A cena acontece em empresas de todos os portes. Na reunião mensal de diretoria, o responsável pela tecnologia ou pela segurança apresenta os resultados do programa de conscientização: 97% dos funcionários concluíram o treinamento, a taxa de cliques nos testes de phishing caiu e nenhum incidente relevante foi registrado no período. Os diretores agradecem, o slide avança e a pauta segue para o próximo tema.

Ninguém fez a pergunta que importa: a empresa está mais ou menos exposta a um golpe do que estava há seis meses? E ninguém fez porque os números apresentados não permitem respondê-la.

A segurança digital deixou de ser um assunto restrito à área de tecnologia. Segundo o Gartner, 88% das lideranças empresariais já tratam o risco cibernético como um risco de negócio, na mesma categoria dos riscos financeiros e operacionais. Fraudes por e-mail, golpes de boleto, sequestro de dados e o já conhecido golpe do falso executivo, em que criminosos se passam pelo dono ou diretor da empresa para autorizar pagamentos, atingem companhias de qualquer tamanho, com ou sem equipe dedicada de segurança. O tema chegou à mesa da diretoria. O que ainda não chegou foi a informação certa para discuti-lo.

A diretoria recebe atividade, mas precisa de exposição

Boa parte dos reportes sobre o fator humano que chegam à direção das empresas é composta por métricas de atividade e medição de passagem de conhecimento: percentual de conclusão de cursos, notas em avaliações, taxa de cliques em testes simulados. São indicadores úteis para quem administra o programa, mas insuficientes para quem decide.

A comparação com a área financeira ajuda a entender o problema. Nenhum diretor financeiro apresenta à diretoria quantas notas fiscais foram emitidas no mês. Ele apresenta margem, inadimplência, fluxo de caixa, tendência. O reporte sobre risco humano precisa fazer o mesmo movimento: sair da contagem de atividades e chegar à medida de exposição.

Na prática, isso significa responder a perguntas de outra natureza:

– Onde está concentrado o risco: em quais áreas, funções e acessos críticos?

– A exposição está aumentando ou diminuindo ao longo do tempo?

– As ações realizadas reduziram a repetição de comportamentos inseguros?

– Qual seria o prejuízo se os comportamentos observados hoje fossem explorados em um golpe real?

Se o material apresentado na reunião não permite responder a essas perguntas, ele descreve o funcionamento do programa, não o risco da empresa.

O golpe não mira a média da empresa. Mira a pessoa certa.

Um dos erros mais comuns nesses reportes é apresentar médias: a taxa média de cliques caiu, o índice geral de conclusão subiu.

Risco, porém, não se materializa na média. Ele se materializa no encontro entre um comportamento vulnerável e um acesso importante. Um grupo pequeno de pessoas que aprova pagamentos, movimenta contas ou administra os sistemas da empresa pode concentrar mais exposição do que centenas de colaboradores sem acesso a nada sensível.

Os criminosos sabem disso. O Data Breach Investigations Report de 2026, da Verizon, mostra a migração dos ataques para canais onde a decisão é mais rápida, como o celular, com taxas de clique 40% maiores em golpes enviados por mensagem de texto e aplicativos. O fraudador não dispara para todo mundo e espera a sorte. Ele estuda a empresa, identifica quem assina, quem paga e quem tem pressa, e aborda essa pessoa no canal em que ela tem menos condições de verificar a solicitação.

Para a diretoria, isso muda o formato da informação. Mais útil do que a evolução da média geral é saber como está o risco entre quem aprova transações, quem lida com dados de clientes e quem responde diretamente aos sócios e diretores, alvos preferenciais dos golpes de falsa identidade, hoje turbinados por inteligência artificial capaz de imitar voz e imagem.

O RH já trata risco humano formalmente. A segurança ainda não.

Há um paralelo curioso na agenda das empresas brasileiras. Com a atualização da NR-1 e a exigência de gestão dos riscos psicossociais, o RH passou a mapear, avaliar e documentar formalmente riscos relacionados a pessoas, com plano de ação, responsáveis e acompanhamento cobrado pela direção.

Ou seja, um tipo de risco humano já entrou na rotina formal de gestão das empresas, com metodologia e prazo. O risco humano ligado à segurança da informação, que aparece de forma recorrente entre as principais portas de entrada de fraudes e ataques, ainda costuma chegar à diretoria como estatística de treinamento, quando chega.

A tendência é de convergência. A pergunta deixa de ser se a diretoria discute o tema e passa a ser se ela recebe informação suficiente para decidir sobre ele.

As perguntas que todo diretor deveria fazer

Diretores não precisam dominar tecnologia para gerir risco humano. Precisam fazer as perguntas certas e exigir respostas em linguagem de negócio. Cinco delas resolvem boa parte do problema:

1. Qual é a nossa exposição hoje e como ela se compara com a do último reporte? Se a resposta vier em percentual de treinamento concluído, a informação está incompleta.

2. Onde o risco está concentrado? Quais áreas, funções ou processos críticos reúnem os comportamentos de maior impacto potencial.

3. O que foi feito desde a última reunião e funcionou? Não quantas campanhas foram executadas, mas se a repetição de comportamentos inseguros caiu e se as pessoas estão reportando ameaças mais rápido.

4. Qual prejuízo esses comportamentos podem habilitar? Fraude em pagamentos, vazamento de dados de clientes, parada da operação. É essa ponte com o impacto financeiro que permite comparar o risco humano com os demais riscos do negócio.

5. Esse nível de risco é aceitável para nós? Se a empresa nunca discutiu quanto risco está disposta a aceitar nesse tema, essa é a primeira conversa a ter.

“A diretoria não tem obrigação de entender jargão técnico, mas tem obrigação de cobrar respostas em linguagem de risco. Quando o reporte se resume ao percentual de treinamento concluído, a gestão vira formalidade”, afirma Glauco Sampaio, CEO da Beephish.

Gerir risco humano não é vigiar nem punir

Levar o tema à diretoria não significa levar nomes à diretoria. Uma gestão madura reporta exposição por área, função e processo, nunca rankings de indivíduos.

Esse cuidado não é apenas ético. É condição de eficácia. Programas percebidos como vigilância ou punição destroem exatamente o comportamento que pretendem estimular: o funcionário que avisa rápido quando erra ou desconfia de algo. E é esse aviso rápido que, na maioria dos casos, impede que um clique vire um prejuízo.

Também cabe à direção evitar a leitura simplista de que todo incidente com participação humana é culpa do indivíduo. Processos confusos, excesso de acessos, pressão por velocidade e regras impraticáveis produzem comportamento inseguro em escala. Quando o risco aparece concentrado em uma área, a causa pode estar no desenho do processo, não nas pessoas.

Risco só recebe orçamento quando fala a língua da diretoria

Há uma consequência prática nessa discussão. Investimento em segurança disputa espaço com todas as outras prioridades da empresa, e a decisão acontece na mesa da diretoria.

Enquanto o risco humano for apresentado como estatística de treinamento, será tratado como custo de conformidade: algo a manter no mínimo necessário. Quando passa a ser apresentado como exposição mensurável, com tendência, concentração e cenário de prejuízo, entra na mesma categoria dos riscos financeiros e operacionais, com direito a priorização e acompanhamento, é como a Beephish ajuda seus clientes a demonstrar.

“Risco humano só disputa orçamento de igual para igual quando é apresentado como os demais riscos do negócio, com exposição, tendência e impacto potencial. Enquanto for uma estatística de treinamento, será sempre a última linha do orçamento”, complementa Glauco.

A diretoria não precisa saber quantas pessoas foram treinadas. Precisa saber se a empresa está menos exposta a um golpe. São perguntas diferentes, e apenas a segunda justifica o assento do tema na mesa.