Proibir mídias sociais e aplicativos de mensagens é um grande (e caro) problema

As organizações e seus líderes de conformidade estão lutando para controlar as proibições de comunicações fora do canal, proibindo os funcionários de usar aplicativos como WeChat, Whatsapp ou TikTok, para citar alguns.

Num estudo, 61,5% dos líderes de compliance inquiridos afirmaram que “fazer com que os funcionários cumpram as regras de comunicação eletrónica era a sua maior preocupação”. A pesquisa também revelou que apenas 3% dos responsáveis ​​pela conformidade disseram “acreditar fortemente” que as proibições de canais são eficazes para garantir comunicações compatíveis em suas organizações.

Este sentimento de futilidade persiste, embora a maioria (59%) tenha proibido o uso de redes sociais e aplicações de mensagens devido ao maior escrutínio regulamentar.

Rob Mason, diretor de inteligência regulatória da Global Relay, explica que as proibições de canais são ineficazes porque quase sempre são circunavegadas – daí o grande número de multas que foram aplicadas nos últimos anos.

Além das multas da FTC, as empresas que permitem shadow IT e comunicação fora do canal também correm um risco maior de vazamentos de dados e violações de segurança, já que as equipes de TI e segurança não têm supervisão ou controle sobre como os funcionários estão usando essas ferramentas e quais dados estão sendo compartilhado.

As organizações também provavelmente incorrerão em custos maiores no longo prazo associados à TI paralela.

“Enquanto as proibições de canais estiverem em vigor, sempre veremos uma tendência de comunicação fora do canal para os negócios”, diz ele. “Acredito que as proibições de canais são agora uma medida tática temporária enquanto estratégias são implementadas para gerenciar o risco de forma mais eficaz.”

Ele acrescenta que a proibição de canais de comunicação não aprovados sempre foi assim.

“Os colegas estão cientes de que precisam realizar comunicações relacionadas aos negócios em mídias gravadas, que são então sujeitas a vigilância e manutenção de registros de acordo com os regulamentos”, observa ele. “Isso satisfaz a conformidade com as políticas internas que refletem os regulamentos relevantes.”

Quando a COVID-19 surgiu, o confinamento exigiu que as pessoas trabalhassem a partir de casa, mas o “policiamento” da política de proibição de comunicações móveis não aconteceu, mesmo quando as linhas entre as comunicações pessoais e empresariais se tornaram cada vez mais confusas.

Apesar disso, houve um uso claro e generalizado do WhatsApp e de outros canais de comunicação não aprovados para fins comerciais – o que foi descoberto pela primeira vez por uma varredura da SEC.

Isto resultou em sanções e multas de quase todos os grandes bancos, o que está actualmente em curso 18 meses após o primeiro aviso.

“As penalidades por violações destas políticas de proibição foram aumentadas – mas isto é um impedimento e não um controlo”, diz Mason.

John Harden, gerente sênior de produtos da Auvik, diz que a eficácia depende fundamentalmente de quais são as etapas da proibição.

“Por exemplo, um memorando para os funcionários da organização sem qualquer fiscalização, monitoramento ou medidas secundárias de TI está fadado ao fracasso”, diz ele. “Assim como a água segue o caminho de menor resistência, como vimos aqui na Auvik, os funcionários tendem a usar a Shadow IT para facilitar suas funções.”

É fundamental saber se o objetivo é marcar a caixa que “fizemos alguma coisa” ou se o objetivo é fazer cumprir essa caixa e garantir que ela seja interrompida com medidas de proteção.

“Os funcionários não usam a comunicação fora do canal porque desejam violar a política de TI”, acrescenta. “Eles fazem isso porque é mais fácil para eles ou para seus clientes.”

Harden diz que, neste caso, as empresas precisam olhar para a shadow IT de forma oportunista – elas precisam entender por que ferramentas como WhatsApp e WeChat estão sendo usadas e procurar inovar internamente com sua pilha de tecnologia.

“Simplesmente dizer aos funcionários para usarem uma ferramenta sancionada em vez daquela que eles preferem não trará muito resultado”, diz ele. “Os funcionários têm suas preferências e os líderes de TI devem ouvir por que os funcionários preferem usar uma ferramenta não sancionada e aproveitar isso como uma oportunidade de inovação para atender às necessidades dos funcionários, mantendo a conformidade.”

O vice-presidente analista do Gartner, Chris Audet, explica que, em muitos casos, os responsáveis ​​pela conformidade tendem a monitorar os riscos retroativamente e analisam os eventos de risco que ocorreram, em vez de uma abordagem prescritiva que avalia os eventos de risco que provavelmente ocorrerão.