O que é GRC e por que planilha não sustenta compliance

Três áreas olhando o mesmo risco

Numa organização média, o risco de indisponibilidade de um sistema crítico costuma aparecer em três lugares: no mapa de riscos corporativos, no plano de continuidade da TI e na matriz de conformidade da auditoria. Cada um com dono diferente, nomenclatura diferente e status diferente.

Quando alguém pergunta se aquele risco está tratado, existem três respostas, e nenhuma delas está errada do ponto de vista de quem a mantém. É esse o problema que GRC ataca: não a falta de controle, mas a fragmentação dele.

O que cada letra significa na prática

• Governança: quem decide o quê, com que alçada, e como isso é acompanhado. Sem isso definido, risco identificado fica sem dono.
• Risco: o que pode dar errado, qual o impacto, qual a probabilidade e o que está sendo feito. Precisa ser vivo, e não um documento anual.
• Compliance: as obrigações externas e internas que precisam ser demonstráveis, com evidência, e não com declaração.

As três se cruzam num ponto: o controle. Um mesmo controle mitiga risco, atende obrigação e é acompanhado pela governança. Quando ele existe uma vez só, mantido num lugar só, o custo de sustentar tudo cai.

Por que a planilha não aguenta

Planilha funciona para começar, e é honesto reconhecer isso. O limite aparece quando a organização precisa responder algo simples: este controle está funcionando hoje?

Na planilha, a resposta é a data da última atualização, feita por alguém que dependeu de lembrar. Não há evidência anexada, não há histórico de quem alterou o quê, e não há como demonstrar em auditoria que o controle operou durante todo o período, e não apenas no dia da conferência.

Há também o problema da versão: quando o mesmo assunto vive em cinco planilhas, a organização não tem cinco visões, tem cinco verdades concorrentes.

Evidência é o que separa dizer de demonstrar

Em auditoria, afirmar que um controle existe não vale nada sem prova de que ele operou. A diferença entre uma auditoria tranquila e uma cara está quase sempre aí: se a evidência é gerada pelo próprio processo, ela já está lá; se precisa ser coletada depois, alguém vai passar semanas caçando print, e-mail e log.

Por isso o desenho útil é aquele em que o controle produz a evidência ao ser executado, e não aquele em que a evidência é montada para a auditoria.

Onde a IA entra

Em GRC, a IA rende no trabalho de correlação, que é volumoso e mecânico: relacionar obrigação normativa com controle existente e apontar o que está descoberto, ler norma nova e sugerir onde ela impacta, classificar e priorizar risco por padrão histórico, e monitorar continuamente em vez de amostrar uma vez por ano.

Continua humano o julgamento sobre apetite a risco e sobre o que é aceitável. Isso não é limitação técnica, é atribuição de quem responde pela organização.

Por onde começar

Pelo inventário de controles que já existem, mesmo espalhados. Boa parte do esforço inicial de GRC é descobrir que a organização já faz muita coisa certa, sem registro comum, e que o mesmo controle atende a três obrigações diferentes.

Consolidar isso costuma reduzir trabalho antes de aumentar, o que ajuda a sustentar o projeto politicamente.