Por que o treinamento não reduz o risco (e o que realmente o reduz)

Concluir um curso não muda o comportamento. A verdadeira diferença está entre saber e agir no momento da escolha. É isso que realmente reduz o risco humano.

· 6 min

Todos os anos, as organizações investem em treinamento obrigatório. As pessoas assistem aos vídeos, respondem aos questionários e recebem o certificado. As taxas de conclusão aumentam. E o risco permanece exatamente onde estava. Não é um paradoxo: é a falha estrutural na maneira como a maioria das empresas lida com o risco humano.

A diferença entre saber e agir

O problema não é que as pessoas não saibam o que é arriscado. A maioria sabe muito bem que não deve clicar em um link suspeito, compartilhar uma senha ou ignorar uma verificação. A diferença não está entre quem sabe e quem não sabe: está entre saber algo em teoria e agir de maneira diferente na prática, sob pressão, com a pressa de concluir uma tarefa.

A conclusão de um curso indica se uma pessoa visualizou um conteúdo. Não indica se o comportamento dela mudou.

As próprias pesquisas do setor confirmam isso. A verdadeira lacuna não está na conscientização, mas no comportamento que persiste apesar dessa conscientização. As pessoas concluem o treinamento e continuam fazendo as mesmas coisas.

O risco se concentra

Há um dado que muda a forma como se encara o problema: uma pequena parte das pessoas é responsável pela maior parte da exposição. Não porque tenham más intenções, mas porque estão mais expostas, mais distraídas, mais na mira. Treinar todos da mesma maneira, com o mesmo conteúdo, ignora essa concentração.

  • 68% das violações envolvem um fator humano (Verizon DBIR 2024)
  • 8% / 80% 8% das pessoas são responsáveis por 80% dos incidentes (Mimecast)

O que realmente reduz o risco

Três coisas que um curso por si só não faz: medir a exposição real (onde o risco realmente está, em quais comportamentos e em quais pessoas), treinar o comportamento no momento da escolha, em vez de explicá-lo de forma abstrata, e demonstrar com dados que o risco diminuiu. O treinamento enche a cabeça de noções. A mudança só ocorre quando o comportamento é treinado onde realmente importa.

É a diferença entre uma organização que pode apresentar um histórico de cursos concluídos e outra que pode demonstrar que o risco, uma vez medido, diminuiu. A primeira cumpriu suas obrigações. A segunda se protegeu.