A maioria das operações está num nível de maturidade que ninguém definiu de propósito — e que talvez já não seja o adequado ao volume, à regulação e ao risco que ela enfrenta.
Este texto descreve seis níveis de maturidade em decisão de risco, do processo inteiramente manual à autonomia supervisionada. Não é uma escada que toda instituição precisa subir até o topo. É um mapa para responder duas perguntas: onde a sua operação está, e se o próximo nível resolve um problema que você realmente tem.
A política de risco existe, escrita numa planilha ou desenhada numa ferramenta de fluxo. A execução é manual: o analista consulta plataformas públicas, cruza informações à mão, registra a decisão.
Quando é suficiente. Volume baixo, perfil de cliente homogêneo, política que muda pouco. Uma operação pequena e estável funciona assim por anos sem prejuízo real.
O que ela cobra. Não escala. Cada novo cliente é o mesmo trabalho manual, e dobrar o volume exige dobrar a equipe. A consulta a fonte pública é limitada em profundidade, o que está disponível de graça raramente basta para uma decisão defensável. E o registro depende da disciplina de cada analista, o que significa que a rastreabilidade varia de caso para caso.
Sinal de que passou do ponto. A fila de análise cresce mais rápido que o time, ou uma auditoria pede o histórico de uma decisão e a reconstrução leva dias.
A operação contrata um bureau de dados. As decisões passam a se apoiar em informação melhor que a pública: dados cadastrais consolidados, situação societária, restrições.
Quando é suficiente. É o passo mais natural e quase sempre acertado. Resolve o problema mais imediato — qualidade do dado — sem exigir mudança de processo. O analista continua decidindo, agora com informação melhor.
O que ela cobra. Um bureau tem cobertura parcial. Ele é forte em alguns tipos de dado e fraco em outros, e a operação começa a descobrir os buracos quando um caso exige uma informação que aquela fonte não tem. Além disso, o custo por consulta entra na conta pela primeira vez, e sem controle de quando cada consulta é realmente necessária.
Sinal de que passou do ponto. O analista precisa recorrer a outra fonte para completar o que o bureau não cobre, e faz isso à mão.
Reconhecendo os buracos de cobertura, a operação contrata mais dois ou três fornecedores de dados. Cada um preenche uma lacuna: um para vínculo societário, outro para mídia adversa, outro para dado comportamental.
Quando é suficiente. A decisão fica mais completa, e para muitas operações esse é o estado que resolve. A cobertura de dado deixa de ser o gargalo.
O que ela cobra. É aqui que a fragmentação se instala, e ela cobra em três frentes ao mesmo tempo.
A primeira é operacional: o analista agora consulta três ou quatro sistemas por decisão, cada um com sua tela, e consolida o resultado à mão. O tempo por caso sobe.
A segunda é de custo. Sem uma camada que coordene as consultas, todas as fontes tendem a ser acionadas para todo proponente, inclusive dado caro para casos que uma verificação barata já resolveria. A mesma informação chega a ser consultada duas vezes, por áreas diferentes, na mesma fonte, no mesmo dia.
A terceira é de governança. Com a régua distribuída entre a planilha, os fornecedores e o julgamento do analista, ninguém consegue responder com precisão qual regra estava ativa numa decisão específica.
Sinal de que passou do ponto. A conta de dados cresce mais rápido que a base de clientes, ou duas áreas classificam o mesmo cliente de formas diferentes.
A operação contrata um motor de decisão para orquestrar as fontes e aplicar a matriz de risco. As consultas passam a ser coordenadas, em ordem, com a lógica de quando escalar para dado mais caro. A decisão deixa de ser montada à mão e passa a ser executada pela régua, com registro do que foi avaliado.
Quando é suficiente. Quando o volume justifica, quando a política muda com frequência, e quando é preciso provar a decisão depois. É o nível em que autonomia e defensabilidade passam a coexistir: quem entende do risco ajusta a régua, e cada decisão fica registrada com a versão da regra que a produziu.
O que ela cobra. Um motor não corrige política mal calibrada — executa a régua errada com mais eficiência. Não inventa dado que a base não tem. E exige que alguém, na operação, assuma a régua como responsabilidade; sem isso, vira mais um lugar onde regras se acumulam sem revisão.
Sinal de que passou do ponto. A operação orquestra bem as fontes estruturadas, mas o analista ainda gasta horas lendo documento não estruturado — balanço, contrato, matéria — para extrair o que o motor precisa.
A operação adiciona agentes de IA em tarefas específicas: extração de dados de balanços e documentos não estruturados, varredura de mídia adversa em escala, apoio à construção da própria política de risco a partir dos requisitos regulatórios. O agente não decide — ele prepara a decisão, entregando ao motor e ao analista um caso já organizado.
Quando é suficiente. Quando o gargalo deixou de ser a decisão e passou a ser a leitura do que alimenta a decisão. Um caso com dezenas de sócios ou centenas de contrapartes é inviável de analisar à mão; é onde o agente entrega escala que nenhuma equipe cobre.
O que ela cobra. A fronteira entre o que a IA extrai e o que ela decide precisa estar explícita. Agente que lê documento e classifica mídia é apoio; agente que substitui o critério é outra coisa, e num ambiente regulado essa distinção não é técnica, é jurídica. A LGPD garante ao titular o direito de revisão de decisão tomada exclusivamente por meio automatizado, o que significa que a decisão precisa permanecer explicável, mesmo quando o que a alimenta foi processado por IA.
Sinal de que passou do ponto. Os agentes preparam o caso tão bem que, para faixas inteiras de decisão, o julgamento humano vira carimbo — e a operação começa a se perguntar por que ainda revisa manualmente o que a régua já resolveria sozinha.
O nível mais avançado não é a IA decidindo tudo sozinha. É a operação sabendo exatamente onde o humano precisa estar, e retirando-o de onde ele não agrega.
Em faixas onde a decisão é clara e defensável, o agente decide de forma autônoma, dentro dos limites que a política definiu. O caso de baixo risco evidente é aprovado; o de reprovação óbvia é barrado; e o que cai na zona de julgamento é escalado para o analista, com o caso já montado. A alçada não desaparece — ela é redesenhada para concentrar o humano onde há dúvida real.
Quando é suficiente. Quando a operação tem volume alto, histórico suficiente para saber quais faixas são seguras para automação, e maturidade de governança para definir e auditar esses limites. É o estado em que a mesa de análise para de crescer com o volume, porque só o que exige julgamento chega a ela.
O que ela cobra. É o nível que mais exige governança. Cada faixa entregue à decisão autônoma precisa de critério de sucesso monitorado, trilha completa, e capacidade de reverter. Autonomia total sem essa supervisão não é maturidade — é o passivo regulatório do maturidade 4 levado ao extremo, com a instituição incapaz de explicar por que um cliente foi recusado.
A diferença entre este nível e a promessa de "IA que decide sozinha" é toda a diferença que importa num setor regulado: aqui, a autonomia é uma escolha deliberada sobre onde ela é segura, não uma renúncia ao controle.
Sinal de que você chegou aqui bem. Quando a pergunta do fiscal — "por que este cliente foi decidido assim?" — tem a mesma resposta clara, tenha a decisão sido tomada por um humano ou por um agente.
A maturidade não se mede pela tecnologia contratada, mas por três perguntas:
Quanto tempo leva, hoje, para tomar uma decisão de risco do início ao fim? Quem consegue mudar uma regra sem depender da fila de tecnologia? E se a fiscalização pedir a justificativa de uma decisão específica, o que a operação entrega?
A resposta a essas três costuma revelar que a operação está num nível abaixo do que imaginava, e que o problema não é falta de tecnologia, mas tecnologia acumulada sem desenho.
Subir de nível não é comprar a próxima ferramenta. É resolver o gargalo que define o nível atual. Uma operação em maturidade 2 não precisa de agentes de IA; precisa de orquestração. Uma em maturidade 0 com volume baixo talvez não precise subir nível nenhum. O erro caro não é ficar num nível, é saltar para um que resolve um problema que você não tem, enquanto o problema que você tem continua no lugar.
A VAAS atua em todos os níveis dessa jornada. Fornece o dado para quem está estruturando a primeira régua, orquestra múltiplas fontes num motor de decisão para quem já sente o custo da fragmentação, e coloca agentes de IA na leitura de documento não estruturado e na varredura de mídia adversa, com a trilha de evidências registrada em cada etapa.
Na prática, isso significa que subir de nível deixa de ser a compra de mais uma ferramenta e passa a ser a resolução do gargalo específico que define o seu nível atual. A régua fica com quem entende do risco, e cada decisão continua explicável quando a fiscalização perguntar.
Quer entender em qual nível a sua operação está e como a VAAS resolve? Fale com a gente ou acesse nosso site 👇