Despapeliza

Menu
Agendar demonstração
Menu
Guia · O que é um GRC

Cumprir uma vez e poder comprovar o ano inteiro.

Um GRC é a categoria de software que mantém vivos a governança, o risco e a conformidade de uma empresa. Em vez de montar a evidência toda vez que chega uma auditoria, ele a mantém em dia sozinho.

Entender a categoria → Ver o nosso GRC
O que essa família de software faz

Três perguntas que uma empresa precisa saber responder.

Governança, risco e conformidade costumam viver em três planilhas diferentes, com três donos diferentes. Um GRC existe para que sejam uma coisa só.

G Governança Quem responde pelo quê?

O inventário de controles com o seu dono, e as políticas versionadas com o aceite das pessoas registrado. Sem isso, ninguém sabe a quem perguntar.

ControlesPolíticasDonosHistórico
R Risco O que pode dar errado e o quanto importa?

Um registro com matriz de impacto e probabilidade. Registrar o risco não o reduz: quem reduz é o plano de tratamento, com um dono e um prazo.

MatrizPlanosRisco residualFornecedores
C Conformidade Você consegue comprovar hoje?

A evidência de que os controles funcionam, datada e com o seu dono. Não a versão montada à mão na semana anterior à auditoria.

EvidênciaMonitoramentoAlertasAuditoria

O que transforma três planilhas em um sistema é as três trabalharem sobre o mesmo inventário de controles. Um controle tem um dono, responde a várias normas, reduz um risco e produz a sua própria evidência. Se isso vive em lugares separados, é preciso sincronizar na mão —e ninguém faz isso duas vezes.

Por que essa categoria aparece

O mesmo trabalho, quatro vezes por ano.

Uma empresa não passa por uma só auditoria. Passa por várias, mais os questionários dos seus clientes, e cada uma pede provas parecidas dos mesmos controles.

Sem GRCCada evento começa do zeroSemanas de trabalho manual
Jan – MarAbr – JunJul – SetOut – Dez
Auditoria ISO 27001Reunir evidência
Questionário de um clienteResponder à mão
Lei 21.719Documentar de novo
Revisão SOC 2Procurar as mesmas provas

Cada marco pede de novo capturas de tela, políticas assinadas e registros de acesso. São os mesmos controles, documentados outra vez.

Com um GRCA evidência nunca deixa de estar em diaO ano inteiro
Jan – MarAbr – JunJul – SetOut – Dez
Auditoria ISO 27001Já está
Questionário de um clienteJá está
Lei 21.719Já está
Revisão SOC 2Já está

O inventário é mapeado uma vez e as provas são coletadas sozinhas dos sistemas conectados. A auditoria deixa de ser um projeto e vira uma consulta.

Que problemas resolve

Seis cenas que se repetem em toda empresa.

Evidência As provas vivem em capturas de tela e e-mails

Quando chega a auditoria é preciso sair atrás delas: pedir a cada pessoa a sua captura, a sua planilha, a sua confirmação.

Um repositório único onde cada prova fica datada, com o seu dono e a sua rastreabilidade.
Duplicação O mesmo controle é documentado três vezes

Cada norma é trabalhada em separado, com a sua planilha e a sua pasta, embora peçam praticamente a mesma coisa.

O inventário é mapeado uma vez e um controle responde a todas as normas que você precisa cumprir.
Vendas O questionário de segurança trava o fechamento

Um cliente grande manda duzentas perguntas. A equipe comercial espera; alguém de TI responde no meio de outras coisas.

As respostas saem de uma biblioteca aprovada, com revisão antes do envio.
Risco O risco ficou registrado, mas ninguém reduziu

A matriz existe e é atualizada uma vez por ano. No meio, o risco continua exatamente tão alto quanto quando foi anotado.

Planos de tratamento com dono e prazo, e risco residual que se move conforme o plano avança.
Terceiros Um fornecedor crítico com a certidão vencida

Ninguém confere os vencimentos dos terceiros até um auditor perguntar justamente por aquele fornecedor.

Cadastro avaliado por criticidade, com alertas de documentos a vencer e dossiê por fornecedor.
Acessos Uma pessoa saiu e o acesso dela continuou ativo

O desligamento foi avisado por e-mail. Alguém tinha que revogar o acesso em quatro sistemas e revogou em três.

O controle é monitorado de forma contínua e o alerta chega ao responsável, não à caixa geral.
Para quem serve

A conformidade não é problema de uma só área.

Cada área contribui com uma prova diferente do mesmo sistema. Por isso funciona quando todas trabalham sobre o mesmo inventário.

Segurança e TI

É quem sustenta a maioria dos controles técnicos: acessos, backups, MFA, revisões periódicas.

Jurídico e dados pessoais

Traduz a obrigação legal em controles concretos e responde quando a autoridade pergunta.

Diretoria

Precisa saber, sem pedir um relatório, o quanto a empresa está exposta e o que está sendo feito a respeito.

Vendas

Para de esperar: os questionários de segurança dos clientes são respondidos a partir de uma biblioteca aprovada.

Compras e fornecedores

Avaliação por criticidade, vencimentos controlados e um dossiê para cada terceiro que toca nos seus dados.

Recursos humanos

Aceite de políticas por pessoa, treinamentos vigentes e documentação trabalhista que a autoridade pode pedir.

O que você precisa cumprir

Marque as normas que se aplicam a você.

Um operador no Chile não cumpre só ISO. Cumpre ISO, SOC 2, a lei de dados pessoais, o marco de cibersegurança e o que o seu cliente mais exigente pedir.

Internacionais · o que pedem lá fora
Chile · o que já é obrigação local
0normas

Marque as que se aplicam. A pergunta não é quantas são: é quantas vezes você vai documentar o mesmo controle.

Por que o Legale GRC

Seis módulos sobre um único inventário de controles.

Não há uma planilha por norma nem uma pasta por auditoria: há um controle, com o seu dono, a sua evidência e o seu histórico.

Governança Controles e políticas

O inventário com o seu dono, e as políticas versionadas com o aceite das pessoas registrado.

Mapeamento multinorma de cada controleHistórico de alterações com data e autorAceite de políticas por pessoa
Conformidade Monitoramento e evidência contínua

As provas são coletadas dos sistemas conectados, não montadas à mão antes de cada revisão.

Provas automáticas e datadasAlertas ao responsável, não à caixa geralPreparação permanente para auditoria
Risco Gestão de riscos

Registro com matriz de impacto e probabilidade, planos de tratamento e risco residual calculado.

Matriz inerente e residualPlano com dono e prazoAcompanhamento do avanço
Terceiros Risco de fornecedores

Cadastro de fornecedores avaliados por criticidade, com vencimentos controlados e dossiê para cada um.

Avaliação conforme a criticidadeAlertas de documentos a vencerDossiê completo por fornecedor
Confiança Central de confiança

Uma página pública onde o cliente encontra o que precisa sem pedir por e-mail, e o que é sigiloso fica sob NDA.

Certificações e políticas públicasRelatórios e pentest sob NDARegistro de quem acessou e quando
Vendas Assistente de questionários

Os questionários de segurança deixam de travar os fechamentos: as respostas saem de uma biblioteca aprovada.

Biblioteca de respostas validadasRevisão antes do envioRastreabilidade do que foi respondido
Nós usamos primeiro A Despapeliza opera com a sua própria central de confiança pública.

O que propomos não é uma ideia: é a ferramenta com a qual nós mesmos respondemos às auditorias dos nossos clientes, com ISO 27001, ISO 27701, ISO 42001, SOC 2 e o marco chileno sobre o mesmo inventário.

Ver o Legale GRC →
Próximo passo

Traga a norma que você precisa cumprir este ano.

Uma ISO, SOC 2, a lei de dados ou o questionário do seu cliente mais exigente. Montamos o mapeamento na mesma reunião e você vê como fica o inventário.

Agendar demonstração → Ler sobre governança documental
Quantas normas você precisa cumprir este ano? Agendar demonstração →