Por Solon Santos, head de operações da Imara.
Existe um tipo de prejuízo que não aparece em lugar nenhum do balanço. Não é uma multa, não é um vazamento, não é um processo judicial. É o contrato que morreu numa etapa que a maioria dos fundadores nem acompanha: a análise de fornecedores do cliente. O produto era bom, a demonstração convenceu, o preço fechou. Aí a área de compras mandou um questionário de segurança, o vendedor respondeu “estamos trabalhando nisso”, e o negócio simplesmente esfriou. Ninguém liga para avisar que você foi reprovado. O e-mail apenas para de ser respondido.
Esse é o custo invisível de não ter compliance. E ele é invisível justamente porque a empresa raramente descobre que perdeu. O concorrente que tinha a certificação em dia levou a conta, e o time de vendas atribuiu a derrota a preço ou a relacionamento, quando a verdade é que o negócio travou num portão que ninguém do lado comercial enxergava. Passei mais de vinte anos em segurança da informação, boa parte deles dentro de empresas que compravam e vendiam software, e posso dizer que essa é a perda mais silenciosa e mais subestimada que uma empresa de tecnologia enfrenta.
O portão que fica antes da venda
Nos últimos anos, a compra corporativa mudou de forma silenciosa. Grandes empresas, instituições financeiras e do setor de saúde passaram a tratar segurança da informação como pré-requisito de fornecedor, no mesmo nível de uma certidão negativa ou de uma análise de crédito. Antes de assinar, o cliente quer prova de que você protege os dados dele. E prova, nesse contexto, tem um significado específico: um certificado reconhecido, emitido por um terceiro independente, como a ISO 27001 ou um relatório SOC 2.
Os números dão a dimensão de quão consolidado isso ficou. Segundo a consultoria HST Solutions, 81% das organizações com produto solidificado já possuem ou planejam obter a certificação ISO 27001. Quando esse patamar se atinge, o fornecedor sem certificação deixa de ser a regra e vira exceção, e exceção desconfiada. A mesma análise aponta que, quando a área de compras por meio do seu time interno de segurança da informação exige um certificado que a empresa não tem, o negócio costuma travar por três a seis meses, e parte dos compradores descarta o fornecedor não certificado sem abrir exceção.
O questionário de segurança, que já foi uma formalidade de meia página, virou um instrumento de triagem. Levantamentos do setor mostram que esses formulários passam facilmente de 300 perguntas sobre infraestrutura, políticas e processos internos. Para uma empresa que não tem sua documentação organizada, cada um desses questionários vira um projeto de semanas, respondido campo a campo, correndo contra o relógio enquanto o entusiasmo do cliente esfria. Para quem tem um certificado reconhecido e um portal de segurança público, a maior parte dessas perguntas já está respondida antes mesmo da primeira reunião.
A conta que ninguém soma
Quando um empresário calcula o custo de se certificar, ele soma consultoria, horas de equipe, ferramenta e auditoria, chega a um número que assusta e adia a decisão. O erro está em comparar esse número com zero. A comparação certa é com o custo de não se certificar, e esse é muito maior, embora fique escondido.
Um único contrato enterprise perdido porque você não conseguiu apresentar um certificado costuma superar, sozinho, o custo total do programa de compliance de um ano. Um caso amplamente citado no setor ilustra bem isso. Uma startup passou seis meses cultivando um cliente grande, com demonstração impecável e preço já negociado. O diretor financeiro estava pronto para assinar. A área de compras fez uma única pergunta sobre certificação de segurança, a resposta foi não, e o contrato morreu na revisão jurídica. Três meses depois, um concorrente com produto parecido, porém com o relatório de segurança em mãos, fechou a mesma conta. A empresa que perdeu tinha a melhor tecnologia. O que ela não tinha era como provar que era confiável.
Mas o prejuízo não para no negócio perdido. Ele aparece também no ciclo de vendas que se arrasta, em cada questionário respondido manualmente, em cada semana a mais entre o interesse e a assinatura. Aparece nas renovações que não se concretizam quando o cliente amadurece suas próprias exigências e passa a cobrar do fornecedor o que antes tolerava. E aparece, principalmente, nos processos em que a empresa sequer é convidada a participar, porque não passa no filtro inicial de pré-qualificação. Esse último é o mais cruel, porque não deixa rastro. A empresa não perde a concorrência. Ela nunca soube que a concorrência existiu.
Há ainda o custo de oportunidade mais difícil de medir. A empresa que não tem sua postura de segurança organizada tende a evitar clientes maiores, por saber, mesmo que de forma inconsciente, que não passaria no crivo. Ela se acomoda num teto de mercado mais baixo e chama isso de foco. O compliance, nesse sentido, não é despesa de proteção. É o que abre a porta para uma categoria de cliente que, sem ele, permaneceria inacessível.
E agora o risco também vem do regulador
Até pouco tempo, o empresário brasileiro tinha uma desculpa razoável para empurrar o assunto com a barriga. A Lei Geral de Proteção de Dados existia no papel, mas a Autoridade Nacional de Proteção de Dados, a ANPD, passou seus primeiros anos priorizando orientação em vez de punição. Isso criou uma percepção perigosa nas diretorias, a de que o risco regulatório era teórico.
Os fatos de 2025 e 2026 desmontaram essa percepção. Em fevereiro de 2026, a ANPD foi transformada em agência reguladora, com autonomia administrativa e financeira, ampliação de quadro e poder de fiscalização reforçado. Segundo levantamento da Confidata, a autoridade estruturou um plano com 75 ações de fiscalização previstas para o biênio 2026-2027, com foco em dados biométricos, de saúde, financeiros, de crianças e adolescentes e, de forma reveladora, em inteligência artificial. As sanções da LGPD podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração, e a agência já passou a publicar um painel de fiscalização que expõe publicamente quem está sob investigação, somando o dano reputacional ao financeiro.
O ponto aqui não é o valor da multa em si, que no Brasil ainda tem sido modesto. É que a mesma organização e a mesma disciplina que fazem uma empresa passar num questionário de segurança de cliente são as que a protegem diante do regulador. Nomear um encarregado de dados, ter base legal para cada tratamento, manter um processo de resposta a incidentes documentado. São os mesmos controles. Quem constrói isso para vender mais fica protegido de quebra, e quem constrói apenas para não ser multado descobre que ganhou também uma ferramenta comercial. As duas pressões, a do cliente e a do regulador, empurram na mesma direção.
Compliance deixou de ser custo e virou argumento de venda
A virada de chave, para o empresário catarinense que lê isto pensando no próprio negócio, é parar de enxergar segurança da informação como um centro de custo defensivo e passar a tratá-la como um ativo comercial. Um certificado bem posicionado, exibido de forma pública e verificável, encurta o ciclo de venda, elimina rodadas de questionário e diferencia a empresa num mercado onde os produtos se parecem cada vez mais.
Foi por isso que o mercado de automação de compliance cresceu tão rápido. As plataformas que surgiram para isso deixaram de tratar a certificação como um evento anual, feito às pressas na véspera da auditoria, e passaram a operá-la como um processo contínuo, com os controles monitorados o ano inteiro e as evidências prontas para quando o cliente pedir. O efeito prático é que o certificado deixa de ser um troféu na parede e vira uma ferramenta de vendas sempre à mão, o que muda a economia da coisa: o mesmo esforço que antes servia só para tirar o selo agora trabalha o ano todo destravando negócios.
O ponto que quero deixar é simples. O compliance de segurança não protege apenas contra o ataque que talvez nunca venha, nem apenas contra a multa que o regulador talvez aplique. Ele protege contra uma perda que já está acontecendo, contrato a contrato, para as empresas que ainda tratam o assunto como algo para resolver depois. A pergunta que todo dono de negócio deveria fazer não é quanto custa se certificar. É quantos negócios já foram embora, sem aviso, porque a resposta ao questionário de segurança foi “ainda não”.
