Quando a Prevenção Parece Cara

Existe uma pergunta que atravessa praticamente todas as organizações, independentemente do seu porte, do setor em que atuam ou do grau de maturidade de sua governança:

“Precisamos realmente investir nisso agora?”

A dúvida pode surgir diante da implantação de um programa de compliance, da contratação de uma auditoria independente, da revisão de contratos estratégicos, da implementação de um programa de proteção de dados, da aquisição de ferramentas de segurança da informação, da criação de um canal de denúncias ou da elaboração de um plano de continuidade dos negócios.

Os projetos mudam. Os riscos mudam. As tecnologias mudam. Mas a pergunta permanece surpreendentemente constante. E, na maioria das vezes, parece razoável.

Se a organização nunca sofreu um ataque cibernético relevante, por que investir tanto em segurança? Se nunca recebeu uma sanção regulatória, por que ampliar controles internos? Se jamais enfrentou um grande conflito societário, por que revisar acordos que aparentemente sempre funcionaram? Se nenhum fornecedor causou problemas até hoje, por que aprofundar processos de diligência e auditoria sobre terceiros?

Sob uma perspectiva imediata, todas essas perguntas parecem economicamente racionais. Na verdade, contudo, elas revelam uma das maiores limitações da racionalidade humana diante de ambientes complexos.

Temos enorme dificuldade para atribuir valor econômico a acontecimentos que ainda não ocorreram e, principalmente, àqueles que talvez nunca ocorram justamente porque decidimos preveni-los.

A distinção parece sutil, mas talvez esteja no centro de uma das maiores fragilidades da gestão contemporânea.

Durante décadas, acostumamo-nos a medir investimentos por indicadores relativamente objetivos. Avaliamos retorno financeiro, produtividade, crescimento de receita, redução de custos, eficiência operacional e desempenho comercial. Quando investimos em uma nova máquina, esperamos aumento de produção. Quando ampliamos a equipe comercial, esperamos crescimento das vendas. Quando automatizamos um processo, esperamos redução de tempo e de despesas.

A lógica parece simples porque existe uma relação relativamente visível entre investimento e resultado.

A prevenção, entretanto, desafia essa lógica.

Como calcular o retorno financeiro de um processo judicial que nunca foi ajuizado? Qual é o valor econômico de uma fraude que nunca aconteceu? Quanto vale uma reputação que nunca precisou ser reconstruída? Qual é o retorno sobre o investimento de um vazamento de dados que jamais ocorreu? Como mensurar o benefício de uma crise que deixou de existir antes mesmo de se tornar perceptível?

É justamente nesse ponto que a prevenção parece cara. Não porque necessariamente seja, mas porque seus resultados raramente aparecem sob a forma de acontecimentos concretos.

Eles aparecem como ausências: ausência de crise, de perdas, de interrupções, de danos reputacionais, de litígios e de sanções.

E a racionalidade humana não é particularmente eficiente em atribuir valor às ausências.

A prevenção trabalha com um resultado contrafactual. Para demonstrar sua utilidade, seria preciso comparar a realidade que efetivamente ocorreu com outra realidade que não chegou a existir: aquela em que o investimento não foi realizado e o risco se materializou. Essa comparação, porém, jamais pode ser feita com absoluta precisão.

Uma organização pode saber quanto gastou em segurança da informação, mas não consegue identificar exatamente quantos ataques deixaram de prosperar por causa desse investimento. Pode calcular o custo do programa de integridade, mas não determinar todas as fraudes, conflitos de interesse ou irregularidades que foram interrompidos antes de produzir dano. Pode mensurar o valor de uma revisão contratual, mas dificilmente saberá quantas disputas foram evitadas pela clareza das obrigações, pela adequada distribuição de riscos ou pela existência de mecanismos de solução de conflitos.

A despesa na remediação de uma crise é certa, imediata e contabilizável. O benefício da prevenção é probabilístico, distribuído no tempo e, frequentemente, impossível de individualizar.

É essa assimetria que fragiliza a prevenção nos processos orçamentários. O investimento preventivo precisa demonstrar seu valor antes da crise, quando o risco ainda é abstrato, contestável e sujeito a diferentes interpretações. A remediação, ao contrário, não precisa convencer ninguém da existência do problema. Quando a crise acontece, o dano já se tornou visível, a urgência já está instalada e o orçamento deixa de ser discutido apenas sob a lógica da oportunidade.

Depois de um incidente grave, recursos antes considerados excessivos tornam-se indispensáveis. Contratações que pareciam adiáveis passam a ser urgentes. Projetos que disputavam espaço no orçamento são aprovados em regime de emergência. A organização que hesitava em investir na prevenção descobre que a crise possui uma capacidade extraordinária de liberar recursos.

O orçamento da prevenção concorre com as necessidades do presente. O orçamento da remediação concorre apenas com a dimensão do desastre já ocorrido.

O autor Daniel Kahneman demonstra que nossa percepção de risco está longe de obedecer a critérios puramente estatísticos. Decidimos a partir de heurísticas, atalhos cognitivos, vieses e percepções intuitivas que frequentemente superestimam aquilo que está presente e subestimam aquilo que permanece apenas no campo das probabilidades.

Eventos recentes, concretos e emocionalmente marcantes exercem influência desproporcional sobre o julgamento. Riscos que nunca foram vivenciados pela organização, por outro lado, tendem a parecer mais distantes, menos prováveis e menos urgentes do que efetivamente são.

Em outras palavras, reagimos muito melhor ao dano visível do que ao risco potencial. Essa característica produz consequências profundas dentro das organizações.

Enquanto o orçamento destinado ao marketing gera campanhas que podem ser vistas, o investimento em segurança da informação produz, idealmente, apenas a continuidade normal das operações. Enquanto uma expansão física gera novas instalações, a revisão de processos internos gera maior confiabilidade. Enquanto uma nova unidade demonstra crescimento, um programa de gestão de riscos demonstra, na melhor das hipóteses, que nada extraordinário aconteceu.

A prevenção também sofre porque seus resultados são menos narráveis. É mais fácil contar a história de uma crise superada do que a história de uma crise que não existiu. O gestor que conduz uma resposta emergencial pode demonstrar decisões, mobilização de equipes, negociações, resultados e recuperação. O profissional que trabalhou durante anos para evitar o mesmo acontecimento apresenta controles, testes, treinamentos, análises e rotinas cujo principal resultado é a continuidade.

Por isso, a cultura organizacional frequentemente confere maior visibilidade a quem apaga incêndios do que a quem constrói estruturas para que eles não ocorram.

Essa distorção não significa que a resposta a crises seja menos relevante. Organizações maduras precisam estar preparadas tanto para prevenir quanto para responder. Nenhum sistema elimina integralmente o risco. Nenhum controle é infalível. Nenhuma política é capaz de antecipar todas as combinações possíveis de falhas humanas, tecnológicas e organizacionais.

O problema surge quando o heroísmo da reação substitui a disciplina da prevenção. Organizações não tomam decisões apenas com base em critérios técnicos. Tomam decisões por meio de pessoas. E pessoas convivem diariamente com restrições de tempo, atenção, informação e capacidade cognitiva.

Herbert Simon descreveu esse fenômeno por meio da teoria da racionalidade limitada. Diferentemente da figura idealizada do decisor perfeitamente racional, gestores decidem com informações incompletas, recursos escassos e capacidade limitada de processar todas as variáveis envolvidas.

Em ambientes empresariais, a decisão não acontece em condições abstratas de equilíbrio. Acontece entre pressões comerciais, metas de curto prazo, restrições de caixa, urgências operacionais, conflitos internos, obrigações regulatórias e expectativas de diferentes partes interessadas. O gestor não escolhe entre a prevenção e a ausência de prevenção em um cenário neutro. Ele escolhe entre investir em um risco futuro e atender demandas presentes, concretas e frequentemente urgentes.

Nesse contexto, é natural que investimentos cujos resultados são imediatos pareçam mais atraentes do que aqueles destinados a impedir acontecimentos futuros.

Mas natural não significa necessariamente adequado. É justamente aí que surge uma das funções mais sofisticadas da governança. Ela existe, entre outras razões, para compensar limites humanos previsíveis.

Governança não elimina vieses cognitivos: ela cria estruturas capazes de reduzir seus efeitos. Transforma memória individual em memória institucional. Transforma boas intenções em processos. Transforma experiências isoladas em aprendizagem organizacional. Transforma riscos difusos em responsabilidades claramente atribuídas. Transforma percepções intuitivas em decisões submetidas a critérios, evidências e instâncias de revisão.

Por isso, programas de integridade, proteção de dados, segurança da informação, controles internos e gestão de riscos não representam apenas mecanismos de conformidade regulatória. Representam instrumentos que ajudam as organizações a decidir melhor, inclusive quando a intuição sugere o contrário.

Uma governança madura não precisa saber com exatidão qual crise será evitada. Precisa reconhecer que determinadas vulnerabilidades não devem permanecer sem tratamento apenas porque ainda não produziram dano.

Isso não significa defender investimentos ilimitados, controles excessivos ou estruturas desproporcionais. Prevenção também exige racionalidade econômica. Nem todo risco justifica o mesmo tratamento. Nem toda organização precisa reproduzir modelos complexos concebidos para realidades distintas. Nem toda possibilidade remota merece consumir recursos que comprometam a própria continuidade do negócio.

A boa prevenção não se confunde com a eliminação absoluta do risco. Ela exige priorização, proporcionalidade e conhecimento da operação.

A questão central não é investir em tudo. É decidir conscientemente quais riscos podem ser aceitos, quais devem ser mitigados, quais precisam ser transferidos e quais são incompatíveis com a atividade, com os deveres jurídicos da organização ou com sua capacidade de continuidade.

O problema começa quando a aceitação do risco não resulta de uma decisão informada, mas da simples ausência de acontecimentos anteriores. “Isso nunca aconteceu na empresa” não é um critério de gestão de riscos. É apenas uma descrição do passado.

Nassim Nicholas Taleb chama atenção para a tendência humana de construir narrativas extremamente convincentes depois que acontecimentos extraordinários ocorrem. Após a crise, sinais antes dispersos passam a parecer evidentes. Condutas anteriormente toleradas são reinterpretadas como falhas graves. Fragilidades conhecidas ganham uma relevância que não receberam quando ainda poderiam ter sido corrigidas.

A retrospectiva organiza os fatos e cria a impressão de que o resultado era previsível. Antes do acontecimento, entretanto, esses mesmos sinais costumam ser tratados como exagero, burocracia, custo excessivo ou cautela desnecessária.

É exatamente nesse intervalo que a prevenção precisa sobreviver. Ela precisa justificar sua existência antes da evidência. Precisa disputar orçamento com necessidades concretas. Precisa convencer sem poder apresentar o desastre que ainda não aconteceu.

Talvez por isso tantas organizações reduzam investimentos preventivos justamente nos períodos em que tudo parece funcionar bem.

A ausência prolongada de incidentes pode produzir uma perigosa sensação de segurança. Com o tempo, controles passam a ser vistos como redundantes, testes são adiados, treinamentos perdem prioridade, revisões deixam de acontecer e exceções operacionais são normalizadas em nome da eficiência ou da economia de recursos.

O sucesso da prevenção começa, então, a corroer as condições que o tornaram possível. Quanto melhor ela funciona, maiores são as chances de que alguém conclua que nunca foi necessária. Essa é uma das mais sofisticadas armadilhas da gestão na atualidade: confundir ausência de crise com ausência de risco.

São coisas profundamente diferentes.

A ausência de crise pode significar maturidade institucional, competência e boa governança. Mas também pode significar apenas sorte. Pode revelar um sistema que ainda não foi suficientemente testado, um problema que não foi detectado, uma irregularidade que não foi reportada ou vulnerabilidades silenciosas aguardando a combinação correta de circunstâncias para se manifestarem.

A normalidade aparente não comprova, por si só, que os riscos estão sob controle.

Por isso, uma organização madura não se limita a perguntar se houve incidentes. Procura saber se os controles foram testados, se as vulnerabilidades conhecidas foram tratadas, se os planos de continuidade funcionam, se os acessos estão adequadamente geridos, se os contratos refletem a operação real, se os terceiros críticos foram avaliados, se os canais internos são confiáveis e se os responsáveis dispõem de informações suficientes para tomar decisões.

A prevenção precisa ser demonstrável. Isso exige indicadores capazes de medir não apenas a ocorrência de danos, mas a qualidade das estruturas que procuram evitá-los. Exige acompanhar testes de controles, tempo de tratamento de vulnerabilidades, efetividade de treinamentos, execução de planos de ação, cobertura de auditorias, diligência sobre terceiros, resposta a alertas, atualização documental e capacidade real de recuperação das operações.

A ausência de incidentes é relevante, mas não pode ser o único indicador de sucesso. Quando utilizada isoladamente, ela pode ocultar uma organização vulnerável que apenas ainda não enfrentou o evento capaz de revelar suas fragilidades.

Também é necessário reconhecer que os custos de uma crise raramente se limitam à reparação direta do dano. Há despesas jurídicas, tecnológicas e operacionais. Há paralisação de atividades, perda de produtividade, contratação emergencial de especialistas, investigações internas, comunicação de crise, notificações regulatórias, auditorias extraordinárias e revisão apressada de processos.

Há, ainda, custos mais difíceis de quantificar: desgaste da liderança, perda de confiança, desorganização das equipes, aumento da rotatividade, deterioração das relações com clientes e fornecedores, dificuldade de contratação, impacto reputacional e redução da capacidade de executar a estratégia. Uma crise consome dinheiro, mas também consome atenção institucional.

Durante sua administração, decisões estratégicas são adiadas, projetos são interrompidos e profissionais que deveriam trabalhar no crescimento da organização passam a trabalhar na contenção de danos. Esse custo de oportunidade raramente aparece integralmente na primeira estimativa financeira do incidente, mas pode se prolongar por meses ou anos.

É por isso que comparar o custo da prevenção apenas com o valor imediato do dano esperado produz uma análise incompleta. O risco organizacional não se resume à probabilidade de uma multa, de uma indenização ou de uma interrupção. Ele alcança a capacidade da instituição de manter sua operação, preservar confiança e continuar decidindo com racionalidade depois do acontecimento.

Uma organização madura compreende que o verdadeiro custo da prevenção não está apenas no investimento realizado. Está também no risco que permanece quando o investimento não é feito. A escolha de não prevenir não elimina o custo. Apenas transfere seu momento, sua forma e o poder de controlá-lo.

Quando a organização investe preventivamente, ainda consegue definir prioridades, avaliar alternativas, negociar fornecedores, planejar a implantação e adaptar as medidas à sua realidade. Quando a crise chega, essas escolhas se reduzem. O tempo passa a ser determinado pelo incidente, pelo órgão regulador, pelo Judiciário, pelos clientes, pela imprensa ou pela necessidade urgente de restabelecer a operação.

A prevenção permite que a organização escolha. A crise escolhe por ela. Por isso, o verdadeiro custo está em descobrir o valor da prevenção apenas depois que já não existe mais a possibilidade de adotá-la nas mesmas condições.

Toda prevenção parece cara quando comparada ao custo de um problema que ainda não existe. Mas, quando o problema finalmente chega, a discussão deixa de ser quanto custava preveni-lo. Passa a ser quanto custará reparar aquilo que poderia ter sido evitado - e quanto da organização permanecerá intacto depois dessa reparação.

O desafio da governança contemporânea não é prometer que nenhuma crise acontecerá. Essa promessa seria incompatível com a própria complexidade dos sistemas organizacionais. Seu papel é outro: impedir que riscos conhecidos sejam ignorados; evitar que a normalidade aparente substitua a avaliação crítica; assegurar que decisões de não investir sejam conscientes, documentadas e compatíveis com o risco assumido; e construir capacidade institucional para prevenir o que é prevenível e responder com maturidade ao que não puder ser evitado.

A prevenção não deve ser defendida por meio do medo, nem pela multiplicação indiscriminada de controles. Deve ser sustentada pela compreensão de que decisões responsáveis não podem depender apenas daquilo que já aconteceu  ou do que ainda não aconteceu. Governar é também decidir em favor de realidades que esperamos nunca conhecer.

É investir em continuidade antes da interrupção, em segurança antes do ataque, em integridade antes da fraude, em clareza antes do conflito e em confiança antes que seja necessário reconstruí-la. 

A prevenção parece cara porque apresenta sua conta antecipadamente. A crise parece distante porque ainda não apresentou a dela.

O problema é que, quando essa segunda conta chega, a organização já não controla integralmente nem o momento, nem o valor, nem as condições de pagamento.

Para continuar a reflexão

As reflexões desenvolvidas neste artigo dialogam especialmente com estudos sobre vieses cognitivos, racionalidade limitada, tomada de decisão organizacional, probabilidade e incerteza.

KAHNEMAN, Daniel. Rápido e devagar: duas formas de pensar. Tradução de Cássio de Arantes Leite. Rio de Janeiro: Objetiva, 2012. 608 p.

SIMON, Herbert A. Administrative behavior: a study of decision-making processes in administrative organizations. 4. ed. New York: Free Press, 1997. XV, 368 p.

TALEB, Nassim Nicholas. A lógica do Cisne Negro: o impacto do altamente improvável. Edição revista e ampliada. Tradução de Renato Marques de Oliveira. Rio de Janeiro: Objetiva, 2021. 528 p.

Se você tem interesse em deixar a sua empresa em conformidade com a LGPD, conheça meu trabalho como DPOaaS

Você também pode comprar agora o meu treinamento: Fundamentos da LGPD