Tecnologia 18 a 20/02/2017 - Jornal Empresas & Negócios
Tecnologia 18 a 20/02/2017
Na era digital, em que tanto se fala sobre a necessidade de investimentos pesados em estratégias e ações para o ambiente virtual, os varejistas podem se diferenciar da concorrência com iniciativas simples no ponto de venda, como garantir filas curtas, disponibilidade de produtos para os consumidores e informações rápidas e assertivas sobre o estoque disponível na loja
Fabio Lopez (*)
(*) É diretor de Vendas da Datalogic para o Sul da América Latina.
Em algum momento você já deve ter ouvido os termos multicanalidade e omnichanel, fortes tendências de mercado que ganham cada vez mais espaço quando analisamos as novas relações de consumo. Essas tecnologias e canais de relacionamento permitem interações mais ágeis e assertivas entre empresas e clientes por meio de diversos canais – sms, chat humano, apps, chatbots, redes sociais, e-mail, WhatsApp, telefone, entre outros – e prometem integrar todos eles. A implantação desses conceitos gera mais eficiência e redução de custos para as empresas e, à medida que ganham força, também levantam questões importantes no que se refere à segurança da informação. Ressalto aqui uma reflexão pertinente: como garantir a proteção dos dados em uma era de constante transformação digital e mobilidade?
Um estudo global realizado pela Dimensional Research a pedido da Dell, em julho de 2016, ressalta dados preocupantes: 97% das empresas investem em soluções digitais, mas o índice de companhias que envolvem a área de segurança da informação nos projetos não chega a 20%.
Se o tema é ponto sensível nas grandes corporações, para as pequenas e médias empresas este desafio é ainda maior, devido ao alto custo de implantação de algumas medidas. Um recente relatório da Verizon Data Breach Investigations Report indicou que 60% dos ataques relacionados à segurança da informação foram direcionados às pequenas e médias empresas, justamente porque elas não têm conhecimento técnico e os recursos necessários para monitorar e gerenciar produtos de segurança no seu ambiente. Vale considerar, portanto, terceirizar esses serviços para parceiros que contam com uma política de segurança da informação estruturada.
Não é novidade que uma das ações que diminuem esses riscos e aumentam significativamente a proteção dos dados é a certificação PCI DSS, que vale ser enaltecida. Criada a partir da união dos programas de segurança das maiores bandeiras de cartão de crédito do mundo, a certificação tem como objetivo proteger os consumidores contra fraudes envolvendo transações realizadas por meio dessa modalidade de pagamento.
Por atestar o nível de maturidade e o grau de segurança dos ambientes das empresas que lidam com esse processo, ela é extremamente estratégica para as empresas de BPO e CRM, como a Contax, que possui a certificação e percebe claramente essa vantagem competitiva e sua relevância para o negócio. Preocupados com a segurança dos próprios dados e informações de clientes, muitos dos nossos parceiros só trabalham com companhias que possuem PCI Compliance.
Entendemos e difundimos a ideia de que a segurança da informação é um assunto que envolve todas as áreas e níveis da empresa. Com esse pensamento em mente, criamos um comitê que inclui colaboradores das áreas de RH, Negócios, Auditoria, TI, Compliance e Jurídica, para discutir assuntos relacionados à segurança. Temas e soluções que surgem durante essas reuniões passam pelo crivo da alta diretoria da Contax e são rapidamente aplicadas.
Ao contar com uma área bem estruturada de segurança da informação, que investe em tecnologia, certificações, criações de comitês, entre outras iniciativas, foi possível desenvolver um projeto bastante complexo, mapeando os pontos fortes e fracos do sistema e processos de uma das maiores e principais instituições financeiras do País. Gosto de citar esse exemplo, por ressaltar o impacto de uma atuação próxima e consultiva, antecipando e até prevenindo possíveis fraudes, o que pode gerar economia de milhões de reais aos clientes e ainda fortalecer a nossa relação de parceria.
Porém, apresento aqui a consideração mais relevante dessa reflexão: investir em tecnologias e em processos não basta. É imprescindível engajar o capital humano, hoje visto como o elo mais frágil. A Contax, ciente dessa importância, investe fortemente em um Plano de Conscientização de seus colaboradores envolvendo treinamentos, capacitações e workshops constantes.
Estamos vivendo uma época de profunda transformação digital e atender aos anseios do mercado é tão importante quanto trafegar os dados com proteção máxima. É preciso balancear essas duas prioridades. Estamos em um caminho sem volta e é preferível percorrê-lo com segurança. A você, leitor, que não é um técnico do nosso setor, deixo uma pergunta: você se sente protegido?
(Fonte: Roberto Toscani é gerente de Segurança
da Informação e Prevenção à Fraude da Contax).
Revendo e desmistificando o Compliance
Tenho visto muitos artigos e posições de profissionais sobre a atividade de "compliance", sendo que algumas, a meu ver, são posições equivocadas. Estão tentando dar uma conotação muito maior do que o termo realmente é
Primeiro precisamos entender que "compliance" é uma atitude, que todos dentro de uma empresa devem ter quanto ao comprometimento ao atendimento das regras que regem a operação, seja interna ou externa.
Posso garantir que pelo menos desde o ano de 1980, quando iniciei minha vida profissional como auditor externo, já tratávamos de avaliar a conformidade das operações com suas políticas e procedimentos ou quanto às leis e regulamentos. A estrutura do COSO Controles internos, lançada em 1982, já definia "compliance" como sendo um dos objetivos do sistema de controle interno corporativo, ou seja: não existe nada de novo.
Claro que o tema recebeu um novo impulso na promulgação da Lei Anticorrupção, em 2013, e de outras leis e regulamentos que vieram, seja para o setor privado ou público, relacionadas à melhoria dos processos de governança.
Atualmente a diferença é que, ao que parece, os gestores estão dando um pouco mais de valor para "compliance", não sei se por medo ou por "modismo".
A grande verdade é que as corporações e/ou seus gestores, nunca deram a devida importância aos temas referentes ao gerenciamento de riscos ou a gestão do sistema de controles internos e, muito menos, para a auditoria interna. Alguns achavam que era burocracia, perda de tempo, atividades sem valia.
Como todos os outros fundamentos de governança, "compliance" deve fazer parte da cultura da empresa. Os gestores devem estar cientes de suas responsabilidades e que eles, como os "donos" do processo, têm a responsabilidade de identificação, avaliação e tratamento dos riscos envolvidos com os segmentos operacionais e/ou de negócios que são responsáveis e que isso não pode ser delegado.
Apesar de tudo, mesmo com os equívocos que tenho observado sobre o tema, vejo com bons olhos toda esta movimentação e discussões. Elas devem, pelo menos, fazer com que os tomadores de decisão comecem a olhar para o assunto de uma forma mais efetiva.
Uma preocupação que deve existir é na criação de organismos responsáveis por "compliance" nas corporações. Isto pode elevar o custo organizacional, sem que exista efetivamente retorno.
Minha sugestão para as empresas é que é sempre preferível reforçar os mecanismos de "compliance" já existentes nas empresas, em vez de criar outros.
1. Criar cultura de "compliance" através de programas de capacitação e sensibilização, em todos os níveis, principalmente nos níveis de alta e média gestão;
2. Determinar, através da descrição de cargos, a responsabilidade por "compliance" de cada gestor, incluindo como uma medida de desempenho para salário variável;
5. O departamento de controles internos deve apoiar os gestores na modelagem das atividades de transação do processo, na identificação de riscos (incluindo o risco de não conformidade) e implantar controle interno para mitigar e monitorar este risco;
6. O departamento de auditoria interna, por sua vez, deve realizar uma avaliação independente da gestão de riscos e dos controles internos do processo objeto da avaliação, recomendando melhorias sempre que se deparar com uma vulnerabilidade.
É verdade que, em algumas ocasiões, as empresas que atuam em setor altamente regulamentado, precisarão reforçar sua equipe, adicionando analistas de conformidade para verificar se todos os requisitos do órgão regulamentador foram atendidos. Estes analistas podem fazer parte do setor jurídico ou do setor de controles internos.
Sempre gosto de salientar que a busca pela simplicidade na empresa deve ser uma atividade convergente, pois tem o poder de permitir que sejam encontradas formas de fazer melhor e mais barato o que esta sendo feito hoje.
(*) É Sócio principal, responsável pelos projetos de governança, gestão de riscos, controles internos e auditoria interna da Crossover Consulting & Auditing. É diretor executivo do Internal Control institute – chapter Brasil, palestrante e instrutor do IIA Brasil.