Planos gratuitos, aplicativos em nuvem e ferramentas contratadas diretamente por departamentos podem acelerar o trabalho, mas também criar dados, contas e fornecedores que ninguém administra de forma central
Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade
Uma área precisa resolver uma tarefa rapidamente e contrata uma ferramenta em nuvem sem passar por qualquer inventário central.
A solução funciona, ganha usuários e começa a guardar dados. Meses depois, torna-se parte importante da operação, embora quase ninguém fora daquele departamento saiba que ela existe.
Esse é o tipo de situação em que Shadow IT deixa de ser apenas escolha de ferramenta e passa a ser risco de governança.
O sistema pode existir sem aparecer no orçamento de TI
Uma equipe comercial contrata uma ferramenta de automação com cartão corporativo. O marketing cria uma conta gratuita. O financeiro testa um aplicativo de conciliação. O RH adota uma plataforma para organizar documentos.
Cada decisão resolve um problema local. O risco surge quando a empresa deixa de saber quais sistemas possuem dados, quem administra as contas e como a informação será recuperada se a pessoa responsável sair.
Shadow IT não significa necessariamente má-fé
O termo é usado para recursos tecnológicos adotados fora do processo formal de gestão. Muitas vezes ele nasce de urgência, autonomia ou busca por produtividade.
O objetivo não deve ser simplesmente proibir qualquer ferramenta nova. O ponto é criar visibilidade suficiente para avaliar risco, custo e dependência.
Inventário de ativos reduz sistemas esquecidos
O Governo Digital disponibiliza modelos de gestão de ativos de informação dentro do PPSI 2.0. A lógica é aplicável como referência organizacional: não é possível governar aquilo que não está identificado.
Para uma PME, um inventário pode ser uma planilha simples com sistema, finalidade, área, responsável, fornecedor, tipo de dado, forma de pagamento e data de revisão.
Fornecedor desconhecido também é dependência
Uma ferramenta pouco relevante pode ser substituída facilmente. Outra pode concentrar histórico comercial, documentos ou integrações importantes.
Por isso, o inventário deve classificar criticidade. Esse ponto se conecta à dependência de fornecedores de tecnologia: o risco aumenta quando um serviço passa a sustentar uma rotina essencial e a empresa não possui plano de saída.
Conta criada com e-mail pessoal é um sinal de alerta
Quando o cadastro pertence ao e-mail particular de um funcionário, a empresa pode ter dificuldade para recuperar administração, histórico de cobrança ou dados depois do desligamento.
Contas corporativas, responsáveis documentados e mecanismos de transferência de propriedade reduzem esse problema.
Plano gratuito também pode armazenar informação importante
O custo zero não significa risco zero. Uma ferramenta gratuita pode conter arquivos, contatos, credenciais ou dados pessoais.
A avaliação deve considerar finalidade e informação tratada, não apenas valor da assinatura.
Consolidação pode reduzir custo e exposição
Depois do inventário, a empresa pode descobrir soluções duplicadas. Duas áreas pagam por funções semelhantes, diferentes equipes guardam arquivos em locais distintos ou existem ferramentas que ninguém mais utiliza.
Desativar recursos sem uso reduz custo, acessos e superfícies desnecessárias.
Dados paralelos também afetam a visão contábil e gerencial
Quando cada área mantém informações em sistemas diferentes, conciliações e análises podem depender de exportações manuais e versões conflitantes.
Na consultoria e planejamento contábil, informações organizadas e conciliáveis são essenciais para transformar registros em visão gerencial. O inventário tecnológico ajuda a identificar onde estão as fontes que alimentam esse processo.
Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, o primeiro passo para reduzir Shadow IT não é bloquear a inovação, mas tornar visíveis os sistemas que já fazem parte da empresa. A partir daí, é possível decidir o que manter, consolidar, controlar ou encerrar.
FAQ
O que é Shadow IT?
É o uso de sistemas, aplicativos ou serviços tecnológicos fora do processo formal de gestão ou aprovação da organização.
Toda ferramenta não aprovada deve ser cancelada?
Não necessariamente. Primeiro é preciso entender finalidade, dados, riscos, dependência e alternativas.
Como uma pequena empresa pode mapear sistemas?
Comece com uma lista de ferramenta, responsável, área, fornecedor, finalidade, dados armazenados e criticidade.
Conta gratuita precisa entrar no inventário?
Sim, se ela participa do trabalho ou armazena informações empresariais.
Como evitar contas presas a funcionários?
Priorize e-mails corporativos, responsáveis substitutos e procedimentos de transferência de administração.
Shadow IT é apenas problema de segurança?
Não. Também pode gerar custos duplicados, perda de informação, dependência de pessoas e dificuldade de integração.
Fontes consultadas
Governo Digital - PPSI 2.0.
Os modelos de gestão de ativos e segurança oferecem referências para inventário e governança de ativos de informação.
NIST - Cybersecurity Framework 2.0.
O Cybersecurity Framework 2.0 organiza a gestão de risco cibernético e reforça a importância de conhecer e governar recursos relevantes.