Avaliação de fornecedor · use com todos, inclusive conosco
12 perguntas antes de assinar qualquer plataforma de compliance
Demo de plataforma de compliance é fácil de deixar bonita. As perguntas que realmente separam uma da outra são chatas e quase nunca aparecem na apresentação comercial. Estas são as que eu faria, e faça todas elas com a Imara também.
Avaliação comparativa de plataformas de compliance · Empresa: ______________________ · Responsável: ______________________ · Data: ____ / ____ / ______
Evidência e automação O que consome o time
É aqui que a diferença real aparece. Quase toda plataforma mostra dashboard bonito; poucas resolvem a coleta.
Muita plataforma chama de automação o que é apenas um lembrete para alguém tirar print. O trabalho continua com o seu time, só que agora dentro de outra ferramenta.
Boa resposta: O fornecedor mostra na tela um controle cuja evidência chegou sozinha, com data e origem registradas, sem ninguém ter anexado nada.
01Integração que falha em silêncio é pior que coleta manual, porque você acredita que está coberto e não está.
Boa resposta: Existe alerta de integração degradada, e o controle afetado muda de status em vez de continuar verde com dado velho.
02Sem data por evidência, você não tem como provar ao auditor que o controle funcionava durante toda a janela de observação.
Boa resposta: Cada evidência mostra data de coleta e origem, e o histórico do período fica disponível para exportar.
03Cobertura e reaproveitamento Quanto custa a segunda norma
A primeira certificação é cara para todo mundo. O que diferencia é quanto custa a segunda.
Se cada norma tem sua própria lista isolada, você vai coletar a mesma evidência várias vezes e o custo cresce de forma linear.
Boa resposta: O fornecedor abre um controle e mostra os requisitos de ISO, SOC 2 e LGPD apontando para ele, com a mesma evidência servindo aos três.
04Roteiro sem data é intenção. Se você precisa de PCI daqui a seis meses, isso muda a decisão inteira.
Boa resposta: Resposta específica sobre o que está disponível agora, com franqueza sobre o que ainda não está.
05Modelo rígido demais obriga a empresa a se moldar à ferramenta, o que costuma virar planilha paralela em três meses.
Boa resposta: É possível criar controle próprio, ajustar o dono e a cadência sem depender de chamado ao suporte.
06Saída, dados e continuidade O que acontece se der errado
Ninguém pergunta isso na compra e todo mundo sofre na saída. Pergunte antes de assinar, porque depois o poder de negociação é zero.
Exportação só em PDF de relatório não é portabilidade. Você perde o histórico estruturado que levou anos para montar.
Boa resposta: Exportação completa de documentos, evidências e histórico em formato aberto, disponível por autoatendimento.
07Você está entregando o mapa das suas fragilidades de segurança para um terceiro. A pergunta é obrigatória.
Boa resposta: Resposta clara sobre região de hospedagem, subprocessadores e controle de acesso interno do fornecedor.
08Vender ISO 27001 sem ter ISO 27001 não desqualifica automaticamente uma empresa jovem, mas a resposta precisa ser honesta e com prazo.
Boa resposta: Ou a certificação existe e o certificado é mostrado, ou existe uma data e um escopo declarados sem rodeio.
09Brasil, contrato e suporte O dia a dia depois da venda
Plataforma internacional costuma ser excelente em produto e frustrante em operação para quem está no Brasil.
Contrato em dólar transfere risco cambial para você e transforma orçamento anual em aposta.
Boa resposta: Preço em real, contrato nacional, nota fiscal brasileira e reajuste previsível em contrato.
10Suporte que só responde de madrugada trava a operação justamente na semana da auditoria.
Boa resposta: Canal em português, com prazo de resposta acordado em horário comercial do Brasil.
11LGPD tem exigências próprias, como o encarregado e as bases legais, que não saem de uma tradução do GDPR.
Boa resposta: O fornecedor demonstra bases legais, ROPA e direitos do titular no vocabulário da LGPD, não adaptados do inglês.
12Faça essas perguntas para a gente
Meia hora, com a tela aberta e sem slide. Se em algum ponto a resposta for não, eu digo que é não e explico o que existe no lugar.
Agendar uma conversaEste checklist foi escrito pela Imara, que também vende uma plataforma de compliance. Ele foi montado para ser usado contra nós na mesma medida que contra qualquer concorrente. Se alguma resposta nossa não te convencer, isso é informação útil para a sua decisão. O que você marcar fica salvo apenas neste navegador e não é enviado para lugar nenhum.
Quer as próximas ferramentas quando saírem?
Publicamos diagnósticos, geradores e listas de referência como estes, sempre abertos e sem cadastro para usar. Se quiser receber os próximos e o que aprendemos montando cada um, deixe seu e-mail.