A Ilusão do Controle

Vivemos cercados por instrumentos de controle.

Painéis de indicadores acompanham operações em tempo real. Sistemas registram acessos, movimentações, transações e comportamentos. Algoritmos identificam padrões. Auditorias verificam procedimentos. Políticas internas distribuem responsabilidades. Contratos procuram antecipar conflitos. Regulamentos estabelecem obrigações cada vez mais detalhadas. Ferramentas tecnológicas prometem previsibilidade, eficiência e segurança.

Nunca produzimos tantos dados sobre o funcionamento das organizações. Nunca tivemos tantos mecanismos para monitorar processos, documentar decisões e identificar desvios. E, ainda assim, crises continuam acontecendo.

Empresas tecnologicamente sofisticadas sofrem ataques cibernéticos. Organizações altamente reguladas enfrentam falhas graves de conformidade. Instituições dotadas de políticas, comitês e controles são surpreendidas por fraudes, conflitos internos, interrupções operacionais e danos reputacionais.

Talvez o problema não esteja apenas na falta de controle. Talvez esteja também na confiança excessiva que depositamos naquilo que acreditamos controlar.

Quanto mais complexos se tornam os sistemas, maior parece ser nossa necessidade de representá-los por meio de números, fluxos, mapas, relatórios, normas e modelos. Esses instrumentos são indispensáveis. Sem eles, organizações de qualquer porte dificilmente conseguiriam coordenar pessoas, tecnologias, recursos, riscos e responsabilidades.

O equívoco começa quando confundimos a representação do sistema com o próprio sistema. Um painel não é a operação. Um indicador não é a realidade. Uma política não é o comportamento. Um contrato não é a relação. Um relatório de riscos não é o risco.

Um mapa de processos não contém todas as decisões informais, exceções, pressões, improvisos e dependências que atravessam o funcionamento cotidiano de uma organização.

Os mecanismos de controle simplificam a realidade para torná-la administrável. Essa simplificação é necessária. Nenhuma liderança consegue acompanhar diretamente todos os acontecimentos de uma estrutura empresarial. Nenhum gestor consegue processar cada variável envolvida em uma cadeia de fornecedores, em uma infraestrutura tecnológica, em um ambiente regulado ou em uma organização composta por diferentes áreas, interesses e níveis decisórios.

Controlar pressupõe selecionar. Selecionamos o que será medido, quem será responsável, quais eventos serão registrados, quais riscos serão priorizados e quais comportamentos serão considerados aceitáveis. Ao fazê-lo, tornamos alguns elementos visíveis e deixamos outros fora do campo de observação. 

Todo sistema de controle, portanto, possui pontos cegos. Essa constatação não significa que controles sejam inúteis. Significa que nenhum controle pode ser tratado como uma reprodução integral da realidade. Ele é sempre uma forma parcial de observação.

Niklas Luhmann oferece uma chave importante para compreender essa dificuldade. Em sua teoria dos sistemas sociais, a complexidade não corresponde apenas à existência de muitos elementos, mas à impossibilidade de conectar simultaneamente todas as possibilidades existentes. Diante de um ambiente complexo, os sistemas precisam selecionar informações, relações e respostas. Sem essa seleção, nenhuma decisão seria possível.

O problema é que toda seleção também produz exclusão. Aquilo que o sistema observa passa a orientar suas decisões. Aquilo que não consegue observar pode continuar existindo, acumulando efeitos e influenciando resultados sem aparecer nos relatórios formais.

A organização acompanha os indicadores que escolheu, mas pode deixar de perceber justamente o fenômeno que ainda não aprendeu a medir. Fiscaliza os procedimentos conhecidos, mas talvez não identifique os atalhos informais que surgem na operação. Avalia os riscos já classificados, mas permanece vulnerável às combinações inesperadas entre fatores aparentemente independentes.

A complexidade não desaparece porque foi organizada em uma planilha. Ela apenas se torna temporariamente representável. Essa distinção é central para a governança contemporânea.

A finalidade dos controles não deve ser criar a crença de que tudo está dominado, mas permitir que a organização opere reconhecendo os limites do próprio conhecimento. A maturidade não está em afirmar que o risco foi eliminado. Está em compreender o que é conhecido, o que é apenas estimado e o que permanece fora do campo de observação.

Entretanto, quanto mais sofisticados se tornam os sistemas de monitoramento, maior pode ser a sensação de que a realidade está integralmente capturada. Esse fenômeno aparece com clareza na relação das organizações com os dados.

 A disponibilidade de grandes volumes de informação produz a impressão de que decisões passaram a ser objetivas. Indicadores, métricas e análises preditivas parecem reduzir o espaço da incerteza e da subjetividade. Mas dados não falam por si mesmos.

Eles precisam ser selecionados, classificados, interpretados e contextualizados. Todo indicador decorre de uma decisão anterior sobre aquilo que merece ser medido. Toda métrica privilegia determinados aspectos da realidade e deixa outros em segundo plano. Todo modelo é construído a partir de premissas que podem deixar de ser válidas quando o ambiente se transforma.

Uma organização pode possuir dados corretos e, ainda assim, chegar a conclusões equivocadas. Pode medir com precisão aquilo que deixou de ser relevante. Pode acompanhar resultados passados e acreditar que eles descrevem adequadamente o futuro. Pode aperfeiçoar indicadores de desempenho sem perceber que os próprios indicadores estão induzindo comportamentos indesejados. Pode transformar uma medida em meta e, ao fazê-lo, alterar a conduta das pessoas que deveriam apenas ser observadas por ela.

Quando profissionais sabem que serão avaliados por determinado número, passam naturalmente a organizar suas decisões em torno dele. Isso não decorre necessariamente de má intenção. É uma resposta previsível aos incentivos criados pela própria estrutura de controle. Se a organização mede velocidade, pode perder qualidade. Se mede quantidade, pode estimular entregas superficiais. Se mede ausência de reclamações, pode desencorajar o registro de problemas. Se mede o número de treinamentos realizados, pode acreditar que a cultura foi transformada sem verificar se houve compreensão ou mudança de comportamento. Se mede apenas incidentes reportados, pode interpretar o silêncio como ausência de risco, quando ele talvez revele falta de confiança nos canais internos.

O controle modifica o ambiente que procura controlar. Esse é um dos aspectos mais delicados dos sistemas complexos: pessoas, organizações e instituições reagem às regras, métricas e expectativas estabelecidas sobre elas. Diferentemente de uma máquina simples, uma organização aprende, adapta-se, contorna obstáculos, cria soluções informais e desenvolve comportamentos que nem sempre foram previstos no desenho original.

Por isso, sistemas sociais não podem ser controlados da mesma forma que mecanismos inteiramente previsíveis.

Herbert Simon demonstrou que a racionalidade humana é limitada. Gestores decidem sob restrições de tempo, informação, atenção e capacidade cognitiva. Não conhecem todas as alternativas possíveis, não conseguem calcular integralmente todas as consequências e não operam em ambientes de perfeita estabilidade.

A tecnologia amplia a capacidade de processamento, mas não elimina essas limitações. Em alguns casos, pode até ocultá-las.

Quanto mais sofisticada é uma ferramenta, maior pode ser a tendência de confiar em suas respostas sem compreender suficientemente as premissas que as produziram. A decisão parece tecnicamente fundamentada porque foi apresentada por meio de gráficos, percentuais, classificações ou modelos preditivos. A estética da precisão pode substituir a reflexão crítica.

A inteligência artificial torna essa questão ainda mais relevante. Sistemas automatizados conseguem processar volumes de dados impossíveis para uma equipe humana, identificar correlações, classificar eventos e apoiar decisões com grande velocidade. Essas capacidades são reais e transformadoras.

Mas velocidade não é sinônimo de compreensão. Correlação não é necessariamente causalidade. Previsão não é certeza. Automação não é neutralidade.

Um sistema pode reproduzir vieses presentes nos dados, operar com informações incompletas, interpretar inadequadamente situações excepcionais ou fornecer respostas convincentes em contextos nos quais sua confiabilidade é limitada.

O risco não está apenas na possibilidade de erro tecnológico. Está na transferência silenciosa da responsabilidade decisória.

Quando a ferramenta passa a ser percebida como autoridade, as pessoas podem deixar de questionar resultados, verificar premissas ou reconhecer situações em que a experiência humana deveria prevalecer. A tecnologia, criada para apoiar a decisão, começa a funcionar como justificativa para não decidir.

A frase “foi o sistema que indicou” pode se tornar uma forma contemporânea de diluição da responsabilidade.

Governança tecnológica não consiste apenas em adquirir boas ferramentas. Exige compreender como elas produzem resultados, quais dados utilizam, quais limitações possuem, quem pode contestá-las e quem responde pelas decisões tomadas com seu apoio. A existência de automação aumenta, e não reduz, a necessidade de supervisão humana qualificada.

Charles Perrow, ao estudar acidentes em sistemas tecnológicos complexos, demonstrou que determinadas estruturas apresentam interações tão densas e acoplamentos tão estreitos que falhas pequenas podem combinar-se de maneiras inesperadas. Nesses ambientes, acidentes não resultam necessariamente de um único erro grave. Podem surgir da interação entre eventos banais, decisões localmente razoáveis e vulnerabilidades que, isoladamente, pareciam controladas.

Essa percepção desafia a visão tradicional de que todo problema pode ser prevenido mediante a identificação antecipada de sua causa. Em sistemas complexos, causa e efeito nem sempre mantêm uma relação linear. Uma falha pode permanecer sem consequência por longo período. Outra, aparentemente equivalente, pode encontrar condições específicas e desencadear um efeito sistêmico.

O mesmo controle pode funcionar centenas de vezes e falhar justamente quando diferentes fragilidades se alinham. A ilusão do controle nasce, em parte, da crença de que, se conhecemos os componentes, compreendemos o comportamento do conjunto.

Mas sistemas complexos possuem propriedades que não podem ser inteiramente explicadas pela análise isolada de suas partes. Relações, dependências e retroalimentações produzem consequências emergentes.

Uma organização pode possuir departamentos individualmente competentes e, ainda assim, falhar na comunicação entre eles. Pode ter contratos juridicamente adequados e uma operação que não os respeita. Pode possuir tecnologia avançada e pessoas despreparadas para utilizá-la. Pode cumprir obrigações regulatórias de forma fragmentada e permanecer incapaz de compreender o efeito conjunto de suas decisões.

O risco costuma surgir nas interfaces: entre o jurídico e a operação, entre a tecnologia e as pessoas, entre a direção e as equipes, entre a empresa e seus fornecedores, entre a regra formal e o comportamento real, entre aquilo que foi planejado e aquilo que se tornou necessário fazer diante de uma urgência.

Essas zonas de transição são particularmente difíceis de controlar porque muitas vezes não pertencem integralmente a ninguém. Cada área conhece sua parte, mas nenhuma possui visão suficiente do conjunto. As responsabilidades parecem distribuídas, quando na verdade podem estar dispersas.

É por isso que estruturas excessivamente compartimentalizadas podem aumentar a sensação de controle e, simultaneamente, reduzir a capacidade de perceber riscos sistêmicos. Cada área apresenta seus indicadores. Cada setor confirma o cumprimento de suas obrigações. Cada responsável demonstra que executou a tarefa sob sua atribuição. Ainda assim, o sistema pode falhar, porque ninguém conseguiu observar o todo.

Karl Weick, ao trabalhar o conceito de sensemaking , demonstra que organizações precisam construir sentido diante de situações ambíguas. Elas não apenas recebem informações: interpretam sinais, selecionam explicações e criam narrativas capazes de orientar a ação.

Em momentos de estabilidade, essas narrativas ajudam a organizar a realidade. O risco aparece quando passam a ser tratadas como verdades inquestionáveis: “nosso sistema é seguro”, “nossos fornecedores são confiáveis”, “nunca tivemos esse problema”, “nossa equipe sabe como agir”, “estamos em conformidade”.

Essas afirmações podem ser verdadeiras dentro de determinados limites. Mas também podem se transformar em premissas não testadas, repetidas até adquirirem aparência de certeza.

A cultura organizacional influencia aquilo que pode ser dito, questionado e reconhecido como risco. Quando a organização se identifica como altamente competente, segura ou madura, sinais contrários a essa narrativa podem ser minimizados.

Alertas passam a parecer exageros. Divergências são interpretadas como resistência. Testes são considerados desnecessários. Incidentes menores são tratados como eventos isolados. A reputação interna de eficiência começa a funcionar como obstáculo à percepção das próprias fragilidades.

A ilusão do controle, portanto, não decorre apenas de tecnologia ou excesso de confiança nos dados. Também nasce das histórias que as organizações contam sobre si mesmas. Quanto mais consistente é a narrativa, mais difícil pode ser reconhecer a informação que a contradiz.

Nassim Nicholas Taleb chama atenção para nossa dificuldade de lidar com acontecimentos raros, altamente impactantes e inadequadamente compreendidos a partir da experiência anterior. A ausência de um evento no passado não prova sua impossibilidade futura. Ainda assim, organizações frequentemente utilizam sua própria trajetória como principal fundamento para estimar segurança. “Isso nunca aconteceu” torna-se argumento para manter controles inalterados.

Mas o passado só registra os riscos que chegaram a se materializar ou foram identificados. Não revela necessariamente aqueles que permaneceram latentes, foram evitados por circunstâncias aleatórias ou surgiram recentemente com mudanças tecnológicas, regulatórias e sociais. A experiência é indispensável, mas pode produzir excesso de confiança quando utilizada fora do contexto em que foi construída.

A organização que operou durante anos sem grandes incidentes pode ter desenvolvido controles eficazes. Mas também pode ter sido beneficiada por condições que já não existem: menor exposição tecnológica, cadeia de fornecedores mais simples, menor volume de dados, reduzida pressão regulatória ou ausência de agentes interessados em explorar suas vulnerabilidades.

O fato de uma ponte ter suportado determinado peso no passado não significa que continuará segura se sua estrutura, sua utilização ou o ambiente ao redor forem alterados.

Sistemas complexos estão em permanente transformação: novos fornecedores são integrados, tecnologias são substituídas, pessoas deixam a organização, responsabilidades são redistribuídas, processos são automatizados, dados se acumulam, exigências regulatórias aumentam, exceções temporárias tornam-se permanentes...

Cada mudança altera relações e pode criar riscos que não existiam no desenho anterior. Por isso, controle não é um estado alcançado de uma vez por todas. É uma capacidade que precisa ser continuamente revisada.

Governança madura não afirma que tudo está sob controle. Pergunta constantemente quais condições tornaram possível o controle existente e se essas condições ainda permanecem. Essa diferença de postura é decisiva.

Organizações frágeis procuram certezas. Organizações maduras procuram evidências, limites e sinais de mudança. A primeira utiliza políticas para afirmar segurança. A segunda testa se as políticas funcionam. A primeira interpreta a ausência de incidentes como confirmação. A segunda investiga se os incidentes estão sendo detectados e reportados. A primeira confia na existência do plano de continuidade. A segunda simula a interrupção e verifica se o plano é executável. A primeira considera a contratação de um fornecedor como encerramento da análise. A segunda acompanha a evolução do risco ao longo da relação. A primeira acredita que documentar uma responsabilidade é suficiente. A segunda verifica se o responsável possui autoridade, recursos, informação e condições para exercê-la.

O objetivo da governança não deve ser produzir a sensação de controle. Deve ser ampliar a capacidade de perceber quando o controle deixou de existir. 

Isso exige estruturas de contestação. Exige canais pelos quais alertas possam circular sem serem neutralizados pela hierarquia. Exige auditorias que não se limitem a confirmar documentos. Exige indicadores que possam ser questionados. Exige testes, simulações e revisões independentes. Exige memória institucional, mas também disposição para abandonar práticas que perderam aderência à realidade.

Exige, sobretudo, “humildade epistêmica”: o reconhecimento de que nenhuma organização conhece integralmente o sistema no qual atua. A humildade, nesse contexto, não significa insegurança ou paralisia, significa decidir com consciência dos limites da decisão.

Uma liderança madura não precisa saber tudo. Precisa saber que não sabe tudo e construir mecanismos para identificar, comunicar e tratar aquilo que escapa ao seu campo imediato de visão. 

Essa postura se torna ainda mais importante em ambientes regulados. O aumento do número de normas pode criar a impressão de que a realidade está adequadamente organizada porque existem regras para quase todos os temas relevantes.

Entretanto, uma conformidade formal não equivale a domínio operacional.

Uma organização pode possuir políticas para proteção de dados, segurança da informação, integridade, saúde e segurança, continuidade, gestão de terceiros e resposta a incidentes. Isso não significa que tenha compreendido como essas estruturas se relacionam.

A multiplicação de normas internas pode produzir fragmentação. Cada política cria obrigações, responsáveis e procedimentos próprios. Sem integração, a organização passa a administrar documentos paralelos que raramente se encontram na realidade.

Um incidente cibernético pode envolver simultaneamente segurança da informação, proteção de dados, contratos, comunicação, continuidade operacional, responsabilidade civil (e até criminal) relações trabalhistas e obrigações regulatórias. Se cada área observar apenas sua própria norma, o conjunto pode reagir de forma descoordenada.

A complexidade não respeita organogramas. Também não respeita fronteiras disciplinares. Problemas reais atravessam departamentos, contratos, sistemas e níveis decisórios. Por isso, a governança precisa criar espaços de integração capazes de reconstruir o sistema para além de suas divisões formais.

A resposta à complexidade não é abandonar os controles. É abandonar a ingenuidade de acreditar que eles falam por si mesmos.

Controles precisam ser interpretados, testados e conectados. Precisam conviver com mecanismos de escuta, aprendizagem e adaptação. Precisam permitir que informações desconfortáveis cheguem a quem decide.

A organização que acredita controlar tudo tende a tratar a surpresa como exceção.

A organização que reconhece a complexidade trata a surpresa como possibilidade estrutural e se prepara para aprender rapidamente com ela.

Esse talvez seja o ponto mais importante. Não é possível eliminar integralmente a incerteza. Mas é possível evitar que a confiança excessiva torne a organização incapaz de reagir quando suas premissas deixam de funcionar.

A ilusão do controle não está em utilizar dados, normas, tecnologia ou indicadores. Está em esquecer que todos eles são instrumentos parciais, construídos para observar uma realidade maior do que sua capacidade de representação. Quanto mais sofisticado é o instrumento, mais sedutora pode ser a crença de que finalmente compreendemos o sistema.

Mas a complexidade não se deixa dominar apenas porque aprendemos a visualizá-la. Ela exige monitoramento, integração, revisão e capacidade permanente de dúvida. Talvez a forma mais madura de controle não seja afirmar que tudo está previsto, mas construir uma organização capaz de perceber rapidamente aquilo que não previu.

Governar não é eliminar a incerteza. É impedir que a certeza aparente nos torne incapazes de enxergar o que mudou. Porque o maior risco de um sistema complexo não é apenas aquilo que desconhecemos.

É aquilo que acreditamos conhecer suficientemente e, por isso, deixamos de questionar.

Para continuar a reflexão

As reflexões desenvolvidas neste artigo dialogam com a teoria dos sistemas sociais, os estudos sobre racionalidade limitada, construção de sentido nas organizações, acidentes em sistemas complexos, vieses cognitivos e incerteza.

KAHNEMAN, Daniel. Rápido e devagar: duas formas de pensar. Tradução de Cássio de Arantes Leite. Rio de Janeiro: Objetiva, 2012. 608 p.

LUHMANN, Niklas. Sistemas sociais: esboço de uma teoria geral. Petrópolis, RJ: Vozes, 2016. 573 p.

PERROW, Charles. Normal Accidents: Living with High-Risk Technologies. Updated edition. Princeton: Princeton University Press, 1999. 451 p.

SIMON, Herbert A. Administrative Behavior: A Study of Decision-Making Processes in Administrative Organizations. 4. ed. New York: Free Press, 1997. XV, 368 p.

TALEB, Nassim Nicholas. A lógica do Cisne Negro: o impacto do altamente improvável. Edição revista e ampliada. Tradução de Renato Marques de Oliveira. Rio de Janeiro: Objetiva, 2021. 528 p.

WEICK, Karl E. Sensemaking in Organizations. Thousand Oaks, CA: SAGE Publications, 1995. 248 p.

Se você tem interesse em deixar a sua empresa em conformidade com a LGPD, conheça meu trabalho como DPOaaS

Você também pode comprar agora o meu treinamento: Fundamentos da LGPD