Risk Gone Wild

No final de 2007, funcionários do governo do Reino Unido perderam dois discos de computador contendo dados pessoais e bancários de aproximadamente 25 milhões de residentes, informações com um valor estimado no mercado negro de 2,5 bilhões de dólares. No início de 2008, uma falha em um data center terceirizado na Dinamarca interrompeu as operações de seus clientes, derrubando a rede de caixas eletrônicos de um grande banco e interrompendo a entrega de leite em todo o país. Então, em setembro passado, uma falha na rede interrompeu as negociações na Bolsa de Valores de Londres no que teria sido um dos dias mais movimentados do ano. Todos esses são casos do que chamamos de “eventos extremos baseados em tecnologia”: desastres improváveis e difíceis de prever, nos quais a TI geralmente desempenha um papel principal. Até recentemente, o risco desses eventos de grande escala parecia infinitesimal e, portanto, as empresas prestavam pouca atenção em mitigá-los. Mas essas calamidades se tornaram cada vez mais comuns e são praticamente garantidas pelo papel crescente e fundamental da TI nos negócios. A TI costumava ser isolada em silos em uma única empresa. Os sistemas modernos, no entanto, não apenas interconectam todos os aspectos de um negócio, mas geralmente têm links em tempo real com os sistemas de fornecedores e clientes. Essa abertura e indefinição de limites, ao mesmo tempo em que cria eficiências e possibilita novos modelos de negócios, permite que os erros se espalhem em cascata pelas empresas e regiões geográficas, aumentando seu impacto à medida que se espalham. Também pode, muitas vezes sem querer, conferir a pequenos grupos de funcionários o poder de realizar ações que vão muito além de seu alcance. Quando isso acontece, pequenos erros podem instantaneamente se transformar em catástrofes. Em um caso recente, um erro honesto de digitação de um funcionário da corretora transformou uma negociação de $4 milhões em uma negociação de $4 bilhões, contribuindo para uma queda de 2,36% no S&P 500 naquele dia. Considere também a venda pela Sony de 6 milhões de CDs de música incorporando software antipirataria que, inadvertidamente, expôs os consumidores a hackers, resultando em uma enxurrada de publicidade negativa e ações judiciais. As estratégias padrão de gerenciamento de riscos estão ultrapassadas demais para ajudar as empresas a conter riscos catastróficos vinculados à TI. Essas estratégias tendem a presumir que os riscos são bem compreendidos e que a possibilidade de eventos extremos é pequena. Como resultado, as organizações geralmente se concentram em garantir que tenham boas políticas e procedimentos para gerenciar riscos conhecidos e estejam usando processos de alta qualidade para criar e operar a TI. Mas esse foco antiquado pode impedir que as empresas vejam novos riscos. Como você identifica eventos que, por definição, são difíceis de antecipar? Comece incutindo de cima para baixo uma cultura organizacional que incentive os funcionários a assumirem a responsabilidade pelos riscos e avaliarem suas possíveis recompensas e riscos. Isso significa modelar riscos e analisar seu impacto nos negócios e, ainda mais importante, tornar o processo parte integrante dos sistemas corporativos de gerenciamento de riscos e de todas as etapas do desenvolvimento do sistema de TI. A cultura deve incentivar os funcionários a apresentarem as preocupações sobre riscos desde o início, especialmente quando a TI está sendo aplicada de novas maneiras. Essa mentalidade estava ausente na Société Générale em 2007, quando as irregularidades comerciais não foram relatadas à gerência do banco por funcionários que as notaram porque, como observou um relatório dos próprios investigadores do banco, “isso não fazia parte especificamente de sua descrição de trabalho”. Posteriormente, o banco relatou uma perda de 7,3 bilhões de dólares, supostamente devido a negociações não autorizadas de um funcionário, Jérôme Kerviel. É fundamental fazer com que a consideração de eventos extremos seja parte do processo de desenvolvimento de tecnologia. Isso garante que os riscos reais sejam adequadamente ponderados no projeto de TI e nos cálculos de ROI. A cultura certa pode transformar as batalhas sobre riscos entre otimistas e pessimistas em tecnologia em um diálogo focado sobre a natureza do risco e como gerenciá-lo. Há muitas maneiras de reduzir e proteger os riscos vinculados à TI, e o desenvolvimento cuidadoso de uma estratégia para lidar com esses perigos desde o início pode mitigá-los sem comprometer a recompensa.

Risk Gone Wild

Resumo.

Partner Center