Mercado de GRC: Cibersegurança deve envolver toda a companhia e não só a área de tecnologia

É bem comum ver empresas descobrindo uma fragilidade cibernética só quando efetivamente já não se tem nada a fazer. O gap entre a efetivação de um ataque ou vulnerabilidade e a descoberta do problema pode demorar 6 meses, às vezes, 18 meses. Mas quem lida com gestão de risco sabe que cibersegurança não é um caso a ser resolvido só pela área de tecnologia. Vai além: deve ser encarada como uma questão estratégica das companhias.

Os maiores riscos ainda estão na falta de conscientização das pessoas – e isso tem sido colocado na mesa de algumas companhias. Mas entender como atacar de verdade esse problema e partir para a ação prática parecem não estar no cardápio de muita organização.

Alessandro Magalhães, gerente de Cyber Security e Governança da Mazars, afirma que, não adianta demonstrar boas práticas no programa de treinamento, se o exercício diário dos colegas é contraditório e indica um comportamento diferente para o novo colaborador. “Só se você faz uma adequada conscientização consegue mitigar as oportunidades de vazamento ou roubo de informações”, afirma.

Magalhães participou do podcast Sala de Negócios, da Mazars, ao lado de Sidnei Watanabe, gerente de auditoria interna da corretora XP.

Para o gerente da Mazars, a falta de um dia a dia voltado à segurança resulta em gastar recursos à toa, bem como em tornar ineficazes “ferramentas excepcionais de segurança” (como phishing éticos, que fazem simulações de envio de e-mails fake para testar o nível de conscientização dos colaboradores).

Ponta do iceberg GRC

Essa questão é apenas a ponta de um iceberg que vem levando empresas de todos os tamanhos e segmentos a buscarem colocar em prática do conceito de GRC (Governança, Riscos e Compliance), composto por modalidades de Softwares (Gestão de Riscos, Auditoria e Compliance, por exemplo) e Serviços (Consultoria, Treinamentos e Integrações Sistêmicas).

Em outras palavras, o framework GRC propõe reordenar uma empresa a partir de suas obrigações, riscos, lacunas de atuação e oportunidades de melhorias e inovação. A junção de seus três aspectos – Governança, Riscos e Compliance – sugere a integração da organização e, para isso, formata e define modelos de trabalho que facilitam o alinhamento dos negócios e busca mitigar riscos relevantes de modo tempestivo. Por fim, implementa mecanismos de controle eficazes e aprimora o processo de tomada de decisão ao oferecer informações confiáveis e bloquear disputas de diferentes vieses.

“Desde o início da minha participação em projetos GRC, no Brasil a gente vem testemunhando uma grande projeção [do conceito], seja porque os reguladores estão mais atentos e especializados, seja porque o próprio mercado vem ganhando maturidade em relação a avaliar com mais critério e a incorporar os conceitos nos procedimentos internos e nos de avaliação do negócio [due diligence]”, atesta Watanabe.

O aspecto de Riscos, como pilar do GRC, tem ganhado tração muito mais do que o lado regulatório.

Para Watanabe, este dado é bastante relevante para evitar permissividades que poderão resultar em desvios de várias naturezas, do financeiro ao ético, causando enormes prejuízos que poderiam muito bem ter sido evitados se as práticas de GRC fossem adotadas com rigor. “Algumas empresas jogam com a sorte e pensam: ‘deixa rolar, se houver algum indício de materialização, a gente age’. Mas pode ser tarde demais”, lembra ele.

Tema relevante

O tema GRC vem ganhando cada vez mais relevância e o mercado está em constante evolução. De acordo com o relatório “O Mercado Global de Governança, Riscos e Compliance até 2025 – A expansão acelerada, resiliente e sustentável do Mercado de GRC”, da Bravo GRC, o mercado GRC na América Latina é de US$ 3,3 bilhões e pode ter um crescimento de 8% entre 2019 e 2025. No Brasil, o tamanho do segmento era de U$ 492 milhões em 2020, apontando possibilidade de aumentar 9,8% até 2025 (para US$ 786 milhões).

A demanda global por soluções e serviços de GRC projeta para 2025 um mercado de US$ 60,8 bilhões, com crescimento anual médio de 13%, desde 2014.

Transformação digital em alta

Seguindo a tendência global detectada pelo relatório da Bravo, mais de 70% do mercado brasileiro de GRC é demandado atualmente pelos departamentos de TI e Finanças.

“O departamento de TI é cada vez mais valorizado nas organizações, e a transformação digital forçada pela pandemia acelerou esse processo. É possível, inclusive, associar o aumento dos investimentos em GRC para TI após a pandemia, que trouxe uma aceleração da digitização das organizações”, avalia o relatório.

A transformação digital, que faz parte desse panorama, tem puxado vários outros temas. “Do ponto de vista de consultoria, um movimento grande no mercado de clientes de médio e grande porte tem acontecido em busca de profissionais habilitados em GRC. O desafio é preparar e capacitar para atender os clientes”, diz Magalhães, que é especialista em cibersegurança. Segundo ele, a transparência e a governança são aspectos muito procurados pelas empresas, que extrapolam o desejo apenas por bases regulatórias.

Além disso, o relatório da Bravo lembra que a Auditoria Interna é tradicional no Brasil, sendo comum nas organizações há décadas, ao contrário do Compliance, que é uma prática mais recente.

A transformação digital também impõe um grande potencial de crescimento de mercado para a modalidade de softwares de Auditoria.

Os dados confirmam que hoje é necessária uma Governança com tecnologia e que isso é fruto do aumento da exposição das atividades de TI aos riscos inerentes conforme as operações vão se tornando mais e mais digitalizadas e demandando mais investimento em ferramentas de gerenciamento. “Os riscos necessitam de uma estrutura de GRC proporcional à exposição que geram”, crava o relatório.