1. Definição do conceito
O custo financeiro do risco humano é o valor monetário esperado das perdas que uma organização sofrerá por decisões e comportamentos das suas próprias pessoas diante de tentativas de fraude, engano ou erro operacional. Não é uma despesa registrada no orçamento de segurança: é um passivo contingente que aparece no resultado quando o incidente acontece, disfarçado de fraude, de parada operacional ou de multa.
A diferença em relação ao orçamento tradicional de segurança é que esse custo pode ser estimado antes do incidente, com probabilidade e impacto, como qualquer outro risco financeiro. Mas essa quantificação só é possível sobre uma disciplina que mede comportamento real, o Human Risk Management. Sem telemetria de conduta não há taxa de cliques confiável, e sem taxa confiável não há cálculo: só opinião.
2. Por que importa para o CFO
Para a diretoria financeira, o risco humano não é um tema técnico: é volatilidade não provisionada na margem operacional. Um único evento de fraude por transferência consome em horas o resultado de meses de operação, e o impacto não se limita ao valor desviado: inclui horas de operação paradas, honorários forenses e jurídicos, custo de capital de giro e deterioração do relacionamento com clientes.
Há ainda um segundo efeito, menos visível e mais persistente. As seguradoras endureceram as condições de cobertura cibernética e passaram a exigir evidência de controles comportamentais efetivos; várias apólices excluem expressamente a fraude em que um colaborador autoriza voluntariamente a transferência. Sem essa evidência, o prêmio sobe, a franquia sobe e, no pior cenário, o sinistro é recusado.
Por isso o CFO precisa de um número, não de um relatório de participação. O custo esperado do risco humano é o que permite comparar, na mesma unidade, o valor do programa de mitigação e o valor da exposição que ele elimina.
3. Dados e métricas de exposição financeira
A quantificação parte de uma fórmula simples de perda esperada, que combina a probabilidade do evento com o custo total do incidente:
Custo Esperado = (Taxa Média de Cliques × Probabilidade de Infiltração) × (Custo de Perda Direta + Custo de Interrupção Operacional + Multas)
- Taxa Média de Cliques. Percentual de colaboradores que interagem com uma mensagem maliciosa simulada. É o único insumo que a organização mede diretamente, com simulações periódicas e multicanal.
- Probabilidade de Infiltração. Proporção de interações que efetivamente resultam em comprometimento de credenciais, execução de malware ou autorização de pagamento fraudulento.
- Custo de Perda Direta. Valor desviado, resgate pago ou fraude consumada, mais custos forenses e jurídicos.
- Custo de Interrupção Operacional. Horas de indisponibilidade multiplicadas pela margem de contribuição por hora da unidade afetada.
- Multas. Sanções regulatórias aplicáveis (LGPD na América Latina, NIS2 e DORA para operações com alcance europeu) e penalidades contratuais.
A evidência pública sustenta cada variável: entre 68% e 74% das violações envolvem o elemento humano segundo o Verizon Data Breach Investigations Report, e 8% dos usuários concentram cerca de 80% dos incidentes comportamentais segundo a pesquisa da CybSafe. Essa concentração é o que torna o cálculo acionável: reduzir o risco não exige intervir sobre toda a organização, e sim sobre a fração que gera a maior parte da perda esperada.
4. Exemplo real e cálculo do impacto (Caso LATAM)
O vetor que mais rápido converte esse passivo contingente em perda real é a fraude por engenharia social sintética e seu impacto no resultado.
Empresa industrial da região, 1.800 colaboradores, faturamento anual de US$ 240 milhões. A equipe de contas a pagar recebe uma sequência coordenada: um e-mail de um fornecedor conhecido informando mudança de conta bancária, seguido de uma ligação de confirmação com a voz clonada do diretor comercial. O pagamento é autorizado dentro do processo normal. O desvio é detectado nove dias depois, na conciliação.
- Perda direta: US$ 640.000 transferidos, dos quais apenas US$ 95.000 foram recuperados.
- Interrupção operacional: US$ 310.000 em onze dias de operação degradada, com bloqueio preventivo do circuito de pagamentos a fornecedores.
- Resposta forense e jurídica: US$ 180.000 entre investigação externa, assessoria legal e auditoria extraordinária.
- Custos regulatórios e contratuais: US$ 120.000 em notificações, penalidades contratuais e remediação exigida por clientes corporativos.
- Efeito no seguro: sinistro recusado por cláusula de exclusão de fraude com autorização voluntária, e aumento de 34% no prêmio da renovação.
Impacto total no resultado: US$ 1.155.000 em um único evento — equivalente a aproximadamente três semanas de margem operacional consolidada da companhia.
O que o caso demonstra é que o passivo contingente não se materializa por falha de firewall, e sim por um processo autorizado por uma pessoa sob pressão de tempo e com contexto verossímil. Enquanto esse comportamento não for medido e treinado no canal em que o ataque acontece, a cifra permanece fora do radar financeiro.
5. Erros frequentes do CFO ao avaliar o risco tecnológico
- Tratar o orçamento de segurança como despesa fixa indivisível. Sem alocar valor por unidade de risco mitigado, todo corte parece neutro e nenhum investimento parece justificado.
- Assumir que a apólice cibernética cobre a fraude humana. A maior parte das exclusões atuais recai exatamente sobre o cenário mais provável: a autorização voluntária obtida por engano.
- Contabilizar apenas a perda direta. Interrupção, custos forenses e remediação contratual costumam superar o valor desviado.
- Confiar em relatórios de participação em treinamentos. Cursos concluídos não são evidência de mitigação diante de um auditor de risco nem de uma seguradora.
- Distribuir o investimento de forma uniforme. Gastar o mesmo com toda a organização ignora que uma minoria de usuários concentra a maior parte da perda esperada.
6. Comparação financeira: SAT Tradicional vs. HRM Eficiente
| Critério Financeiro | Conscientização Tradicional (SAT) | Gestão do Risco Humano (HRM) |
|---|---|---|
| Tratamento Contábil | Gasto operacional afundado (Opex sem KPI de retorno). | Investimento com mitigação quantificável do passivo. |
| Custo por Unidade de Risco | Alto e ineficiente. Gasta-se o mesmo com a equipe operacional de baixo risco e com a tesouraria. | Otimizado. Os recursos são direcionados aos 8% dos usuários que concentram o risco. |
| Impacto em Seguros e Crédito | Irrelevante para os auditores de risco financeiro. | Reduz os prêmios de seguros cibernéticos e melhora o rating de governança. |
| Auditoria de Resultados | Baseada em relatórios de participação estáticos. | Baseada na redução da taxa de incidentes e perdas financeiras esperadas. |
7. Referências e fontes de autoridade financeira
- Verizon, Data Breach Investigations Report (DBIR): participação do elemento humano nas violações confirmadas e vetores de fraude.
- IBM e Ponemon Institute, Cost of a Data Breach Report: custo médio por incidente, tempo de contenção e componentes de perda.
- World Economic Forum, Global Cybersecurity Outlook: risco sistêmico, cadeia de suprimentos e efeito da IA generativa.
- CybSafe e National Cybersecurity Alliance, Cybersecurity Attitudes and Behaviors Report: concentração do risco comportamental.
- Diretiva (UE) 2022/2555 (NIS2) e Regulamento (UE) 2022/2554 (DORA): sanções financeiras e responsabilidade do órgão de direção.