O Código de ética

Eu já comentei sobre o projeto de análise de risco que estávamos fazendo para a Brasil Telecom. Enquanto executávamos esse projeto, a empresa continuava tentando emplacar outros contratos. Em uma dessas ocasiões, o cliente pediu uma proposta para um projeto que envolveria entrar em contato com praticamente todos os times da empresa. Se não me engano, o objetivo era a validação de perfis de acesso. Foi um pedido de última hora e meu chefe me ligou pedindo ajuda para terminarmos a proposta até o dia seguinte. Como eu tinha dois filhos pequenos e a Gisele estava fazendo um curso noturno, expliquei que não poderia sair de casa. Sugeri então que trabalhássemos nisso na minha própria casa, depois que eu colocasse as crianças para dormir. Ele acabou indo até lá e ficamos trabalhando na sala até tarde.

Devido à nossa experiência prévia com a Brasil Telecom, fizemos uma estimativa extremamente conservadora do esforço necessário. Já tínhamos tido problemas antes porque o escopo não era definido com precisão e depois surgia pressão para que a empresa entregasse mais do que estava previsto. Nesse caso, talvez tenhamos sido conservadores demais, o que acabou elevando bastante a estimativa de custo. Por causa disso, a proposta não foi aceita.

Voltando ao projeto de análise de riscos, era um projeto complicado, não apenas porque o cliente não sabia exatamente o que queria, mas também porque nós mesmos não tínhamos experiência prática em entregar algo daquele porte. Tínhamos um bom domínio da teoria de análise de riscos, mas pouca noção de que tipo de resultado seria realmente útil em uma empresa daquele tamanho.

Olhando para trás, consigo perceber que a situação política interna do departamento que era nosso cliente também não era das melhores. A chefia claramente estava sob pressão para entregar algo mas não sabia muito bem o que. Uma análise de risco pode até ser apresentada como uma solução padrão, quase de livro-texto, para os problemas de segurança de uma empresa mas a definição de escopo depende fortemente de um bom entendimento do negócio e de como a empresa está organizada. Pelo que me lembro, esse entendimento não estava bem estabelecido naquele momento.

Quando o projeto chegou ao fim, decidiram fazer uma apresentação dos resultados para vários setores do cliente. Meu chefe veio falar comigo e disse que essa apresentação havia sido encomendada como a última etapa do projeto e me encarregou de prepará-la.

Na primeira versão que elaborei, foquei nos resultados, mas incluí também uma parte relativamente extensa sobre as dificuldades e os problemas que encontramos durante a execução. Muitas dessas dificuldades vinham do próprio cliente, que, como já mencionei, não tinha uma definição clara dos objetivos do projeto e nem a força política necessária para conseguir o tempo necessário dos especialistas para conseguir os dados que seriam usados para a nossa análise.

Meu chefe entrou em contato novamente para dizer que aquela apresentação não estava indo na direção que nem ele nem o cliente desejavam. A intenção era transmitir uma imagem de sucesso do projeto. Minha resposta veio em forma de pergunta: como poderíamos falar em sucesso de um projeto que, do meu ponto de vista, não tinha sido plenamente bem-sucedido? Ele insistiu que o viés da apresentação precisava ser positivo.

Nesse momento, resisti. Aproveitei para mencionar que eu havia obtido e mantinha a certificação CISSP, que possui um código de ética claro. Argumentei que não me sentia confortável em apresentar algo que pudesse distorcer a realidade e que não queria correr o risco de comprometer minha certificação.

A conversa então mudou um pouco de rumo. Ele disse que não estava me pedindo nada antiético, apenas que ajustasse o foco. Depois de discutirmos um pouco mais, chegamos a um meio-termo: eu prepararia uma apresentação mais centrada nos produtos entregues, especialmente nos relatórios de análise de risco, e incluiria ao final uma seção com pontos positivos e oportunidades de melhoria. Nesse formato, a apresentação poderia ser factual sem deixar de ser construtiva. Concordei e preparei uma nova versão dos slides.

Acho que essa foi a primeira vez na minha carreira em que tive uma resistência real a executar uma tarefa que me foi solicitada. Ainda assim, não me arrependo. A minha postura abriu espaço para uma solução de compromisso. Não era exatamente o que eu queria, que seria afirmar que o projeto teve falhas relevantes, nem era totalmente o que meu chefe desejava no início. Foi um aprendizado importante. Às vezes, é preciso expor nossas posições com clareza e definir até onde estamos dispostos a ir.