“O risco vem de não saber o que você está fazendo”
Warren Buffett
Fim de ano chegando, planejamento do orçamento batendo à porta... e então, numa conversa de corredor entre Gestores, surge a pergunta: Quanto sua Segurança custou no ano passado?
Antes de responder, sugiro que você se faça uma outra pergunta a si mesmo. Talvez sua resposta àquela pergunta do inadvertido Gestor, mesmo que informalmente, seja mais efetiva do que apenas tagarelar valores.
Então... Quanto valor sua Segurança protegeu no ano passado?
A resposta é bem mais complicada, não é? E sim, este valor deve ser mensurado, inclusive pensando nos intangíveis.
Conviver com resultados financeiros é relativamente simples para outras áreas, mas para a Segurança Empresarial, a resposta não é tão fácil assim. Estabelecer KPIs estratégicos e que agreguem valor ao negócio, além de fundamental, é desafiador.
Na administração moderna, só achar que você sabe não atende à demanda, e ainda pode te queimar. Sabe aquela conversa de que "Não basta Maria parecer santa, tem que mostrar", então... É necessário entender o negócio e ligar os pontos onde a Segurança, seja ela Empresarial ou Patrimonial, pode realmente apresentar resultados que saltem aos olhos da Alta Gestão.
A Segurança vem passando por esta mudança de paradigma: sair do papel de executar controles ou do "porque a Segurança sempre foi assim", para atuar como parceiro do negócio, entendendo ativos críticos, consequências, riscos e decisões.
Em pesquisa da ASIS de 2025, 61% dos profissionais enxergam a Segurança principalmente como facilitadora do negócio, mas apenas 34% dos que mediam ROI utilizavam KPIs quantitativos.
Como resolver?
Provavelmente você está esperando aquela listinha dizendo onde geramos valor, não é? Calma lá, Combatente. Vamos começar de uma maneira diferente. 1º é fazer a lição de casa!
Onde a Segurança NÃO gera valor?
Segurança deixa de gerar valor quando o custo, esforço ou impacto de um controle não mantém relação razoável com o risco que ele reduz ou com o negócio que ele protege.
Bonito, né? Mas complicou. E não precisa voltar lá pra ler. Vamos simplificar. 😁
Imagine gastar R$ 300 mil para proteger um ativo de R$ 50 mil contra um risco de baixa probabilidade. O controle pode funcionar perfeitamente e, ainda assim, não fazer sentido para o negócio.
Agora imagine os mesmos R$ 300 mil protegendo uma operação que pode perder milhões de reais por dia se parar. O mesmo investimento passa a ter uma lógica completamente diferente.
E custo não é apenas dinheiro. Um controle pode aumentar filas, atrasar processos, exigir pessoas, reduzir produtividade ou dificultar uma operação. Por isso, talvez a pergunta não seja apenas “este controle funciona?”, mas também “Quanto risco estou reduzindo e quanto atrito ou gargalo estou criando?”.
Sei que você entendeu, mas, para o meu nível de intelecto, não ficou claro. Então aqui vai um exemplo explícito:
Imagine uma bomba de abastecimento de veículos e equipamentos dentro do site. Durante uma inspeção, a Segurança bloqueia o equipamento porque o operador (Frentista) não possui treinamento para a atividade. A operação de abastecimento é interrompida até que a condição seja regularizada. O problema é que a consequência não termina na bomba. Os primeiros veículos chegam e não conseguem abastecer. Forma-se uma fila. Caminhões, máquinas de carga e outros equipamentos. Em 20min, parte da frota trava. Sem os caminhões, o produto deixa de ser transportado; equipamentos ficam ociosos; dependendo da duração, a produção e a entrega serão afetadas.
Uma decisão tomada em um ponto aparentemente simples da operação pode chegar ao resultado do negócio. "Mas o processo tinha que ser interrompido!", blá, blá, blá. Sim. E é aí que você entra. Você fez sua parte como Segurança, mas deve pensar no negócio, lembra? A partir deste momento, você passa a fazer parte da solução, e até a pergunta muda: "Conseguimos voltar a abastecer, porém de uma maneira segura?". Parece básico, mas fazer o profissional de Segurança entender isto... não é tão simples assim. Se serve para alguma coisa, nas demais áreas também acontece isto.
E como resolvemos o problema acima? Buscar outro empregado que possua o treinamento necessário, direcionar o fluxo para outra bomba no site, etc. Pense e ouça. E nossa participação só acaba quando houver uma definição: o processo volta a funcionar de maneira segura ou permanece interrompido por decisão dos responsáveis, neste caso, a Alta Gestão. O que não pode é a situação ficar sem definição. E isto se estende para outros processos mais comuns de Segurança, como caminhões parados na Portaria, visitantes ou entregas aguardando a área aparecer, etc.
Outro exemplo interessante vem do meu companheiro de profissão Orlando Sá, Executivo de Segurança, Facilities e Gestão de Crises. Ele usa o exemplo da ferrovia para mostrar de forma muito clara como um evento localizado pode produzir consequências muito maiores para o negócio. Com a paralisação da linha, o produto deixa de seguir, acumula-se na origem e pode faltar na outra ponta para carregamento e embarque. Este é um daqueles recortes que valem a pena, porque Orlando Sá deixa tudo mais fácil de entender.
O Gestor de Segurança que tem esta postura traz o conhecimento tácito para o negócio, identificando onde podemos facilitar e em quais processos tudo isto se encaixa, retorno/redução de gastos, e mais... como sua visão holística e a percepção da sua Equipe produzem novas formas da Segurança agir como facilitadora.
Segurança que gera valor não é necessariamente a mais cara ou a mais barata. É aquela proporcional ao risco e ao negócio que precisa proteger. E não se engane, isto tudo pode acontecer mesmo com uma operação de Segurança aparentemente excelente.
Gerar valor não é fazer mais. É fazer melhor!
No Exército se pratica muito isto. Fazer melhor com os recursos disponíveis; que não são muitos. E aqui podemos trabalhar em três blocos:
Processos: Aquele Procedimento que ninguém utiliza, Controles duplicados, Avaliação de Risco de gaveta;
Pessoas: Vigilante mal distribuído, Equipe reativa, Segurança fazendo trabalho de outra área, Liderança medindo presença;
Equipamentos/Tecnologia: Câmera que ninguém monitora, Excesso de alarmes ou ruídos (Disparos falsos), Sistema sem integração, Tecnologia moderna, mas sem finalidade.
Quando a pergunta é mais importante que a resposta
Já disse isto várias vezes nos meus artigos, e realmente é o que faz a diferença. Veja o exemplo do seu Diretor ou CEO, sempre com aquela pergunta que enrosca o Gestor. Porém, não espere o questionamento, faça-o para si mesmo, para cada processo.
Qual risco este controle está tratando? Qual ativo/processo crítico ele protege? Qual cenário de perda estamos evitando? Qual seria a consequência para o negócio? Quanto esse controle custa? Quanto ele reduz a exposição? Existe alternativa mais eficiente? Basicamente é o que uma boa Análise de Risco questiona. Se as três primeiras perguntas já são um desafio, acenda uma luz amarela, ou até vermelha. 😡
Por onde começar?
Inicie pelas consequências para o ativo e para o negócio, depois pelas ameaças e pelos controles necessários. Um exemplo muito bom é o posto de vigilância:
Imagine um posto com dois vigilantes 24/7. Por que esse posto existe? Porque sempre existiu.
Então... faça o caminho inverso. O que ele protege? Portão X. Contra quê? Entrada não autorizada. Qual a exposição? Pessoas e veículos podem alcançar uma área crítica. Ele reduz esse risco? Sim. Precisamos realmente deste modelo? Talvez...
Opa! Agora aparecem alternativas: vigilante + tecnologia, controle remoto, automatização, alteração física do acesso, integração com CFTV, etc.
E a situação pode evoluir:
4 postos → R$ 2 milhões/ano
Redesenho → 2 postos + tecnologia → mesmo ou menor risco residual → R$ 1,3 milhão/ano
Nesse caso, a Segurança gerou valor não simplesmente porque cortou vigilantes, mas porque manteve o nível adequado de proteção usando menos recursos.
Em outra situação, uma câmera de R$ 20 mil pode não gerar valor nenhum. E o vigilante de R$ 150 mil/ano pode gerar enorme valor. Imagine uma área remota em que o vigilante identifica uma tentativa de invasão, um vazamento, uma condição insegura ou movimentação anormal, e aciona imediatamente a resposta? E veja como são as coisas: Lembra o exemplo da bomba de combustível? Então, o padrão pode se aplicar aqui.
A verdade é que não tem receita de bolo, mesmo eu adorando checklists. Tecnologia não significa eficiência, nem mão de obra, custo. Não funciona assim, e essa distinção é fundamental. 😉
Segurança pode destruir valor
A Segurança pode reduzir determinado risco e, simultaneamente, prejudicar o negócio. Como assim! 😮
É que eficiência do controle e valor para o negócio não são a mesma coisa. A literatura de métricas de Segurança recomenda olhar não apenas para a proteção, mas também para perdas evitadas, recuperação de perdas, eficiência de custos e impactos sobre o negócio. Então vamos lá:
Imagine um controle de acesso “excelente” que demora oito minutos por caminhão:
200 caminhões/dia × 8 minutos = 1.600 minutos de espera diária.
A Segurança pode apresentar: “100% dos veículos inspecionados”
Operações pode apresentar: “Perdemos centenas de horas por mês esperando a Segurança”
O KPI de Segurança está verde. O resultado empresarial pode estar vermelho.
Um controle pode funcionar perfeitamente e ainda assim não gerar valor. Por isto é tão importante estar alinhado com as áreas, Alta Gestão e, principalmente, com o negócio.
O vigilante produz valor
Não adianta você querer que as áreas entendam seu processo ou suas finalidades da mesma maneira que você entende. Nem você entenderá os deles como eles mesmos. Por isto é tão necessária a aproximação da Segurança com as áreas. Explique a Segurança, venda, gere empatia, nas duas direções.
Por exemplo, o vigilante observa diariamente pessoas, veículos, comportamento, iluminação, cercas, vazamentos, portas, equipamentos, fornecedores e anormalidades. Sempre foi os olhos e ouvidos da Segurança. Mas para o Gestor de outra área, em geral, o Vigilante “fica no posto”, e para alguns, "ele não faz nada".
Por outro lado, se existe um processo para transformar aquilo que o Vigilante observa em informação útil, ele se torna um sensor humano da organização. E pode alimentar Segurança, Safety, Facilities, Operações e até apurações. Aí vai de você saber apresentar aos seus parceiros e à Alta Gestão o produto gerado pela Segurança.
Segurança gerando informação para decisão
Um SOC que simplesmente recebe 5.000 alarmes é custo, e ruído. Porém, imagine que os dados de Segurança começam a mostrar os furtos em determinado horário, dia da semana, em certo fornecedor, acessos anormais, ocorrências concentradas, aumento progressivo de incidentes, etc.
A Segurança deixa de registrar “ocorrências” e começa a entregar informação para decisão. Inteligência e estratégia. E tudo isto já está lá, é só você entender, consolidar e correr pro abraço!
CAPEX de Segurança
A Segurança moderna necessita utilizar a linguagem do negócio. A pergunta deixa de ser “quanto custa a câmera?” e passa a ser “qual exposição estamos diminuindo?”. Passar do "Precisamos de R$ 800 mil para melhorar o CFTV" para “Temos R$ X de exposição anual nesta área. Essa solução reduz determinados cenários de perda, melhora nossa capacidade de detecção e investigação e reduz o risco residual para Y.”
Por outro lado, toda redução de custo gera valor? Não. Imagine reduzir postos de vigilância e economizar R$ 1 milhão por ano, mas aumentar a exposição a perdas em R$ 4 milhões. A Segurança ficou mais barata, mas destruiu valor. Entre a Cruz e a Espada; mas tudo isto depende de como você se prepara, antecipa.
Quando a Segurança funciona bem, parece que nada aconteceu
Produção não parou. Carga chegou. Executivo viajou e voltou. Informação não vazou. Produto não desapareceu. Crise não escalou. E é exatamente isto que você quer. Quanto menos a Segurança for acionada, melhor será seu trabalho. E mais, valor foi preservado.
Uma Segurança madura defende que “Se uma hora parada custa R$ 500 mil e uma ação de Segurança reduz significativamente a probabilidade de interrupção, é de custo que devemos falar?” ou "Qual o valor do evento que NÃO aconteceu?".
E o “Sim, desde que...”
A empresa quer entrar numa região de risco elevado. A resposta mais simples seria proibir. Uma Segurança orientada ao negócio identifica ameaças, estabelece controles, define risco residual e cria condições para a operação acontecer. A Segurança não protegeu a empresa do negócio, porém ajudou a fazer o negócio com risco conhecido e controlado.
O situação acima é bem Corporativa, contudo o Gestor de Segurança deve ter habilidade de transferi-lo para sua realidade. Por exemplo, um fornecedor precisa acessar uma área para reparar um equipamento crítico, mas ainda existe uma pendência no processo de acesso. Barrar pode parar a operação; liberar sem controle aumenta o risco. “Sim, desde que...” a necessidade seja confirmada, a identidade validada e sejam estabelecidos controles adequados para aquele acesso. A Segurança não eliminou a regra. Entendeu o risco e encontrou uma forma segura de viabilizar a operação.
Afinal, a Segurança é centro de custo ou geradora de valor? Talvez seja as duas coisas. Ela sempre terá um custo. A questão é saber se conseguimos demonstrar o que a empresa recebe em troca dele.
Fontes:
UNDERSTANDING THE EVOLVING ROLE OF SECURITY - ASIS 2025
ASIS — How to Measure Your Security and Resilience ROI
ASIS — Enterprise Security Risk Management Guideline
ASIS — How to Implement ESRM
Artigo LinkedIn - Orlando Sá
Abraço
Blog do Moscou no X
Blog do Moscou no Facebook
