A política proíbe o envio de dado de cliente a ferramenta externa. A pergunta seguinte quase nunca é feita: o que acontece, tecnicamente, quando alguém tenta? Na maioria das empresas, a resposta é nada — o envio ocorre, ninguém é avisado e nenhum registro é criado. A tese deste artigo: política descreve intenção; controle é o que acontece automaticamente quando alguém age fora dela. Empresas param na primeira e presumem a segunda, e a distância entre as duas só aparece no incidente.
Traduzir cada regra em um mecanismo
Para cada linha da política, três respostas: o que impede tecnicamente, o que detecta depois e o que apenas orienta. A terceira é legítima; o problema é quando ela é a única.
Regra sem nenhum dos três é declaração de intenção. Ela cumpre função simbólica e documental, e pode até ser suficiente para riscos baixos, mas não deveria ser confundida com controle em uma apresentação de conformidade.
O exercício é mecânico e revelador. Uma política de dez linhas produz uma tabela de trinta células, e as células vazias mostram exatamente onde a empresa está confiando em boa vontade.
Três tipos de controle, com custos distintos
Preventivo bloqueia antes: impede o envio, recusa a operação, exige aprovação. É o mais eficaz e o mais caro em atrito, porque também bloqueia o caso legítimo que ninguém previu.
Detectivo registra e alerta depois: identifica o padrão, gera o log, notifica o responsável. Custa menos atrito e aceita que o evento aconteça. Corretivo define o que fazer quando ocorreu: quem é acionado, em qual prazo, com qual comunicação.
A maioria das empresas implementa apenas o primeiro tipo, no ponto mais fácil de bloquear, e fica cega para o resto. O NIST AI RMF trata a gestão de risco como ciclo contínuo justamente porque prevenção isolada não cobre o que passa.
O controle precisa gerar evidência
Controle que funciona e não registra não sustenta auditoria nem aprendizado. Do ponto de vista de quem examina depois, ele é indistinguível de um controle que nunca existiu.
Cada mecanismo deve produzir um registro consultável de quando atuou e sobre o quê: data, evento, regra acionada, resultado. Sem isso, a empresa não consegue responder com que frequência a política foi testada na prática.
O art. 46 da LGPD exige medidas de segurança aptas a proteger dados pessoais. Demonstrar aptidão exige evidência, e evidência é registro — não descrição do controle em um documento de política.
Testar o controle, não confiar nele
Verificar periodicamente se o bloqueio ainda bloqueia e se o alerta ainda dispara. Atualização de sistema, troca de fornecedor e mudança de configuração desligam controles sem avisar ninguém.
Controle silencioso pode significar conformidade total ou mecanismo desativado, e as duas hipóteses produzem exatamente a mesma linha no relatório. Só o teste separa uma da outra.
Considere um teste trimestral com casos deliberados e resultado esperado documentado. É a diferença entre afirmar que o controle existe e demonstrar que ele operou na data em que foi verificado.
Priorizar por consequência, não por facilidade
A matriz de controles costuma ser preenchida na ordem inversa da que importa: primeiro o que é fácil de implementar, depois o que sobra. O resultado é cobertura alta em regras de baixo impacto e vazio nas de maior consequência.
A ordenação defensável parte da consequência do descumprimento: exposição de dado pessoal, efeito sobre cliente, impacto financeiro e risco regulatório. Regras com consequência alta e nenhum mecanismo associado são a primeira fila.
Considere uma empresa que classifica cada regra por consequência antes de escolher o mecanismo. A lista de trabalho muda de ordem e, na maioria dos casos, encurta — porque parte das regras de baixo impacto aceita apenas orientação.
Três perguntas por regra da política
- O que previne tecnicamente essa regra
- O que a detecta depois, com registro
- O que corrige quando o evento ocorre, e quem é acionado
Modelo de cálculo ÍON
Regras da política × 3 tipos de controle = células da matriz. Células preenchidas ÷ total = cobertura de controle. Células vazias em regras de alto impacto são a fila de trabalho.
Case relacionado
Profissionalização sem destruir a cultura da empresa familiarFontes e referências
ISO/IEC 42001:2023 — Sistema de gestão de inteligência artificial
Acessar a fonteNIST AI Risk Management Framework 1.0 (2023)
Acessar a fonteLGPD — Lei nº 13.709/2018, art. 46
Acessar a fonte
Solução ÍON relacionada
Estratégia & Gestão Empresarial
Dúvidas frequentes
- Qual a diferença entre política e controle?
- Política descreve a intenção da empresa; controle é o mecanismo que atua quando alguém age fora dela. A política diz que não se deve enviar dado de cliente a ferramenta externa; o controle é o que bloqueia, detecta ou corrige quando o envio é tentado.
- O que é controle detectivo?
- É o mecanismo que não impede o evento, mas o identifica depois: registra o acontecimento, gera log e alerta o responsável. Custa menos atrito operacional que o bloqueio preventivo e é indispensável para o que não pode ser impedido sem travar o trabalho legítimo.
- Como saber se o controle realmente funciona?
- Testando com casos deliberados em periodicidade fixa e documentando o resultado esperado. Ausência de alertas pode significar conformidade total ou mecanismo desligado por uma atualização de sistema, e as duas hipóteses produzem a mesma linha no relatório.
- Preciso automatizar todos os controles?
- Não. Orientação e revisão humana continuam sendo controles válidos, sobretudo em regras de baixo impacto. O problema é quando a orientação é o único mecanismo existente para uma regra cujo descumprimento tem consequência regulatória ou financeira relevante.
- Quem testa os controles?
- Idealmente quem não os implementou — risco, auditoria interna ou um responsável designado fora da área que opera o mecanismo. O teste precisa de escopo, periodicidade e registro do resultado, para que a verificação seja demonstrável e não apenas afirmada.
Autor
Leandro Bryk
Consultor responsável pela ÍON Soluções, atuando em inteligência comercial, estratégia, gestão financeira, marketing e imagem corporativa.
LinkedIn