Por Renato Solimar*
A publicação do relatório final do CENIPA sobre o acidente envolvendo a aeronave da Voepass representa muito mais do que o encerramento de uma investigação aeronáutica. O documento constitui uma rica fonte de aprendizado sobre gestão de riscos, fatores humanos, governança e cultura organizacional.
Embora aviação e segurança cibernética atuem em contextos distintos, ambas são reconhecidas como organizações de alta confiabilidade (High Reliability Organizations – HRO), conceito desenvolvido por Karl Weick e Kathleen Sutcliffe. São ambientes nos quais falhas isoladas dificilmente produzem acidentes graves, mas onde a combinação de pequenas fragilidades pode resultar em consequências catastróficas.
Sob essa perspectiva, a leitura do relatório revela lições valiosas para profissionais de Segurança da Informação, Segurança Cibernética, Gestão de Riscos, Auditoria e Governança.
1. O excesso de alertas pode gerar complacência
Um dos aspectos mais interessantes evidenciados pelo relatório é que a repetição de determinadas condições tende a produzir um fenômeno conhecido como normalização do desvio. Quando um mesmo alerta ocorre repetidamente sem consequências aparentes, cria-se uma percepção de que aquela condição deixou de representar um risco relevante.
Na Segurança Cibernética esse fenômeno é amplamente conhecido como alert fatigue.
Centros de Operações de Segurança (SOC) recebem diariamente milhares de alertas provenientes de SIEMs, EDRs, IDS, plataformas de detecção de vulnerabilidades e diversas outras ferramentas.
Quando praticamente tudo é tratado como prioritário, a capacidade humana de distinguir o realmente crítico diminui.
O resultado costuma ser:
- complacência operacional;
- redução da capacidade de julgamento;
- falsa sensação de segurança baseada na experiência anterior;
- aumento da probabilidade de ignorar justamente o evento que exigia uma resposta imediata.
Ferramentas de monitoramento devem produzir inteligência, não apenas volume de notificações. A maturidade está na qualidade da correlação, na redução de falsos positivos e na priorização baseada em risco.
2. A cultura organizacional pode ser a principal barreira — ou a principal vulnerabilidade
Outro aspecto que chama atenção é a importância da cultura de registro e comunicação das anormalidades.
Quando problemas deixam de ser formalmente comunicados, as áreas responsáveis deixam de possuir informações suficientes para identificar tendências, investigar causas e implementar ações corretivas.
Na Segurança da Informação isso ocorre frequentemente:
- vulnerabilidades não registradas;
- exceções de segurança tratadas informalmente;
- incidentes resolvidos sem documentação;
- riscos conhecidos, mas nunca formalizados;
- desvios operacionais incorporados à rotina.
A consequência é previsível: a organização perde capacidade de aprender antes que o problema produza impactos significativos.
Uma cultura madura não incentiva apenas o cumprimento de normas; incentiva o reporte precoce de sinais fracos, permitindo atuação preventiva.
3. Processos consolidados apoiam decisões sob pressão
Outro aprendizado importante refere-se ao papel dos processos organizacionais e do assessoramento especializado.
Em ambientes complexos, decisões críticas não podem depender exclusivamente da experiência individual.
A existência de procedimentos claros, critérios objetivos e apoio técnico reduz significativamente a probabilidade de erro humano.
Na Segurança Cibernética isso significa possuir:
- playbooks de resposta a incidentes;
- procedimentos operacionais consolidados;
- critérios claros para escalonamento;
- especialistas disponíveis para assessoramento em tempo real;
- governança capaz de apoiar decisões complexas.
Processos não eliminam a necessidade de julgamento humano.
Eles reduzem a probabilidade de que decisões importantes sejam tomadas com informações incompletas ou sob forte pressão operacional.
4. Alertas precisam comunicar urgência
Nem todo alerta consegue transmitir adequadamente a gravidade da situação.
Mensagens ambíguas, excessivamente técnicas ou que não indiquem claramente a necessidade de ação imediata podem conduzir operadores a subestimar o risco.
Na Segurança da Informação isso também ocorre.
Alertas que não apresentam contexto de negócio, criticidade do ativo afetado ou orientação objetiva sobre a resposta necessária acabam competindo pela atenção dos analistas com centenas de outros eventos.
Um bom alerta precisa responder rapidamente:
- O que aconteceu?
- Qual o impacto potencial?
- Qual decisão precisa ser tomada agora?
Quanto menor o esforço cognitivo exigido para compreender a situação, maior a probabilidade de uma resposta adequada.
5. A importância da segunda linha de defesa
O relatório também evidencia que confiar exclusivamente na execução operacional não é suficiente.
Mesmo equipes experientes desenvolvem adaptações e práticas próprias ao longo do tempo.
Sem supervisão independente, essas adaptações podem tornar-se o novo padrão operacional sem que seus riscos sejam percebidos.
Esse entendimento converge diretamente com o Modelo das Três Linhas, do Institute of Internal Auditors (IIA).
A primeira linha executa os processos.
A segunda linha — composta pelas funções de Governança, Gestão de Riscos e Conformidade (GRC) — monitora continuamente se os controles permanecem eficazes, se os riscos estão dentro do apetite institucional e se os processos continuam aderentes às diretrizes organizacionais.
Essa atuação não deve ser vista como fiscalização, mas como um mecanismo permanente de aprendizado organizacional e melhoria contínua.
6. Auditoria gera valor quando reduz riscos — não apenas quando produz relatórios
Outro paralelo importante refere-se ao papel da auditoria interna.
Identificar problemas é apenas parte da missão.
O verdadeiro valor da terceira linha de defesa está em assegurar que riscos críticos sejam efetivamente tratados em tempo compatível com sua gravidade.
Infelizmente, não são raras organizações que acumulam recomendações relevantes durante anos sem que medidas estruturantes sejam implementadas.
Nesse cenário, relatórios deixam de ser instrumentos de transformação para se tornarem registros históricos de riscos conhecidos.
Uma gestão madura acompanha continuamente a implementação das recomendações, reavalia o risco residual e prioriza aquilo que efetivamente pode comprometer os objetivos institucionais.
Grandes acidentes raramente decorrem de uma única falha
Talvez a principal contribuição do relatório seja reforçar um dos conceitos mais importantes da gestão moderna de riscos.
James Reason, ao desenvolver o conhecido Modelo do Queijo Suíço, demonstrou que acidentes de grande magnitude dificilmente decorrem de um único erro. Eles resultam do alinhamento sucessivo de pequenas falhas em diferentes camadas de proteção: tecnologia, pessoas, processos, supervisão, comunicação, cultura e governança.
Na Segurança da Informação ocorre exatamente o mesmo.
Os grandes incidentes cibernéticos raramente são consequência exclusiva de uma vulnerabilidade técnica. Em geral, surgem da combinação entre falhas de processo, comunicação deficiente, supervisão insuficiente, gestão inadequada de riscos, cultura organizacional fragilizada e decisões tomadas sob informação incompleta.
Tecnologia continua sendo indispensável.
Mas organizações resilientes são construídas principalmente por pessoas, processos, governança e uma cultura capaz de transformar pequenos sinais em oportunidades de aprendizado antes que evoluam para crises.
É justamente por isso que o trabalho desenvolvido pelo CENIPA merece reconhecimento. Sua metodologia demonstra que investigações de acidentes não têm como propósito encontrar culpados, mas compreender profundamente os fatores contribuintes para fortalecer o sistema como um todo. Essa abordagem sistêmica produz conhecimento que transcende a aviação e oferece ensinamentos valiosos para qualquer organização que gerencie riscos complexos.
A Segurança da Informação, a Segurança Cibernética e a Gestão de Riscos têm muito a aprender com essa forma de investigar, analisar e evoluir continuamente. Afinal, o maior legado de uma investigação bem conduzida não é explicar o passado, mas reduzir a probabilidade de que os mesmos erros se repitam no futuro.
Referências
As reflexões apresentadas neste artigo são inspiradas por conceitos consolidados de segurança operacional, fatores humanos, governança e gestão de riscos, bem como pelas conclusões do relatório técnico elaborado pelo CENIPA. Para os interessados em aprofundar o tema, seguem algumas referências:
- Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA). Relatório Final de Investigação do Acidente com a aeronave ATR 72-500, matrícula PS-VPB, ocorrido em Vinhedo/SP em 09 de agosto de 2024. Brasília: CENIPA, 2026.
- REASON, James. Human Error. Cambridge University Press, 1990.
- REASON, James. Managing the Risks of Organizational Accidents. Ashgate Publishing, 1997.
- WEICK, Karl E.; SUTCLIFFE, Kathleen M. Managing the Unexpected: Sustained Performance in a Complex World. 3. ed. Wiley, 2015.
- Institute of Internal Auditors (IIA). The IIA’s Three Lines Model: An update of the Three Lines of Defense. 2020.
- National Institute of Standards and Technology (NIST). Cybersecurity Framework (CSF) 2.0. 2024.
- ISO 31000:2018 – Risk Management — Guidelines.
- ISO/IEC 27001:2022 – Information Security Management Systems — Requirements.
- ISO/IEC 27002:2022 – Information Security Controls.
*Renato Solimar é Assessor de Segurança da Informação no Tribunal Superior Eleitoral (TSE).
**Escrito com o auxílio de inteligência artificial.
