A maioria das organizações não tem um problema de dados. Tem um problema de fragmentação e uma lacuna entre o saber e o fazer que nenhum painel de controlo consegue colmatar.
A crítica habitual à tecnologia de gestão de riscos tende a centrar-se na visibilidade: as equipas não conseguem ver o que se passa em toda a empresa, os dados estão isolados em silos e a elaboração de relatórios é inconsistente. Trata-se de um verdadeiro desafio, que o mercado de GRC tem vindo a abordar há anos. Mas o problema mais complexo situa-se um passo mais abaixo na cadeia.
O que acontece depois do painel de controlo?
Na maioria das organizações, a resposta é: trabalho manual. Folhas de cálculo. Tópicos de e-mail. Conversas de acompanhamento que podem ou não produzir resultados documentados. As constatações de risco são identificadas e, em seguida, ficam discretamente paralisadas. As lacunas de conformidade são identificadas e, em seguida, encaminhadas para quem tiver disponibilidade. A plataforma limita-se à análise, e a execução fica a cargo das pessoas que trabalham à sua volta.
É nessa lacuna, entre saber que um risco existe e resolvê-lo efetivamente, que a maioria dos programas de gestão de riscos fracassa discretamente. E vale a pena compreender porquê.
O contexto mudou; a maioria dos programas de gestão de riscos, porém, não
Durante anos, o modelo predominante em matéria de tecnologia de risco assentava na recolha e na apresentação de relatórios. Os dados eram recebidos, armazenados centralmente e apresentados periodicamente, sempre que a direção o solicitava. Esse modelo adequava-se bem a um ambiente em que as alterações regulamentares ocorriam em ciclos anuais e a análise de risco era um evento programado.
Esse ambiente já não existe.
De acordo com o Inquérito Global sobre Conformidade da PwC de 2025, 85 % das organizações afirmam que os requisitos de conformidade se tornaram mais complexos nos últimos três anos. Setenta e sete por cento referem que essa complexidade está a afetar diretamente áreas cruciais para o crescimento do negócio. Os prazos de aplicação da regulamentação tornaram-se mais curtos. As expectativas regulamentares passaram a ser contínuas, em vez de cíclicas. Os conselhos de administração estão a colocar questões mais difíceis com maior frequência e esperam respostas que não exijam duas semanas de agregação manual para serem elaboradas.
As organizações que gerem bem esta questão não são necessariamente aquelas que dispõem de mais dados ou de sistemas de relatórios mais sofisticados. São aquelas que conseguiram reduzir o intervalo de tempo entre a deteção de um risco e uma resposta documentada, acompanhada e com prazos definidos.
Por que razão os dados interligados são o ponto de partida e não o destino
As equipas de conformidade raramente enfrentam falta de informação. Os resultados estão disponíveis. As avaliações já foram realizadas. As análises de terceiros encontram-se algures no sistema. O problema é que a informação está distribuída por várias plataformas, equipas e formatos, de forma a tornar quase impossível estabelecer ligações entre os dados.
Essa fragmentação acarreta custos reais. O inquérito da PwC revelou que 63% dos responsáveis pela conformidade afirmam que os dados desagregados dificultam o cumprimento das normas. No entanto, as organizações que consolidam dados relativos ao risco, à conformidade, às políticas e a terceiros num ambiente unificado registam resultados mensuráveis: 64% de melhor visibilidade do risco, 53% de maior rapidez na resposta a problemas e 43% de poupança direta nos custos.
Esses resultados não se devem a uma melhor recolha de dados. Devem-se ao que se torna possível quando os dados estão interligados: a capacidade de identificar claramente os riscos, dar prioridade ao que requer atenção e documentar as decisões de forma a que se justifiquem em caso de auditoria.
A lacuna que, na verdade, custa às organizações
Apenas 7% das organizações inquiridas no inquérito da PwC consideram-se, atualmente, líderes em matéria de conformidade, enquanto 38% pretendem atingir esse nível no prazo de três anos. Essa distância não se deve, principalmente, a um problema de estratégia. A ambição estratégica é clara. A infraestrutura operacional necessária para colmatar essa lacuna ainda não existe.
O padrão é previsível. Uma avaliação de riscos revela uma constatação. Um teste de controlo identifica uma lacuna. Uma análise realizada por terceiros assinala um problema relacionado com um fornecedor. A plataforma comunica a situação. E, em seguida, o trabalho de resolver o problema, atribuir um responsável, definir um prazo, acompanhar o progresso, documentar a resolução e produzir as provas de auditoria é realizado manualmente, de forma inconsistente ou nem sequer é feito.
A questão que vale a pena colocar é: o que seria necessário para tornar esse processo de resolução tão estruturado e rastreável quanto o processo de identificação? Não apenas para os riscos de alta prioridade, mas em todo o programa, de forma contínua.
A resposta não está em criar mais painéis de controlo. Está num modelo operacional em que as conclusões se traduzem automaticamente em ações acompanhadas, atribuídas a responsáveis e com prazos definidos, e em que a plataforma apoia todo o ciclo, e não apenas a primeira metade do mesmo.
Por que razão o investimento em tecnologia, por si só, não é suficiente
As organizações que investiram fortemente em plataformas de gestão de riscos e continuam a apresentar um desempenho abaixo do esperado tendem a partilhar um padrão comum: tecnologia sem governação.
A automatização sem estrutura gera ruído. A integração de dados sem uma responsabilidade clara não é escalável. A elaboração de relatórios sem um processo de decisão definido apenas aumenta o volume de informação sobre a qual ninguém toma medidas.
Os dados da PwC são claros quanto a este ponto. Cinquenta e cinco por cento dos responsáveis pela conformidade apontam o apoio da direção como o fator mais importante para uma cultura de conformidade sólida. Cinquenta e nove por cento das organizações com modelos de conformidade alinhados e centralizados referem uma maior confiança na tomada de decisões, em comparação com as que operam em silos.
A tecnologia proporciona essa capacidade. A estrutura de governação determina se essa capacidade se traduz numa vantagem estratégica ou se fica subutilizada.
Essa distinção é importante quando se pensa na forma como os programas de gestão de risco são criados e mantidos. Não se trata de um problema relacionado com a entrada em funcionamento. Trata-se de um problema relacionado com a forma como o programa funciona ao longo do tempo.
Como é uma gestão de riscos pronta para a execução
As capacidades que distinguem os programas de gestão de riscos orientados para a execução dos que se centram na elaboração de relatórios tendem a agrupar-se em torno de algumas áreas fundamentais.
Gestão de problemas com verdadeira responsabilização.As constatações não desaparecem nas caixas de entrada. Transformam-se em registos acompanhados, com responsáveis, prazos, percursos de escalonamento e requisitos de documentação integrados. O encerramento é documentado. A pista de auditoria existe sem necessidade de ser compilada manualmente.
Gestão de políticas relacionada com o risco.Quando uma regulamentação muda, o impacto a jusante é imediatamente visível: quais as políticas afetadas, quais os controlos que precisam de ser atualizados, quais as implicações em termos de conformidade. As organizações que descobrem essas lacunas a posteriori, através de uma auditoria e não através dos seus próprios sistemas, pagam um preço mais elevado.
O risco associado a terceiros como parte do mesmo quadro. Sessenta e quatro por cento das organizações recorrem a terceiros para fornecer produtos e serviços. Uma falha na conformidade de um fornecedor não fica isolada; torna-se um risco regulamentar, um risco operacional e, potencialmente, um risco para a reputação. A supervisão de terceiros, quando integrada num programa separado e desligada da gestão de riscos da empresa, significa que essas ligações só se tornam visíveis quando já é tarde demais para responder de forma proativa.
Monitorização contínua dos controlos.A diferença entre detetar falhas nos controlos na altura da auditoria e identificá-las à medida que ocorrem é significativa. Uma abordagem é, por natureza, reativa. A outra permite que as organizações resolvam as lacunas no decorrer do ciclo operacional, em vez de o fazerem após o seu término.
Relatórios executivos que não exijam agregação manual.Os CCOs e os CROs não devem passar os dias que antecedem uma apresentação ao conselho de administração a recolher dados de vários sistemas e a reformatá-los. A visão de que os líderes necessitam deve estar continuamente disponível, com detalhes de apoio acessíveis sempre que necessário.
Para onde se dirige a disciplina
De acordo com a PwC, 82 % das organizações planeiam aumentar o investimento em tecnologia de conformidade nos próximos três anos. 71 % prevêem que a transformação digital exija um apoio significativo em matéria de conformidade durante o mesmo período.
A tendência de investimento reflete a procura real. No entanto, os retornos desse investimento continuarão a variar significativamente, não porque algumas organizações adquiram melhor tecnologia, mas porque algumas organizações combinam essa tecnologia com o modelo de governação necessário para garantir o seu bom funcionamento.
A direção que mais importa não é a de mais dados ou mais painéis de controlo. É a da IA e da análise de dados integradas no momento da tomada de decisão, de uma automatização estruturada e rastreável, em vez de sobreposta a processos fragmentados, e de uma conectividade mais profunda que elimine os silos que ainda atrasam os tempos de resposta.
As organizações que irão liderar a próxima vaga de complexidade regulamentar não estão à espera que o panorama se estabilize. Estão a criar programas em que a identificação de um risco e a sua resolução fazem parte do mesmo ciclo operacional e em que o intervalo entre ambas as etapas é medido em dias, e não em trimestres.
Como a Archer apoia uma gestão de riscos pronta para a execução
A Archer proporciona às equipas de risco e conformidade as ferramentas necessárias para gerir todo o ciclo, desde a identificação do risco até à resolução documentada, num único ambiente integrado. A gestão de problemas, a monitorização de controlos, a gestão de políticas, o risco de terceiros e a elaboração de relatórios para a direção foram concebidos para funcionar em conjunto, e não para serem agregados a posteriori.
Saiba mais sobre como a Archer ajuda as organizações a passar da visibilidade à execução em archerirm.com.
O que significa a gestão de riscos «pronta para a execução» e em que difere da GRC tradicional?
As plataformas tradicionais de GRC foram concebidas principalmente em torno da recolha de dados e da elaboração de relatórios: capturar informações sobre riscos, armazená-las e apresentá-las em painéis de controlo ou relatórios periódicos. A gestão de riscos orientada para a execução vai mais além. Significa que a plataforma apoia ativamente o que acontece após a identificação de um risco, incluindo a atribuição de responsabilidades, o acionamento de fluxos de trabalho, o acompanhamento das medidas corretivas, a documentação do encerramento e a produção das provas de auditoria exigidas pelos reguladores e pelos conselhos de administração. Em vez de tratar a elaboração de relatórios como o estado final, um modelo orientado para a execução trata-a como um dos resultados de um sistema operacional que funciona de forma contínua, ligando a avaliação de riscos, a gestão de políticas, a monitorização de controlos e a supervisão de terceiros num único ambiente.
Como podem as equipas de conformidade colmatar a lacuna entre a identificação de riscos e a sua resolução?
A chave está em substituir as transferências manuais por fluxos de trabalho estruturados. Quando um risco é identificado através de uma avaliação, de um teste de controlos, de uma revisão por terceiros ou de uma auditoria, o processo de resolução deve incluir responsabilidades definidas, prazos, vias de escalamento e requisitos de documentação. Sem essa estrutura, as questões acabam por ser tratadas por e-mail ou em folhas de cálculo, e a resolução torna-se inconsistente. O Inquérito Global de Conformidade da PwC 2025 revelou que as organizações que utilizam tecnologia de conformidade interligada registam uma resposta às questões 53% mais rápida, e que essa melhoria decorre diretamente do facto de o processo de resolução ser tão rastreável quanto o processo de identificação.
Por que razão a gestão de riscos de terceiros deve fazer parte de uma plataforma integrada, em vez de ser uma ferramenta separada?
Porque o risco de terceiros não existe isoladamente. Uma falha na conformidade de um fornecedor gera um risco regulamentar. Um incidente de cibersegurança envolvendo um fornecedor torna-se um problema operacional e de reputação. Uma lacuna contratual vem à tona durante uma auditoria. Quando o risco de terceiros é gerido num sistema separado, as organizações perdem a capacidade de perceber como o risco do fornecedor se relaciona com a sua postura de conformidade mais ampla e acabam por gerir as consequências de forma reativa. Integrar as conclusões relativas a terceiros na mesma plataforma que o risco empresarial, a gestão de políticas e a monitorização de controlos significa que essas ligações ficam visíveis em tempo real, são avaliadas com base no mesmo quadro de risco, são escaladas através dos mesmos fluxos de trabalho e incluídas na mesma visão executiva.
Por que razão o investimento em tecnologia, por si só, não é suficiente para melhorar o desempenho dos programas de gestão de risco?
A tecnologia sem governação apresenta falhas previsíveis. A automatização sem estrutura gera ruído. A integração de dados sem uma responsabilidade clara não é escalável. A elaboração de relatórios sem um processo de decisão definido apenas aumenta o volume de informação sobre a qual ninguém age. O inquérito da PwC revelou que 55% dos responsáveis pela conformidade apontam o apoio da direção como o fator mais importante para uma cultura de conformidade sólida, e 59% das organizações com modelos de conformidade alinhados e centralizados referem uma maior confiança na tomada de decisões. A plataforma fornece a capacidade. O modelo de governação determina se essa capacidade se traduz numa vantagem estratégica ao longo do tempo.
Fonte: Inquérito Global sobre Conformidade da PwC 2025, pwc.com/gx/en/issues/risk-regulation/global-compliance-survey.html
