Instituições investem em protocolos, treinamentos e comitês de segurança, mas boa parte das falhas continua vindo de onde menos se espera. O problema raramente está na ausência de regras. Está na distância entre o que o protocolo prevê e o que a rotina realmente permite, uma lacuna que a gestão de riscos institucionais nem sempre consegue enxergar a tempo, sobretudo quando ninguém é responsável por medir essa distância.
Ernesto Kenji Igarashi, especialista em segurança institucional e proteção de autoridades, expõe essa lacuna como um dos pontos mais recorrentes em revisões de segurança. Documentos bem escritos convivem, sem contradição aparente, com práticas informais que se afastam deles aos poucos, sem que ninguém perceba o momento exato dessa mudança de rotina.
Onde a gestão de riscos institucionais realmente começa?
O risco institucional não nasce no incidente, nasce nas pequenas concessões que se acumulam antes dele: um acesso liberado fora do procedimento, uma checagem pulada por falta de tempo, uma exceção aberta para resolver um problema pontual que vira norma sem ninguém decidir formalmente. Cada concessão parece inofensiva quando observada isoladamente, fora do conjunto.
Conforme comenta Ernesto Kenji Igarashi, o efeito dessas concessões só aparece quando somado ao longo do tempo, muitas vezes em um momento distante da decisão que abriu a exceção. Uma gestão de riscos institucionais eficaz trata cada exceção como um dado a ser registrado, não como um ajuste informal que se resolve sozinho na prática do dia a dia.
Risco visível não é o mesmo que risco relevante
Muita equipe de segurança concentra atenção no que é fácil de perceber, como falhas em equipamentos ou ausência de barreiras físicas. Esses pontos importam e merecem atenção constante, mas raramente são os que mais pesam nos incidentes reais, que costumam envolver falhas de processo, comunicação ou julgamento dentro da própria equipe.
Ernesto Kenji Igarashi destaca essa diferença entre o que salta aos olhos e o que de fato compromete uma operação. Um risco silencioso, ligado à rotina e comportamento, exige método de análise diferente de um risco físico, que se resolve com inspeção, manutenção e substituição de equipamento.
O que revisões de incidentes costumam revelar?
Análises feitas depois de um problema de segurança institucional quase sempre apontam para o mesmo padrão: o sinal de alerta já existia antes, só não tinha sido registrado como relevante. Um comportamento fora do comum, uma reclamação isolada, um ajuste de rotina que ninguém questionou a tempo de evitar consequência maior.
Na leitura de Ernesto Kenji Igarashi, esse padrão repetido em diferentes contextos institucionais mostra que o problema raramente é a falta de informação disponível. É a ausência de um canal que transforme observação cotidiana em dado analisável antes que o risco se concretize em um incidente de fato.
Gestão de riscos institucionais como prática contínua, não resposta
Tratar risco como algo que se avalia uma vez por ano, em auditoria formal, é o oposto do que a rotina institucional exige. O risco muda junto com a operação, com a equipe e com o contexto ao redor, e uma análise parada no tempo perde relevância rápido, ainda que o documento continue tecnicamente correto. A avaliação de Ernesto Kenji Igarashi reforça esse ponto: gestão de riscos institucionais funciona melhor como hábito de leitura constante do que como etapa isolada de um processo maior.
Revisar pequenas mudanças de rotina, antes que se tornem padrão consolidado, é o que sustenta essa prática ao longo do tempo, mesmo em períodos sem incidente aparente. Vale revisitar os próprios protocolos de segurança institucional com esse recorte em mente, olhando menos para o que está escrito no papel e mais para o que a rotina de fato pratica todos os dias, inclusive nas exceções que parecem pequenas demais para registrar.