Que software de gestão de riscos de terceiros as empresas usam? O checklist definitivo

"Que software de gestão de riscos de terceiros utilizam as empresas?" Se você digitou essa pergunta no Google, provavelmente já sentiu o problema na pele. E a resposta que quase ninguém publica é esta: a maioria das empresas brasileiras ainda gerencia fornecedores críticos com planilha, e-mail e boa vontade. As que amadureceram seguiram caminhos diferentes — módulos de GRC genéricos, adaptações do ERP ou plataformas dedicadas de TPRM (Third-Party Risk Management).

Este artigo não vai listar quinze logos para você comparar às cegas. Vai fazer algo mais útil: entregar os 10 critérios que separam uma plataforma séria de uma planilha glorificada com login — e, para cada critério, o teste exato que você deve fazer na demo antes de assinar qualquer contrato. Leve este checklist para a conversa com qualquer fornecedor, inclusive o nosso.

O que as empresas usam hoje (e por que tanta gente se arrepende)

Na prática, o mercado brasileiro se divide em quatro perfis:

• Planilha e e-mail: funciona até uns 30 ou 40 fornecedores ativos. Depois disso, ninguém sabe qual questionário venceu, quem respondeu o quê e onde está a evidência que o auditor pediu.
• GRC genérico: plataformas amplas de governança em que o risco de terceiros é um módulo adaptado. Costumam exigir consultoria pesada de implantação e entregam fluxos que não foram desenhados para fornecedores.
• Módulo do ERP ou de compras: resolve cadastro, homologação cadastral e pagamento — mas não risco. Não dispara due diligence proporcional, não calcula risco residual, não cobra plano de ação. Dá a sensação de controle sem o controle.
• Plataforma TPRM dedicada: ferramenta construída para o ciclo de vida do fornecedor, do cadastro à rescisão. Se você ainda está formando essa visão, comece pelo nosso guia sobre o que é TPRM.

A pergunta certa, portanto, não é "qual software as outras empresas usam", e sim "quais capacidades o meu programa precisa". É isso que os critérios abaixo resolvem.

Os 10 critérios que separam plataforma séria de planilha glorificada

1. Inventário vivo com criticidade — não uma lista de CNPJs

Tudo começa num cadastro único de fornecedores classificado por criticidade. E a criticidade precisa ser funcional: ela deve determinar a profundidade da due diligence, a frequência de reavaliação e o nível de escalonamento. Se é apenas um campo decorativo, você comprou uma planilha com botões.

Como testar na demo: cadastre um fornecedor fictício, classifique a criticidade e pergunte o que muda no restante do fluxo por causa dela. A resposta deve ser imediata e concreta.

2. Due diligence proporcional ao risco

Mandar o mesmo questionário de 200 perguntas para a gráfica do crachá e para o processador de dados de clientes é a receita para fornecedores que ignoram você. Plataforma séria dispara questionários proporcionais ao risco e coleta evidências junto com as respostas — certificados, políticas, laudos. O passo a passo completo está no nosso guia de como fazer due diligence de fornecedores.

Como testar na demo: peça para ver, lado a lado, o questionário disparado para um fornecedor de baixa e um de alta criticidade. Depois anexe uma evidência a uma resposta e veja onde ela fica armazenada.

3. Risco inerente × residual, com matriz de verdade

Um score único de risco não conta a história. Você precisa enxergar o risco inerente (antes dos controles) e o residual (depois deles), lado a lado, numa matriz ou heatmap que mostre a carteira inteira. É essa diferença que justifica investimento em controles perante a diretoria. Explicamos a mecânica no artigo sobre matriz de risco de fornecedores.

Como testar na demo: pergunte onde o sistema mostra o risco antes e depois dos controles do fornecedor, e peça o heatmap da carteira. Se só existe um número mágico, desconfie.

4. Contratos com alerta de vencimento

Contrato vencido com fornecedor crítico operando é risco jurídico puro — e acontece o tempo todo quando o controle mora numa aba de planilha. A plataforma deve gerenciar contratos e disparar alertas de vencimento com antecedência configurável, para as pessoas certas.

Como testar na demo: cadastre um contrato vencendo em 30 dias e pergunte quem é notificado, quando e por qual canal.

5. Planos de ação com dono e prazo

Encontrar um gap na due diligence é fácil. Difícil é garantir que alguém corrija. Toda não conformidade precisa virar um plano de ação ou remediação com responsável nomeado e prazo — e o sistema precisa cobrar sozinho.

Como testar na demo: crie um apontamento, atribua responsável e prazo, e pergunte o que acontece quando o prazo estoura. Deve existir notificação automática, não a esperança de que alguém lembre.

6. Exceções de risco com dupla alçada

Nem todo risco será remediado — aceitar risco é decisão legítima. O problema é quando qualquer analista aceita risco sozinho, sem registro. Plataforma madura trata exceções como um fluxo formal com dupla alçada: quem solicita não é quem aprova.

Como testar na demo: simule aceitar um risco acima do apetite e verifique se o sistema exige uma segunda aprovação. Se não exige, você acabou de encontrar seu futuro apontamento de auditoria.

7. Trilha de auditoria completa

Quem mudou o score? Quem aprovou a exceção? Quando a evidência foi anexada? Se a ferramenta não responde essas perguntas com registro imutável de data, autor e ação, ela não sobrevive a uma auditoria séria — interna, externa ou de cliente.

Como testar na demo: altere qualquer avaliação e peça para ver o registro da mudança. Depois pergunte se a trilha é exportável.

8. Relatório executivo pronto para o board

Se você gasta dois dias por trimestre montando PowerPoint para o comitê, a ferramenta está transferindo trabalho para você. O relatório executivo — visão da carteira, principais riscos, planos em atraso, exceções vigentes — deve sair em PDF, com um clique.

Como testar na demo: peça para gerar o board pack ao vivo, na sua frente. "A gente monta o relatório para você" significa que o produto não faz.

9. LGPD tratada como fluxo, não como discurso

Fornecedor que trata dado pessoal é operador, e a LGPD coloca a responsabilidade no controlador — ou seja, em você. A plataforma deve permitir avaliar operadores especificamente, guardar evidências e controlar DPAs (acordos de tratamento de dados). Detalhamos as obrigações no guia de LGPD na gestão de fornecedores.

Como testar na demo: pergunte como marcar um fornecedor como operador de dados pessoais e onde ficam o DPA e as evidências de conformidade dele.

10. Controle de acesso de gente grande

RBAC (perfis de acesso por papel), segregação de funções e, para grupos econômicos, arquitetura multi-tenant que separa os dados de cada empresa. Sem isso, o estagiário enxerga a exceção de risco aprovada pela diretoria — e a edita.

Como testar na demo: peça para ver os perfis de acesso disponíveis e confirme que quem executa a avaliação não consegue aprovar a própria exceção. Se o grupo tem várias empresas, pergunte como a segregação entre elas funciona.

O teste dos 15 minutos (e os sinais de alerta que nenhum vendedor anuncia)

Antes do checklist, um teste que resume todos os outros: no fim da demo, peça o controle. Você mesmo — sem o vendedor tocar no teclado — deve conseguir cadastrar um fornecedor, disparar um questionário e abrir um plano de ação em 15 minutos. Se você não consegue, seu time também não vai conseguir no dia a dia, e a ferramenta vira enfeite caro.

Enquanto testa, fique atento a três sinais de alerta clássicos:

• "Isso é configurável" repetido a cada pergunta: configurável demais é sinônimo de projeto de consultoria embutido no preço.
• Score de risco sem fórmula visível: se ninguém explica como o número nasce, você não vai conseguir defendê-lo diante de um auditor.
• "Relatório executivo" que na prática é exportar planilha: despejar dado bruto não é reportar risco.

E uma pergunta que vale ouro, feita por escrito: qual é o preço total no ano 2, incluindo usuários, módulos e suporte? Muitos contratos entram baratos e renovam caros — o custo oculto mora na renovação, não na proposta inicial. Transparência de preço também é critério de seleção; é por isso que mantemos nossos planos e preços públicos.

O checklist para levar à demo

Imprima ou copie para o bloco de notas e marque ao vivo:

1. A criticidade do fornecedor muda o fluxo de due diligence?
2. Existem questionários proporcionais ao risco, com coleta de evidências?
3. O sistema mostra risco inerente e residual em matriz ou heatmap?
4. Contratos geram alertas automáticos de vencimento?
5. Planos de ação têm dono, prazo e cobrança automática?
6. Exceções de risco exigem dupla alçada?
7. Toda ação relevante fica em trilha de auditoria exportável?
8. O relatório executivo em PDF sai com um clique, ao vivo?
9. Há fluxo específico para operadores de dados, DPA e evidências LGPD?
10. RBAC e segregação de funções impedem autoaprovação?
11. O fornecedor informou por escrito o preço total no ano 2?

Regra de decisão honesta: sete ou mais respostas positivas nos dez primeiros itens, demonstradas ao vivo (não prometidas em roadmap), colocam a ferramenta na sua lista final. Menos que isso, você está pagando caro por uma planilha com login.

Passou no checklist? Antes de assinar contrato anual, negocie um piloto de 30 dias com 10 a 15 fornecedores reais — incluindo pelo menos um problemático. Ferramenta boa se prova no fornecedor que não responde e-mail, não no cenário perfeito da demo.

Como decidir sem se arrepender

Não fomos neutros neste artigo — esses 10 critérios são exatamente os princípios com que construímos o VenRisk, plataforma brasileira de gestão de riscos de terceiros. Mas o checklist funciona contra qualquer fornecedor, inclusive contra nós: leve-o para todas as demos, exija ver cada item funcionando e desconfie de tudo que "está no roadmap".

Se quiser começar por aqui, agende uma demonstração e faça os testes ao vivo — inclusive o dos 15 minutos, com o mouse na sua mão. O melhor software de gestão de riscos de terceiros não é o que tem mais funcionalidades no folheto: é o que você consegue auditar na sua frente, em 45 minutos.