Retrabalho: Como Integrar informações e evidências

 

Você já teve a sensação de que sua equipe apurou um caso e, no fim, descobriu que outras áreas já possuíam parte das mesmas informações? E que, se essas informações estivessem disponíveis desde o início, poderiam ter agilizado o processo, economizado tempo precioso ou até contribuído para a qualidade do resultado?

E aí vem a pergunta matadora: como integrar informações entre as áreas sem comprometer a independência das funções, a qualidade ou a estratégia das apurações? Onde sua área ou a Segurança Empresarial se encaixa em tudo isto?

Parece uma questão operacional, mas não é. E você, como Gestor, pode ser o catalisador dessa integração. Quando falamos sobre quem obtém a informação, quem pode utilizá-la, como as áreas se relacionam e até onde vai a responsabilidade de cada uma delas, entramos no campo da Governança.

Ah, a Governança! Para os níveis gerenciais e a alta liderança, essa palavra não é novidade. Mas, para posições intermediárias, staff ou bases operacionais, não se engane: ainda é um bicho de sete cabeças.

E veja que interessante: as áreas da Empresa utilizam, cada uma em sua esfera, parte dos riscos identificados pela organização e os transforma em ações concretas, como proteção de pessoas e ativos, controle de acesso, prevenção de perdas, inteligência, apurações, proteção de instalações, segurança das operações, resposta a incidentes, entre outras. Então, basicamente, a Segurança Empresarial deve estar estruturada sob os princípios da Governança e alinhada aos objetivos do negócio. O desafio é fazer essa conexão chegar à equipe, para que as pessoas entendam não apenas o que estão protegendo, mas, o mais importante, o porquê daquilo para o negócio. Estabeleça essa conexão com sua equipe e... voilà!

O problema talvez não seja falta de controle

Na Segurança Empresarial, costumamos ver que a equipe apurou e depois, RH, Jurídico, TI, Compliance, Auditoria ou outra área solicitaram novamente as informações. Ou o contrário: a equipe realizou o levantamento para, então, descobrir que boa parte das evidências já estava disponível em outra área. E mais, a dor de cabeça com a duplicidade de informação gerada. O problema, muitas vezes, não é falta de controle. É falta de integração entre as áreas.

Será que TI não tem aquele log que precisamos? Antes de iniciar determinado levantamento, verificamos o CFTV, os registros de acesso, as informações do RH ou os documentos do Compliance? Não é trabalhar mais, é trabalhar melhor e integrar com qualidade.

Perguntas simples podem reduzir o retrabalho e integrar o processo:

“Quem já verificou isso?”

“Essa evidência existe em outra área?”

“Posso utilizar essa informação com segurança e confiabilidade?”

“Compartilhar essa informação compromete alguma apuração em andamento?”

E, novamente, vale ressaltar: o Gestor de Segurança deve sempre avaliar se até mesmo a solicitação de documentos, evidências ou simples perguntas podem afetar a apuração ou criar viés nas demais áreas.

No Checklist POA, por exemplo, diferentes áreas podem contribuir com informações, mas cada uma continua decidindo aquilo que pertence à sua alçada. Penso que este artigo, ironicamente, integra a gestão estratégica proposta no POA.

Tudo isso parece óbvio

Aproveitar avaliações e evidências confiáveis que já existem. Pois é. Mas alguém precisa provocar essa integração, ou pelo menos começar. É aí que o Gestor de Segurança pode ampliar sua contribuição. Ele deixa de ser apenas um gerador de relatórios ou executor de controles e passa também a atuar como integrador de informações confiáveis para o negócio.

E o que isso significa para o comando da empresa?

Decisões mais rápidas, menos retrabalho, melhor utilização dos recursos e uma visão mais consistente dos riscos. Em outras palavras, melhor Governança.

Segurança estratégica não é aquela que simplesmente cria mais controles. É aquela que também consegue conectar, de maneira inteligente, as informações que já existem. Por isso, defendo que o Gestor de Segurança, além do conhecimento técnico profissional, deve se valer de cultura geral ampla e irrestrita. E saber conectar tudo isso à Segurança, às demais áreas, alta Gestão e aos objetivos do negócio.

E talvez seja justamente aí que a Segurança Empresarial dê um dos passos mais importantes em direção a uma atuação verdadeiramente estratégica: deixar de enxergar apenas seus próprios controles e começar a compreender como suas informações, seus riscos e suas decisões se conectam com o restante da organização.

Ter independência não significa isolamento. Integrar evidências não significa integrar investigações. Uma Segurança Empresarial madura não precisa escolher entre integração e independência. Precisa aprender a administrar as duas.

Integração sem critério pode gerar risco. Integração com responsabilidade gera valor.

Porque proteger o patrimônio continua sendo fundamental, mas entender como essa proteção contribui para o negócio é o que transforma Segurança Patrimonial em Segurança Empresarial.

Para mais temas interessantes, acesse 5 minutos de Segurança 😉

Fonte: Checklist de Gestão de Segurança – Proteção de Ativos (POA)

Fonte e licença: Este artigo utiliza como referência a publicação... 

O Novo Modelo das Três Linhas (IIA 2026): o que mudou, como aplicar e sua integração com a ISO 31000

... da t-Risk – Plataforma de Gestão de Riscos, disponibilizada sob a licença Creative Commons Atribuição-NãoComercial 4.0 Internacional (CC BY-NC 4.0). Os conceitos utilizados foram interpretados e contextualizados pelo autor para aplicação à Segurança Empresarial. O conteúdo deste artigo não representa reprodução integral da obra original.

Abraço

Checklist de Segurança — Protection of Assets (POA)

Profissionais de Security, aqui está o seu “Santo Graal”. 

Quer atuar como um CPP? Então siga esta Ultimate Version. 😉 

Checklist - Protection of Assets / POA

1. GOVERNANÇA E GESTÃO DA SEGURANÇA

• Definir claramente a missão da área de Segurança.
• Identificar quem são os “clientes” internos e externos da Segurança.
• Alinhar os objetivos da Segurança aos objetivos estratégicos da organização.
• Definir objetivos estratégicos e metas para a área.
• Definir estrutura organizacional, responsabilidades e autoridade.
• Estabelecer papéis de planejamento, organização, direção, coordenação e controle.
• Integrar Segurança às demais áreas do negócio.
• Estabelecer políticas corporativas de segurança.
• Transformar políticas em procedimentos operacionais claros.
• Garantir que procedimentos sejam divulgados às pessoas afetadas.
• Criar processos de controle da execução das políticas.
• Estabelecer métricas e indicadores.
• Avaliar periodicamente se os objetivos de segurança estão sendo alcançados.
• Registrar resultados, falhas, incidentes e aprendizados.
• Ajustar programas com base nos resultados.
• Criar cultura de qualidade dentro da Segurança.
• Padronizar processos sempre que possível.
• Implantar mecanismos de melhoria contínua.
• Rever políticas e procedimentos diante de mudanças organizacionais ou de risco.
• Trabalhar com abordagem de planejamento → gestão → avaliação → melhoria. 

O POA trata explicitamente essas três funções como ferramentas centrais e inclui relatório, documentação e ajuste como partes da avaliação.

  2. GESTÃO DE RISCOS

• Identificar os ativos que precisam ser protegidos.
• Identificar ameaças relevantes.
• Identificar vulnerabilidades.
• Avaliar impacto potencial das perdas.
• Estimar probabilidade/possibilidade dos cenários.
• Priorizar os riscos.
• Documentar os resultados da avaliação de riscos (Risk Assessment).
• Definir critérios de risco aceitável.
• Selecionar tratamentos proporcionais ao risco.
• Evitar controles excessivos para riscos pequenos.
• Concentrar recursos nos riscos com maior possibilidade de dano.
• Avaliar os controles já existentes.
• Identificar lacunas (gaps) de proteção
• Reavaliar riscos quando o ambiente mudar.
• Atualizar os planos após incidentes relevantes.
• Incorporar riscos físicos, humanos, informacionais, operacionais e externos.
• Considerar risco para pessoas, operações, reputação e continuidade.
• Relacionar investimentos de segurança à redução de exposição.

3. FINANÇAS, ORÇAMENTO E VALOR DA SEGURANÇA

• Elaborar orçamento formal da Segurança.
• Conhecer os custos fixos e variáveis da operação.
• Registrar custos de incidentes e perdas.
• Manter base histórica de perdas.
• Estabelecer método uniforme de reporte de perdas.
• Capturar dados de incidentes de forma sistemática.
• Analisar tendências das perdas.
• Demonstrar financeiramente os benefícios dos controles.
• Aplicar análise custo-benefício.
• Avaliar retorno dos investimentos em proteção.
• Comparar custo do controle com exposição ao risco.
• Buscar o menor custo compatível com o resultado necessário.
• Rever controles que custam mais do que o benefício produzido.
• Priorizar controles procedimentais quando forem suficientes e mais econômicos.
• Criar indicadores financeiros para Segurança.
• Apresentar à administração o valor produzido pela área.
• Revisar o plano se custo e resultado não estiverem equilibrados. 

O POA é bastante explícito: operações devem ser conduzidas da maneira menos dispendiosa que ainda seja eficaz, mantendo o menor custo compatível com o resultado e buscando o maior retorno possível.

4. SEGURANÇA FÍSICA

• Definir os objetivos do Physical Protection System — PPS.
• Vincular os objetivos do PPS à estratégia da empresa.
• Realizar identificação de ativos.
• Realizar avaliação de ameaças.
• Realizar avaliação de vulnerabilidades.
• Avaliar consequências/perdas.
• Projetar proteção considerando dissuasão, detecção, retardo e resposta.
• Integrar pessoas, procedimentos e tecnologia.
• Definir critérios mensuráveis de desempenho.
• Avaliar perímetros.
• Avaliar barreiras.
• Avaliar entradas e saídas.
• Avaliar controle de acesso de pessoas.
• Avaliar controle de veículos.
• Avaliar fechaduras, portas, cofres e áreas restritas.
• Avaliar iluminação de segurança.
• Avaliar sensores internos e externos.
• Avaliar vídeo/CFTV.
• Avaliar alarmes e comunicação de alarmes.
• Integrar alarmes e capacidade de resposta.
• Verificar se o tempo de detecção + avaliação + resposta é compatível com o tempo de penetração do adversário.
• Testar efetividade do sistema como um todo.
• Criar planos compensatórios para falha de equipamentos.
• Manter documentação técnica atualizada.
• Registrar manutenção, falhas e falsos alarmes.
• Realizar testes periódicos diurnos e noturnos.
• Testar equipamentos contra as ameaças consideradas no projeto.
• Treinar operadores.
• Realizar manutenção preventiva.
• Fazer calibração, alinhamento e verificação de sensibilidade.
• Registrar treinamento e manutenção.
• Planejar substituição tecnológica e ciclo de vida.
• Testar depois de modificações significativas.

O POA orienta expressamente instalação, manutenção, testes, operação, treinamento, manutenção periódica, testes operacionais e planos compensatórios em caso de perda de equipamentos.

5. CPTED E AMBIENTE FÍSICO

• Avaliar visibilidade e vigilância natural.
• Eliminar pontos cegos.
• Avaliar paisagismo que possa esconder pessoas.
• Definir claramente espaços públicos e privados.
• Direcionar naturalmente os fluxos de pessoas.
• Avaliar acessos e circulação.
• Avaliar estacionamentos.
• Avaliar iluminação.
• Criar linhas de visão adequadas.
• Usar sinalização clara.
• Controlar áreas de permanência e reunião.
• Manter áreas externas em boas condições.
• Integrar arquitetura, operações e tecnologia.
• Avaliar se o ambiente facilita comportamento indevido.
• Incorporar segurança ainda na fase de projeto de instalações. 

O POA trabalha vigilância, acesso natural, territorialidade, definição de limites, gestão e manutenção como componentes do CPTED.

6. VIGILANTES E OPERAÇÕES

• Definir exatamente por que vigilantes são necessários.
• Não utilizar mão de obra de segurança como solução isolada.
• Dimensionar efetivo conforme risco e função.
• Comparar uso de pessoas com soluções tecnológicas.
• Reavaliar periodicamente a necessidade do número de postos.
• Definir requisitos de contratação.
• Realizar seleção adequada.
• Definir qualificações mínimas.
• Elaborar as diretrizes gerais.
• Elaborar atribuições específicas de cada posto.
• Definir supervisão.
• Criar escalas adequadas.
• Estabelecer padrão de relatórios e livros de ocorrência.
• Analisar os relatórios produzidos pela equipe.
• Criar programa inicial de treinamento.
• Fazer levantamento das necessidades de treinamento.
• Criar currículo conforme função e risco.
• Testar conhecimento e desempenho.
• Manter treinamento contínuo.
• Treinar observação e relato de incidentes.
• Treinar comunicação.
• Treinar controle de acesso.
• Treinar proteção da informação.
• Treinar resposta a emergências.
• Treinar safety.
• Treinar procedimentos do posto.
• Treinar sobre violência no ambiente de trabalho.
• Treinar resolução de conflitos.
• Treinar controle de multidão quando necessário.
• Treinar primeiros socorros conforme função.
• Treinar crisis management.
• Treinar requisitos legais.
• Treinar uso da força quando aplicável.
• Avaliar desempenho após treinamento.
• Manter evidências e registros de capacitação.
• Criar caminhos de carreira e desenvolvimento.
• Auditar execução das atribuiçções de cada posto.
• Analisar desempenho de prestadores terceirizados.
• Formalizar Scope of Work em contratos.
• Definir SLAs/KPIs e responsabilidades contratuais.
• Fazer avaliação técnica das propostas.
• Administrar continuamente o contrato. 

O POA recomenda treinamento básico e contínuo baseado nas funções, com currículo formal, testes e temas como legislação, operação, armas, administração, eletrônica, transporte e uso da força.

7. INVESTIGAÇÕES

• Criar política formal de investigações corporativas.
• Obter aprovação da alta administração para os protocolos.
• Definir quem pode iniciar uma investigação.
• Definir quem conduz.
• Definir quem deve ser informado.
• Definir quando o Jurídico deve participar.
• Definir quando RH deve participar.
• Definir critérios de encaminhamento à polícia.
• Avaliar credibilidade da denúncia e da fonte.
• Preservar evidências.
• Identificar a necessidade de preservar o local.
• Entrevistar testemunhas prioritárias.
• Priorizar informações perecíveis.
• Registrar quem recusou entrevista.
• Registrar condições ambientais relevantes.
• Registrar todos os envolvidos na resposta inicial.
• Fazer entrevistas complementares.
• Consultar bancos de dados relevantes.
• Documentar todas as notificações.
• Identificar gaps de informação.
• Definir como preencher cada gap.
• Corroborar evidências.
• Manter objetividade.
• Evitar pré-julgamento.
• Formular hipóteses e permitir que mudem diante dos fatos.
• Manter confidencialidade.
• Produzir relatório formal.
• Inserir casos em base pesquisável.
• Registrar necessidade de acompanhamento (follow-up).
• Realizar controle de qualidade do processo investigativo.
• Treinar Segurança no protocolo.
• Coordenar investigações de má conduta ou violação de regras com RH e Jurídico.
• Criar programa de due diligence.
• Fazer due diligence de parceiros.
• Fazer due diligence de fornecedores.
• Fazer due diligence de possíveis aquisições/joint ventures quando aplicável.
• Criar processo de background screening.
• Definir critérios legais para coleta e uso das informações.
• Documentar entrevistas investigativas.
• Preservar cadeia de custódia quando aplicável.
• Produzir recomendação de ação corretiva ao final. 

O protocolo-modelo do POA inclui exatamente credibilidade da fonte, evidências, entrevistas, registros, consultas a bancos, gaps, notificações, encaminhamento e documentação.

8. INFORMAÇÃO E CONVERGÊNCIA FÍSICO-CYBER

• Inventariar ativos de informação.
• Classificar informação por criticidade.
• Identificar quem realmente precisa acessar cada informação.
• Implementar need-to-know.
• Definir controles físicos e eletrônicos.
• Criar política de Information Asset Protection.
• Criar política de privacidade.
• Nomear responsável pelo programa de privacidade.
• Avaliar riscos à confidencialidade, integridade e disponibilidade.
• Fazer due diligence de pessoas com acesso privilegiado.
• Sugerir e vetar fornecedores e terceiros.
• Utilizar NDAs contratuais quando apropriado.
• Rever periodicamente screening e vetting.
• Controlar visitantes.
• Identificar visitantes por identificação.
• Restringir fotografia em áreas sensíveis.
• Restringir acesso a instalações produtivas.
• Proteger protótipos e modelos como informação sensível.
• Destruir protótipos obsoletos de forma segura.
• Proteger materiais durante transporte.
• Criar política de retenção de documentos.
• Eliminar documentos obsoletos regularmente.
• Destruir informações de forma que não possam ser reconstruídas.
• Registrar quando e onde ocorreu a destruição.
• Armazenar material aguardando destruição em recipiente seguro.
• Selecionar cuidadosamente empresas de destruição.
• Restringir acesso a processos produtivos.
• Separar informações de diferentes níveis de classificação.
• Utilizar barreiras visuais quando necessário.
• Criar plano de resposta a perda/vazamento.
• Criar processo de recuperação.
• Integrar Segurança Física e Cybersecurity.
• Avaliar o impacto de controles tecnológicos sobre o risco corporativo. 

Diversas dessas medidas — destruição segura, retenção, transporte, controle de protótipos, NDAs, identificações, screening e revisão de vetting — estão explicitamente descritas no POA.

9. CRISE, EMERGÊNCIA E CONTINUIDADE

• Fazer análise das emergências relevantes para cada site.
• Elaborar Emergency Operations Plan — EOP corporativo.
• Elaborar planos locais específicos.
• Criar Business Continuity Plan.
• Definir processos e operações críticas.
• Definir ações de mitigação.
• Definir preparação/prontidão.
• Definir resposta.
• Definir recuperação.
• Definir critérios de ativação dos planos.
• Formar Crisis Management Team — CMT.
• Incluir áreas relevantes no CMT.
• Definir autoridade e responsabilidades.
• Definir processo de decisão.
• Definir alternativas de ação.
• Definir comunicação de crise.
• Preparar estratégia de mídia.
• Definir comunicação com familiares/vítimas.
• Definir interface com autoridades.
• Definir interface com agências externas.
• Definir recursos disponíveis.
• Definir fornecedores emergenciais.
• Criar Emergency Operations Center/Crisis Management Center.
• Controlar acesso ao Operations Center/Crisis Management Center.
• Criar EOC alternativo em outro local.
• Garantir comunicações redundantes.
• Garantir energia de emergência/redundante (backup).
• Prever recursos essenciais para operação prolongada.
• Criar listas atualizadas de contatos.
• Treinar integrantes do CMT.
• Realizar exercícios.
• Testar planos.
• Avaliar exercícios.
• Registrar lições aprendidas.
• Corrigir planos.
• Repetir exercícios periodicamente.
• Preparar equipes para situações não previstas.
• Garantir flexibilidade decisória. 
• Coordenar implantação dos contingency plans.
• Coordenar recursos para as equipes de resposta.
• Coordenar áreas internas e externas.
• Desenvolver cursos alternativos de ação.
• Definir media management.
• Definir EOC primário e alternativo.

O POA enfatiza que não basta ter procedimento: ele deve ser planejado e testado, e grandes organizações devem ter EOP corporativo mais planos específicos por local.

10. AMEAÇAS, BOMBAS E SITUAÇÕES ESPECIAIS

• Fazer avaliação específica do risco de ameaça quando aplicável.
• Monitorar tendências.
• Identificar possíveis alvos.
• Conhecer contexto político, social e operacional.
• Criar equipe de avaliação de ameaças.
• Criar procedimentos para recebimento de ameaças.
• Treinar pessoas para reconhecer e reportar objetos suspeitos.
• Treinar gestores para responder a relatos.
• Manter áreas organizadas para facilitar identificação de objetos incomuns.
• Implementar defense-in-depth.
• Estabelecer distância de segurança sempre que possível.
• Integrar controle de acesso, vídeo, rondas e sensores.
• Definir critérios de evacuação total, parcial ou permanência.
• Coordenar Security, Infra, Safety, RH, Meio Ambiente, Operações, Relações Públicas e Finanças.
• Atualizar os planos à medida que o cenário muda.
• Fazer exercícios antes de precisar do procedimento de verdade. 

O POA recomenda risk assessment precoce, revisão conforme o ambiente muda, conscientização dos funcionários/equipe, treinamento de gestores, controles em profundidade e equipamentos integrados ao plano.

11. PROTEÇÃO EXECUTIVA E RISCOS EM VIAGENS

• Realizar avaliação de risco de Proteção Executiva individualmente.
• Identificar quem poderia desejar causar dano ao executivo.
• Avaliar exposição pública.
• Avaliar patrimônio e estilo de vida.
• Avaliar adversários e fontes de informação sobre o executivo.
• Avaliar padrões de deslocamento.
• Determinar nível de proteção proporcional ao risco.
• Avaliar escritório.
• Avaliar residência.
• Realizar reconhecimento e planejamento antecipado.
• Definir recursos e apoio.
• Evitar simplesmente distribuir recursos igualmente entre todas as ameaças; priorizar as mais relevantes.
• Classificar risco de países.
• Definir regras para viagens conforme nível de risco.
• Preparar e conscientizar o viajante sobre os riscos de segurança antes da viagem.
• Avaliar hotel e residência.
• Avaliar meios de transporte.
• Avaliar saúde/assistência médica no destino.
• Fazer a avaliação dos riscos de saúde relacionados à viagem.
• Dar treinamento adicional para destinos de alto risco.
• Estabelecer contato de emergência.
• Avaliar fornecedores locais de segurança.
• Vetar motoristas e apoio doméstico quando aplicável.
• Avaliar supply-chain partners no exterior.
• Analisar legalidade de background checks e testes locais.
• Preparar procedimentos para prisão/detenção.
• Preparar resposta a Sequestro/Resgate/Extorsão.
• Avaliar necessidade de Seguro contra Sequestro, Resgate e Extorsão.
• Proteger informações levadas em viagens.
• Avaliar riscos de espionagem, escuta clandestina/interceptação indevida (eavesdropping).
• Utilizar medidas seguras de comunicação.
• Monitorar e ajustar o programa continuamente. 

O POA recomenda risk assessment do alojamento/local, avaliação médica do viajante, avaliação dos meios de transporte, hotéis, apoio local, políticas de teletrabalho e due diligence de parceiros internacionais.

12. EVENTOS CORPORATIVOS

• Realizar risk assessment específico para cada evento.
• Não assumir que eventos recorrentes possuem sempre o mesmo risco.
• Levantar público estimado.
• Avaliar perfil da audiência.
• Avaliar local.
• Avaliar entradas/saídas.
• Garantir acesso de emergência.
• Definir proteção de VIPs.
• Definir o gerenciamento da multidão.
• Definir controle de acesso.
• Definir recursos humanos.
• Definir recursos tecnológicos.
• Definir emergência médica.
• Elaborar plano preventivo e reativo.
• Treinar pessoal especificamente para o evento.
• Considerar contratar especialistas quando a capacidade interna não for suficiente.
• Avaliar o evento novamente imediatamente antes da execução.
• Realizar reunião de avaliação pós-evento. 

O POA deixa claro que eventos exigem planos preventivos e reativos próprios porque as condições podem mudar mesmo quando o evento acontece todos os anos no mesmo local.

13. FRAUDE, FURTO E PREVENÇÃO DE PERDAS

• Criar processo sistemático de reporte de perdas.
• Criar canal para denúncias.
• Proteger confidencialidade dos denunciantes.
• Analisar padrões de perdas.
• Investigar discrepâncias.
• Integrar Segurança, Auditoria, Compliance, RH e Jurídico.
• Identificar oportunidades para fraude/furto.
• Segregar funções quando necessário.
• Criar controles procedimentais.
• Monitorar exceções.
• Manter registros suficientes para investigação.
• Realizar due diligence em parceiros e fornecedores.
• Identificar causas de fraudes.
• Realizar corrective actions.
• Avaliar eficácia dos controles após incidentes.

14. CONSCIENTIZAÇÃO E CULTURA DE SEGURANÇA

• Criar programa formal de Conscientização de Segurança.
• Identificar os públicos-alvo.
• Definir comportamentos desejados.
• Comunicar responsabilidades individuais.
• Ensinar reconhecimento de ameaças.
• Ensinar como reportar comportamentos/eventos suspeitos.
• Comunicar consequências do descumprimento de políticas.
• Utilizar vários canais de comunicação.
• Reforçar treinamento periodicamente.
• Medir a eficácia do programa de conscientização.
• Ajustar campanhas conforme incidentes e riscos.
• Envolver líderes.
• Tratar Segurança como responsabilidade de todos.

15. VIOLÊNCIA NO TRABALHO

• Criar política de prevenção de violência no trabalho.
• Criar processo de reporte.
• Estabelecer equipe multidisciplinar.
• Definir critérios para avaliar o risco de ameaça/violência.
• Treinar gestores para reconhecer sinais e relatar preocupações.
• Avaliar ameaças individualmente.
• Coordenar Security, RH, Jurídico e Safety.
• Documentar avaliações.
• Criar planos de gerenciamento e intervenção.
• Definir quando envolver autoridades.
• Fazer acompanhamento após incidentes.
• Rever controles e políticas depois do evento.

16. ÉTICA, JURÍDICO E COMPLIANCE

• Adotar código de ética.
• Comunicar padrões éticos.
• Definir conflitos de interesse.
• Treinar pessoal de Segurança em limites legais.
• Identificar leis e regulamentos aplicáveis.
• Manter licenças e autorizações em ordem.
• Consultar Jurídico regularmente.
• Rever políticas sempre que legislação mudar.
• Verificar legalidade de novas tecnologias.
• Verificar privacidade e proteção de dados.
• Avaliar responsabilidades civis.
• Avaliar aspectos trabalhistas.
• Definir regras de preservação de evidências.
• Treinar pessoas que possam prestar depoimentos.
• Documentar ações relevantes.
• Preparar Segurança para auditorias e inspeções.
• Garantir evidências de compliance.

Não tomar como referência automática a legislação norte-americana/canadense do POA para operações brasileiras; o próprio material é organizado predominantemente em torno da legislação desses países. Para aplicação real, validar requisitos locais com Jurídico.

O POA recomenda revisões frequentes com o Jurídico porque a legislação muda continuamente.

17. TERCEIROS, FORNECEDORES E CONSULTORES

• Identificar quais competências não existem internamente.
• Determinar quando contratar especialista externo.
• Definir escopo formal.
• Realizar due diligence do consultor.
• Verificar experiência e qualificações.
• Avaliar conflito de interesses.
• Verificar seguros profissionais.
• Definir entregáveis.
• Definir prazos.
• Definir confidencialidade.
• Avaliar custos.
• Estabelecer contrato.
• Acompanhar execução.
• Exigir transferência de conhecimento quando aplicável.
• Utilizar consultores para validação independente quando necessário.
• Rever recomendações antes da implementação. 

O próprio POA lista usos como identificar problemas, avaliar programas, revisar orçamento, treinar pessoas, validar atividades, melhorar contratos e alertar administração para riscos.

18. QUALIDADE, AUDITORIA E MELHORIA CONTÍNUA

• Documentar políticas.
• Documentar procedimentos.
• Definir responsáveis.
• Criar registros/evidências.
• Criar indicadores.
• Definir metas.
• Monitorar desempenho.
• Auditar processos.
• Registrar não conformidades.
• Analisar causas.
• Criar ações corretivas.
• Definir responsáveis e prazo.
• Verificar eficácia das ações.
• Realizar análise crítica pela gestão.
• Atualizar procedimentos.
• Retreinar pessoas quando necessário.
• Testar os sistemas novamente.
• Registrar lições aprendidas.
• Incorporar os aprendizados no próximo ciclo.
• Manter o ciclo Plan → Do → Check → Act como lógica de gestão. 

O material relaciona explicitamente sistemas de gestão de segurança e resiliência a critérios auditáveis para estabelecimento, verificação, manutenção e melhoria do sistema.

👊

Como sugestão, eu colocaria tudo isto em uma planilha com mais 05 colunas:

Status | Evidência | Gap encontrado | Plano de ação | Prioridade

Inciciaria com a revisão geral sobre a maturidade da empresa em cada linha, desconsiderando neste primeiro momento, aquilo que foge aos olhos ou que necessita entendimento mais detalhado.

E então passar a aplicar o PDCA, pelo menos o que for prioridade ou o que conseguir de imediato (Ganhos rápidos).

Este checklist não descreve apenas tarefas de segurança: organiza a função de Segurança como um sistema de gestão alinhado aos objetivos do negócio.

Para um gestor de segurança, o mais importante não é ser o melhor especialista técnico em cada uma das áreas, mas dirigir e governar o sistema: 

Estabelecer a estratégia

Definir políticas e prioridades

Gerir riscos

Coordenar equipes e recursos

Estabelecer indicadores

Avaliar resultados

Assessorar a alta administração na tomada de decisões. 

A ideia é estabelecer uma base coerente, abrangente e atual para a gestão da Segurança Corporativa em nível gerencial. Com foco mais executivo, não são apenas disciplinas de segurança empresarial, e sim um modelo de gestão. 

A pergunta não é "o que eu sei fazer?", mas "como gerir tudo isto para gerar resultado na empresa?"

Então, por tópico: 

Governança define missão, políticas, estrutura e métricas. 

Riscos definem prioridades e investimentos. 

Finanças justificam valor e orçamento. 

Segurança física e vigilância garantem um sistema integrado que funciona. 

CPTED influencia projetos e Infra. 

Investigações criam método, critérios e interfaces. 

Convergência físico-cyber exige coordenação com TI. 

Gestão de crises assegura preparação e resiliência. 

Ameaças especiais, proteção executiva, eventos e prevenção de perdas são programas que o gestor supervisiona com políticas, governança, indicadores e parcerias internas. 

Cultura, conformidade, gestão de terceiros e melhoria contínua garantem sustentabilidade e evolução do sistema. 

Esse, para mim, é o verdadeiro papel gerencial em segurança empresarial.

... e assim por diante. 

Para saber mais acesse Como se tornar um CPP

Boa caçada! 💪👮

A fraude começa no comportamento, não nos números!

Por que a Segurança Corporativa precisa conhecer o negócio, integrar áreas e agir antes que pequenas falhas se transformem em perdas recorrentes?

“Se você não quer um ladrão na sua empresa, não o contrate!”

O pensamento de Segurança Corporativa começa antes da contratação. Por isso, é tão importante a integração e alinhamento entre as áreas,e neste caso o próprio RH, e atuando de forma integrada desde o processo seletivo. 

Não se trata da Segurança assumir o papel do RH, mas de contribuir com critérios de verificação proporcionais ao risco de cada função, respeitando a legislação e a privacidade. A lógica é simples: é muito mais eficiente identificar um risco antes que ele entre na organização do que investigá-lo depois que já teve acesso às pessoas, informações, processos e ativos da empresa.

A fraude moderna não é apenas financeira. Ela alcança contratos, decisões estratégicas e toda a cadeia operacional. Quando aparece nos números, normalmente já percorreu um caminho anterior: começou no comportamento, encontrou uma falha de controle, testou os limites da organização e se instalou onde ninguém estava olhando. Por isso, prevenir, investigar e neutralizar fraudes não é uma atividade periférica da segurança. É parte da proteção da continuidade, da reputação, da governança e dos resultados do negócio.

A experiência só tem valor quando vira método

Minha trajetória começou no Exército, entre o ambiente operacional e a estrutura administrativa. Depois migrei para a segurança corporativa, com atuação em investigações, apuração de fraudes e análise de comportamento. Aprofundei técnicas de entrevista, inteligência humana e linguagem corporal, realizei centenas de entrevistas e participei de operações complexas em ferrovia, mineração, logística e infraestrutura, no Brasil e na África. Também trabalhei com transporte de valores e investigação de sinistros. A certificação CPP (Certified Protection Professional) consolidou essa experiência e reforçou uma convicção: formação contínua não substitui a prática, mas transforma o conhecimento tácito acumulado em capacidade de decisão.

Essa vivência mostrou que combater fraude não significa apenas identificar o responsável. O trabalho começa antes da contratação e continua no desenho de processos, contratos, controles e responsabilidades. Quando a falha já ocorreu, a missão é interromper a perda, proteger o negócio, recuperar o que for possível e corrigir o processo para impedir a repetição. Ater-se apenas ao desejo de “pegar o bandido” reduz a segurança a uma reação. Precisamos ir além. A empresa precisa de uma resposta mais ampla e estratégica.

Pequenas fraudes fazem a empresa sangrar

É comum ouvir que determinada empresa não tem fraude. A pergunta correta é outra: ela não tem fraude ou é você que não sabe onde ela está acontecendo? Porque tenha certeza: alguém está aprontando. Em ambientes com milhares de pessoas, múltiplos contratos e operações distribuídas, as oportunidades se multiplicam. Nem sempre a maior perda vem de um grande esquema isolado. Desvios de combustível, materiais, benefícios ou pequenas quantias podem parecer irrelevantes quando analisados individualmente. Repetidos todos os dias e multiplicados por anos, unidades e empregados, eles formam um volume capaz de pagar o custo de toda a estrutura de segurança.

A fraude testa o processo. Uma pessoa identifica a brecha, verifica se existe monitoramento e procura parceiros ou laranjas. A ausência de visão integrada facilita esse movimento. Por isso, a segurança deve orientar os gestores e conhecer as interdependências da organização. Compliance, Segurança Cibernética, Segurança do Trabalho, Auditoria, Jurídico, RH, Operações, etc., não podem atuar como ilhas. Proteger o negócio exige sinergia entre as áreas. E a Segurança Empresarial tem que estar alinhada com todas elas, assim como com o objetivo do negócio. Isto gera valor.

Apurar é construir um mosaico

Uma apuração é como um mosaico. Pequenos dados, isoladamente, parecem dizer nada. Quando reunidos, formam informação; a informação, analisada em contexto, produz conhecimento. Uma não conformidade não é automaticamente uma fraude, mas pode ser um indício. Seguir o processo, perguntar por que a falha ocorreu e cruzar registros, entrevistas, comportamentos e controles permite enxergar a figura completa. É assim que um detalhe aparentemente pequeno pode revelar um problema muito maior.

A tecnologia amplia essa capacidade, mas não substitui o repertório profissional. A inteligência artificial pode acelerar pesquisas, estruturar dados, apoiar treinamentos e dar escala à análise. Porém, só produz valor quando quem analisa possui conhecimento para formular perguntas, verificar respostas e reconhecer inconsistências. Quem domina o trabalho usa a ferramenta para voar; quem tenta se esconder atrás dela expõe ainda mais suas limitações. 

Lembre-se: A pergunta correta é ainda mais importante do que a própria resposta.

Da reação à prevenção, e da prevenção à predição

Grande parte da segurança ainda atua de forma reativa: ocorre a fraude, o furto ou o desvio e só então começa a análise. O caminho mais maduro é preventivo e, quando os dados permitem, preditivo. Isso não significa adivinhar o futuro, mas reconhecer padrões e antecipar vulnerabilidades. A análise de risco ajuda a verificar se o gestor controla o contrato, se existem cláusulas de confidencialidade e anticorrupção, se os níveis de serviço e as multas são adequados, se houve auditoria e se denúncias relevantes chegam à segurança.

A liderança é decisiva. A primeira linha de defesa é o dono do processo; depois vêm segurança e auditoria interna; em seguida, auditorias e avaliações independentes. Essa estrutura só funciona quando existe integração. A segurança precisa se aproximar do RH, Jurídico, Operação e da Alta Gestão. Precisa saber quando apurar, quando não expor o caso prematuramente e como conduzir entrevistas sem acusação, respeitando limites legais e preservando a empresa.

O resultado é uma decisão melhor

Nem toda apuração termina com uma prova definitiva ou uma demissão imediata. Às vezes, o trabalho revela quebra de confiança, risco elevado ou elementos insuficientes para uma conclusão categórica. O papel da segurança é apresentar o melhor cenário possível, sustentado por dados confiáveis. A decisão pertence ao gestor e à alta administração, que podem mitigar, transferir, evitar ou aceitar o risco. Quando a segurança melhora a qualidade dessa decisão, o trabalho produz resultado, mesmo que o desfecho não seja aquele imaginado pelo apurador.

Essa postura exige fazer o certo, da maneira certa. E o caminho correto quase nunca é o mais fácil. Um atalho pode destruir uma apuração tecnicamente sólida e pior, comprometer a credibilidade da área. A confiança é construída quando a segurança entrega informação verdadeira, admite os limites do que sabe e não desperdiça o tempo da liderança. Com credibilidade, ela deixa de ser vista apenas como custo e passa a influenciar operação, manutenção, projetos, RH, compliance e decisões executivas. Gerar valor.

Segurança estratégica resolve problemas do negócio

Visão estratégica não depende de ocupar uma cadeira no conselho. Ela aparece quando o profissional conhece o negócio, elabora cenários e influencia decisões a partir da operação. Uma estrutura de segurança se torna defensável quando seus recursos estão conectados a processos reais da empresa. Se um posto, uma tecnologia ou uma investigação existe apenas para atender à própria segurança, será tratado como custo dispensável. Quando sustenta a operação, reduz perdas e evita problemas para a liderança, seu valor fica evidente e está alinhado com o negócio da empresa.

A lógica vale também para projetos. Não é necessário começar com uma transformação gigantesca. Um projeto piloto bem escolhido, uma tecnologia testada em pequena escala e um patrocinador interno convencido pelo resultado, podem abrir caminho para uma implantação maior. O importante é entender onde se quer chegar, dar o primeiro passo, medir, aprender e avançar. Segurança corporativa estratégica é isso: aprender, desenvolver e entregar — com método, integração e compromisso permanente com o negócio.

Acesse o conteúdo completo:

https://www.youtube.com/watch?v=4D6phb2ba24

Abraço