Governança de dados baseada em riscos: do método decisório ao valor público

Uma vez entendida e acomodada a LGPD, a governança precisa definir como vai decidir. Há dois grandes métodos: baseado em processos ou baseado em riscos. A escolha entre eles cabe à governança, sendo o objetivo final sempre o mesmo: proteger o valor público que a organização entrega à sociedade.

Processo ou risco? A governança decide

Para operacionalizar a proteção de dados, é possível adotar uma abordagem estrutural, baseada em processos, como a oferecida pela roda do DAMA, dentro da qual a governança de dados pessoais é um braço da governança de dados. Alternativamente, é possível adotar uma abordagem baseada em riscos, elencando os riscos de proteção de dados a partir dos processos de trabalho da organização — como acesso, modificação ou remoção não autorizados de dados; perda ou apropriação indébita; coleta ou retenção além do necessário; tratamento ou compartilhamento sem consentimento, quando aplicável; e vinculação indevida ou reidentificação de dados anonimizados.

A decisão entre uma abordagem e outra cabe à governança, que decide com base no entendimento da cultura da organização, dos mecanismos de governança e gestão existentes e da situação da segurança da informação.

Um modelo de riscos que responde ao presidente

A abordagem baseada em riscos pode ser organizada em camadas. Os riscos operacionais são agrupados em riscos táticos, que por sua vez se agrupam em riscos estratégicos. Para cada risco, analisa-se o conjunto de controles capazes de mitigá-lo e mede-se o percentual de controles efetivamente implementados. Assim, é possível construir um plano de adequação e, sobretudo, responder de forma objetiva à pergunta que a alta autoridade costuma fazer: "estamos protegidos?".

A resposta não é um simples sim ou não — ela precisa explicar o porquê. Se, da lista de controles previstos, a organização implementou 87%, é possível dizer que, de zero a cem, ela está protegida em 87%, detalhando quais controles foram adotados para cada risco. Para montar essa lista, pode-se recorrer a referenciais como os controles do CIS, inclusive com conjuntos voltados à proteção de dados pessoais, ou a outra metodologia. O essencial é que a governança estabeleça o método decisório.

A governança protege todo o ecossistema de valor

O impacto da governança não se limita à gestão: ele alcança todo o ecossistema da organização. Qualquer processo de trabalho no setor público precisa cumprir requisitos que vêm de leis, da jurisprudência e de normas técnicas — assim como uma obra pública segue as recomendações técnicas pertinentes e um serviço de TI se apoia em referenciais como o ITIL. É a governança que provê direção, monitoramento e controle para que esses requisitos sejam efetivamente cumpridos.

Mas a governança sozinha não basta. Deve-se somar a ela as diretrizes estratégicas, que alocam os insumos disponíveis para as principais necessidades da organização, e quatro pilares essenciais do setor público: integridade, transparência, accountability e sustentabilidade. Sem integridade, cresce o risco de o processo servir a interesses privados; sem sustentabilidade, os resultados tendem a ficar apenas no curto prazo. Dessa forma, os recursos de transformação (pessoas, orçamento e TI) são aplicados sobre o processo, que gera um produto (obras, serviços e bens) destinado a um cliente: o titular de dados, a sociedade, o público beneficiado.

Governança para o valor público, não pela governança

Quando um processo gera um produto que resolve o problema de um cliente, há produção de valor público sustentável. Pensar em LGPD, portanto, não é apenas avaliar como ela afeta cada fase de um processo, mas como ela afeta esse valor público — inclusive os produtos, os clientes, as capacidades e os pilares. O exemplo do Tribunal de Contas é eloquente: deixar de publicar o CPF do responsável no julgamento de contas, uma decisão provocada pela LGPD, teria o poder de ameaçar o próprio valor público gerado pela instituição. A conclusão é direta: não se trata de governança pela governança, e sim de governança para tornar o valor público cada vez mais sustentável, mesmo sob a proteção de dados pessoais.

Principais pontos

• A governança escolhe o método decisório: baseado em processos (roda do DAMA) ou em riscos.
• Riscos operacionais se agregam em táticos e estratégicos, medidos pelo percentual de controles implementados.
• Isso permite responder objetivamente à pergunta "estamos protegidos?" — com o porquê.
• Todo processo público cumpre requisitos de leis, jurisprudência e normas técnicas via governança.
• Diretrizes, quatro pilares e capacidades levam o processo a gerar valor público sustentável.

Quer implementar a LGPD no seu órgão sem burocracia e protegendo o valor público? Conheça nossa formação em governança e compliance de dados no setor público e capacite a sua equipe para decidir melhor.