Plataforma de GRC en Brasil: cómo elegir la adecuada

Elegir una plataforma de GRC en Brasil empieza por los criterios de cualquier evaluación, como el modelo de datos, el crosswalk de controles y la pista de auditoría. Pero termina en preguntas que solo tienen sentido allí: a qué reguladores responde su organización, cómo la herramienta sostiene la LGPD en el día a día y dónde quedan los datos del propio GRC. Esta guía trata de esa segunda parte.

Si todavía decide entre hoja de cálculo, herramientas puntuales y plataforma integrada, empiece por la guía Software GRC: qué es y cómo elegirlo, que trae el scorecard, la prueba de valor y las señales de alerta. Para la visión de riesgos corporativos y lo que el directorio necesita ver, consulte la guía de software de gestión de riesgos corporativos en Brasil. Aquí el foco está en lo que hay que añadir a esa evaluación cuando la plataforma va a operar bajo la regulación brasileña.

Empiece por el mapa regulatorio de su organización

Antes de la primera demostración, liste las normas a las que responde la organización. La LGPD alcanza a casi toda empresa que trata datos personales. Las normas sectoriales dependen de quién supervisa su negocio. La tabla resume las más comunes en ciberseguridad e integridad. No agota la regulación de cada sector ni sustituye el análisis del área jurídica.

De ahí surgen dos exigencias para la plataforma. La primera es aceptar requisitos propios. Las bibliotecas predefinidas suelen priorizar normas internacionales como ISO/IEC 27001 y NIST CSF, y una norma brasileña de su sector quizá tenga que registrarla usted. Pida ver, en la demostración, esa norma registrada como framework y mapeada a controles que ya existen. La segunda es versionar los mapeos. Las normas brasileñas cambian: la 4.893, por ejemplo, fue modificada a fines de 2025 (vea qué cambió con la Resolución CMN 5.274). La plataforma debe mostrar qué versión del requisito cumple cada control y qué cambia cuando la norma se revisa.

La LGPD como rutina operativa, no como proyecto

La LGPD no exige un software específico. Pero pide cosas que una plataforma de GRC puede sostener o complicar: el registro de las operaciones de tratamiento (art. 37), medidas de seguridad técnicas y administrativas (art. 46) y, si el controlador opta por él, un programa de gobierno en privacidad que, según el art. 50, cuente con planes de respuesta a incidentes y se actualice con base en monitoreo continuo y evaluaciones periódicas (Ley n.º 13.709/2018).

Los incidentes tienen plazo corto. La Resolución CD/ANPD n.º 15/2024 establece que el controlador debe comunicar a la ANPD (Agência Nacional de Proteção de Dados, la autoridad brasileña de protección de datos) y a los titulares, en tres días hábiles, el incidente que pueda acarrear riesgo o daño relevante, contados desde el momento en que supo que afectó datos personales. La misma norma exige conservar el registro de incidentes durante al menos cinco años (Resolución CD/ANPD n.º 15/2024). En la plataforma, eso se convierte en preguntas concretas:

• Reloj. ¿El incidente registra cuándo la organización tuvo conocimiento y quién responde por la comunicación?
• Historial. ¿El registro de incidentes, incluidos los no comunicados, se conserva con autoría y fechas durante el plazo exigido?
• Contexto. ¿El inventario de tratamientos está vinculado a los activos, proveedores y controles que lo protegen?
• Visión del encargado. ¿El encargado de protección de datos (el “encarregado”, art. 41) sigue el estado sin pedir hojas de cálculo a cada área?

El peso financiero también es concreto. La multa simple puede llegar al 2% de la facturación de la persona jurídica, grupo o conglomerado en Brasil en su último ejercicio, excluidos los tributos, con un límite de R$ 50 millones (reales brasileños) por infracción (art. 52). Para organizar los controles antes de llevarlos a la plataforma, use el checklist práctico de adecuación a la LGPD.

La integridad y la anticorrupción también son GRC

En muchas empresas brasileñas, el compliance anticorrupción queda fuera de la herramienta de GRC, bajo otra dirección. El Decreto n.º 11.129/2022, que reglamenta la Ley n.º 12.846/2013 (Ley Anticorrupción de Brasil), enumera en el art. 57 los parámetros para evaluar un programa de integridad. Entre ellos están la gestión adecuada de riesgos con reevaluación periódica, los controles internos, los canales de denuncia y la diligencia basada en riesgo para contratar y supervisar a terceros (Decreto n.º 11.129/2022).

Buena parte de eso cabe en el mismo modelo de datos de un GRC: riesgos, controles, terceros, evidencias y planes de acción. Si la plataforma no admite ese dominio, el mismo proveedor termina evaluado dos veces, una por seguridad de la información y otra por integridad, con cuestionarios y plazos distintos. En el sector financiero, la evaluación de terceros suma además las reglas de contratación de servicios, tema de la guía sobre riesgo de terceros y la Resolución CMN 4.893.

Dónde quedan los datos del propio GRC

Una plataforma de GRC concentra información sensible: riesgos, vulnerabilidades, incidentes, proveedores críticos y, muchas veces, datos personales de empleados y titulares. Por eso, el proveedor de GRC también es un tercero que hay que evaluar.

• Transferencia internacional. Si se tratan datos personales fuera de Brasil, la LGPD solo permite la transferencia en los supuestos del art. 33, como países con un grado de protección adecuado o cláusulas contractuales tipo. La Resolución CD/ANPD n.º 19/2024 aprobó el reglamento y el texto de las cláusulas tipo. Pregunte dónde se alojan los datos, qué subencargados participan y qué mecanismo cubre la transferencia.
• Sector financiero. La Resolución CMN n.º 4.893/2021 tiene un capítulo propio sobre la contratación de servicios de procesamiento y almacenamiento de datos y de computación en la nube. Verifique con el área jurídica y con la de riesgos, antes de firmar, si la plataforma de GRC encaja en esas reglas en su caso.
• Salida de los datos. Confirme que es posible exportarlo todo en formato abierto. Cambiar de proveedor no puede significar perder el historial que pedirá la fiscalización.

Idioma, evidencias y soporte

Los auditores, encargados y reguladores brasileños trabajan en portugués. Informes, pistas de auditoría y flujos de aprobación en ese idioma reducen la traducción y el ruido. Verifique también si la plataforma acepta los formatos de evidencia que circulan en su operación, si el soporte atiende en su huso horario y si el contrato, el SLA y la documentación de seguridad están disponibles en portugués.

Una prueba brasileña para la demostración

Añada estos pasos a la prueba de valor descrita en la guía de software GRC. Muestran rápido si la plataforma se pensó para el contexto regulatorio local o si ese trabajo quedará a su cargo.

1. Registre una norma de su sector, como la Resolución CMN n.º 4.893/2021 o la Resolución Normativa ANEEL n.º 964/2021, como framework y mapee a ella tres controles que ya existen.
2. Simule un incidente con datos personales y vea cómo la herramienta registra la fecha de conocimiento, el responsable y el plazo de tres días hábiles.
3. Evalúe un proveedor crítico una sola vez y compruebe si el resultado sirve a seguridad, privacidad e integridad.
4. Modifique un control y verifique el efecto en todos los requisitos mapeados, incluidos los brasileños.
5. Pida por escrito las respuestas sobre alojamiento, subencargados y transferencia internacional de datos.

Registre el resultado en el scorecard como un criterio más: adecuación al contexto regulatorio brasileño.

IA con trazabilidad, también ante el regulador

En la edición 2025 del informe Cost of a Data Breach de IBM, las organizaciones brasileñas que usaban IA y automatización de forma extensiva en seguridad tuvieron un costo promedio de R$ 6,48 millones por brecha, frente a R$ 8,78 millones en las que no las usaban. La misma edición señaló que el 87% de las organizaciones brasileñas no tenía políticas de gobierno de IA vigentes (IBM Newsroom Brasil, julio de 2025, brechas ocurridas entre marzo de 2024 y febrero de 2025). El dato es de seguridad, no de GRC, pero muestra las dos caras del tema: la IA ayuda, y el gobierno sobre ella todavía es frágil.

En una plataforma de GRC, la IA puede sugerir clasificaciones, mapeos entre normas y prioridades. La decisión de aceptar un riesgo, aprobar una evidencia o comunicar un incidente sigue siendo de una persona, y la plataforma debe registrar quién revisó cada sugerencia. Ese registro es lo que permite explicar la decisión a un auditor o a la ANPD. La guía sobre herramientas de compliance con IA en Brasil detalla este punto, y la de software de gobierno de IA trata del riesgo de los propios modelos.

Eagle y esta hoja de ruta

El módulo de GRC de Eagle, de Futture, fue diseñado para centralizar frameworks, requisitos, políticas, controles, evidencias, assessments y planes de acción en un modelo reutilizable, con crosswalk entre normas y la posibilidad de estructurar requisitos y controles personalizados, el camino para registrar normas sectoriales brasileñas. La IA de Eagle sugiere clasificaciones, relaciones y prioridades, y el usuario revisa, aprueba, rechaza o ajusta cada resultado relevante. Las integraciones disponibles dependen del entorno y del alcance contratado. Si quiere aplicar la prueba brasileña de arriba con un caso propio, solicite una demostración.

Para profundizar: Software de compliance con IA para bancos; Matriz de riesgo: cómo construirla y priorizar amenazas; Software de seguridad con IA contra la exposición cibernética; Resolución CMN 4.658: qué cambió y qué rige hoy; Reglamentos de la ANPD: el mapa de lo que su empresa debe cumplir; Circular SUSEP 638: ciberseguridad para aseguradoras en Brasil.

Preguntas frecuentes

¿Qué es una plataforma de GRC?

Es el sistema que conecta gobierno, riesgos y compliance en una base única: requisitos de normas y leyes, controles, evidencias, riesgos, terceros y planes de acción, con el historial de quién decidió qué. Apoya el modelo de GRC de la organización, pero no lo reemplaza.

¿Qué normas brasileñas debe cubrir una plataforma de GRC?

Depende del sector. La LGPD, Ley General de Protección de Datos de Brasil, se aplica a casi toda organización que trata datos personales. Las instituciones financieras responden a la Resolución CMN n.º 4.893/2021 o a la Resolución BCB n.º 85/2021; las aseguradoras, a la Circular SUSEP n.º 638/2021; el sector eléctrico, a la Resolución Normativa ANEEL n.º 964/2021; y las prestadoras de telecomunicaciones, a la Resolución Anatel n.º 740/2020. Más importante que una lista predefinida es que la plataforma acepte requisitos personalizados y versione los mapeos.

¿La LGPD obliga a la empresa a tener una plataforma de GRC?

No. La ley no exige un software específico. Pide, entre otros puntos, el registro de las operaciones de tratamiento, medidas de seguridad y la comunicación de incidentes relevantes, que la Resolución CD/ANPD n.º 15/2024 fijó en tres días hábiles. Una plataforma ayuda a cumplir esos puntos con responsables, plazos e historial, pero el cumplimiento depende de cómo se opera el proceso.

¿Puedo usar una plataforma de GRC alojada fuera de Brasil?

Sí, siempre que la transferencia internacional de datos personales encaje en uno de los supuestos del art. 33 de la LGPD, como las cláusulas contractuales tipo aprobadas por la ANPD. En el sector financiero, evalúe también las reglas de contratación de nube de la Resolución CMN n.º 4.893/2021. Pida al proveedor, por escrito, la ubicación de los datos, los subencargados y el mecanismo que cubre la transferencia.

¿Puede la IA decidir sobre riesgos y cumplimiento?

No debería. La IA puede sugerir clasificaciones, mapeos y prioridades, pero aceptar un riesgo, aprobar una evidencia o decidir comunicar un incidente a la ANPD son decisiones de personas con responsabilidad formal. La plataforma debe registrar quién revisó y aprobó cada sugerencia.

Referencias oficiales

• Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (LGPD)
• Resolución CD/ANPD n.º 15/2024 — Reglamento de Comunicación de Incidentes de Seguridad
• Resolución CD/ANPD n.º 19/2024 — Reglamento de Transferencia Internacional de Datos
• Resolución CMN n.º 4.893/2021 — Banco Central de Brasil
• Resolución CMN n.º 5.274/2025 — Banco Central de Brasil
• Resolución BCB n.º 85/2021 — Banco Central de Brasil
• Resolución BCB n.º 538/2025 — Banco Central de Brasil
• Circular SUSEP n.º 638/2021 — Superintendencia de Seguros Privados de Brasil
• Resolución Normativa ANEEL n.º 964/2021 — Diário Oficial da União
• Ley n.º 12.846/2013 — Ley Anticorrupción de Brasil
• Decreto n.º 11.129/2022 — reglamenta la Ley Anticorrupción
• IBM — Costo promedio de una brecha de datos en Brasil (edición 2025, comunicado)