Uma reunião de resultados de segurança costuma ser cheia de números que parecem ótimos, dentre esses números, Ernesto Kenji Igarashi, especialista em segurança institucional, aponta que os que se destacam são quantas rondas realizadas, quantas câmeras instaladas, quantos treinamentos aplicados e como o tempo de resposta é reduzido.
A sala fica satisfeita. O problema é que quase nenhum desses indicadores de segurança responde à única pergunta que importa: a instituição está mais protegida do que estava antes? Essa confusão entre fazer muito e proteger bem é o erro mais comum e mais silencioso da área. Quer compreender mais sobre? Leia a seguir!
O erro clássico: confundir atividade com eficácia
Contar atividade é confortável. É fácil de medir, cresce com trabalho e sempre rende um gráfico ascendente para mostrar na reunião. Quinhentas rondas neste mês, contra trezentas no anterior, parecem progresso inquestionável. Mas rondas são esforço, não resultado. A pergunta que ninguém faz é se aquelas rondas reduziram algum risco real ou se apenas ocuparam a equipe com movimento que dá sensação de produtividade.
O mecanismo por trás desse erro é psicológico antes de ser técnico, já que a métrica de atividade dá controle imediato e visível. Com isso, Ernesto Kenji Igarashi ressalta que a métrica de resultado é mais difícil, mais lenta e às vezes desconfortável, porque pode revelar que muito esforço não mudou o que importa. Diante da escolha, a gestão tende ao número que tranquiliza, não ao que informa.
Por que o número bonito engana?
Um indicador de atividade sobe quando a equipe trabalha mais, independentemente de estar trabalhando no lugar certo. É possível dobrar o número de rondas e, ao mesmo tempo, deixar descoberto justamente o ponto por onde o risco real entra. O gráfico continua subindo, a proteção não melhora, e ninguém percebe o descolamento porque o painel só mostra o que é fácil contar.
Qual a diferença entre indicador de atividade e indicador de resultado em segurança?
O de atividade mede o que a equipe faz, como rondas e treinamentos. O de resultado mede o efeito disso, como incidentes evitados, tempo real de recuperação e vulnerabilidades corrigidas.
Essa distinção parece óbvia depois de enunciada, mas raramente se reflete nos painéis. Dentre esse retrato, o especialista em segurança institucional, Ernesto Kenji Igarashi, aponta que um bom conjunto de indicadores de segurança precisa equilibrar os dois tipos: os de atividade mostram se a equipe está engajada, e os de resultado mostram se esse engajamento está produzindo proteção. Só o primeiro grupo, sozinho, cria uma ilusão perigosa de controle.
KPIs que antecipam contra KPIs que só relatam
Há ainda uma segunda camada do problema, ligada ao tempo. A maioria dos KPIs de segurança olha para trás: quantos incidentes ocorreram, qual foi o prejuízo, quanto tempo se levou para responder. Ernesto Kenji Igarashi explica que são úteis, mas chegam tarde, quando o dano já aconteceu.
O que falta na maioria dos painéis são indicadores que antecipam, que sinalizam o risco antes de ele virar incidente. Indicadores antecipatórios são coisas como número de vulnerabilidades identificadas e ainda não corrigidas, tempo médio que uma falha leva para ser resolvida, ou percentual de equipe efetivamente treinada e testada, não apenas convocada.
Como construir métricas que medem proteção?
Com efeito, Ernesto Kenji Igarashi pontua que corrigir o erro começa por uma inversão de pergunta; em vez de “quanto a equipe fez?”, pergunta-se “o que mudou no nível de risco da instituição?”. A partir daí, cada métrica precisa passar por um teste simples: se esse número melhorar, a organização fica de fato mais segura, ou só mais ocupada? Indicadores que não sobrevivem a essa pergunta são ruído disfarçado de gestão.
Poucos indicadores bem escolhidos valem mais que um painel lotado. A tentação de medir tudo produz relatórios que ninguém lê e escondem o essencial no meio do acessório. Melhor selecionar um punhado de números que realmente movem decisões e acompanhá-los de perto do que exibir dezenas de gráficos que impressionam na tela e não mudam nenhuma escolha.
Medir o que dói é o que separa gestão de encenação
A escolha dos indicadores revela a intenção real por trás de um planejamento estratégico. Um painel montado para tranquilizar a diretoria e um painel montado para proteger a instituição raramente têm os mesmos números. O primeiro celebra atividade; o segundo convive com métricas incômodas porque prefere a verdade útil ao gráfico bonito.
A eficácia de um plano de segurança nunca aparece na quantidade de coisas feitas. Aparece na quantidade de coisas ruins que deixaram de acontecer, e essa é, por natureza, a estatística mais difícil de enxergar e mais valiosa de perseguir. Medir bem, nesse contexto, é menos uma questão técnica e mais uma questão de honestidade sobre o que se quer descobrir.
