Em 2007, a Pesquisa de gerenciamento de risco global da Aon identificou o risco de reputação como a principal preocupação das empresas globais.
Uma década depois, na mais recente pesquisa da Aon, “danos à reputação / marca” mantiveram seu primeiro lugar entre mais de 50 outras categorias de riscos.
Embora o reconhecimento da importância da reputação seja alto há anos, os esforços preventivos de gerenciamento de riscos não se mantiveram. Ao concentrar-se estreitamente na prevenção de incidentes de segurança ou violações de segurança cibernética como a principal abordagem para evitar danos à marca, a segurança corporativa é parcialmente responsável.
As equipes de segurança devem reconhecer que os problemas de reputação podem causar incidentes de segurança e que o uso de equipes de inteligência para monitorar e analisar o risco de reputação é muito necessário pela liderança da maioria das organizações globais.
Problemas de reputação com impacto na segurança
O risco de reputação é tipicamente definido como a perda para uma empresa ou organização por danos à reputação, com o termo “perda” destacando uma ameaça principalmente às finanças. Na medida em que a segurança está conectada, muitas fontes sugerem um relacionamento unidirecional, com falhas de segurança resultando em problemas de reputação.
Uma pesquisa de risco de CEO e diretoria da Deloitte em 2018, por exemplo, descobriu que “os riscos à segurança, incluindo violações físicas e cibernéticas”, eram a causa mais frequentemente observada de risco à reputação.
Embora verdadeiro, esse retrato é simplista e os líderes de segurança devem reconhecer as várias maneiras pelas quais o risco à reputação pode influenciar diretamente o ambiente de ameaças para as organizações. Para começar, recomendamos considerar “os quatro P’s”: produtos, políticas, pessoas e política.
• Produtos (e serviços) – O risco de reputação é frequentemente centrado nas percepções sobre produtos e se, entre outras qualidades negativas, são antiéticas, precárias, fraudulentas ou prejudiciais. Essas opiniões, que podem mudar rapidamente e criar ameaças, podem facilmente desencadear incidentes de segurança. As empresas farmacêuticas que fabricam e vendem opioides antes consideradas inócuas, por exemplo, agora enfrentam uma reação social com graves implicações de segurança. Em agosto de 2018, mais de 500 pessoas protestaram do lado de fora da sede da Stamford na Purdue Pharma, fabricantes da OxyContin, como parte de uma campanha liderada por ativistas enfurecidos pela crescente crise nacional de opioides.
• Políticas – as práticas corporativas subjacentes de uma organização – em governança, relações com funcionários, estratégia global ou práticas de fabricação, entre outras questões – também podem ser vistas como antiéticas ou injustas. Da mesma forma, esses fatores podem ter um impacto tangível na segurança, como foi o caso da introdução de uma nova política do YouTube que resultou em alguns blogueiros perdendo receita com publicidade e censurando seu conteúdo. Em abril de 2018, essa política serviu como um evento desencadeador para o subsequente ataque de tiros de Nasim Aghdam na sede do YouTube que feriu três funcionários.
• Pessoas – as pessoas são o principal ativo de uma empresa, mas também uma fonte significativa de risco de reputação. Uma declaração pública controversa ou um caso de má conduta sexual envolvendo um executivo sênior pode causar um escândalo com ramificações de reputação generalizadas. Outros riscos podem resultar de uma ampla gama de fatores relacionados ao histórico ou estilo de vida de um executivo. Obviamente, os gerentes de nível médio também podem ser uma fonte de risco devido a suas ações no local de trabalho, como uma breve olhada em algumas das avaliações de empresas de classificação mais baixa em sites como o Glassdoor.com.
• Política – Às vezes, a sobreposição com as questões acima é um sentimento negativo gerado pelas ações de empresas ou de seus funcionários que são motivados politicamente ou impactam a esfera política. Em nosso atual momento histórico de partidarismo elevado, atribuir explícita ou implicitamente a uma posição social ou política provavelmente provocará ira daqueles com visões opostas e pode até servir de justificativa para manifestações ou violência. Basta perguntar ao Uber. No início de 2017, os manifestantes se acorrentaram à entrada da empresa devido à participação do ex-CEO Travis Kalanick no fórum estratégico e político do presidente Donald Trump.
Análise de inteligência como uma solução de risco de reputação
Assim como em outras questões abstratas e amorfas, gerenciar riscos de reputação requer alavancar equipes de inteligência que podem monitorar e analisar ameaças antes que fiquem físicas. O primeiro passo na criação de um programa de inteligência que pode rastrear o risco de reputação é conduzir uma avaliação de risco; isto é, para identificar quais dos riscos acima (ou quaisquer outros) são mais relevantes para a organização. Uma revisão de inteligência de código aberto (OSINT) da organização deve fornecer algumas respostas, mas um workshop com os principais interessados da empresa pode aprofundar o entendimento. Segundo, os analistas precisam determinar de onde irão obter informações relevantes. Em alguns casos, eles podem precisar encontrar sites ou fóruns de revisão on-line especializados; Como alternativa, a maioria dos sistemas de monitoramento de mídia social pode ser calibrada para rastrear problemas de reputação.
Terceiro, recomendamos que as equipes de inteligência encontrem aliados organizacionais internos que possam servir como destinatários adicionais de análise ou como parceiros em potencial no monitoramento se uma equipe não tiver recursos adequados. Dentro do ambiente corporativo, esses parceiros internos podem incluir assuntos governamentais, comunicações ou marketing, por exemplo.
Este último ponto é especialmente importante. A maioria das empresas possui uma noção difusa de risco de reputação e quem é responsável por isso; portanto, assumir a propriedade da análise pode trazer grandes benefícios para as equipes de inteligência e a segurança corporativa em geral. Como observa a pesquisa da Deloitte de 2018 mencionada acima, apenas 50% das organizações podem identificar eventos de risco de reputação e apenas 53% têm a capacidade de analisá-los e prever seu impacto. As equipes de inteligência devem aproveitar esse vácuo para fazer uma contribuição de valor agregado e, ao mesmo tempo, reforçar sua própria exposição e reputação.
Fonte: https://www.securitymagazine.com/articles/89908-why-reputational-risk-is-a-security-risk-and-what-to-do-about-it
