“Em Deus confiamos. Todos os outros devem trazer dados.”
W. Edwards Deming
No artigo “Segurança: centro de custo ou geradora de valor?”, fiz uma pergunta que parecia simples: Quanto valor sua Segurança protegeu no ano passado?
A ideia era sair daquela velha discussão de que Segurança é apenas custo e começar a olhar para aquilo que ela realmente entrega ao negócio. OK, mas como você prova esse valor? Porque chegar numa reunião e dizer que “a Segurança está funcionando muito bem” não é exatamente um indicador. Assim como apresentar 12 mil rondas, 4 mil inspeções, 300 chachás confeccionados e 2 mil alarmes respondidos, também não resolve completamente o problema. Tudo isso pode ser importante, porém mede principalmente atividade. Demonstrar o que mudou porque fizemos tudo isso é "A chave para Rebecca" 🎬
Talvez o primeiro passo seja entender que o valor produzido pela Segurança não aparece sempre da mesma maneira. Para simplificar, vou separar em três grupos:
1. Valor realizado
Aqui a conversa é mais fácil, porque existe dinheiro que efetivamente pode ser demonstrado. Imagine uma investigação que identifica um desvio recorrente de R$ 40 mil por mês. O esquema é comprovado, interrompido e a perda deixa de acontecer. O indicador não pode ser somente: 01 investigação concluída.
Podemos demonstrar também o valor da perda identificada, o valor efetivamente recuperado e o impacto financeiro do desvio interrompido, tomando cuidado para não transformar projeção em dinheiro que já entrou no caixa.
Por exemplo: Durante uma apuração de fraude, R$ 300 mil em materiais foram desviados. A apuração permitiu recuperar R$ 220 mil.
Valor da perda: R$ 300 mil
Valor recuperado: R$ 220 mil
E se você sugeriu/realizou ações de mitigação para que não mais aconteça, e identificou que o esquema vinha produzindo perdas médias de R$ 220 mil mensais, então sua intervenção e interrupção do desvio projetada para os seis meses seguintes seria de aproximadamente R$ 1,3M.
Importante: trata-se de valor evitado estimado, e não de R$ 1,3 milhão efetivamente recuperados, já que essa recorrência, de padrão histórico, deixou de acontecer. E se apurou envolvidos, pode relacionar demissões, ações judiciais, etc.
E não é tão complicado quanto parece. Comece com cada ocorrência. Salas abertas, veículos destrancados, luzes acesas, etc. Calcule valores razoáveis e defensáveis, e você pode capitalizar:
Pequenos ganhos X pequenos valores X muitas vezes/horas
O trabalho de formiguinha resulta em grande resultado no fim do ano 😉
Insight: Um Vigilante encontra uma sala destrancada. Ele registra a ocorrência, tira foto do interior e anexa. Se houver ativos identificáveis e valores patrimoniais disponíveis em uma base corporativa, você pode relacionar a exposição potencial aos ativos existentes. A IA pode ajudar a organizar, identificar e cruzar essas informações, mas o valor utilizado no indicador precisa ter uma base verificável e defensável.
Outra... Barrou a saída de um laptop na Portaria, registra, mensura... e assim vai.
Basicamente é ter bom senso e conseguir demonstrar cada valor apurado. Com o tempo e algumas caneladas o processo se acerta.
Difícil? Não. É só você deixar de preguiça e papirar um pouco. De 3 a 4 horas e seus indicadores estarão prontos. Cria aquele Power BI bizurado, que extrai direto da planilha básica Excel e corre pro abraço.👍
2. Valor operacional
Imagine uma operação que utiliza grande quantidade de horas extras para cobrir ausências, férias, treinamentos e necessidades extraordinárias da Segurança. Depois de analisar escalas, postos, horários e demanda operacional, a área reorganiza seus recursos e reduz 1.500 horas extras por ano, mantendo o mesmo nível adequado de proteção.
Quantas horas extras tínhamos? Quanto custavam? Quanto reduzimos? O risco permaneceu aceitável?
Se você tinha os dados anteriores, agora pode apresentar para Operações, RH, Finanças e Alta Gestão. É questão de organização e governança.
Outro exemplo é a Manutenção. A Segurança percebe que parte das solicitações emergenciais para entrada de técnicos acontece porque os processos de acesso são iniciados tarde demais. Em vez de medir somente quantos acessos foram liberados, começa a acompanhar as Solicitações emergenciais de acesso, Tempo médio de regularização, Reincidência por área solicitante e Impactos operacionais associados. Talvez o resultado seja descobrir que 70% das emergências vêm de três áreas e poderiam ser evitadas com planejamento. Você deixou de medir somente o que a Segurança fez e começou a medir aquilo que o processo revelou para o negócio.
Coloque isto em uma apresentação e veja a mágica acontecer.
3. Valor de risco
Aqui a conversa começa a ficar mais interessante... e também mais perigosa. Imagine que uma Avaliação de Risco identifica determinado cenário com exposição estimada de R$ 2 milhões. Após a implantação dos controles sugeridos por você, o risco é estimado cai para R$ 600 mil.
Exposição anterior → R$ 2 milhões
Exposição residual → R$ 600 mil
Redução estimada da exposição → R$ 1,4 milhão
A Segurança gerou valor? Claro que sim. Entraram R$ 1,4 milhão no caixa? Não. E esta diferença precisa ficar muito clara.
Em outra situação, uma área apresenta 20 ocorrências relevantes por trimestre. Depois de analisar causas, horários, locais e vulnerabilidades, Segurança e Operações implantam controles e o número cai para oito. Você pode acompanhar a Frequência de ocorrências, Severidade, Reincidência, Exposição associada e Eficácia dos controles.
E não precisa colocar $$ em tudo. Aliás, colocar dinheiro onde não existe uma base minimamente defensável pode fazer o indicador perder credibilidade.
E os intangíveis?
Aqui temos um grande desafio. Confiança dos empregados. Sensação de segurança. Reputação. Capacidade de resposta. Credibilidade junto à Alta Gestão. Qualidade do relacionamento com comunidades/autoridades. Cultura de prevenção. Tudo isso pode ter valor enorme e, ao mesmo tempo, ser muito difícil de transformar diretamente em $$. Mas difícil de monetizar não significa impossível de medir.
Uma pesquisa de percepção pode acompanhar a confiança dos empregados na Segurança. Exercícios de crise podem medir tempo de mobilização e capacidade de resposta. Auditorias podem mostrar evolução de maturidade. Pesquisas com clientes internos podem indicar se a Segurança está facilitando ou dificultando processos.
Talvez você não consiga dizer que a confiança dos empregados gerou R$ 850 mil, e tudo bem. Mas você pode demonstrar que a percepção positiva passou de 62% para 84%, que o tempo de mobilização da equipe de crise caiu de 25 para 11 minutos ou que a reincidência de determinada vulnerabilidade caiu 60%.
Lembre-se: O importante é não misturar as coisas. 😎
Dinheiro recuperado é uma coisa. Custo efetivamente reduzido é outra.
Perda evitada e produtividade preservada são situações diferentes.
Redução da exposição ao risco e valor intangível são categorias ainda mais delicadas e desafiadoras.
Se colocarmos tudo na mesma cesta e chamarmos de “economia gerada pela Segurança”, podemos produzir um número enorme... e uma credibilidade bem pequena.
Então quais KPIs devo utilizar?
A resposta que ninguém gosta: Depende.
Do negócio, dos ativos críticos, dos riscos, da operação e principalmente daquilo que a Alta Gestão precisa saber para tomar decisões. Mas talvez exista uma regra simples. Pegue um dos seus indicadores e pergunte repetidamente: E daí?
Realizamos 3.000 rondas.
E daí?
Identificamos 180 anormalidades. Melhorou.
E daí?
140 foram corrigidas antes de se transformarem em incidentes.
Agora começamos a conversar. 😉
E quais eram os riscos? Quais áreas concentravam as anormalidades? Quais eram reincidentes? Quanto tempo demoramos para corrigir? Alguma delas poderia interromper a operação, causar uma perda ou atingir pessoas? Pronto. O número começou a virar informação. E a informação começou a virar decisão.
Avalie. Talvez o desafio não seja criar mais KPIs. Talvez seja conectar melhor os indicadores que já tem às consequências que realmente importam para o negócio.
E dá para calcular o retorno da Segurança?
Se começamos a falar em valor, inevitavelmente vamos chegar a duas siglas:
ROI — Return on Investment, ou Retorno sobre o Investimento.
ROSI — Return on Security Investment, ou Retorno sobre o Investimento em Segurança.
Parece simples: comparar aquilo que investimos com o benefício produzido. Mas imagine que a empresa investe R$ 300 mil em controles para reduzir um risco que poderia causar uma perda de R$ 3 milhões. Só que a perda não acontece. Então a Segurança gerou R$ 3 milhões?
Calma lá, Combatente. 😁
Como demonstrar quanto daquela perda realmente foi evitada? Qual era a probabilidade de o evento acontecer? Quanto o novo controle efetivamente reduziu essa probabilidade? E como separar dinheiro recuperado, custo reduzido, exposição evitada e valor intangível sem criar um número bonito, porém artificial?
A Segurança não decide sozinha quanto risco a organização aceita. Ela ajuda a estruturar essa conversa. É aí que ROI e ROSI começam a ficar realmente interessantes.
O que fica permanece é responder se é possível para calcular o retorno financeiro de algo que não aconteceu.
Mas isto é para um próximo artigo...
Abraço
Referências:
From Hard Numbers to a Value Proposition: Crafting a Story for the C-Suite with Metrics
Metrics to Make Security Shine Beyond the Numbers
Security Metrics Evaluation Tool (Security MET)
Quantitative Risk Analysis — NISTIR 8286
Factor Analysis of Information Risk (FAIR) Standard v3.0
Blog do Moscou no X
Blog do Moscou no Facebook
