Todo o ciclo de GRC e auditoria interna. Um sistema. Uma estrutura de defesa.
Risco, controle, apontamento, plano, teste e engagement de auditoria operam sobre um único modelo de dados. Com a Vallus IA em cada etapa e metodologia IIA, COSO ERM e ISO 31000 operacionalizada, não traduzida.
Três coisas que você não encontra numa planilha, nem num GRC genérico.
IA que cita o dispositivo
A Vallus IA lê seus normativos, quebra em dispositivos e ancora as sugestões de texto no artigo aplicável, com a citação conferida por um validador determinístico.
Diagnóstico em duas fases
Documentos e entrevistas viram resumo, fluxo BPMN, riscos e controles. Depois da triagem, apontamentos, planos, testes e indicadores. Riscos, controles, planos e testes são corrigíveis antes de virar registro, e nada vira registro sem a sua triagem.
Ver o tourMaturidade 0–100
Um score por risco sobre cinco dimensões, com penalidade por apontamento aberto e controle ineficaz. No dashboard corporativo, a maturidade média mostra a variação desde a última medição.
Quinze áreas. Todas sobre o mesmo modelo de dados.
Cinco frentes de três módulos, do mapa do processo à norma do regulador. O selo coral marca o que é novo.
Processos
A árvore Empresa → Unidade → Processo que dá escopo a tudo, com fluxograma BPMN por processo.
Diagnósticos
Documentos e entrevistas viram, em duas fases, descritivo, BPMN, riscos, controles, apontamentos, planos e indicadores. Riscos, controles, planos e testes podem ser corrigidos antes de criar; toda sugestão passa por triagem. Diagnóstico corporativo a partir do Business.
Dashboard
Sua fila, a operação e a visão corporativa na mesma tela, com matriz, saúde do ciclo, maturidade e, na visão corporativa, a variação desde a última medição.
Riscos
Avaliação inerente e residual, matriz de 3×3 a 5×5 e revisão periódica com data derivada do intervalo da organização.
Controles
Catálogo em 5W1H, vínculo M:N com riscos e efetividade medida por relação.
Apetite a Risco
A declaração de apetite por categoria, que restringe o limite dos indicadores.
Apontamentos
Observação, não conformidade e oportunidade de melhoria com ciclo de vida IIA e imutabilidade depois do desfecho.
Planos de Ação
Subtarefas com responsável e prazo. Replanejar exige justificativa, que fica no histórico.
Lacunas
Detectores varrem a base atrás de buracos no ciclo, incluindo revisões de risco vencidas.
Testes
Plano, execução com amostra e população e revisão preparador↔revisor com 4-eyes validado no servidor.
Auditorias
Engagement com escopo combinável, conclusão executiva com nível de opinião e relatório em PDF.
Evidências
Acervo com código próprio, dedup por SHA-256 e export em .zip com manifesto.
Indicadores
KRI, KPI e KCI com limites versionados. O rompimento avisa quem responde pelo indicador e pelos riscos vinculados e, com a política do tipo ligada, abre investigação com veredito humano.
Normativos
Versão com workflow rascunho → vigente → revogada, aprovação em 4-eyes opcional e citação ancorada no dispositivo.
Inteligência Regulatória
Catálogo de normas do Banco Central com texto integral, aplicabilidade por perfil e aviso quando a norma muda.
O selo cinza indica o plano a partir do qual o módulo é liberado; sem selo, está em todos, inclusive no gratuito. Add-on é contratado à parte.
Um copiloto que entende GRC — e aceita ser corrigido.
Embarcada em todo o fluxo, a Vallus IA propõe e você decide o que entra. Cada geração fica registrada, sob termos aceitos, e o registro criado guarda a origem IA.
Da fonte ao fluxo, riscos e controles; depois, apontamentos, planos e indicadores.
Em riscos e controles, você escolhe campo a campo entre manter o seu texto, aplicar o da IA ou editar. Nas demais sugestões, você confirma antes de qualquer sobrescrita.
Panorama de riscos, lacunas, controles a testar e padrões nos indicadores, em conversa.
Descrição, causas, consequências, avaliação inerente e controle em 5W1H.
Apontamento derivado do teste reprovado e plano com subtarefas e prazos.
Resumo, extração e sugestão de normativos aplicáveis, com citação do dispositivo.
Pensado para instituições sob supervisão de riscos, cooperativas reguladas e quem leva auditoria interna a sério.
As normas entram no produto como normativos versionados, vinculados a riscos, controles e testes, e a IA cita o dispositivo. Para instituição financeira, a taxonomia de riscos já vem organizada pela CMN 4.557.
Res. CMN 4.557
Estrutura de gerenciamento integrado de riscos: registro de riscos, apetite declarado (RAS) e KRIs, com taxonomia de riscos organizada pela norma (segmentos S1 a S4).
Res. CMN 4.968
Sistemas de controles internos: controles vinculados a riscos, testes com revisão preparador↔revisor e apontamentos com plano e prazo, a base do relatório anual que vai ao conselho.
Res. CMN 4.893
Segurança cibernética e nuvem: suba a norma como normativo, vincule controles e evidências aos dispositivos, e a IA cita o artigo aplicável.
RN 518/2022
Controles internos e gestão de riscos para fins de solvência, sobre a metodologia Vallus. Sem catálogo setorial pronto.
IIA · Global Internal Audit Standards (2024)
Engagement com escopo combinável, revisão preparador↔revisor e ciclo de achado até o follow-up.
ISO 31000 · COSO ERM
Linguagem nativa do registro de riscos: avaliação inerente e residual, matriz e apetite.
LGPD
Isolamento por organização, banco e aplicação hospedados no Brasil e trilha auditável de toda alteração e exportação, com classificação da informação por documento e evidência.
ISO 27001 · 27701
Roadmap, sem data.