Para escolher um software GRC no Brasil, comece pela lista de normas que a sua empresa precisa demonstrar e não pela lista de funcionalidades do fornecedor. Depois, verifique quatro coisas: se a ferramenta traz os requisitos brasileiros já carregados e atualizados, onde ficam os dados, se ela aceita a sua metodologia de risco e se devolve as evidências no formato e pelo prazo que o supervisor pede. Preço e demonstração vêm depois.
Este guia não compara marcas. Reúne as perguntas que faríamos a qualquer fornecedor, inclusive a nós mesmos.
A lista de normas vem primeiro
Um banco, uma instituição de pagamento, uma indústria com centenas de empregados e uma empresa de tecnologia que trata dados de clientes precisam de coisas diferentes. Antes da primeira reunião com fornecedores, vale escrever em uma página quais normas a empresa tem de cumprir e quem cobra cada uma. Para muitas empresas brasileiras, a lista sai daqui:
- Banco Central: Resolução CMN 4.893, alterada pela 5.274 em dezembro de 2025; Resolução CMN 4.557, sobre a estrutura de gerenciamento de riscos e de capital; Resolução CMN 4.968, sobre sistemas de controles internos; e, para instituições de pagamento, a Resolução BCB 85.
- ANPD: a LGPD e os regulamentos de comunicação de incidentes (Res. CD/ANPD 15/2024), do encarregado (18/2024) e de transferência internacional (19/2024).
- Ministério do Trabalho: o GRO e o PGR da NR-01, com a nova redação do capítulo 1.5 em vigor desde 26 de maio de 2026.
- Normas voluntárias que a empresa certifica ou quer certificar: ISO 27001, ISO 22301, ISO 37301.
Com a lista na mão, a pergunta ao fornecedor fica objetiva: quais dessas normas vêm carregadas, com requisitos e controles, e quando foram atualizadas pela última vez? Um teste simples é perguntar quando a ferramenta incorporou as mudanças da CMN 5.274, publicada em 22 de dezembro de 2025. A resposta mostra se há alguém acompanhando a regulação brasileira ou se a norma foi traduzida uma vez e esquecida.
Onde ficam os dados, e por que isso não é detalhe
Um software GRC guarda informação sensível: riscos, vulnerabilidades, incidentes, dados de terceiros e, muitas vezes, dados pessoais. Três regras entram em jogo.
LGPD. Se a ferramenta trata dados pessoais fora do Brasil, a transferência precisa de uma das bases do art. 33. Desde janeiro de 2026, a União Europeia é reconhecida pela ANPD como destino com proteção adequada (Res. CD/ANPD 32/2026), o que simplifica a hospedagem em países do bloco. Para outros destinos, entram as cláusulas-padrão da Res. CD/ANPD 19/2024.
Instituições reguladas pelo Banco Central. Um software GRC em nuvem é serviço de computação em nuvem para a 4.893: o art. 13, III, inclui a execução, pela internet, de aplicativos do prestador. Se o serviço for relevante pela criticidade e pela sensibilidade dos dados (art. 12, § 1º), a instituição precisa verificar e documentar, antes de contratar, as certificações do prestador, o acesso a relatórios de auditoria independente, a segregação dos dados e os controles de acesso (art. 12). Depois, comunica a contratação ao BCB em até dez dias (art. 15). Se a nuvem estiver no exterior, a instituição define antes os países e as regiões onde os dados podem ficar (art. 16). As instituições de pagamento têm regras equivalentes na Resolução BCB 85, também com prazo de dez dias.
Contrato. O art. 17 da 4.893 pede cláusulas sobre localização dos dados, segregação, transferência ao novo prestador e exclusão no fim do contrato. Mesmo quem não é regulado pelo BCB ganha ao pedir o mesmo.
Na prática, peça ao fornecedor, por escrito: países e regiões de hospedagem, certificado ISO 27001 vigente e o escopo dele, relatório de auditoria independente e um modelo de contrato com essas cláusulas. Se a resposta demorar semanas, isso também é informação.
A ferramenta tem de aceitar a sua metodologia
Muitas empresas já têm escalas de probabilidade e impacto aprovadas pelo conselho, apetite de risco definido e uma matriz que a auditoria conhece. Algumas normas exigem que esses critérios estejam documentados: a NR-01, por exemplo, pede um documento com as gradações de severidade e probabilidade e os critérios de decisão (item 1.5.4.4.2.2). Uma ferramenta que só funciona com a metodologia dela obriga a reavaliar tudo e quebra a comparação com os anos anteriores.
Perguntas que ajudam: dá para configurar as escalas e o mapa de calor? Dá para ter metodologias diferentes por área ou por empresa do grupo? O que acontece com o histórico quando a metodologia muda? Na nossa leitura, essa é a pergunta que mais separa uma boa escolha de uma troca de ferramenta dois anos depois.
Evidência guardada pelo prazo que a norma pede
O supervisor não pede a tela da ferramenta. Pede documentos datados, com histórico, pelo tempo que a norma fixa. Os prazos variam bastante:
| Norma | O que guardar | Prazo |
|---|---|---|
| Resolução CMN 4.893, art. 23 | Política de segurança cibernética, relatório anual, verificação de prestadores, contratos | 5 anos |
| Res. CD/ANPD 15/2024, art. 10 | Registro de todos os incidentes com dados pessoais, inclusive os não comunicados | Mínimo de 5 anos |
| NR-01, item 1.5.7.3.3.1 | Histórico das atualizações do inventário de riscos ocupacionais | Mínimo de 20 anos |
Vinte anos é mais que a vida de muitos contratos de software. Por isso, além de trilha de auditoria (quem mudou o quê e quando), confirme que é possível exportar tudo, com histórico, em formato aberto, e que essa exportação está garantida no contrato ao fim da relação.
Integração, idioma e quem implanta
Três perguntas práticas que convém fazer logo no início:
- Integração. O que entra sozinho (vulnerabilidades, usuários, chamados) e o que alguém vai ter de digitar. Cada campo manual é um campo desatualizado em seis meses.
- Português do Brasil. Interface, relatórios e textos das normas. Um relatório para o conselho com termos de Portugal ou traduzidos do inglês gera retrabalho a cada trimestre.
- Implantação e suporte. Quem configura, em quanto tempo e em que fuso horário o suporte atende. Peça referências de clientes no Brasil do seu setor e ligue para eles.
Como fazer a prova
Uma demonstração com dados de exemplo mostra pouco. Por onde começaríamos: um piloto curto com dados reais e três casos fechados de ponta a ponta. Uma norma (a que mais pesa no próximo ciclo de supervisão), uma análise de risco com a metodologia da casa e um incidente registrado, tratado e reportado. No fim, peça o relatório que iria ao supervisor e compare com o que a equipe produz hoje.
No GlobalSuite®, o módulo de Riscos adapta-se à metodologia que a empresa já usa, e o de Proteção de dados traz a LGPD com o registro das operações e os relatórios de impacto. Se quiser fazer essa prova com os seus dados, fale com a nossa equipe.
Fontes oficiais: Resolução CMN nº 4.893, Resolução BCB nº 85, Resolução CMN nº 4.557 e Resolução CMN nº 4.968 no site do Banco Central do Brasil; Lei 13.709/2018 (LGPD); regulamentações da ANPD e Res. CD/ANPD nº 15/2024; NR-01 no site do Ministério do Trabalho e Emprego. Conteúdo revisado em outubro de 2026.
