O verdadeiro “porquê” da gestão de riscos

Quando eu olho para a trajetória de empresas que amadureceram em gestão de riscos, quase nunca o ponto de virada esteve em comprar uma nova ferramenta, criar mais um comitê ou publicar uma política mais sofisticada. O ponto de virada apareceu quando a liderança começou a fazer perguntas melhores. Perguntas menos burocráticas e mais honestas. Perguntas menos voltadas à aparência da conformidade e mais voltadas à substância da exposição. Porque o risco real não mora no organograma, não mora na ata, não mora no fluxograma bonito e não mora no discurso institucional. O risco real mora naquilo que a empresa acredita ter resolvido, mas ainda não resolveu. Mora naquilo que todos presumem estar funcionando, mas ninguém testa de verdade. Mora no intervalo silencioso entre a intenção declarada e a execução concreta.

Esse é o eixo mais importante de um gestor de riscos experiente de aprender a reconhecer que a empresa raramente quebra por ausência total de regras, mas na maior parte das vezes, ela se fragiliza porque construiu regras sem construir comportamento, porque desenhou controles sem sustentá-los na operação, porque aprovou estruturas sem monitorar sua vitalidade, porque confundiu evidência com efetividade e porque trocou entendimento por ritual. Queria trazer então essa reflexão, com objetivo de deixar isso muito claro ao mostrar que políticas, auditorias, avaliações e checklists têm valor, mas não bastam quando desconectados da realidade operacional e da verificação contínua.

Na prática o “porquê” é o coração da maturidade. Por que uma política não garante segurança? Por que uma avaliação de riscos não reflete o negócio real? Por que uma auditoria aprovada não significa ambiente seguro? Por que programas de compliance, mesmo robustos no papel, podem falhar na vida real? Essas não são perguntas filosóficas, mas são perguntas de sobrevivência empresarial, pois obrigam a liderança a sair da zona de conforto do “temos isso implementado” para entrar no território mais desconfortável do “isso realmente protege a empresa quando o cenário aperta?”. E em gestão de riscos é justamente aí que a conversa deixa de ser cosmética e passa a ser estratégica.

A primeira grande lição é que política não é proteção. Política é direção. Política é um enunciado de intenção. Política é uma forma de a empresa dizer a si mesma e aos outros o que considera aceitável, proibido, sensível ou prioritário. Isso é importante, sem dúvida. Mas intenção não substitui execução. As políticas definem intenção, mas não executam ações nem monitoram conformidade; sem responsabilização da liderança e sem verificação, elas permanecem como papel. E essa é uma verdade que, para mim, resume boa parte das fragilidades silenciosas das empresas. A política diz que senhas não podem ser compartilhadas, mas ninguém verifica exceções. A política diz que acessos devem ser revistos, mas a revisão é protocolar. A política diz que terceiros críticos devem ser monitorados, mas o acompanhamento é eventual. A política diz que dados sensíveis devem ter proteção reforçada, mas a classificação não conversa com o uso real da informação.

Na rotina empresarial, especialmente em ambientes pressionados por crescimento, metas, prazo e escassez de recursos, a política tende a ser percebida como um marco formal, não como um instrumento vivo de disciplina operacional. Isso cria uma distorção perigosa: a empresa passa a achar que ter escrito bem equivale a ter controlado bem. Não equivale. Em gestão de riscos o que importa não é o nível de sofisticação do texto, mas a densidade da tradução desse texto em alçadas, restrições, parametrizações, segregação de funções, monitoramento, reação a desvios e consequências reais para o descumprimento. Quando essa tradução não acontece, a política vira uma peça de conforto institucional. Serve para mostrar compromisso, mas não necessariamente para impedir perda.

Na realidade do dia a dia isso é ainda mais relevante porque muitas empresas convivem simultaneamente com exigências de proteção de dados, segurança da informação, controles internos, prevenção à fraude, prevenção à lavagem de dinheiro, governança de terceiros, continuidade de negócios e accountability perante sócios, clientes, reguladores e conselhos. Nesse contexto, o excesso de formalização sem operacionalização pode produzir uma sensação enganosa de maturidade. A empresa parece organizada, mas a musculatura interna é fraca. E esse tipo de fragilidade só costuma aparecer quando há incidente, denúncia, crise, falha sistêmica, questionamento regulatório ou auditoria mais profunda. Até lá tudo parece funcionar.

A segunda lição importante é que as avaliações de risco frequentemente falham porque enxergam o risco pelo lado errado. Muitas avaliações focam cenários teóricos em vez de processos e dependências reais do negócio, o que leva à subpriorização de riscos realmente críticos. Essa observação é extremamente importante. Em muitas empresas o processo de avaliação de riscos é metodologicamente elegante, mas conceitualmente superficial. Ele usa linguagem correta, matrizes bem desenhadas, escalas definidas, critérios aparentes de impacto e probabilidade, porém não mergulha no que realmente sustenta a geração de valor da empresa. Não entende as dependências tecnológicas invisíveis. Não entende a concentração em pessoas-chave. Não entende a dependência excessiva de um terceiro. Não entende o efeito cascata de uma falha operacional em receita, serviço, caixa, reputação e regulação. Não entende o custo de uma interrupção no pior dia possível.

Esse é um dos pontos em que o gestor de riscos experiente precisa ser mais firme, pois avaliar risco não é só preencher quadrantes, mas é compreender o mecanismo de dano. É enxergar como uma falha pequena em um elo aparentemente periférico pode paralisar um processo crítico. É entender que um sistema “que nunca caiu” pode ser exatamente o sistema mais subestimado na matriz. É reconhecer que histórico sem incidente não é prova de baixo risco; muitas vezes é apenas ausência de teste relevante. É perceber que a empresa tende a priorizar aquilo que incomoda mais no presente e negligenciar aquilo que pode ser devastador no futuro. Por isso, uma avaliação realmente madura não parte apenas da pergunta “qual a chance?”. Ela parte também da pergunta “do que este processo depende, quem depende dele, o que acontece se ele falhar sob pressão e quanto custaria descobrir tarde demais que o classificamos errado?”.

A terceira lição é uma das mais perigosas, porque toca diretamente na ilusão corporativa mais comum, é sobre de que passar em auditoria não significa estar seguro. As auditorias verificam a existência e a documentação de controles em um ponto específico no tempo, enquanto a segurança depende da efetividade contínua e da operação real desses controles. Isso deveria estar escrito na parede de todo comitê de auditoria e de risco. Porque na prática muitas empresas tratam a aprovação em auditoria como selo implícito de robustez estrutural. Não é. Auditoria aprovada demonstra que, naquele recorte temporal e dentro daquele escopo, a empresa conseguiu evidenciar presença e desenho de controles suficientes para atender aos critérios observados. Mas o risco não respeita recortes temporais. O risco se desloca. O risco amadurece em exceções. O risco se aproveita de mudanças de processo, turnover, má configuração, fadiga operacional, pressa comercial e normalização do desvio.

O controle que apareceu saudável em março pode estar degradado em agosto. A trilha que existia pode ter se fragmentado. A revisão que era feita pode ter virado formalidade. O sistema que estava bem parametrizado pode ter sido alterado por conveniência. O acesso que era restrito pode ter sido ampliado “temporariamente”. E quase sempre essas pequenas erosões não surgem de má-fé explícita. Elas surgem da dinâmica normal da empresa. É por isso que o bom gestor de riscos não vê auditoria como fim de conversa. Vê auditoria como fotografia útil, mas incompleta. A pergunta realmente importante é outra sobre o que aconteceu com esse controle depois que a foto foi tirada?

A quarta lição aprofunda esse raciocínio ao mostrar por que tantas empresas tratam compliance como exercício de checklist. Os programas de compliance com frequência, se concentram em completar listas de controles para satisfazer requisitos regulatórios, sem questionar se esses controles reduzem de fato o risco ou melhoram a postura de segurança. Esse é um ponto sensível, porque ninguém discorda de que a conformidade é importante. O problema é quando ela deixa de ser ferramenta de gestão e passa a ser ritual de tranquilização. A área corre para concluir documentos, registrar aprovações, fechar pendências formais, produzir evidências de implementação e responder requerimentos. Tudo isso pode ser necessário. Mas quando o centro da energia vai apenas para “cumprir”, e não para “proteger”, a empresa produz conformidade estética.

Na prática, isso aparece de formas muito conhecidas. A política é criada na véspera da auditoria. O treinamento é disparado no fim do ciclo regulatório. A revisão é feita para marcar presença, não para identificar desvios. O comitê acontece, mas não aprofunda causas. O fornecedor é reavaliado, mas sem revisão real de criticidade. O teste de continuidade ocorre, mas num cenário domesticado, incapaz de gerar aprendizado verdadeiro. A empresa até cumpre etapas. Mas não amadurece. E o mais grave passa a acreditar que maturidade é exatamente isso. Essa é uma armadilha clássica. Quando compliance se separa da gestão de riscos, ele preserva forma e perde substância.

A quinta lição é decisiva em ambientes regulados e dinâmicos. Os programas de conformidade lutam para acompanhar mudanças regulatórias porque as normas evoluem com frequência, enquanto os processos internos e a documentação permanecem estáticos. Esse descompasso afirma que, sem monitoramento estruturado e governança, a empresa pode cair em não conformidade sem perceber. Esse ponto me parece especialmente atual porque muitas empresas ainda tratam obrigação regulatória como projeto de implementação, quando na verdade deveriam tratá-la como capacidade permanente de adaptação. A norma muda. A interpretação amadurece. A expectativa do regulador se aprofunda. A tecnologia altera a materialização do risco. O modelo de negócio se expande. Novos terceiros entram na cadeia. Novos produtos surgem. E se a governança interna continua presa ao desenho antigo, o controle começa a envelhecer em silêncio.

Na prática isso significa que a empresa não pode confiar apenas na memória institucional de que “já fizemos adequação”. Adequação é verbo contínuo. O processo precisa ser revisto, a documentação precisa refletir a operação, o treinamento precisa ser atualizado, os contratos precisam acompanhar novas exigências, os sistemas precisam ser reparametrizados quando necessário, e a liderança precisa entender que norma não é só obrigação jurídica; ela é condicionante operacional. Em gestão de riscos o maior erro não é desconhecer uma mudança. O maior erro é presumir que o ambiente continua o mesmo quando ele já mudou.

A sexta lição trata de um tema aparentemente simples, mas com enorme impacto, que é a dificuldade de demonstrar evidências de conformidade. A evidência muitas vezes existe, mas está espalhada em sistemas diferentes ou mal documentada, o que dificulta sua demonstração em auditorias. Esse ponto costuma ser subestimado porque, à primeira vista, parece apenas um problema de organização documental. Mas ele é mais do que isso. Ele revela a distância entre executar um controle e ser capaz de governá-lo. Um controle que não pode ser rapidamente demonstrado perde parte da sua credibilidade. E em ambientes de maior exigência, a ausência de rastreabilidade estruturada enfraquece a confiança de auditoria, regulador, cliente e conselho.

Eu costumo dizer que evidência dispersa é sintoma de governança fragmentada. Quando a empresa guarda uma parte da trilha em planilha, outra parte em e-mail, outra em sistema operacional, outra em pasta compartilhada, e depende de memória individual para reconstruir a narrativa, ela está revelando que o controle ainda não foi institucionalizado por completo. Isso vale para revisão de acesso, aprovação de exceções, evidência de treinamento, due diligence de terceiros, retestes de vulnerabilidade, testes de contingência e praticamente qualquer obrigação sensível. Em um cenário de pressão, a empresa não pode depender de arqueologia documental para provar que fez o que diz fazer. A boa governança não é apenas fazer. É fazer, registrar, organizar, recuperar e sustentar a explicação de forma consistente.

A sétima lição desloca a conversa para um dos pontos cegos mais persistentes das empresas, que é o risco de terceiros. Podemos afirmar que questionários e avaliações pontuais não validam efetividade contínua e que o risco do fornecedor precisa ser acompanhado de forma permanente. Essa mensagem é importantíssima porque toca na terceirização emocional do julgamento. Muitas empresas querem acreditar que o risco do terceiro se resolve no onboarding. Fazem due diligence, coletam documentos, analisam um relatório, conferem uma certificação, talvez recebam uma carta de controles, registram a aprovação e seguem adiante como se o problema estivesse encerrado. Mas o risco do terceiro não é um evento de entrada. Ele é um fluxo de deterioração, mudança e interdependência.

O fornecedor muda equipe. Muda sistema. Muda jurisdição. Muda subcontratado. Muda capacidade financeira. Muda arquitetura. Muda processo. Amplia escopo. Sofre incidente. Perde talentos críticos. Entra em expansão acelerada. Se integra com outro player. Terceiriza uma etapa importante. E nada disso necessariamente aparece em um questionário anual. É por isso que a gestão de terceiros verdadeiramente madura precisa ser dinâmica, baseada em criticidade e capaz de acompanhar o risco ao longo do relacionamento. O erro mais frequente das empresas é tratar terceiros como mera contratação. O gestor de riscos experiente sabe que terceiros são extensão operacional da própria empresa. E tudo o que é extensão operacional precisa de governança proporcional à sua capacidade de gerar dano.

A oitava lição é complemento direto da anterior, de que uma certificação de fornecedor não é sinônimo de adequação ao seu contexto. As certificações e relatórios de auditoria demonstram que certos controles existiram em um momento específico, mas não garantem segurança contínua nem aderência a todos os ambientes e exigências do contratante. Essa é uma verdade que ainda precisa ser repetida com mais força no mercado. Certificação não elimina a necessidade de julgamento. Ela oferece conforto parcial, não transferência total de responsabilidade. Um fornecedor pode ter excelente arcabouço de controle e, ainda assim, não ser adequado para determinada exigência regulatória, arquitetura de dados, local de armazenamento, necessidade de segregação, requisito de contingência ou expectativa de rastreabilidade da empresa contratante.

Diria de que isso é extremamente sensível em cadeias que envolvem dados pessoais, dados financeiros, serviços críticos, infraestrutura tecnológica, serviços em nuvem, tratamento por terceiros, analytics, IA, monitoramento transacional e atendimento ao cliente. A empresa contratante continua responsável por entender onde o dado está, quem toca no processo, o que acontece em incidente, qual o SLA real de resposta, quais são as cláusulas de acesso, qual a transparência sobre subcontratação, qual a alçada sobre logs, como se dá a exclusão segura, como funciona a continuidade em cenário severo e como a governança do fornecedor conversa com a criticidade do serviço. Quando a empresa substitui essas perguntas por um selo ou um relatório, ela troca análise por terceirização de conforto.

A nona lição é uma das mais práticas, e ao mesmo tempo uma das mais negligenciadas, de que os planos de continuidade falham em crises reais porque frequentemente foram desenhados para certificação, não para disrupção verdadeira. Os testes regulares são o que realmente conferem efetividade sob pressão. Esse ponto é fundamental para qualquer gestor de riscos que já tenha vivido incidente relevante. Em tempos de normalidade, quase todo plano parece bom. Há listas de contatos, procedimentos de contingência, backups, sistemas alternativos, definição de papéis, cronogramas de recuperação. No papel tudo se encaixa. Mas a crise real quase nunca respeita a ordem do documento. Ela traz simultaneidade de falhas, indisponibilidade de pessoas-chave, ruído de comunicação, dependência de terceiro, problema de autenticação, falha regional, conflito entre urgência operacional e disciplina de controle.

É nesse momento que se descobre a diferença entre plano formal e resiliência real. A equipe sabe de fato o que fazer? Os acessos de contingência funcionam? Os responsáveis conseguem atuar remotamente? O fornecedor crítico responde no tempo prometido? O processo manual é viável em volume elevado? A liderança sabe escalar decisão rapidamente? O comitê de crise consegue priorizar? A comunicação interna evita ruído e improviso? O conselho receberá informação confiável em tempo hábil? Essas são perguntas que não se respondem com documento. Respondem-se com teste, simulação, aprendizagem e revisão disciplinada. Continuidade séria não é uma pasta pronta. É uma capacidade praticada.

A décima lição recoloca o ser humano no centro do risco. Os treinamentos de conscientização raramente mudam comportamento quando focam apenas em conformidade, e que simulações geram retenção e resposta mais realista. Essa reflexão é extremamente importante porque ela desmonta outra crença corporativa muito comum: a de que conhecimento declarado equivale a comportamento seguro. Não equivale. O colaborador pode saber a regra e, mesmo assim, agir de modo inadequado quando está cansado, com pressa, pressionado por metas, tentando ajudar alguém, obedecendo a um superior, acreditando estar fazendo o mais eficiente ou simplesmente subestimando o risco. A natureza humana é assim. E gestão de riscos madura parte da realidade, não da idealização.

Por isso um treinamento de verdade não é despejo de conteúdo. Treinamento de verdade é desenho de comportamento. É mostrar contexto, consequência, ambiguidade, pressão e decisão. É sair do campo abstrato da política para entrar no ambiente concreto do processo. É ensinar por simulação, por cenário, por erro evitável, por repetição qualificada. É fazer a liderança reforçar a mensagem. É mostrar por que aquele controle existe e como uma conduta aparentemente banal pode desencadear uma perda relevante. Enquanto a empresa tratar conscientização como evento anual de aceite eletrônico, continuará confundindo exposição ao conteúdo com mudança cultural.

A décima primeira lição amplia essa visão ao tratar das ameaças internas. Em que os controles tradicionais tendem a mirar atacantes externos, deixando o uso indevido interno menos monitorado, e destaca a importância de segregação de funções e detecção de anomalias. Esse é um tema delicado porque confronta um pressuposto confortável: o de que o maior risco sempre vem de fora. Muitas vezes não vem. Ou, pelo menos, não vem sozinho. O dano relevante também pode nascer de dentro, por abuso de privilégio, erro operacional de alto impacto, cópia indevida de informação, conflito de interesse, sabotagem silenciosa, negligência ou simples curiosidade não autorizada.

O risco interno é especialmente desafiador porque ele vem acompanhado de legitimidade aparente. O acesso é legítimo. O usuário conhece o ambiente. A ação parece compatível com a função. A confiança histórica desarma suspeitas. E, quando a empresa não monitora padrões anômalos nem revisa responsabilidades com disciplina, abre espaço para que desvios pequenos amadureçam sem visibilidade. O gestor de riscos experiente não trata isso com paranoia, mas com realismo. Toda estrutura que concede poder operacional precisa ter contrapesos. Toda autorização ampla precisa ter revisão. Toda função sensível precisa ter trilha. Toda exceção relevante precisa ser temporária e observável. O ser humano não deixa de ser vetor de risco porque é “de casa”.

A décima segunda lição é um exemplo clássico de risco operacional evitável sobre a demora na revogação de acessos quando pessoas saem da empresa ou mudam de função. Os processos manuais desconectados de RH deixam acessos remanescentes ativos por tempo excessivo, ampliando a janela para atividades não autorizadas. Esse é um daqueles pontos em que a gestão de riscos consegue produzir enorme ganho com disciplina básica de execução. A concessão de acesso costuma ter urgência. A revogação nem sempre. E é justamente aí que se abre uma janela silenciosa de exposição. Ex-colaboradores, terceiros já desligados, prestadores cujo contrato terminou, usuários que mudaram de alçada mas mantiveram privilégios antigos, todos esses casos representam risco concreto.

Sob a ótica da governança, acesso é poder. E poder mal encerrado é risco mal tratado. O problema não está apenas no risco de fraude ou uso malicioso. Está também na possibilidade de erro, de confusão de responsabilidade, de falha de segregação e de perda de rastreabilidade. Quando o ciclo de vida do acesso não conversa automaticamente com o ciclo de vida funcional, a empresa passa a depender de coordenação manual, memória gerencial e disciplina operacional heterogênea. Isso é fragilidade estrutural. A boa prática, aqui, é inequívoca: integrar gestão de identidade ao RH, automatizar gatilhos de admissão, movimentação e desligamento, revisar acessos periodicamente e tratar permissões acumuladas como sintoma de risco, não como detalhe técnico.

O que essas reflexões mostram é que o risco mais perigoso nem sempre é o mais sofisticado. Muitas vezes ele é o mais banal, o mais normalizado, o mais administrativamente aceito. Ele nasce quando a política substitui a prática. Quando a auditoria substitui a vigilância. Quando o checklist substitui o julgamento. Quando a certificação substitui a diligência própria. Quando o plano substitui o teste. Quando o treinamento substitui a mudança de comportamento. Quando a confiança substitui a governança. E quando a formalização substitui a verdade operacional.

Essa é para mim a essência da gestão de riscos madura, de que não se trata de colecionar controles mas se trata sim de entender as razões pelas quais eles existem e as razões pelas quais, tantas vezes, eles deixam de produzir o efeito esperado. Uma empresa fica mais resiliente quando abandona a ilusão de que estar organizada no papel é o mesmo que estar protegida na prática. A partir desse momento, ela passa a fazer perguntas melhores, testar mais, evidenciar melhor, acompanhar mais de perto, revisar premissas, confrontar zonas de conforto e fortalecer a disciplina de execução. E é exatamente isso que transforma GRC de obrigação corporativa em vantagem real de sobrevivência.

Quando eu observo ambientes empresariais mais complexos, sobretudo aqueles que operam com dados sensíveis, sistemas críticos, integração com terceiros, alta dependência tecnológica e pressões simultâneas de crescimento e conformidade, percebo que há um padrão que se repete com enorme frequência, em que os riscos mais graves raramente estão no controle que todos olham. Mas eles estão no poder operacional mal delimitado, na ferramenta implantada e pouco governada, na configuração presumida como correta, na vulnerabilidade conhecida e não tratada, no log coletado e não interpretado, no ativo descartado sem disciplina e, cada vez mais, na inovação que entrou pela porta da eficiência antes de passar pela porta da governança. Pois é exatamente esse conjunto de temas que queria tratar agora com muita força, ao destacar usuários privilegiados, eficácia real das ferramentas, misconfigurações, falhas de remediação, logging, descarte seguro, projetos sombra e riscos específicos de IA.

Usuários privilegiados

Pois esse grupo representa o mais alto risco porque consegue contornar múltiplos controles e produzir ações de grande impacto, intencionais ou acidentais, exigindo monitoramento forte e aplicação rigorosa do princípio do menor privilégio. Isso é profundamente verdadeiro. Em muitas empresas, a discussão sobre segurança ainda é conduzida como se o grande inimigo fosse apenas o atacante externo. Claro que ele importa. Mas, do ponto de vista da materialização do dano, poucas coisas são tão perigosas quanto alguém com acesso excessivo, pouca supervisão e autonomia técnica suficiente para alterar dados, apagar registros, criar exceções, modificar parâmetros, interromper rotinas, manipular integrações ou acessar bases sensíveis sem barreiras proporcionais.

Sob a ótica de um gestor de riscos experiente, acesso privilegiado nunca é apenas um tema de tecnologia. É um tema de governança do poder. Quem pode muito precisa ser muito governado. O problema é que, em várias empresas, o privilégio nasce de um raciocínio aparentemente legítimo: “essa pessoa precisa acessar mais porque resolve problemas”, “esse administrador precisa ter liberdade porque o ambiente é crítico”, “esse fornecedor precisa de acesso amplo porque dá suporte”, “essa exceção é necessária porque o processo é urgente”. Isoladamente, cada justificativa parece razoável. O risco surge quando a soma dessas exceções cria uma camada de autonomia operacional muito superior à capacidade de supervisão da empresa. Nesse estágio, a empresa passa a depender mais da prudência individual do que da robustez do seu ambiente de controle. E depender de prudência individual como principal barreira de defesa é sempre uma estratégia frágil.

No contexto brasileiro, isso é particularmente sensível em empresas financeiras, seguradoras, marketplaces, e-commerces, healthtechs, empresas de telecomunicações e qualquer operação com bases grandes de clientes e processos automatizados. Um administrador de banco de dados, um analista de infraestrutura, um operador de nuvem, um gestor de permissões em ERP, um integrador de APIs, todos esses perfis concentram capacidade potencial de dano. Não estou falando apenas de fraude ou sabotagem. Estou falando também de erro humano de alta magnitude, alteração mal testada, revogação incompleta, acesso acumulado ao longo do tempo e ausência de revisão por pares. A materialização pode vir por má-fé, por descuido, por excesso de confiança ou por pressa. Em todos os casos, a consequência é a mesma: quando o privilégio é maior do que a governança, o impacto potencial cresce silenciosamente.

É por isso que o princípio do menor privilégio é tão importante. Não por elegância metodológica, mas porque ele limita dano. Em gestão de riscos, limitar dano é tão importante quanto prevenir ocorrência. A empresa madura não pergunta apenas “quem precisa acessar?”. Ela pergunta “qual é o mínimo acesso necessário, por quanto tempo, com qual justificativa, com qual validação independente, com qual monitoração e com qual trilha?”. Essa mudança de pergunta muda a cultura inteira. Porque ela transforma o acesso de um benefício operacional tácito em uma concessão explícita de poder sob condições de controle.

A reflexão seguinte é igualmente poderosa, é que implementar ferramentas de segurança não reduz risco automaticamente. As ferramentas exigem configuração adequada, integração e operadores qualificados; sem isso, o risco persiste apesar do investimento. Essa mensagem é quase um antídoto contra uma das ilusões mais comuns no mundo corporativo: a de que orçamento em tecnologia pode ser confundido com maturidade de governança. Não pode. A empresa pode comprar as melhores soluções do mercado e, ainda assim, permanecer vulnerável se essas soluções não estiverem bem encaixadas na arquitetura, nos processos, na priorização e na capacidade de resposta.

Na prática, o que acontece em muitas empresas é o seguinte, de que a ferramenta é adquirida com forte patrocínio executivo, a implantação gera sensação de avanço, os dashboards parecem sofisticados, o fornecedor apresenta boas práticas, a área usuária sente que “agora estamos cobertos”, e aos poucos o ambiente entra numa rotina em que ninguém mais pergunta se a ferramenta está efetivamente reduzindo a exposição que prometeu reduzir. E ela gera alertas úteis ou apenas ruído? Está parametrizada de acordo com a criticidade do negócio ou segundo defaults genéricos? Está integrada aos fluxos de incidente ou opera como ilha? Há pessoal capacitado para interpretar sua saída? Existe revisão periódica de regras? Houve alinhamento entre risco de negócio e lógica técnica? Sem essas respostas, a ferramenta pode até funcionar tecnicamente, mas não produzir redução real de risco.

Esse ponto se conecta diretamente com a reflexão sobre misconfigurações. Os controles muitas vezes existem, mas estão incorretamente configurados, e que auditoria contínua de configurações é essencial para evitar exposições preveníveis. Esse talvez seja um dos aprendizados mais duros da vida real: a empresa raramente sofre apenas por ausência absoluta de controle. Ela sofre com enorme frequência por controle mal configurado. E o controle mal configurado é traiçoeiro porque ele produz uma sensação de proteção maior do que a proteção real. Um firewall existe, mas com regra permissiva demais. Um bucket existe, mas público. Uma política de retenção existe, mas aplicada ao repositório errado. Um monitor existe, mas sem correlação adequada. Uma automação existe, mas com exceções herdadas que ninguém mais compreende.

Do ponto de vista da gestão de riscos, misconfiguração é uma forma silenciosa de fragilidade estrutural. Ela normalmente nasce da soma de três fatores, que são a complexidade crescente, mudanças frequentes e baixa disciplina de revisão independente. À medida que a empresa acelera, integra novos sistemas, terceiriza partes da operação, adota nuvem, cria APIs, automatiza processos e faz ajustes rápidos para atender o negócio, a arquitetura vai acumulando camadas. Cada nova camada traz parâmetros. Cada parâmetro traz risco de erro. Cada erro pequeno pode abrir uma superfície relevante de exposição. Se a governança de configuração não acompanha a velocidade da mudança, a empresa entra em um ciclo em que o ambiente parece sofisticado, porém está cada vez menos inteligível. E risco que ninguém mais entende é risco que amadurece fora do radar.

Na minha leitura a grande lição aqui é que configuração não deve ser tratada como detalhe técnico. Configuração é decisão de risco materializada em parâmetro. Uma regra mal definida pode alterar exposição regulatória, integridade de dados, confidencialidade de informações, disponibilidade de processo crítico e até cadeia de responsabilidades em caso de incidente. Portanto, a disciplina de configuração precisa ser vista como um ponto de governança, com padrão mínimo, revisão periódica, controle de mudança e trilha robusta.

A reflexão seguinte aprofunda ainda mais essa lógica ao tratar da gestão de vulnerabilidades. A gestão falha muitas vezes, apesar do scanning regular, porque detecção sem remediação tempestiva, sem dono claro e sem priorização adequada não resolve o problema. Esse é outro mito corporativo que precisa ser desmontado sobre o de que encontrar vulnerabilidades é equivalente a geri-las. Não é. Encontrar é só o começo. A parte difícil é decidir o que corrigir primeiro, quem responde por cada correção, como equilibrar risco técnico e impacto operacional, como lidar com dependências de negócio, como evitar acumulação eterna de pendências e como impedir que a fila de achados vire apenas um estoque administrado de exposição conhecida.

Muitas empresas já têm boa capacidade de identificação. O scanner roda, o relatório sai, os achados são classificados, os dashboards se atualizam. Mas a maturidade verdadeira não está na beleza do painel. Está na velocidade e na inteligência da resposta. A vulnerabilidade que permanece aberta por falta de dono, por conflito entre tecnologia e negócio, por dificuldade de janela de manutenção, por dependência de fornecedor ou por simples normalização da fila continua sendo risco exposto. Em outras palavras, vulnerabilidade conhecida e não tratada é uma forma de risco aceito, ainda que ninguém tenha tido coragem de dizer isso explicitamente.

Do ponto de vista de um gestor de riscos, a pergunta certa não é sobre “quantas vulnerabilidades temos?”. Essa pergunta é pobre, porque volume isolado diz pouco. A pergunta mais importante é sobre “quais vulnerabilidades relevantes permanecem abertas em ativos críticos, há quanto tempo, com quais compensadores, sob qual justificativa, com qual validação de aceitação e com qual possibilidade de exploração?”. Esse tipo de pergunta obriga a empresa a sair da contabilidade de achados e entrar na governança de exposição. É isso que transforma um processo de segurança em um processo efetivo de gestão de riscos.

Trago agora outra lição decisiva, de que logging sem análise adequada é ineficaz. Os logs produzem evidência, mas precisam ser monitorados ativamente e correlacionados; logging passivo não previne incidentes. Esse ponto é importante porque desmonta a crença de que registrar é o mesmo que vigiar. Não é. Registrar sem observar é apenas arquivar passado. A empresa pode gerar um volume monumental de eventos, acessos, tentativas, transações, erros, mudanças e exceções. Se essa massa de informação não for transformada em detecção útil, priorização, alerta contextual e resposta tempestiva, ela se torna memorial de falhas, não barreira de prevenção.

O que vejo com frequência é a empresa se orgulhar da quantidade de logs coletados, mas não conseguir responder perguntas simples quando realmente precisa sobre se houve acesso anômalo? Em que janela? Por qual credencial? Com que padrão? Antes de qual alteração? O evento foi isolado ou parte de uma sequência? Houve movimentação lateral? Houve extração? O comportamento divergente já tinha ocorrido antes? Sem capacidade analítica, o log perde grande parte do seu valor gerencial. Ele continua útil para investigação posterior, claro. Mas gestão de riscos não vive apenas de autópsia. Ela precisa de detecção precoce.

Isso se torna ainda mais relevante em ambientes regulados. Porque o log não serve apenas para tecnologia. Ele serve para accountability, para rastreabilidade decisória, para defesa perante regulador, para investigação interna, para resposta a cliente, para suporte a auditoria e para validação de efetividade de controle. Portanto o log bem governado não é mera infraestrutura; é instrumento de governança. Mas para cumprir esse papel precisa de qualidade, retenção adequada, integridade, correlação e uso efetivo.

Trago ainda mais um tema que muitas empresas só lembram tarde demais, que é o descarte de hardware como processo de segurança. Pois os dispositivos antigos podem continuar armazenando informações sensíveis se não forem higienizados, e que o descarte seguro evita vazamentos. Essa lição é quase emblemática porque mostra como o risco não termina quando o ativo deixa de ser útil operacionalmente. Ele pode continuar vivo no resíduo. E o resíduo em gestão de riscos, é sempre subestimado. Quando um notebook, um servidor, um disco, um storage, um backup físico ou qualquer mídia sai do ambiente sem tratamento adequado, a empresa não está apenas encerrando um ciclo de ativo; ela pode estar transferindo informação sensível para fora de seu perímetro de controle.

Na prática, isso revela uma fragilidade comum: a empresa costuma dedicar muita energia à entrada do ativo e pouca energia à sua saída. Compra-se com critério, instala-se com processo, opera-se com rotina, mas descomissiona-se com pressa. E é justamente nesse ponto que informações de clientes, credenciais, documentos internos, dados financeiros, artefatos de desenvolvimento e bases históricas podem escapar. O gestor de riscos mais experiente aprende a olhar para todo o ciclo de vida do ativo, não apenas para a fase em que ele gera produtividade. Porque o risco acompanha o ativo até o seu descarte final.

A próxima reflexão fala de projetos temporários, pilotos e iniciativas paralelas. Em que os projetos experimentais ou não oficiais podem contornar revisões normais de segurança e compliance e, apesar de “temporários”, introduzir vulnerabilidades e lacunas regulatórias duradouras. Esse é um dos pontos mais atuais do documento. Vivemos uma era em que inovação, agilidade e prova de conceito são tratadas como virtudes necessárias. E são mesmo. O problema começa quando a velocidade da experimentação passa a ser usada como justificativa tácita para suspender padrões mínimos de governança. O projeto “pequeno” vira exceção. A exceção vira hábito. O hábito vira ambiente paralelo. E o ambiente paralelo, quando percebe, já está processando dados reais, usando acessos produtivos, integrando sistemas centrais e gerando obrigação regulatória sem ter passado pelos ritos mínimos de avaliação.

Sob a ótica de um gestor de riscos, projeto temporário não é projeto irrelevante. Muitas vezes é justamente o contrário. Ele é mais perigoso porque nasce sem as travas institucionais do ambiente formal. Pode não ter owner claro, não ter classificação de dados madura, não ter segregação adequada, não ter gestão de acessos robusta, não ter trilha documental consistente e não ter avaliação jurídica ou regulatória proporcional ao que já está movimentando. O provisório é uma das formas preferidas de entrada do risco porque ele opera com baixa visibilidade institucional. Por isso uma empresa madura não tenta matar a inovação; ela cria um trilho leve, porém obrigatório, para que toda experimentação tenha ao menos um piso mínimo de análise de risco, proteção de dados, segurança e rastreabilidade.

Não poderia deixar de comentar sobre a inteligência artificial, e aqui a conversa sobe de patamar. A primeira grande mensagem é que a governança de IA precisa estar integrada ao sistema de gestão da informação, porque IA introduz riscos como viés, envenenamento de dados e erros de modelo, afetando tanto o negócio quanto a conformidade. A orientação central é tratar a IA como ativo informacional com estrutura própria de risco e governança. Essa afirmação é muito relevante porque combate a visão ingênua de que IA seria apenas mais uma camada de software. Não é. IA altera a forma como a empresa decide, processa, prioriza, vigia, responde e interage. E tudo aquilo que altera decisão e tratamento de informação altera também o mapa de riscos.

No ambiente empresarial, especialmente no brasileiro, isso é enorme. Quando uma empresa passa a usar IA em recrutamento, atendimento, antifraude, crédito, marketing, monitoramento de transações, triagem documental, apoio jurídico, segurança física ou automação operacional, ela não está apenas ganhando eficiência. Ela está também expondo a empresa a riscos de viés, erro sistêmico, opacidade decisória, uso inadequado de dados, fragilidade de supervisão humana, questionamento regulatório, potencial discriminação, vazamento de segredos de negócio e conflito com princípios de privacidade e finalidade. Uma governança madura precisa trazer isso para dentro do radar institucional, e não deixar a discussão confinada ao entusiasmo técnico das áreas que implementam a solução.

A reflexão seguinte complementa a anterior ao dizer que a alfabetização em IA deve fazer parte da conscientização de segurança dos colaboradores, porque o uso inadequado de ferramentas de IA pode vazar informação sensível ou propriedade intelectual. Esse ponto é particularmente atual. Muitas empresas estão vendo seus colaboradores adotar ferramentas públicas ou semigovernadas de IA de forma espontânea, em busca de produtividade, resumo, revisão de texto, apoio analítico ou automação de tarefas. O ganho pode ser real. O risco também. Se a empresa não educar claramente o que pode e o que não pode ser inserido nessas ferramentas, estará permitindo que dados confidenciais, documentos sensíveis, códigos proprietários, estratégias comerciais ou informações pessoais trafeguem para ambientes que não estão sob sua governança direta.

E aqui aparece uma lição importante de que a conscientização em IA não pode ser apenas técnica, mas precisa ser também ética, jurídica e operacional. O colaborador precisa entender não apenas que “há risco”, mas qual risco, para quem, com que consequência e sob quais exemplos concretos. Precisa saber quando uma interação com IA é aceitável, quando precisa de autorização, quando exige anonimização, quando demanda ambiente corporativo controlado e quando simplesmente não deve ocorrer. Sem essa alfabetização a empresa cria um novo vetor de exposição não por ataque, mas por uso normalizado e mal compreendido da inovação.

Queria também advertir de que a IA introduz novas superfícies de ataque, já que modelos podem ser manipulados por prompt injection ou dados de treinamento contaminados, devendo ser tratados tanto como ativos quanto como vetores potenciais de risco. Essa é uma mudança profunda de paradigma. No passado, a empresa pensava a maior parte dos seus ativos digitais em categorias relativamente familiares como aplicação, base de dados, endpoint, rede, servidor. Agora passa a lidar com modelos que podem ser induzidos, manipulados, enganados, extraídos, contaminados ou desviados da finalidade. Isso exige uma expansão do repertório de segurança e de gestão de riscos.

Do ponto de vista gerencial, isso significa que o debate sobre IA não pode ficar só na pergunta sobre se “o modelo funciona?”. Mas é preciso perguntar sobre “como ele pode ser manipulado?”, “que dependência ele cria?”, “qual a integridade do dado que o alimenta?”, “quais controles cercam suas entradas?”, “quem valida saídas críticas?”, “que comportamento anômalo indicaria ataque ou degradação?”, “há ambiente de teste robusto?”, “como se controla mudança de versão?”. Sem essas perguntas, a empresa pode adotar IA de forma funcional, porém insegura. E insegurança em IA não necessariamente aparece como indisponibilidade. Muitas vezes ela aparece como decisão errada, recomendação enviesada, bypass de regra de fraude ou degradação silenciosa da confiança.

Queria agora fazer outra observação fundamental de que os modelos de IA devem ser tratados como ativos sensíveis, porque podem conter algoritmos proprietários e dados de treinamento relevantes, e sua exposição pode gerar roubo de propriedade intelectual ou violações de conformidade. Esse ponto é importante porque muitas empresas ainda não classificaram adequadamente seus próprios modelos. Elas protegem a base de dados, protegem o código-fonte, protegem os documentos legais, mas não necessariamente tratam o modelo treinado como ativo crítico. Só que o modelo pode condensar estratégia, lógica de negócio, curadoria de dados, know-how analítico e vantagem competitiva. Perder esse ativo pode significar não apenas incidente de segurança, mas erosão de valor empresarial.

Para um gestor de riscos a pergunta aqui é simples e poderosa se a empresa sabe quais modelos são críticos, onde estão, quem acessa, como são versionados, como são armazenados, como são testados, quem pode exportá-los, como são descartados e qual o plano em caso de comprometimento? Se a resposta for nebulosa, a governança ainda não alcançou a maturidade exigida por essa nova realidade.

Queria ainda lembrar de que sistemas de vigilância apoiados por IA exigem governança muito cuidadosa, porque levantam preocupações de privacidade, ética e regulação quando mal utilizados. Essa última reflexão é especialmente relevante porque toca num ponto em que eficiência operacional e direitos individuais podem entrar em tensão. Reconhecimento facial, monitoramento comportamental, análise automatizada de imagem, triagem de acesso, vigilância interna e controles perimetrais com IA podem oferecer ganhos de segurança, mas também podem produzir identificação errada, discriminação, excesso de coleta, uso desproporcional de dados e conflitos com princípios de necessidade, proporcionalidade e finalidade.

Na realidade brasileira, isso conversa diretamente com privacidade, proteção de dados, governança corporativa, ambiente de trabalho, relacionamento com clientes, reputação e potencial passivo jurídico. O gestor de riscos experiente não rejeita a tecnologia por medo. Mas também não a abraça sem governança. Ele entende que toda tecnologia que aumenta capacidade de observação aumenta também a responsabilidade da empresa sobre como, por que, até onde e sob quais salvaguardas essa observação será exercida. Em outras palavras, quando a empresa amplia seu poder tecnológico, precisa ampliar na mesma medida sua disciplina ética e sua responsabilidade institucional.

Se eu tivesse de resumir a essência destes pontos todos em uma ideia importante, eu diria o seguinte de que a maior parte dos riscos mais perigosos da empresa contemporânea nasce quando capacidade operacional cresce mais rápido do que capacidade de governança. Isso vale para acessos privilegiados, ferramentas, configurações, vulnerabilidades, logs, descarte de ativos, inovação paralela e inteligência artificial. Em todos esses casos, o padrão é o mesmo. A empresa ganha poder, escala, velocidade ou eficiência. Mas se não construir supervisão equivalente, esse ganho vem acompanhado de exposição. E a exposição raramente se anuncia de forma dramática no começo. Ela amadurece silenciosamente, misturada à normalidade.

É por isso que, na perspectiva de um gestor de riscos experiente, governança não é um freio cego à inovação, mas a governança é o que impede que a inovação se transforme em fragilidade disfarçada de avanço. É o que impede que o privilégio se transforme em dano sistêmico. É o que impede que a ferramenta vire placebo tecnológico. É o que impede que a configuração errada se torne a principal vulnerabilidade da empresa. É o que impede que o log vire apenas arquivo morto. É o que impede que o descarte final de um ativo se torne o início de um vazamento. É o que impede que o projeto provisório produza obrigação permanente. E é o que impede que a IA, em vez de ampliar inteligência empresarial, amplie apenas a velocidade com que a empresa decide sem compreender integralmente o risco que criou.

No fundo todos estes pontos giram em torno de uma mesma maturidade, que é a de trocar a pergunta sobre se “temos controle?”, pela pergunta sobre se “esse controle continua vivo, proporcional, inteligível e efetivo onde o risco realmente acontece?”. Quando a empresa aprende a fazer essa pergunta com honestidade, ela sai da governança decorativa e entra na governança transformadora. E essa para mim é a diferença entre a empresa que apenas parece organizada e a empresa que realmente está construindo resiliência.