Imara como motor de operação para MSSP

Quem presta serviço de compliance no Brasil conhece a rotina. Uma planilha mestre por cliente, uma pasta no Drive com evidência solta, um grupo de WhatsApp onde o analista pede pela terceira vez o print do console da AWS, e um consultor sênior gastando hora cara para conferir se o controle do Anexo A tem mesmo evidência anexada ou se alguém apenas marcou "OK" na coluna F.

Esse arranjo funciona com dois ou três clientes. Com dez, ele quebra. A planilha vira a fonte de verdade e ninguém confia nela. O status que o parceiro reporta ao cliente é uma foto de duas semanas atrás. E quando o auditor externo pede rastreabilidade entre a cláusula, o controle e a evidência, alguém passa o fim de semana montando o caminho na mão.

A Imara Trust foi construída como plataforma de automação de compliance para empresas que precisam se certificar. O uso que mais cresceu entre parceiros, porém, é outro: o MSSP, o escritório de auditoria ou o consultor independente usa a plataforma como camada de execução dos próprios projetos, com um tenant separado por cliente.

Como o modelo funciona na prática

Cada cliente do parceiro entra como um tenant isolado, com escopo, frameworks aplicáveis, controles, riscos, evidências e cronograma próprios. O parceiro tem uma visão consolidada do portfólio: quais projetos estão atrasados, quais controles travaram, quais evidências vencem no mês, qual cliente está pronto para a auditoria de certificação.

O time do parceiro trabalha dentro da plataforma. O cliente final também, quando o parceiro quiser. A cobrança é por tenant, o que dá previsibilidade de custo por projeto e permite embutir a licença no preço do serviço sem ginástica contábil.

White label ou motor transparente

São dois caminhos, e os dois estão disponíveis.

No modo white label, a plataforma sai com a marca do parceiro: identidade visual, domínio próprio, relatórios e evidências com o logo de quem presta o serviço. O cliente final não precisa saber que existe Imara por trás. Para escritórios de auditoria e consultorias que vendem metodologia própria, isso preserva o posicionamento.

No modo transparente, o parceiro assume que usa a Imara Trust como ferramenta de execução. Esse caminho tem uma vantagem comercial concreta: quando o projeto de implementação termina, o cliente já está acostumado com a plataforma e tende a continuar com ela na fase de manutenção da certificação. O parceiro passa de receita de projeto para receita recorrente, com a revenda da licença.

A escolha não é definitiva. Alguns parceiros usam white label na base de clientes corporativos e modo transparente nas contas menores.

O que a experiência com a AuditSafe mostrou

A AuditSafe entrou como parceira no modelo multi-tenant e, na prática, virou o caso que definiu boa parte da esteira que a Imara oferece hoje.

O ponto mais relevante não foi o preço nem o volume de tenants. Foi o que aconteceu quando a AuditSafe pediu funcionalidade que a plataforma ainda não tinha. Os projetos de LGPD exigiam ROPA, LIA e RIPD estruturados dentro da mesma plataforma, com a mesma rastreabilidade dos controles de segurança, em vez de documentos Word circulando por e-mail. Depois veio a demanda de continuidade de negócios alinhada à ISO 22301, com BIA, estratégias de recuperação, planos e registro de testes.

Em plataforma estrangeira, esse tipo de pedido entra numa fila de roadmap global e disputa prioridade com o mercado americano. A Imara desenvolve o produto internamente e trata pedido de parceiro como insumo de roadmap, não como exceção. Módulo de continuidade, terminologia em português jurídico correto, campos específicos de LGPD e ajuste de fluxo para o jeito que o parceiro trabalha entram em ciclos de semanas.

Esse é o argumento que não aparece na comparação de features contra Vanta, Drata ou Secureframe: o parceiro consegue influenciar o produto que usa todos os dias.

Onde o ganho aparece

O primeiro ganho é velocidade, e ele vem do mapeamento prévio. Os controles já nascem associados às cláusulas da norma, aos requisitos correlatos de outros frameworks e ao tipo de evidência esperada. Um cliente que faz ISO 27001 e depois quer SOC 2 reaproveita boa parte da evidência já coletada em vez de recomeçar o levantamento.

O segundo ganho é redução de erro. Em planilha, o erro típico não é grosseiro, é silencioso: o controle marcado como implementado sem evidência anexada, a política aprovada mas não comunicada, o risco tratado sem registro do aceite do dono. A plataforma não deixa o item fechar sem os elementos obrigatórios, e o histórico fica registrado. Quando o auditor pede o caminho da cláusula até a evidência, o relatório sai pronto.

O terceiro ganho é custo, e é o que mais mexe com a margem do parceiro. Boa parte do esforço de um projeto de implementação é execução estruturada: coletar evidência, preencher inventário, redigir procedimento a partir de modelo, cobrar dono de controle. Isso não exige um profissional com dez anos de experiência e certificação Lead Implementer. Exige alguém disciplinado seguindo um roteiro claro. Quando a plataforma fornece o roteiro, o parceiro pode compor a equipe com perfil pleno e júnior na execução e reservar o sênior para o que realmente pede julgamento: definição de escopo, análise de risco, decisão de aceite e a interlocução com o auditor.

Os números de um projeto típico

A tabela abaixo compara a operação em planilha com a operação sobre a plataforma, tomando como base um projeto de implementação ISO 27001 em empresa de porte médio, com duração de nove meses. Os valores de hora usam R$ 180 para perfil sênior e R$ 75 para perfil pleno ou júnior.

Base: projeto de implementação ISO 27001 em empresa de porte médio, nove meses. Hora sênior a R$ 180 e hora pleno ou júnior a R$ 75.

O número que costuma chamar mais atenção não é a margem, é a última linha. A capacidade de um consultor conduzir quatro a seis projetos ao mesmo tempo muda o teto de faturamento de uma consultoria pequena sem contratar ninguém.

O que muda na estrutura do time

O sênior deixa de ser executor e passa a revisor. Em vez de montar a planilha de controles, ele revisa o que a equipe registrou, valida as decisões de risco e prepara a defesa técnica na auditoria. A dependência de um profissional escasso e caro cai, e junto com ela cai o risco de o negócio parar quando esse profissional sai de férias ou pede demissão.

Para o consultor independente, o efeito é parecido em escala menor. Ele deixa de perder metade da semana em trabalho administrativo de coleta e cobrança, e consegue atender mais de um cliente sem contratar apoio.

Por onde começar

O caminho que tem funcionado melhor é o piloto com um cliente. O parceiro escolhe um projeto em andamento, migra o escopo, os controles e as evidências já coletadas para um tenant, e roda os dois modelos em paralelo por algumas semanas. Em geral a comparação se resolve sozinha na primeira vez que o cliente pede status e a resposta sai em minutos.

Quem quiser conversar sobre o modelo de parceria, incluindo white label, cobrança por tenant e adaptação de módulo, pode falar direto com o time da Imara.