Na experiência de quem vive há anos observando falhas operacionais, perdas financeiras, fraudes internas, descumprimentos regulatórios e crises de reputação, existe uma constatação que se repete com desconfortável frequência, de que muitas empresas só percebem a importância do controle de acesso depois que o dano já aconteceu.
Assim, antes do incidente o tema costuma parecer técnico demais para a alta administração e operacional demais para ser tratado como um risco estratégico, mas depois do incidente ele aparece com outro nome.
Surge como pagamento indevido, alteração irregular de cadastro, desvio de alçada, informação sensível exposta, contrato ativado sem independência, liberação incompatível com a política interna, dado crítico manipulado sem rastreabilidade ou trilha de responsabilização comprometida. Em todos esses casos, porém, o problema de fundo é o mesmo, de que alguém conseguiu ver, alterar, aprovar, executar ou combinar etapas de um processo além do que deveria.
É por isso que o controle de acesso precisa ser compreendido não como uma agenda periférica de tecnologia, mas como uma disciplina central de governança, controle interno, prevenção de fraude, conformidade e resiliência operacional. Na minha visão, devemos tratar o controle de acesso como componente estrutural da postura de segurança, voltado à proteção de dados e recursos sensíveis, à prevenção de acessos indevidos e à manutenção da continuidade do negócio, ao mesmo tempo em que mostram que a segregação de funções se tornou especialmente desafiadora em ambientes digitais mais conectados e distribuídos.
O grande equívoco de muitas empresas é imaginar que controle de acesso se resume a dois movimentos burocráticos de conceder um perfil quando alguém entra, e depois de remover esse perfil quando alguém sai. Essa visão é insuficiente porque ignora a dimensão mais relevante do tema: acesso não é apenas permissão individual, mas poder operacional distribuído ao longo dos processos. O que realmente importa não é somente saber se um colaborador possui autorização para entrar em determinada aplicação ou consultar determinado dado. O que importa é saber o que ele consegue fazer com esse conjunto de permissões ao longo do fluxo de negócio. Consegue cadastrar? Consegue alterar? Consegue validar? Consegue aprovar? Consegue liquidar? Consegue contornar um bloqueio? Consegue atuar em etapas que deveriam estar segregadas? Quando essa reflexão não é feita, a empresa passa a administrar identidades, mas não administra risco.
Administrar identidades sem administrar risco é exatamente o tipo de ilusão de controle que tranquiliza os relatórios, mas não protege a operação. Saiba que esse equilíbrio é delicado, em que as permissões estreitas demais podem inviabilizar a execução do trabalho, enquanto permissões amplas demais elevam o risco de violações de segurança, tornando a gestão de acessos um processo contínuo e não um evento isolado.
Quando trago esse debate para a realidade do dia a dia, a relevância cresce ainda mais. Em nosso ambiente empresarial, convivemos com empresas cada vez mais digitalizadas, cadeias operacionais fragmentadas, terceirizações relevantes, operações remotas, trabalho híbrido, múltiplos prestadores de serviço, exigências regulatórias intensas, pressão por eficiência e estruturas de pessoal nem sempre dimensionadas para a complexidade dos riscos que precisam administrar. Nesse contexto, o controle de acesso deixa de ser apenas uma camada técnica e passa a ser um dos pilares da disciplina empresarial, em especial onde a cobrança por proteção de dados, integridade, trilha de auditoria, accountability, prevenção a fraudes e robustez de controles internos vem se intensificando em diferentes setores, tratar o tema de forma superficial é um convite à assimetria de poder dentro dos processos. Saiba que quanto mais a empresa depende de dados, aprovações digitais, workflows distribuídos e integrações, mais o controle de acesso se torna um mecanismo de contenção de risco operacional, risco de fraude, risco reputacional e risco regulatório.
O ponto mais importante, e talvez o mais negligenciado pelos administradores, é que o risco relevante não nasce apenas do acesso excessivo dentro de um único ambiente, mas nasce da soma de permissões aparentemente legítimas ao longo de processos diferentes. Durante muito tempo muitas empresas olharam suas autorizações de modo compartimentado, quase como se cada ambiente digital fosse uma ilha. Só que a realidade deixou de funcionar assim. Hoje um mesmo processo de negócio pode passar por cadastro, aprovação operacional, formalização, liquidação, pagamento, contabilização, conciliação, arquivo e reporte, tudo em ambientes distintos, com equipes diferentes e diversas camadas de integração. O risco se agrava precisamente porque um colaborador pode não ter poderes excessivos em nenhum ponto isolado, mas, quando somamos suas permissões ao longo do processo, ele passa a deter capacidade incompatível com a lógica de controle saudável. A conectividade crescente entre aplicações exige uma visão holística da segurança e que a análise de segregação de funções não pode mais ficar restrita a um único ambiente, pois a combinação de permissões distribuídas pode permitir tarefas críticas incompatíveis na mesma pessoa.
É aqui que entra a primeira grande lição desta reflexão, de que antes de discutir perfis, matrizes, autenticação ou revisão periódica, a empresa precisa entender que controle de acesso é acima de tudo desenho de poder. Toda autorização concedida representa uma parcela de poder sobre dados, decisões, movimentos financeiros, registros, parametrizações ou eventos operacionais. Se esse poder for mal desenhado, a empresa não estará apenas criando vulnerabilidade tecnológica; estará deformando a estrutura de governança do próprio negócio. E essa deformação costuma acontecer de maneira silenciosa. Começa com a lógica da conveniência. Como a equipe está reduzida, alguém acumula uma etapa temporariamente. Como o processo precisa andar rápido, uma exceção é concedida. Como a área cresceu, um perfil antigo vai sendo reaproveitado. Como ninguém quer interromper a operação, adia-se a revisão. Como o tema parece técnico, a liderança presume que “a tecnologia está cuidando disso”. O resultado é previsível: com o passar do tempo, a empresa deixa de ter uma arquitetura de acesso desenhada por princípios e passa a ter uma colcha de retalhos feita de improvisos sucessivos. As fontes sinalizam que isso é agravado por mudanças frequentes de função, acúmulo de responsabilidades e complexidade das estruturas de permissão, razão pela qual a gestão de acessos deve ser contínua e a segregação de funções é considerada uma das dimensões mais difíceis desse domínio.
Na prática isso significa que o primeiro movimento de maturidade não é comprar mais tecnologia, mas construir clareza. Clareza sobre o que precisa ser protegido, clareza sobre quais atividades são críticas, clareza sobre quais combinações de tarefas não podem coexistir, clareza sobre quais aprovações exigem independência, clareza sobre quem define a regra e quem apenas a implementa. As fontes apontam para essa mesma direção ao enfatizar que uma abordagem sólida começa pela identificação dos riscos e das regras relacionadas à segregação de funções nos processos de negócio, seguida de uma tradução técnica das tarefas críticas, análise dos conflitos, remediação, mitigação quando estritamente necessária e monitoramento contínuo da conformidade. Esse encadeamento é extremamente valioso porque mostra que o problema não se resolve atacando sintomas. Ele se resolve começando pelo fundamento do risco.
Em linguagem simples, mas tecnicamente precisa, eu diria o seguinte de que a empresa precisa primeiro decidir o que não aceita, pois essa é a base de tudo. Não aceita que a mesma pessoa cadastre e aprove. Não aceita que quem parametriza também homologue. Não aceita que quem altera dado mestre também autorize a execução financeira relacionada. Não aceita que quem corrige exceção seja a mesma pessoa que reconhece e encerra o evento. Não aceita que um acesso temporário vire permanente por inércia. Não aceita que um poder concedido para contingência passe a operar como regra. Esse tipo de definição é muito mais importante do que parece, porque quando a empresa não enuncia claramente as incompatibilidades relevantes, ela delega a decisão ao acaso, ao costume ou à pressão do dia a dia. Queria então reforçar exatamente essa necessidade ao destacar que uma política baseada em risco deve descrever, no mínimo, as combinações de atividades críticas que não podem ser acumuladas, reduzindo a ambiguidade e permitindo concluir se determinada combinação representa ou não conflito de segregação e qual risco precisa ser tratado.
Muitas empresas até possuem bons documentos de governança em nível conceitual, mas ainda sofrem na tradução desses princípios para a realidade concreta dos processos. Fala-se em controle interno, fala-se em alçada, fala-se em independência, fala-se em trilha de auditoria, mas nem sempre isso é convertido em desenho efetivo de autorização. E o risco mora justamente nessa distância entre discurso e permissão real. O conselho aprova uma política robusta, a diretoria valida um modelo prudente, a auditoria reforça a necessidade de segregação, mas a execução diária continua permitindo acumulações indevidas porque ninguém traduziu o princípio para a operação concreta. Quando essa lacuna existe, a empresa passa a viver numa espécie de conforto documental e desconforto operacional. Tem norma, mas não tem contenção real. Tem princípio, mas não tem bloqueio efetivo. Tem governança formal, mas não tem limitação prática do poder. As fontes mostram que, sem uma tradução adequada entre risco de negócio e permissão real, a análise perde robustez; por isso recomendam transformar as atividades críticas em definições técnicas baseadas em dados extraídos do ambiente e trabalhadas no menor nível possível de detalhe.
É precisamente aqui que uma agenda madura de controle de acesso começa de verdade, que é que na identificação e classificação do que é sensível, do que é crítico e do que é incompatível. Por isto queria destacar de como boa prática identificar e classificar ativos relevantes, definir papéis e permissões segundo a necessidade do cargo, adotar o princípio do menor privilégio, usar mecanismos fortes de autenticação, aplicar modelos adequados de autorização, monitorar tentativas e atividades de acesso e revisar periodicamente os direitos concedidos, mantendo-os alinhados às mudanças do negócio. Isso parece básico, mas não é trivial. Em empresas complexas, a dificuldade não está em saber que isso precisa ser feito, mas está em fazer isso com profundidade suficiente para que a revisão deixe de ser ritualística e passe a ser substantiva.
A classificação dos ativos por exemplo é um passo subestimado. Muita empresa fala em proteger “dados sensíveis”, mas não consegue mapear com precisão quais dados, quais cadastros, quais parametrizações, quais registros, quais módulos, quais aprovações e quais funcionalidades efetivamente concentram criticidade. Sem essa visão, a concessão de acesso tende a seguir a lógica do organograma, e não a lógica do risco. Só que risco não respeita caixinha organizacional. Um dado aparentemente administrativo pode ser o gatilho de uma fraude financeira. Um campo de cadastro pode permitir redirecionar pagamentos. Uma parametrização aparentemente operacional pode alterar limites, dispensar validações ou modificar comportamentos do processo. Um relatório de consulta pode expor informação estratégica ou pessoal em nível incompatível com a necessidade da função. As fontes sustentam que o controle de acesso eficaz começa justamente pela identificação e classificação de ativos sensíveis, incluindo dados, aplicações e recursos críticos, para então definir permissões coerentes com a função e com a criticidade envolvida.
Quando essa classificação é bem feita, o próximo passo natural é o desenho de papéis e permissões. E aqui eu insisto em uma ideia importante de que o papel não é cargo, e permissão não é conveniência. Papel é uma abstração de responsabilidade operacional legítima. Permissão é o limite técnico dessa responsabilidade. Quando a empresa confunde essas duas coisas, ela começa a conceder acesso baseado em status, senioridade, confiança subjetiva ou urgência circunstancial, e não em necessidade funcional. Esse é um dos erros mais perigosos que existem, porque ele introduz um viés cultural nocivo: a crença de que pessoas “de confiança” podem concentrar mais poder sem que isso represente risco. Em gestão de riscos, esse raciocínio é profundamente equivocado. Controles não existem porque desconfiamos de pessoas específicas. Eles existem porque empresas saudáveis não dependem da pureza moral individual para continuar íntegras. Dependem de limites bem desenhados, verificáveis e auditáveis. As fontes, ao enfatizarem o princípio do menor privilégio e a necessidade de definir papéis conforme a necessidade efetiva do trabalho, reforçam precisamente essa visão disciplinada do poder operacional.
O princípio do menor privilégio quando bem entendido, não é uma tentativa de dificultar o trabalho de ninguém. É uma técnica de contenção de risco. Significa que cada pessoa deve possuir apenas os acessos necessários para desempenhar sua função, pelo tempo necessário, com o alcance necessário e dentro do contexto necessário. Nem menos, para não paralisar a operação. Nem mais, para não ampliar a superfície de risco. O grande problema é que muitas empresas adotam esse princípio apenas no discurso. Na prática vão acumulando exceções, acessos temporários, perfis de contingência, permissões herdadas e combinações nunca revistas. Com o tempo o que deveria ser um desenho racional de autoridade vira uma massa histórica de privilégios legados. Queria trazer esta minha preocupação ao dizer que os direitos de acesso precisam ser revistos e atualizados regularmente para refletir mudanças do negócio e que a gestão de acessos deve ser tratada como processo contínuo, justamente porque funções e responsabilidades mudam ao longo do tempo.
É importante entender também que o menor privilégio sozinho, não resolve tudo, mas ele precisa caminhar junto com segregação de funções. O menor privilégio limita o tamanho do poder individual. A segregação de funções limita a combinação indevida de poderes. Em termos simples, uma empresa pode até conceder a cada pessoa apenas o que parece necessário, mas, se não observar a compatibilidade entre essas permissões, ainda assim poderá criar conflitos graves. É justamente por isso que a segregação é apontada como uma das dimensões mais desafiadoras da gestão de acessos: não basta olhar permissões isoladas, mas é preciso observar como elas se combinam dentro do mesmo ambiente e, cada vez mais, ao longo de diversos processos interligados. Assim revisar apenas a estrutura e as atribuições individuais não basta, porque isso não detecta a capacidade de uma pessoa executar determinada tarefa por combinação de permissões vindas de múltiplos papéis.
Na realidade do dia a dia isso tem implicações muito concretas. Pense em empresas financeiras, seguradoras, varejistas, hospitais, indústrias, prestadoras de serviço ou empresas de infraestrutura. Em todas elas existem cadeias críticas em que o risco não está apenas em “entrar” no ambiente, mas em conseguir influenciar o resultado do processo. Quem altera um dado sensível? Quem muda um cadastro? Quem libera um evento? Quem ajusta uma parametrização? Quem registra uma ocorrência? Quem reverte uma restrição? Quem aprova uma exceção? Quem homologa uma mudança? Quem executa uma liquidação?
Quanto mais essas etapas estiverem distribuídas sem uma lógica clara de independência, maior a probabilidade de erro relevante, abuso de poder, fraude oportunista ou ocultação de desvio. Assim com o aumento da conectividade entre ambientes e a dispersão de processos por múltiplas aplicações, a função de risco precisa acompanhar essa realidade e garantir controles capazes de prevenir conflitos de segregação de funções de forma ampla e contínua.
Outro ponto que considero essencial é a diferença entre identidade, autenticação e autorização. No debate esses conceitos frequentemente aparecem misturados, o que enfraquece a tomada de decisão. Identidade responde à pergunta sobre quem é a pessoa. Autenticação responde se ela comprovou ser quem diz que é. Autorização responde o que ela pode fazer depois de ter provado sua identidade. O problema é que muitas empresas avançaram bem na autenticação, com mecanismos mais fortes de validação, mas continuam frágeis na autorização. Ou seja: sabem melhor quem entrou, mas ainda não sabem com precisão se essa pessoa deveria poder fazer tudo o que consegue fazer depois de entrar. Queria então recomendar mecanismos fortes de autenticação, como múltiplos fatores, e também mecanismos adequados de autorização, baseados em papéis ou atributos, além do monitoramento contínuo das atividades de acesso. Isso confirma que segurança de acesso não se encerra na entrada; ela começa ali.
Se eu tivesse que resumir estes pontos em uma reflexão para um conselho de administração ou para a diretoria de uma empresa brasileira, eu diria o seguinte, de que os controle de acesso não é uma decisão sobre tecnologia; é uma decisão sobre como a empresa distribui poder, protege ativos, limita combinações perigosas e sustenta a integridade dos seus processos. O início da maturidade não está na ferramenta, mas na clareza conceitual. Está em classificar o que é sensível, reconhecer o que é crítico, definir o que é incompatível, atribuir papéis com sobriedade, limitar permissões à necessidade real, revisar o que foi concedido e abandonar a ilusão de que confiança pessoal substitui desenho de controle. Quando a empresa compreende isso, ela deixa de ver o tema como burocracia técnica e passa a tratá-lo como infraestrutura de confiança. E confiança, em gestão de riscos, não é retórica. É o resultado de processos em que ninguém detém mais poder do que deveria, por mais tempo do que deveria, no lugar errado, sem supervisão e sem justificativa. Assim um controle de acesso eficaz protege recursos sensíveis, reduz perdas, apoia continuidade operacional, exige revisão contínua e depende de abordagem estruturada orientada por risco, segregação de funções e monitoramento permanente.
O erro mais sofisticado que encontro nesse tema não é a ausência completa de controle. Esse tipo de falha é mais visível, e por isso mais fácil de ser combatido. Mas o erro mais perigoso é a existência de controles fragmentados, suficientes para produzir sensação de ordem, mas insuficientes para conter a lógica real do processo. A empresa revê perfis de tempos em tempos, registra acessos, documenta aprovações, treina equipes, exige autenticação reforçada, mantém normas internas e até produz evidências para auditoria. Ainda assim pode continuar materialmente vulnerável. Isso acontece porque o risco de acesso raramente se revela na análise isolada de uma permissão. Ele aparece na trajetória. Ele surge quando se observa tudo o que uma mesma pessoa consegue fazer antes, durante e depois de um evento crítico. É nessa jornada que a segregação de funções deixa de ser um conceito teórico e passa a ser um mecanismo concreto de preservação da integridade da empresa. O risco relevante não está apenas no acesso não autorizado em si, mas também na combinação de permissões, na necessidade de visão holística sobre múltiplos ambientes, no uso de acessos individualizados e no controle de dados e informações sensíveis contra adulteração, vazamento e mau uso.
Na prática isso significa que a empresa precisa abandonar uma visão estática de acesso e adotar uma visão dinâmica de capacidade. Não basta perguntar quem tem determinado perfil, mas é preciso perguntar que cadeia de atos esse conjunto de permissões viabiliza. Uma pessoa consegue iniciar um registro, alterar dado importante, contornar uma validação, homologar uma exceção, autorizar um passo seguinte, produzir evidência do próprio ato e ainda encerrar o ciclo sem intervenção independente? Se a resposta for sim, há um problema de desenho de poder, ainda que cada uma dessas permissões, tomada separadamente, pareça razoável. Assim, uma simples revisão da estrutura de papéis ou das atribuições individuais não basta para detectar a capacidade real de execução decorrente da combinação de permissões. Essa lógica conversa diretamente com a exigência de controles internos verificáveis e com a necessidade de concessão e administração de acessos individualizados, associadas à segregação de dados e ao controle de acesso para prevenir uso indevido das informações.
É aqui que muitos ambientes corporativos se tornam perigosos sem parecer perigosos. O processo parece repartido entre áreas, diretorias e níveis hierárquicos. O organograma transmite independência. Os manuais falam em dupla checagem, alçada, registro e rastreabilidade. Mas a materialidade do risco não está no desenho formal, e sim na capacidade operacional efetiva. Em outras palavras, a empresa pode ter independência no papel e concentração de poder na prática. Basta que as permissões tenham sido concedidas ao longo do tempo sem uma leitura transversal do processo.
Isso é particularmente sensível na realidade, onde convivem pressão por eficiência, quadros enxutos, terceirização, equipes multifuncionais, crescimento rápido e, em muitos casos, forte dependência de exceções operacionais. Nessas condições é comum que permissões temporárias virem permanentes, acessos emergenciais deixem de ser revogados e acumulações “provisórias” se transformem em arranjos de longa duração. As fontes consultadas apontam exatamente esse risco ao tratar a gestão de acessos como processo contínuo, sujeito a alterações permanentes decorrentes de movimentação de pessoas, redefinição de responsabilidades e evolução do ambiente operacional.
Por isso a revisão de acessos, quando feita com maturidade, não pode ser um ritual administrativo, mas precisa ser uma revisão de exposição a risco. E aqui há uma diferença profunda entre rever o acesso como cadastro e rever o acesso como capacidade indevida. A revisão burocrática pergunta se o colaborador ainda pertence à área. A revisão madura pergunta se ele ainda precisa deter exatamente aquele nível de influência sobre dados, decisões, parâmetros, exceções e eventos operacionais. A revisão burocrática olha para listas. A revisão madura olha para conflitos. A revisão burocrática tenta confirmar o status quo. A revisão madura tenta desafiar o acúmulo histórico de poderes. Queria recomendar que a análise parta da identificação dos riscos e das atividades críticas, seja construída no menor nível possível de granularidade, avance para a validação dos conflitos e depois seja acompanhada por follow-up estruturado, revisão periódica e monitoramento contínuo. Isso encontra respaldo adicional na disciplina regulatória que exige controles internos permanentes, política de segurança da informação e mecanismos de monitoramento e revisão.
Outro ponto que merece ser tratado com mais profundidade é a falsa sensação de conforto produzida pelos controles compensatórios. Em muitos casos, quando uma incompatibilidade é identificada, a reação mais rápida da empresa é criar uma conferência adicional, uma validação manual posterior, uma amostragem periódica ou um monitoramento específico. Isso pode reduzir parte do risco, mas não necessariamente resolve o problema estrutural. E o que é pior: pode criar um ambiente em que a empresa passa a administrar exceções com alto custo recorrente em vez de corrigir a origem da exposição. A lógica da conveniência leva à mitigação rápida; a lógica da maturidade leva à remediação estrutural. Esse é um ponto central, porque uma empresa que se acostuma a resolver conflitos de acesso apenas com controles compensatórios tende a se tornar mais dependente de disciplina humana, mais onerosa de supervisionar e mais vulnerável a falhas de execução. A mitigação costuma ser mais rápida, mas a remediação tende a oferecer solução mais permanente, especialmente quando o mesmo conflito pode surgir por diferentes rotas dentro do ambiente operacional.
Diria que esse dilema é particularmente relevante porque muitas empresas ainda convivem com forte dependência de controles manuais, reconciliações ex post, conferências por amostragem e supervisão baseada em esforço humano. Isso não significa que tais controles sejam inúteis. Significa apenas que, quando usados como substitutos permanentes de um desenho adequado de acesso, eles se tornam frágeis. A lógica prudencial e de proteção de dados no Brasil caminha na direção oposta, em que exige medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados, além de regras, procedimentos e controles internos capazes de preservar confidencialidade, autenticidade, integridade e disponibilidade das informações. No mercado de capitais, por exemplo, a disciplina aplicável aos intermediários exige concessão e administração de acessos individualizados, bem como segregação de dados e controle de acesso para prevenir uso indevido e adulteração. Isso reforça a ideia de que o controle de acesso não pode depender apenas de boa vontade operacional, mas ele precisa ser desenhado como mecanismo de prevenção.
Há também uma dimensão de governança que costuma ser mal compreendida. Controle de acesso não amadurece quando a empresa centraliza tudo em uma área técnica, nem quando dispersa tudo para as áreas de negócio. Ele amadurece quando existe coordenação central com responsabilidade distribuída. Em linguagem de governança, isso significa que a definição dos princípios, o tratamento das exceções, a validação de controles mitigatórios e a revisão independente não podem se confundir com a execução operacional do dia a dia. O tema exige clareza de papéis entre quem opera, quem supervisiona, quem define a política e quem faz avaliação independente. Reforço essa lógica ao atribuir à primeira linha a revisão e resolução dos conflitos e a validação funcional das permissões críticas, à segunda linha a manutenção da política e a autorização de exceções, e à terceira linha a revisão periódica da implementação e da efetividade dos controles. Essa estrutura conversa diretamente com a tradição brasileira de controles internos e governança baseada em responsabilidades verificáveis.
Mas há um aspecto ainda mais sensível, e talvez o mais humano de todos, que é que o controle de acesso também é cultura. Uma empresa pode ter regras excelentes e continuar exposta se a cultura aceitar atalhos como prova de comprometimento, superpoderes como prova de confiança e acúmulo de funções como prova de eficiência. Esse tipo de cultura costuma elogiar quem “resolve tudo”, mas esquece que quem resolve tudo também concentra visibilidade, capacidade de decisão, domínio informacional e poder de contornar controles. Do ponto de vista da gestão de riscos, isso é profundamente perigoso. Empresas resilientes não celebram concentração informal de poder; elas desenham resiliência por meio de limites claros, papéis sobriedamente definidos e independência real nos pontos críticos. Queria apontar justamente para esse pano de fundo ao insistirem na necessidade de política baseada em risco, segregação de funções, revisão periódica de acessos, automação de análises e monitoramento contínuo.
Outro aprofundamento importante está na qualidade da informação usada para analisar o problema. Uma empresa só enxerga corretamente seus conflitos quando consegue mapear acessos com granularidade suficiente, vincular contas à pessoa correta e traduzir permissões técnicas em capacidades reais de negócio. Sem isso a discussão fica refém de linguagem técnica incompreensível para a área usuária ou de abstrações operacionais vagas demais para quem precisa implementar controle. O resultado é conhecido em que a empresa fala muito sobre segregação, mas não consegue provar com clareza quem pode fazer o quê, em que etapa, em que extensão e em que combinação. Queria então recomendar uso de dados brutos, baixo nível de abstração, tradução técnica em conjunto entre negócio e áreas técnicas, e manutenção contínua do vínculo entre usuários e pessoas, precisamente porque isso torna a análise mais robusta e auditável.
Esse ponto me parece especialmente importante porque muitas empresas ainda carregam ambientes híbridos, processos historicamente adaptados, múltiplos prestadores de serviço e cadastros pouco harmonizados. Nesse cenário o risco não está apenas no acesso concedido, mas na incapacidade de demonstrar, de forma íntegra e tempestiva, a quem aquele acesso de fato pertence, se ele ainda faz sentido, se está associado a uma função legítima e se gera conflito material com outros acessos já existentes. A disciplina brasileira de proteção de dados e segurança da informação reforça a necessidade de medidas técnicas e administrativas, registro de incidentes, monitoramento e aperfeiçoamento de controles, o que torna ainda mais importante que a empresa trate identidade e autorização como insumos centrais de sua governança operacional.
Por fim o amadurecimento real desse tema depende de reconhecer uma verdade simples de que o ambiente muda o tempo todo. Mudam pessoas, processos, fornecedores, prioridades, integrações, produtos, responsabilidades e fluxos de aprovação. Se o desenho de acesso não muda junto, o risco cresce em silêncio. É por isso que uma disciplina séria de controle de acesso precisa ser viva. Precisa estar conectada à gestão de mudanças, à revisão periódica de definições, à limpeza de acessos obsoletos, ao tratamento tempestivo de exceções e à manutenção dos vínculos corretos entre identidades e responsabilidades. Por isto queria comentar mais sobre esses três mecanismos de sustentação, que são incorporar mudanças do ambiente à análise, revisar periodicamente as definições adotadas e manter continuamente os insumos críticos que permitem identificar conflitos de forma confiável. Em linguagem de gestão de riscos isso significa uma coisa muito objetiva de que o controle de acesso não é projeto com começo, meio e fim, mas é uma capacidade institucional permanente.
Se eu traduzisse toda estes pontos acima em uma reflexão única para a alta administração de uma empresa brasileira, eu diria o seguinte de que o verdadeiro teste de maturidade não está em saber se existem perfis, senhas, aprovações e relatórios, mas está em saber se a empresa consegue impedir, de forma sustentada e comprovável, que o poder operacional se concentre de forma indevida ao longo dos seus processos mais sensíveis. Pois quando consegue ela protege dados, reduz espaço para fraude, melhora a qualidade dos controles internos e fortalece sua resiliência. Quando não consegue, pode até parecer organizada por fora, mas já começou a perder, por dentro, o controle sobre a forma como decide, executa, registra e responde pelos próprios atos. Essa é a fronteira real entre uma empresa que administra acessos e uma empresa que administra riscos.
Agora queria me aprofundar em sobre como uma empresa pode transformar o controle de acesso em uma capacidade institucional permanente, e não em uma rotina burocrática de cadastro, revisão esporádica e resposta tardia a incidentes. O ponto aqui é este de que a maturidade não significa ter muitos formulários de aprovação, nem um excesso de relatórios técnicos, mas a maturidade significa conseguir demonstrar, com consistência, que os acessos concedidos continuam compatíveis com a função exercida, que conflitos relevantes são identificados antes de se materializarem em perda, que exceções são temporárias e justificadas, e que a alta administração recebe informação suficiente para entender onde o poder operacional está concentrado, onde ele está mal distribuído e onde a empresa está ficando mais vulnerável com o passar do tempo.
Vejo que esse entendimento não é apenas boa prática, mas que ele conversa diretamente com a lógica regulatória e prudencial que exige medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e situações ilícitas, além de políticas e controles de segurança da informação e de segurança cibernética compatíveis com o porte, o perfil de risco, o modelo de negócio e a sensibilidade dos dados tratados.
Um modelo maduro começa por um erro que precisa ser evitado de confundir revisão de acesso com recertificação mecânica. A revisão verdadeiramente útil não é aquela em que o gestor apenas confirma uma lista de nomes e perfis por obrigação de calendário. Ela é aquela em que a empresa reabre, periodicamente e também sempre que houver mudança relevante, a pergunta fundamental do risco sobe se esse conjunto de permissões ainda é necessário, ainda é proporcional e ainda é compatível com a segregação exigida pelo processo?
Quando a resposta é dada apenas pelo organograma, a revisão tende a ser superficial. Quando ela é dada pela lógica do processo, a revisão passa a enxergar capacidade indevida, acúmulo silencioso de poder e permissões herdadas que já não fazem sentido. As melhores práticas mais sólidas nessa matéria partem justamente de uma sequência disciplinada: identificar os riscos e as combinações vedadas, traduzir essas atividades críticas para permissões reais, analisar conflitos, remediá-los, mitigar apenas quando necessário e manter monitoramento contínuo para demonstrar conformidade ao longo do tempo. Essa disciplina encontra aderência adicional na exigência de acessos individualizados, segregação de dados e controles capazes de prevenir acesso não autorizado, adulteração ou mau uso de informações sensíveis.
Essa é a razão pela qual a empresa madura não trabalha apenas com uma revisão periódica, mas ela trabalha com dois relógios ao mesmo tempo. O primeiro é o relógio do ciclo formal, com reavaliações programadas em intervalos definidos. O segundo é o relógio do evento, que dispara revisão toda vez que ocorre admissão, desligamento, mudança de função, acúmulo temporário de responsabilidade, criação de exceção, alteração de processo, entrada de terceiro relevante, mudança de estrutura decisória ou incorporação de nova tecnologia. Esse segundo relógio é decisivo, porque o risco de acesso cresce justamente nos intervalos entre as revisões formais. É ali que se acumulam perfis legados, permissões emergenciais e combinações que ninguém mais lembra por que foram concedidas. A orientação regulatória e supervisória brasileira caminha na mesma direção ao exigir política de segurança cibernética compatível com o negócio e procedimentos de prevenção, detecção e redução de vulnerabilidades, além de revisão periódica da política e do plano de resposta a incidentes. A própria ANPD, em sua orientação de segurança da informação, recomenda política de segurança, revisão periódica e controles relacionados a senhas, acesso à informação, compartilhamento de dados e atualização de software.
Quando essa lógica é bem implementada, a primeira grande mudança aparece na forma de priorizar o saneamento. A empresa deixa de atacar o tema como um grande projeto genérico de “revisão de perfis” e passa a atuar sobre estoques de exposição concretos. Na prática isso significa começar por aquilo que mais claramente sinaliza deficiência de governança: contas inativas ainda habilitadas, contas sem vínculo inequívoco com uma pessoa responsável, duplicidade de identidades, acessos privilegiados sem justificativa atual, exceções antigas, perfis que concentram funções incompatíveis e permissões temporárias que venceram sem revogação. Essa abordagem em ondas é importante porque ela gera dois benefícios ao mesmo tempo: reduz rapidamente a superfície de risco e produz evidência pedagógica para a empresa inteira. Quando o ambiente vê que as primeiras correções são objetivas, mensuráveis e justificáveis, a agenda deixa de parecer uma imposição abstrata e passa a ser percebida como medida concreta de proteção do negócio. As boas práticas consolidadas nessa matéria recomendam exatamente um follow-up em fases, começando pelos alvos mais evidentes, para ganhar tração, corrigir mais rápido e organizar a remediação de forma estrutural.
A etapa seguinte é a mais sensível do ponto de vista de gestão de riscos de decidir entre remediar e mitigar. Em muitas empresas especialmente aquelas pressionadas por prazos, custo e escassez de pessoas, a resposta instintiva a um conflito de acesso é criar uma conferência adicional, uma revisão posterior ou uma checagem por amostragem. Isso pode ser útil como contenção provisória, mas não deve ser o desenho final do controle. Quanto mais a empresa se apoia em controles compensatórios permanentes, mais ela se torna dependente de disciplina humana, mais custosa fica a supervisão e mais difícil se torna provar efetividade perante auditoria, regulador e administração. O caminho mais robusto continua sendo remediação estrutural ao retirar o acesso indevido, redesenhar o papel, redefinir a responsabilidade, reorganizar a aprovação ou simplificar o processo para que o conflito deixe de existir na origem. A boa prática consolidada insiste exatamente nisso em que a mitigação só deve ser aceita depois de exploradas as alternativas de remediação, porque o acúmulo de compensações fragiliza a solução global e pode multiplicar rotas diferentes para o mesmo conflito.
É nesse ponto que o monitoramento contínuo deixa de ser um luxo tecnológico e passa a ser requisito de governança. Uma empresa que monitora continuamente não espera o fechamento do trimestre para descobrir que voltou a concentrar poder indevido em pontos críticos. Ela acompanha a evolução do risco em tempo quase real por meio de indicadores que façam sentido para o negócio. O erro comum é medir apenas volume bruto de usuários ou quantidade total de perfis. O indicador realmente útil é aquele que mostra deterioração ou melhora da qualidade do ambiente. Em uma visão madura, o painel precisa enxergar pelo menos cinco dimensões: estoque de conflitos relevantes, velocidade de correção, envelhecimento das exceções, reincidência do problema após remediação e integridade dos insumos de identidade.
Em termos práticos isso significa observar quantas contas sem uso permanecem ativas, quantas contas não estão ligadas de forma confiável a uma pessoa, quantos acessos conflitam com regras críticas, há quanto tempo cada exceção permanece aberta e em quais processos o risco está se concentrando. As práticas de mercado mais consistentes nesse tema recomendam exatamente o uso de análises automatizadas, dashboards e KPIs para acompanhar usuários, papéis, conflitos e causas-raiz, transformando o tema em um processo contínuo e mensurável.
Mas esses indicadores precisam conversar com a linguagem da alta administração, e não apenas com a linguagem da área técnica. Conselho e comitês não precisam receber uma planilha extensa de menus, perfis e transações; precisam receber uma leitura de exposição. O reporte maduro ao conselho deve responder, de forma simples e tecnicamente sólida, a perguntas como estas sobre em quais processos críticos o poder operacional está excessivamente concentrado? Em quais áreas o estoque de exceções está crescendo? Quanto tempo a empresa leva para revogar acessos após desligamentos ou mudanças de função? Quais terceiros ainda operam com acessos relevantes e qual o nível de supervisão sobre eles? Quantos conflitos relevantes permanecem abertos além do prazo aceito? Há reincidência nas mesmas áreas ou funções? E, mais importante, o ambiente está melhorando ou piorando ao longo do tempo?
A disciplina regulatória brasileira reforça essa lógica ao exigir no mercado financeiro, política e plano de resposta aprovados pela administração, mecanismos de disseminação de cultura de segurança, relatório anual sobre a implementação do plano de resposta a incidentes e monitoramento contínuo e tempestivo de eventos cibernéticos; no mercado de capitais, a CVM também exige controles adequados para garantir confidencialidade, autenticidade, integridade e disponibilidade dos dados, além de monitoramento contínuo e detecção em tempo hábil.
Essa tradução para a administração é decisiva porque controle de acesso é no fundo um tema de governança do poder. Pois quando o relatório chega ao conselho apenas como estatística técnica, o tema é percebido como custo operacional. Quando ele chega como leitura de concentração indevida de capacidade decisória, potencial de fraude, fragilidade de trilha, risco de violação de dados e risco de descontinuidade operacional, ele passa a ser compreendido na sua dimensão correta. A alta administração precisa enxergar que acesso não é um privilégio cadastral; é uma alocação de poder sobre dados, decisões e movimentos operacionais. É por isso que o ambiente regulatório brasileiro insiste na combinação entre controles, rastreabilidade, registro de incidentes, disseminação de cultura e participação efetiva da administração na aprovação e melhoria contínua dos mecanismos de proteção.
Há também um componente cultural que na prática costuma definir o sucesso ou o fracasso do modelo. Uma empresa pode ter regra, ferramenta e comitê, mas continuará vulnerável se a cultura continuar premiando o colaborador que “resolve tudo sozinho”, o gestor que pede exceção sem prazo e a área que considera revisão de acesso uma burocracia desnecessária. Em matéria de acesso, cultura madura é aquela que entende que limites são instrumentos de proteção, não obstáculos à performance. Isso exige treinamento recorrente, linguagem clara, responsabilização das lideranças e compreensão de que segurança da informação depende das pessoas que executam o tratamento e operam os processos.
A ANPD recomenda expressamente conscientização, treinamento, política de segurança ainda que simplificada, revisão periódica e sistema de controle de acesso com níveis de permissão proporcionais à necessidade de trabalho; o arcabouço prudencial do Banco Central também exige mecanismos de disseminação da cultura de segurança cibernética, com capacitação e avaliação periódica de pessoal e comprometimento da alta administração com a melhoria contínua.
Outro ponto que a maturidade precisa absorver melhor é o risco trazido por terceiros. Em empresas com terceirização intensa, provedores, consultores, parceiros operacionais e prestadores de tecnologia frequentemente recebem acessos que, do ponto de vista material, não são menos sensíveis do que os acessos internos. O erro recorrente está em exigir rigor do empregado e permissividade do terceiro. Um modelo robusto precisa tratar acesso de terceiro com o mesmo nível de disciplina aplicável ao acesso interno, inclusive quanto a rastreabilidade, prazo, revisão, segregação e encerramento.
A orientação da ANPD destaca gerenciamento contratual, deveres de confidencialidade e controles de acesso; já o regramento prudencial do Banco Central exige que a política cibernética contemple procedimentos e controles também para prestadores que manuseiem dados ou informações sensíveis ou sejam relevantes para a condução das atividades operacionais. Em outras palavras a terceirização não transfere o risco, mas apenas redistribui a superfície de controle.
Quando tudo isso é integrado, a empresa finalmente sai da lógica defensiva de “correr atrás de acesso errado” e entra em uma lógica estratégica de governar permissões como parte do seu sistema de controles internos. O resultado dessa transição não aparece apenas na redução de incidentes. Ele aparece na melhoria da qualidade cadastral, na maior confiança dos processos de aprovação, na redução de exceções antigas, na capacidade de demonstrar diligência para reguladores, na melhor comunicação com auditoria e, sobretudo, na diminuição do espaço disponível para fraudes silenciosas e erros operacionais de alto impacto. O que amadurece no fundo não é apenas o cadastro de usuários. O que amadurece é a própria capacidade da empresa de distribuir poder com sobriedade, vigiar acumulações indevidas e sustentar a integridade dos seus processos mais sensíveis em um ambiente regulatório que exige proteção de dados, controles individualizados, segregação, monitoramento e resposta tempestiva a incidentes.
O verdadeiro teste de maturidade não está em saber se a empresa possui acessos cadastrados e revisões agendadas, mas está em saber se ela consegue provar, de forma contínua, que nenhum colaborador, gestor ou terceiro está acumulando mais poder do que deveria sobre processos críticos, dados sensíveis e decisões relevantes. Quando consegue, o controle de acesso deixa de ser um tema técnico e se revela como aquilo que realmente é: uma infraestrutura de confiança para a governança, para a gestão de riscos e para a continuidade saudável da empresa.
