Quão transparentes são as grandes empresas sobre seus riscos de segurança cibernética em relatórios anuais?

Host: Olá a todos e sejam muito bem-vindos ao A.I.S. Insights — powered by Living Knowledge. Eu sou a sua anfitriã, Anna Ivy Summers, e hoje vamos discutir um tema que está no topo das preocupações de executivos e conselhos de administração em todo o mundo: a cibersegurança e como as grandes empresas comunicam seus riscos ao mercado. Comigo está o nosso analista sênior, Alex Ian Sutherland. Tudo bem, Alex?

Expert: Olá, Anna. É um grande prazer estar aqui. Esse é um assunto fascinante e urgente, especialmente quando olhamos para a distância entre o que as empresas enfrentam nos bastidores e o que de fato revelam aos seus acionistas.

Host: Com certeza. Hoje vamos dissecar um estudo muito relevante intitulado "Práticas de Transparência do Risco Cibernético: Uma Análise dos Relatórios Anuais das Empresas do CAC 40". Este estudo examina a evolução da transparência na divulgação de riscos cibernéticos nos relatórios anuais das maiores companhias abertas da França entre os anos de 2019 e 2022, levando em consideração as diretrizes da autoridade europeia de valores mobiliários, a ESMA. Alex, para começar, qual é o grande problema que motivou esse estudo?

Expert: O ponto central, Anna, é a assimetria de informação. As ameaças cibernéticas explodiram em complexidade e custo, e os reguladores passaram a exigir que as companhias informem o mercado com precisão sobre os riscos que correm. O problema é que a maioria das empresas vive um dilema: se elas forem transparentes demais, temem expor vulnerabilidades a invasores ou alarmar investidores; se forem vagas demais, violam exigências regulatórias e deixam o mercado no escuro. Além disso, até agora, faltavam critérios objetivos para avaliar se essas divulgações eram úteis ou apenas textos jurídicos padronizados, o chamado boilerplate.

Host: E como os pesquisadores abordaram esse desafio para conseguir medir o que é, ou não, uma divulgação de qualidade?

Expert: Eles adotaram uma abordagem qualitativa de análise textual muito estruturada. Os autores analisaram os relatórios anuais, especificamente os Documentos de Registro Universal, de empresas do índice CAC 40 ao longo de quatro anos consecutivos. Para evitar subjetividade, eles desenvolveram uma grade de avaliação com nove critérios técnicos baseados diretamente nas recomendações e exigências regulatórias europeias. Essa grade avaliou aspectos cruciais, como a identificação clara dos riscos, as medidas de controle interno, a governança da segurança da informação e a estimativa de impactos operacionais e financeiros.

Host: Uma abordagem robusta e padronizada. E quando eles passaram essa régua nas maiores empresas francesas, o que o estudo revelou?

Expert: Os resultados mostram um cenário de avanços, mas também de limitações sérias. O lado positivo é que houve uma evolução clara: 77% das empresas aumentaram sua pontuação de transparência entre 2019 e 2022. O tema ganhou relevância evidente na agenda corporativa. Porém, o dado que mais chama a atenção é que o nível geral de transparência ainda é incrivelmente baixo. Em 2022, 86% das empresas analisadas ainda foram classificadas na faixa de baixa transparência.

Host: Oitenta e seis por cento em nível baixo, mesmo após anos de pressão regulatória? Por que essa pontuação permaneceu tão tímida?

Expert: Porque as empresas continuam preferindo o terreno seguro das generalidades. O estudo identificou que a grande maioria relata riscos cibernéticos de forma genérica, focando em chavões sobre danos à reputação ou impactos comerciais abstratos. Quando o assunto entra em detalhes técnicos — como métricas financeiras quantificadas de perdas potenciais, investimentos reais em sistemas de controle interno ou incidentes passados —, as divulgações praticamente desaparecem. É uma comunicação que reconhece que o perigo existe, mas oculta o tamanho real do impacto.

Host: Isso é crucial. E trazendo agora para a realidade dos negócios: por que esses achados importam tanto para executivos, membros de conselho e analistas de mercado?

Expert: Importam porque a tolerância do mercado para respostas vagas está acabando. Para os investidores, a falta de dados quantitativos dificulta a precificação correta dos riscos de uma empresa. Para os líderes corporativos, o estudo deixa claro que o modelo de texto genérico está com os dias contados. Com novas regulamentações entrando em vigor, como a diretiva NIS2 e o regulamento DORA na Europa, além das normas rigorosas da SEC nos Estados Unidos, a governança de cibersegurança agora exige prestação de contas com números, planos de mitigação e governança demonstrável. Tratar a divulgação cibernética apenas como um exercício de relações públicas cria um risco legal e de reputação significativo.

Host: Excelente síntese. O recado para o mundo corporativo é inequívoco: a maturidade em cibersegurança precisa se refletir na transparência da governança, e relatórios superficiais já não atendem às expectativas dos reguladores nem dos investidores. Muito obrigada pelas explicações tão claras, Alex.

Expert: Sempre um prazer, Anna. Até a próxima.

Host: E obrigado a você que nos acompanhou. Esse foi o A.I.S. Insights — powered by Living Knowledge. Até o próximo episódio!