Imara como motor de operações para MSSPs
Quem presta serviço de compliance no Brasil conhece a rotina. Uma planilha mestre por cliente, uma pasta no Drive com evidência solta, um grupo de WhatsApp onde o analista pede pela terceira vez o print do console da AWS, e um consultor sênior gastando hora cara para conferir se o controle do Anexo A tem mesmo evidência anexada ou se alguém apenas marcou "OK" na coluna F.
Esse arranjo funciona com dois ou três clientes. Com dez, ele quebra. A planilha vira a fonte de verdade e ninguém confia nela. O status que o parceiro reporta ao cliente é uma foto de duas semanas atrás. E quando o auditor externo pede rastreabilidade entre a cláusula, o controle e a evidência, alguém passa o fim de semana montando o caminho na mão.
A Imara Trust foi construída como plataforma de automação de compliance para empresas que precisam se certificar. O uso que mais cresceu entre parceiros, porém, é outro: o MSSP, o escritório de auditoria ou o consultor independente usa a plataforma como camada de execução dos próprios projetos, com um tenant separado por cliente.
Como o modelo funciona na prática
Cada cliente do parceiro entra como um tenant isolado, com escopo, frameworks aplicáveis, controles, riscos, evidências e cronograma próprios. O parceiro tem uma visão consolidada do portfólio: quais projetos estão atrasados, quais controles travaram, quais evidências vencem no mês, qual cliente está pronto para a auditoria de certificação.
O time do parceiro trabalha dentro da plataforma. O cliente final também, quando o parceiro quiser. A cobrança é por tenant, o que dá previsibilidade de custo por projeto e permite embutir a licença no preço do serviço sem ginástica contábil.
White label ou motor transparente
São dois caminhos, e os dois estão disponíveis.
No modo white label, a plataforma sai com a marca do parceiro: identidade visual, domínio próprio, relatórios e evidências com o logo de quem presta o serviço. O cliente final não precisa saber que existe Imara por trás. Para escritórios de auditoria e consultorias que vendem metodologia própria, isso preserva o posicionamento.
No modo transparente, o parceiro assume que usa a Imara Trust como ferramenta de execução. Esse caminho tem uma vantagem comercial concreta: quando o projeto de implementação termina, o cliente já está acostumado com a plataforma e tende a continuar com ela na fase de manutenção da certificação. O parceiro passa de receita de projeto para receita recorrente, com a revenda da licença.
A escolha não é definitiva. Alguns parceiros usam white label na base de clientes corporativos e modo transparente nas contas menores.
O que a experiência com a AuditSafe mostrou
A AuditSafe entrou como parceira no modelo multi-tenant e, na prática, virou o caso que definiu boa parte da esteira que a Imara oferece hoje.
O ponto mais relevante não foi o preço nem o volume de tenants. Foi o que aconteceu quando a AuditSafe pediu funcionalidade que a plataforma ainda não tinha. Os projetos de LGPD exigiam ROPA, LIA e RIPD estruturados dentro da mesma plataforma, com a mesma rastreabilidade dos controles de segurança, em vez de documentos Word circulando por e-mail. Depois veio a demanda de continuidade de negócios alinhada à ISO 22301, com BIA, estratégias de recuperação, planos e registro de testes.
Em plataforma estrangeira, esse tipo de pedido entra numa fila de roadmap global e disputa prioridade com o mercado americano. A Imara desenvolve o produto internamente e trata pedido de parceiro como insumo de roadmap, não como exceção. Módulo de continuidade, terminologia em português jurídico correto, campos específicos de LGPD e ajuste de fluxo para o jeito que o parceiro trabalha entram em ciclos de semanas.
Esse é o argumento que não aparece na comparação de features contra Vanta, Drata ou Secureframe: o parceiro consegue influenciar o produto que usa todos os dias.
Onde o ganho aparece
O primeiro ganho é velocidade, e ele vem do mapeamento prévio. Os controles já nascem associados às cláusulas da norma, aos requisitos correlatos de outros frameworks e ao tipo de evidência esperada. Um cliente que faz ISO 27001 e depois quer SOC 2 reaproveita boa parte da evidência já coletada em vez de recomeçar o levantamento.
O segundo ganho é redução de erro. Em planilha, o erro típico não é grosseiro, é silencioso: o controle marcado como implementado sem evidência anexada, a política aprovada mas não comunicada, o risco tratado sem registro do aceite do dono. A plataforma não deixa o item fechar sem os elementos obrigatórios, e o histórico fica registrado. Quando o auditor pede o caminho da cláusula até a evidência, o relatório sai pronto.
O terceiro ganho é custo, e é o que mais mexe com a margem do parceiro. Boa parte do esforço de um projeto de implementação é execução estruturada: coletar evidência, preencher inventário, redigir procedimento a partir de modelo, cobrar dono de controle. Isso não exige um profissional com dez anos de experiência e certificação Lead Implementer. Exige alguém disciplinado seguindo um roteiro claro. Quando a plataforma fornece o roteiro, o parceiro pode compor a equipe com perfil pleno e júnior na execução e reservar o sênior para o que realmente pede julgamento: definição de escopo, análise de risco, decisão de aceite e a interlocução com o auditor.
Os números de um projeto típico
A tabela abaixo compara a operação em planilha com a operação sobre a plataforma, tomando como base um projeto de implementação ISO 27001 em empresa de porte médio, com duração de nove meses. Os valores de hora usam R$ 180 para perfil sênior e R$ 75 para perfil pleno ou júnior.
| Item | Operação em planilha | Com a Imara Trust |
|---|---|---|
| Levantamento de escopo e inventário de ativos | 40 h | 12 h |
| Análise de gap contra o Anexo A | 60 h | 16 h |
| Redação de políticas e procedimentos | 80 h | 30 h |
| Coleta e organização de evidências | 120 h | 35 h |
| Análise e tratamento de riscos | 50 h | 18 h |
| Preparação para a auditoria de certificação | 45 h | 10 h |
| Relatórios de status para o cliente | 30 h | 4 h |
| Total de horas do projeto | 425 h | 125 h |
| Composição da equipe | 100% sênior | 25% sênior, 75% pleno e júnior |
| Custo de mão de obra | R$ 76.500 | R$ 12.525 |
| Licença da plataforma (9 meses) | R$ 0 | R$ 13.410 |
| Custo total de entrega | R$ 76.500 | R$ 25.935 |
| Preço de venda do projeto | R$ 90.000 | R$ 90.000 |
| Margem bruta | 15% | 71% |
| Projetos simultâneos por consultor | 1 a 2 | 4 a 6 |
Base: projeto de implementação ISO 27001 em empresa de porte médio, nove meses. Hora sênior a R$ 180 e hora pleno ou júnior a R$ 75.
O número que costuma chamar mais atenção não é a margem, é a última linha. A capacidade de um consultor conduzir quatro a seis projetos ao mesmo tempo muda o teto de faturamento de uma consultoria pequena sem contratar ninguém.
O que muda na estrutura do time
O sênior deixa de ser executor e passa a revisor. Em vez de montar a planilha de controles, ele revisa o que a equipe registrou, valida as decisões de risco e prepara a defesa técnica na auditoria. A dependência de um profissional escasso e caro cai, e junto com ela cai o risco de o negócio parar quando esse profissional sai de férias ou pede demissão.
Para o consultor independente, o efeito é parecido em escala menor. Ele deixa de perder metade da semana em trabalho administrativo de coleta e cobrança, e consegue atender mais de um cliente sem contratar apoio.
Por onde começar
O caminho que tem funcionado melhor é o piloto com um cliente. O parceiro escolhe um projeto em andamento, migra o escopo, os controles e as evidências já coletadas para um tenant, e roda os dois modelos em paralelo por algumas semanas. Em geral a comparação se resolve sozinha na primeira vez que o cliente pede status e a resposta sai em minutos.
Quem quiser conversar sobre o modelo de parceria, incluindo white label, cobrança por tenant e adaptação de módulo, pode falar direto com o time da Imara.
Saiba antes de todo mundo as novidade da Imara
Prometemos que não enviaremos spam.