O que é GRC? Governança, riscos e compliance na prática

Existe um sintoma que aparece muito antes da sigla: a empresa responde o mesmo questionário de fornecedor pela quinta vez, e cada vez a resposta sai um pouco diferente, porque quem respondeu foi outra pessoa, consultando outro lugar.

O time de infraestrutura sabe o que está configurado. O jurídico sabe o que foi contratado. A diretoria sabe o que decidiu. E ninguém tem o conjunto. GRC é o nome de juntar essas três coisas.

A tese em uma frase: GRC não é software nem certificado. É o circuito que faz a decisão da diretoria virar controle operacional e o controle operacional virar evidência — e que devolve o que falhou para a mesa de quem decide.

O que é GRC, letra por letra

As três palavras são usadas como sinônimo de burocracia justamente porque quase ninguém explica o que cada uma faz de diferente:

O erro mais comum é tratar as três como departamentos. Elas são etapas de um circuito. Governança sem risco vira reunião. Risco sem controle vira relatório. Compliance sem os dois anteriores vira o que o mercado chama de teatro de conformidade: pasta cheia, empresa exposta.

De onde o GRC veio (e por que isso explica o formato dele)

Essa parte quase nunca é contada em português, e ela esclarece muita coisa.

GRC não nasceu na tecnologia. Nasceu do colapso contábil do início dos anos 2000 — Enron em 2001, WorldCom em 2002 — que destruiu a confiança nas demonstrações financeiras das empresas americanas. A resposta legislativa foi a Lei Sarbanes-Oxley (SOX), de 2002, que passou a exigir que executivos atestassem pessoalmente os controles internos sobre relatórios financeiros.

Isso criou uma necessidade nova: provar controle interno de forma auditável e repetível. As empresas passaram a usar o COSO como framework de controle interno, e a partir daí formou-se o corpo de prática que a OCEG consolidou sob o rótulo "GRC" ao longo dos anos 2000.

Duas consequências práticas desse DNA:

• O GRC é obcecado por evidência. Ele veio da auditoria, onde afirmação sem lastro não vale nada. É por isso que todo processo de GRC termina em "onde está a prova".
• O GRC é indiferente ao domínio. O mesmo método serve para risco financeiro, operacional, ambiental ou cibernético. O que muda é o conteúdo, não a máquina.

Esse segundo ponto é a chave para entender as duas confusões mais comuns, que vêm a seguir.

Na prática, GRC virou uma disciplina de segurança

Se o método é indiferente ao domínio, por que quase todo material de GRC fala de segurança?

Porque é onde estão a regulação e o dinheiro. O centro de gravidade do mercado é inequívoco:

• As ferramentas vendidas como GRC automatizam evidência para SOC 2, ISO 27001, PCI DSS e LGPD.
• As vagas de "analista de GRC" são, na prática, vagas de segurança da informação.
• Os frameworks que as pessoas querem dizer quando falam GRC são frameworks de segurança.
• A regulação que força o gasto é regulação de dado e de incidente.

O Brasil está entrando nessa curva agora, com três frentes ao mesmo tempo: a LGPD já em vigor, o marco legal da cibersegurança em tramitação e a pressão contratual de clientes que exigem SOC 2 ou ISO 27001 de fornecedores.

GRC não é ISO 27001 (nem SOC 2, nem LGPD)

Confusão que custa dinheiro em processo de compra. Norma é o que você precisa demonstrar. GRC é como você decide, opera e demonstra.

Dá para ter certificado sem GRC — é o certificado que a empresa renova de véspera, com evidência produzida às pressas. E dá para ter GRC sem certificado nenhum, que é o caso da maioria das PMEs que funcionam bem.

Se você quer o panorama das normas em si, o blog já tem quais certificações ISO existem e modelos normativos de TI — este post é sobre a camada acima deles.

As três linhas de defesa, sem o jargão

O modelo que organiza quem faz o quê. A formulação moderna é o Three Lines Model, publicado pelo Instituto dos Auditores Internos em julho de 2020 — ele substituiu o documento de 2013 que consagrou a expressão "três linhas de defesa":

• Primeira linha — quem executa. A área dona do processo e do risco no dia a dia. É quem aplica a correção, revisa o acesso, roda o backup.
• Segunda linha — quem supervisiona. Define política, acompanha e cobra. Tipicamente segurança da informação ou compliance.
• Terceira linha — quem audita. Independente das duas anteriores, verifica se o conjunto realmente funciona.

Em empresa pequena isso parece impossível, e não é. Não é preciso ter três áreas; é preciso não ter a mesma pessoa nos três papéis. Quem configura o backup não deveria ser a única pessoa a atestar que o backup funciona. Um sócio, um contador externo ou uma auditoria contratada uma vez por ano já quebra o conflito.

Você provavelmente já faz GRC — sem o nome

Este ponto vale mais que a definição. Se a sua empresa já:

• mantém alguma lista do que pode dar errado e do que fazer a respeito — isso é gestão de vulnerabilidades e gestão de risco;
• sabe quem chama quem quando algo quebra — isso é o plano de resposta a incidentes;
• avalia o risco que herda de fornecedor — isso é cadeia de suprimentos de software;
• trata dado pessoal com regra definida — isso é LGPD;
• e tem prazo para avisar alguém quando vaza — isso é notificação de incidente;

…então você já tem cinco peças de GRC. O que provavelmente falta é o circuito: elas existem separadas, cada uma com um dono diferente, e nenhuma devolve informação para a decisão seguinte. Formalizar não significa comprar plataforma. Significa uma lista de riscos, um dono por controle e um lugar único para a evidência.

GRC e ESG: mesmo método, domínios diferentes

Vale desfazer essa confusão porque ela aparece sempre que alguém vê a letra "G" duas vezes.

A ligação é real, mas é de método, não de conteúdo. O ESG pegou emprestada a maquinaria inteira do GRC: matriz de materialidade, três linhas de defesa, teste de controle, trilha de evidência, asseguração externa. É por isso que um relatório de sustentabilidade se parece com um relatório de auditoria — ele é um.

O que não conversa é o assunto. Emissão de carbono, direitos trabalhistas na cadeia e composição de conselho não compartilham nada com gestão de vulnerabilidade além do formulário. Quem cuida de ESG e quem cuida de segurança usam a mesma régua sobre realidades distintas.

A formulação que resolve: GRC está ligado à cibersegurança pelo conteúdo e ao ESG pelo método. São domínios irmãos sob a mesma disciplina — não um dentro do outro.

O domínio novo: governança de IA

Enquanto o mercado ainda arruma segurança e ESG, um terceiro domínio entrou na fila — e ele vai bater na porta de quem já usa IA sem regra escrita.

A ISO/IEC 42001, publicada em dezembro de 2023, é a primeira norma de sistema de gestão específica para inteligência artificial. Ela faz pela IA o que a 27001 faz pela segurança: transforma "usamos IA com responsabilidade" em algo com escopo, controle, dono e evidência. Some a isso o AI Act europeu e a regulamentação de IA no Brasil, que segue lógica por risco — a mesma lógica do GRC.

Na prática, para quem está começando, o primeiro artefato de governança de IA não é um certificado: é uma política de uso de IA na empresa. E o risco que ela existe para conter tem nome e endereço — está em posso colocar dados da empresa no ChatGPT?. A discussão de viés e responsabilidade fica em ética em IA.

Por onde começar, se você não tem nada

Sem plataforma, sem consultoria, em ordem de retorno:

1. Liste os riscos que você já conhece. Dez linhas numa planilha bastam. Probabilidade, impacto, e o que já existe hoje contra cada um.
2. Dê um dono a cada linha. Nome de pessoa, não de área. Área não responde por nada.
3. Escolha um lugar só para a evidência. Uma pasta serve. O critério é que a próxima pessoa ache sem perguntar.
4. Responda o próximo questionário de fornecedor a partir dessa base — e guarde a resposta. É a partir do segundo questionário que o esforço se paga.
5. Marque uma revisão trimestral. É o passo 6 do circuito. Sem ele, o resto envelhece em silêncio.

Só depois disso faz sentido discutir certificação — e aí a conversa muda para prazo e custo, que é o assunto do post de ISO 27001 na prática.

O ponto que fica

GRC tem fama de burocracia porque a maioria das empresas encontra a sigla pelo pior lado: um questionário urgente, um auditor marcado, um cliente exigindo papel.

Visto pelo outro lado, ele é bem mais simples do que a reputação sugere — é a diferença entre uma empresa que sabe o que pode dar errado e uma que descobre junto com o cliente. A sigla é opcional. O circuito, não.