O que é GRC?

Por que GRC é importante?

Sem integração, cada disciplina produz a sua versão dos fatos. A segurança mantém um registro de riscos, o compliance mantém uma matriz de requisitos por norma, a auditoria interna mantém seus achados e a continuidade mantém a sua BIA — quase sempre em planilhas diferentes, com taxonomias diferentes. O resultado é previsível: o mesmo controle é avaliado três vezes para três frameworks, a evidência é coletada às pressas a cada auditoria e a diretoria recebe relatórios que não se somam.

GRC resolve um problema de modelo de dados e de operação, não de ferramenta. A pergunta que ele precisa responder é simples de formular e difícil de responder sem integração: para cada risco relevante, quem é o dono, qual controle o trata, qual evidência mostra que esse controle funciona e qual requisito externo ele atende?

Como funciona

Um programa de GRC funcional se apoia em cinco componentes que compartilham a mesma base:

• Governança: objetivos, políticas, papéis, alçadas de decisão e o apetite de risco aprovado pela alta administração.
• Registro de riscos: riscos e cenários com dono, avaliação de risco inerente e risco residual, e decisão de tratamento.
• Biblioteca de controles: cada controle descrito uma única vez e mapeado para os requisitos que atende — o chamado crosswalk entre frameworks.
• Evidências: registros que comprovam o desenho e a operação de cada controle, com responsável e data de validade.
• Planos de ação: tratamento de riscos, lacunas de conformidade e achados de auditoria, com prazo, dono e acompanhamento.

O ciclo é contínuo: a governança define critérios, a gestão de riscos aplica esses critérios, os controles tratam os riscos, o compliance verifica e evidencia, e os desvios voltam como planos de ação e como insumo para revisar os próprios critérios.

Exemplo prático

Considere um único controle: autenticação multifator (MFA) para acessos remotos e administrativos. Em um modelo integrado, ele é cadastrado uma vez e ligado a todos os pontos em que é exigido ou relevante:

Uma única evidência — por exemplo, o relatório de cobertura de MFA extraído do provedor de identidade, com data — passa a servir às três referências e ao cenário de risco. Quando a cobertura cai, a lacuna aparece ao mesmo tempo no compliance e no risco residual do cenário. Esse é o ganho concreto do GRC: um fato, várias leituras, nenhuma reconciliação manual.

Como calcular ou avaliar

Maturidade de GRC não se mede pelo número de frameworks cobertos, e sim pela capacidade de responder perguntas com dados atuais. Indicadores que costumam revelar o estado real do programa:

• Percentual de riscos relevantes com dono formal e decisão de tratamento registrada.
• Percentual de controles-chave com evidência válida e testada — não apenas declarada na política.
• Planos de ação vencidos, por criticidade e por área responsável.
• Aceites de risco com prazo de revisão expirado: risco aceito sem revisão é risco esquecido.
• Controles reutilizados entre frameworks versus controles avaliados em duplicidade.
• Tempo para atender a um pedido de evidência de auditoria, de cliente ou de regulador.

Um teste rápido: escolha um requisito regulatório ao acaso e tente chegar, em poucos minutos, ao controle, ao responsável, à evidência mais recente e ao risco que ele trata. Se o caminho passa por e-mails e pastas compartilhadas, o programa ainda é um conjunto de silos.

GRC na gestão de cyber risk

Em cyber risk, o GRC fornece a regra do jogo: critérios de avaliação e de aceitação, apetite, papéis e a trilha de decisão. A operação técnica fornece o estado real do ambiente — vulnerabilidades, exposição, eficácia dos controles. Quando os dois não se encontram, o registro de riscos descreve um ambiente que já não existe. O caminho mais curto é tratar o risco cibernético como uma categoria do mesmo registro de riscos corporativos, com sinais técnicos alimentando a avaliação — tema do artigo sobre o CROC e a passagem da conformidade periódica à governança contínua.

A quantificação entra como linguagem comum: quando o risco cibernético é expresso em frequência e perda financeira, por meio de Cyber Risk Quantification, ele pode ser comparado a outros riscos corporativos e ao apetite aprovado.

Relação com frameworks

• NIST CSF 2.0: a função Govern (GV) organiza a base do GRC aplicado à cibersegurança — contexto organizacional (GV.OC), estratégia de gestão de riscos (GV.RM), papéis, responsabilidades e autoridades (GV.RR), política (GV.PO), supervisão (GV.OV) e gestão de riscos da cadeia de suprimentos (GV.SC). Veja NIST CSF 2.0: as seis funções.
• ISO/IEC 27001:2022: exige liderança e comprometimento (cláusula 5), avaliação e tratamento de riscos (6.1.2 e 6.1.3, executados em 8.2 e 8.3), auditoria interna (9.2) e análise crítica pela direção (9.3) — um ciclo de GRC aplicado à segurança da informação. Veja o que é a ISO 27001.
• ISO 31000:2018: diretrizes de gestão de riscos aplicáveis a qualquer organização, com princípios, estrutura e processo.
• COSO ERM: o framework de gestão de riscos corporativos integrado à estratégia e ao desempenho, referência frequente para CROs e auditoria interna.