são igualmente difíceis, e não vou fingir que são, por isso recebem espaços diferentes.
As obrigações só aumentam. Novos referenciais, novas jurisdições, novas interpretações de regras antigas. Nada deixa de valer. O tamanho da sua equipe nunca acompanhará suas obrigações, e isso não vai começar agora.
As evidências estão em quatro sistemas e uma caixa de entrada. Reuni-las à mão é trabalhoso. E esse problema já foi de fato resolvido. Foi sobre isso que os fornecedores de compliance de segurança construíram sua categoria.
Fadiga de alertas. É isso que acaba com os programas.
É assim que acontece na prática. A plataforma é instalada. Os alertas começam a chegar. Nas primeiras duas semanas, todos os leem, porque ainda há algum entusiasmo com a novidade. Na sexta semana, a taxa de acerto já se estabilizou em algum patamar baixo, ignorar um alerta ainda não custou nada a ninguém, e o canal foi parar no mesmo compartimento mental dos e-mails de manutenção do prédio.
Ninguém decide isso. Simplesmente acontece.
E aqui está o ponto que eu contestaria se um cliente dissesse ter resolvido o problema com uma conversa com a equipe: isso não é falta de disciplina. Instruções não resolvem. O comportamento é uma resposta inteiramente racional a um fluxo com poucos sinais úteis, e a única solução real é mudar o que chega às pessoas, com níveis de gravidade, responsáveis definidos e muito menos coisas que justifiquem uma interrupção.
Terceiros são o ponto cego de todos. Você pode terceirizar uma operação. Não pode terceirizar a responsabilidade por ela. Os reguladores são explícitos a respeito, e, mesmo assim, a maioria das empresas supervisiona terceiros em uma planilha atualizada pela última vez quando o contrato foi assinado.
Ninguém consegue provar a ausência de algo. Visto de fora, um ano sem incidentes parece idêntico, seja porque seu programa é excelente, seja porque você teve sorte. O diretor financeiro não consegue distinguir. E, sendo honesto, você também não.
Esse último ponto explica por que nos demos ao trabalho de construir um modelo de ROI em vez de mais uma página de estatísticas assustadoras. Se você vai apresentar um número aos sócios, ele precisa resistir a uma análise minuciosa.
O que um bom software de compliance realmente entrega
Sem os exageros de sempre.
- Tempo de volta. Coleta de evidências, triagem e montagem de relatórios deixam de consumir semanas de trabalho dos analistas. Esse é o benefício mais fácil de medir e o mais frequentemente exagerado.
- Rapidez para saber. O intervalo entre um evento ocorrer e alguém na sua organização tomar conhecimento dele cai drasticamente. O tempo até a detecção é a métrica que realmente prevê desfechos, e quase ninguém a acompanha.
- Consistência. As mesmas verificações são executadas da mesma forma todas as vezes, o que importa muito quando a pessoa que costumava fazê-las manualmente já saiu.
- Capacidade de justificar suas ações. Um registro datado, com fontes, do que você sabia e quando soube. Em uma disputa, isso vale mais do que todo o resto junto.
- Menos surpresas, e menos caras. Problemas detectados cedo são menores. Isso é banal e também é todo o argumento econômico.
- Preparo institucional. LPs, compradores de grandes empresas e parceiros bancários perguntam cada vez mais como você gerencia isso. Ter uma resposta encurta ciclos de vendas e captações, um benefício comercial apresentado como benefício de compliance.
Observe o que não está nessa lista. Um software de compliance não torna sua empresa conforme. Ele torna um programa de compliance funcional mais barato, rápido e consistente. Se não houver um programa por trás, você automatizou um vazio.
Como é, na prática, comprar no quadrante errado
Abstrações passam despercebidas. Estes são os quatro padrões de falha que mais vemos: todos têm solução, todos podem ser evitados, nenhum sai barato.
O recipiente vazio. Uma empresa compra GRC esperando que ele revele riscos externos. Nove meses e uma implementação de grande porte depois, o registro de riscos contém exatamente o que alguém digitou nele. A plataforma funciona perfeitamente. Ela simplesmente nunca foi uma fonte de inteligência.
O fundo que só cuida do onboarding. Due diligence excelente no fechamento, nada depois. O fundo está protegido contra os riscos que existiam no dia da transferência e cego para todos os que surgiram desde então. Como os períodos de investimento chegam a sete ou oito anos, esses são a maioria.
O fundo de cripto que só usa análise on-chain. Exposição das carteiras muito bem monitorada. Histórico dos fundadores, estrutura societária e atividades de falsificação de identidade sem nenhum monitoramento. Um olhar atento para uma frente enquanto outra se move por trás.
A enxurrada. A empresa licenciou fluxos de dados diretamente, construiu uma camada de triagem e agora recebe quatrocentos alertas por semana que ninguém lê. Tecnicamente, isso é cobertura. Na prática, é indistinguível de não ter nada, e custou mais.
Como montar um sistema de gestão de compliance e as quatro formas de dar errado
A maioria das orientações sobre isso descreve um processo linear e organizado que ninguém jamais seguiu de verdade. Mais útil é saber onde ele falha, porque as falhas são previsíveis e são, aproximadamente, quatro.
Primeiro ponto de falha: você comprou o software antes.
De longe, o mais comum. Alguém assiste a uma demo, a demo é de fato impressionante, o setor de compras se envolve e, seis semanas depois, há uma plataforma e nenhum programa.
A solução não tem glamour. Antes de avaliar um único fornecedor, registre cada regra, referencial e compromisso contratual que realmente obriga sua empresa. Não os que impressionam. Essa lista costuma ser mais curta do que as pessoas esperam, e mais inusitada também. Quando fizemos a nossa, ela continha duas obrigações nas quais ninguém da empresa havia pensado em mais de um ano. Isso também vai reduzir sua lista de fornecedores candidatos praticamente à metade antes mesmo de uma conversa, um bom retorno para uma tarde de trabalho.
Segundo ponto de falha: ninguém da liderança realmente responde por isso.
Vale saber, se você não vem de um setor regulado: quando os fiscais avaliam um sistema de gestão de compliance, a supervisão pelo conselho e pela administração recebe uma nota própria, independentemente das políticas e ferramentas. Você pode ter uma documentação impecável, uma plataforma bem configurada, equipe treinada e ainda assim ser reprovado, porque a pessoa nominalmente responsável não olhou nada disso desde a reunião de implementação.
Alguém da liderança precisa ter autoridade, orçamento e acesso a quem governa a organização. Não basta um voluntário designado.
Terceiro ponto de falha: automatizar decisões que você ainda não tomou.
O software codifica o que você já decidiu. Se as políticas não existem, você está automatizando a própria incerteza, e em escala.
Escreva as políticas primeiro. Procedimentos, responsabilidades e uma declaração explícita do que acontece quando algo dá errado. Este é o parágrafo menos interessante do artigo, e eu também o pularia, o que explica precisamente por que tantos programas têm um vazio no centro.
Quarto ponto de falha, e este custa caro: terceiros.
Mapeie todos aqueles cuja falha se torna um problema seu. Fornecedores, prestadores de serviços, empresas do portfólio, contrapartes.
A maioria das empresas faz isso uma vez, na assinatura do contrato ou durante a due diligence, e nunca mais. O entendimento regulatório é bastante claro de que isso não basta: espera-se supervisão contínua de terceiros, e terceirizar uma operação não transfere sua responsabilidade por ela. Um mapa criado na assinatura e nunca atualizado não é supervisão. É um arquivo.
Portanto, decida conscientemente. Periódico ou contínuo? E, se for periódico, seja específico consigo mesmo sobre o custo, porque uma verificação trimestral significa que uma inclusão em uma lista de sanções na terceira semana passa despercebida durante onze semanas.
Então, e só então, a compra.
Com as obrigações mapeadas e os terceiros listados, a escolha das ferramentas é quase mecânica. Você saberá se precisa de automação de evidências, de um sistema central de registro, de triagem na entrada, de monitoramento contínuo ou de duas dessas opções.
Encaminhe os resultados a pessoas específicas, com níveis de gravidade e prazos de resposta, nas ferramentas que a equipe já mantém abertas. E agende agora a revisão para daqui a seis meses, enquanto você ainda se importa o suficiente para cumpri-la, porque um programa que ninguém testa se desvia silenciosamente e não vai avisar que está fazendo isso.
Então, de qual você realmente precisa?
Responda com honestidade, porque comprar no quadrante errado custa caro e demora para ser percebido.
Você vende para grandes empresas e precisa de SOC 2 ou ISO 27001. Procure Vanta, Drata ou Sprinto. De verdade, procure. Este artigo não é para você, e nós também não somos a solução.
Você é uma grande organização que precisa de um sistema central de registro de riscos, gestão de políticas e relatórios para o conselho. Isso é GRC. LogicGate, Archer, OneTrust. Planeje o orçamento de acordo, porque não é barato e a implementação não é rápida.
Você verifica usuários ou empresas no cadastro dentro de um fluxo regulado. Isso é verificação de identidade. Sumsub e seus pares, e eles colocarão sua operação no ar mais rápido do que você espera.
Você precisa saber de onde vieram e para onde foram os recursos em cripto. Análise on-chain. Chainalysis, TRM, Elliptic. Não há substituto, e você não deveria procurar um.
Você está construindo sua própria camada de triagem e quer os fluxos de dados que a alimentam. Vá direto aos provedores de dados, dispense o intermediário e faça um orçamento honesto para a camada de relevância que terá de construir por conta própria.
Você está exposto a entidades externas cujo risco surge depois do início do relacionamento. Empresas do portfólio. Contrapartes. Fundadores que você já apoiou. Essa é a sexta categoria, aquela que ninguém ofereceu a você, porque até bem recentemente ninguém a vendia.
A maioria das empresas precisa de duas ou três dessas categorias
Essa é a parte que os fornecedores relutam em dizer, então vamos dizê-la.
Essas categorias são complementares, não substitutas, e uma postura séria de gestão de risco costuma usar mais de uma ao mesmo tempo.
Na prática, um fundo de cripto de qualquer porte precisa de análise on-chain e de inteligência de risco sobre entidades, porque as duas observam frentes diferentes e nenhuma enxerga a da outra. Uma fintech precisa de verificação de identidade na entrada e de monitoramento contínuo depois dela, porque verificar um cliente uma vez não diz nada sobre quem ele se tornou. Uma instituição regulada precisa de um sistema GRC central de registro e de algo que de fato o alimente.
Quem diz que seu único produto cobre o mapa inteiro ou está confuso sobre o mapa ou espera que você esteja.
O futuro do software de compliance com IA, previsão e o problema da rastreabilidade
Todo fornecedor desse mercado agora tem IA na página inicial, nós inclusive, então vale separar o que é real do que é enfeite.
O que é real: a camada de relevância. O verdadeiro gargalo do compliance nunca foi obter dados, mas decidir quais importam. Modelos de linguagem são extremamente bons em ler dez mil notícias e identificar as quatro que dizem respeito à entidade que realmente interessa a você, em um idioma que sua equipe não lê, publicadas por um veículo regional do qual ninguém ouviu falar. Essa capacidade não existia cinco anos atrás e muda completamente a economia do monitoramento.
O que é real, mas vendido com exagero: análise preditiva. A promessa é que a IA vai dizer qual contraparte se tornará um problema antes que isso aconteça. Parte disso funciona, especialmente a detecção de padrões entre entidades. Boa parte é um mecanismo de correlação com uma voz confiante, e a voz confiante é a parte perigosa.
Isso me leva ao ponto com o qual acredito que o setor terá de lidar, e em breve.
Um relatório de risco gerado por IA que não consegue mostrar suas fontes é um passivo, não um ativo. Se um modelo resume um achado de mídia negativa e o resumo contém um erro sutil, você acaba de tomar uma decisão com base em uma alucinação e não tem como descobrir isso. Pior: agora há um documento no seu arquivo que parece ter autoridade.
O único modelo defensável é aquele em que cada sinal remete a uma fonte primária que uma pessoa pode abrir, ler e verificar. A função do modelo é filtrar e priorizar, não ser aceito como verdade. Essa distinção parece preciosismo até um fiscal perguntar de onde veio uma conclusão e a resposta honesta ser que a IA disse.
Desenvolvemos com base nesse modelo rastreável, uma posição tanto comercial quanto ética. Mas você deve exigir isso de todos os fornecedores desse mercado, inclusive de nós, e a resposta deve ser um link, não um parágrafo.
Perguntas frequentes
Um sistema de gestão de compliance é o que mantém esse trabalho funcionando depois que a pessoa que o estruturou pede demissão. É a estrutura, não o esforço.
O software faz parte do sistema. Não é o sistema. Empresas que o compram como se fosse costumam descobrir isso por volta do sexto mês, geralmente durante uma auditoria.
Conclusão
“Software de compliance” sobrevive como expressão porque é conveniente, não porque é precisa. Provavelmente vai sobreviver por mais uma década pelo mesmo motivo, e os analistas continuarão desenhando quadrantes que colocam seis negócios sem relação entre si no mesmo gráfico.
Mas essa nunca foi a pergunta útil. A pergunta útil, a que realmente determina o que você deve comprar, é mais específica e um tanto mais incômoda.
O que estamos tentando enxergar, e com que frequência precisamos enxergar isso?
Responda com honestidade e a compra fica consideravelmente mais fácil. Responda mal e você gastará seis dígitos para descobrir em qual quadrante esteve o tempo todo.
Se sua resposta caiu no quadrante inferior direito, esse é o espaço que cobrimos: monitoramento contínuo de empresas do portfólio, fundadores e contrapartes em listas de sanções, mídia negativa, registros empresariais e falsificação de identidade nas redes sociais, com cada sinal rastreável até sua fonte original. Agende uma sessão e vamos aplicar isso às suas participações reais, em vez de a uma base de demonstração.
