Nem todos os sistemas da empresa valem o mesmo: quanto investir em cada um, segundo o quanto são críticos

Na terça-feira, 17 de abril de 2018, o Banco do México soube que um dos participantes do sistema de transferências do país tinha sido invadido [10].

Nas três semanas seguintes houve mais quatro casos; em outubro, um sexto [8][10]. O sistema central do SPEI (o sistema de pagamentos eletrônicos interbancários do México), que o Banco do México opera, não foi afetado [4][10]. O que falhou estava do lado de cada participante: a peça com a qual ele se conectava ao sistema ou os equipamentos em que ela rodava [8][10].

Ainda assim, o problema chegou aos clientes. O Banco do México advertiu que, em alguns casos, uma transferência podia levar um ou mais dias para ser creditada [9].

A pergunta para a empresa é outra: quais dos sistemas dela, se ficarem fora do ar por uma hora, a deixam sem vender, sem cobrar ou sem faturar? E quanto está investindo neles, comparado com os demais?

Um esclarecimento antes de começar: o caso é contado apenas com relatórios públicos do Banxico e da CNBV; não usa informações de clientes da Hábil. Banxico é o Banco do México, o banco central do país; a CNBV, a Comisión Nacional Bancaria y de Valores, o órgão regulador mexicano de bancos e valores mobiliários. Cada dado leva o número de referência. Nas fontes citadas não se nomeiam as instituições afetadas, e aqui também não. Quando algo é nossa leitura, dizemos.

Em 1 minuto

• O risco: dividir o orçamento de sistemas com uma única regra. O que funciona para a folha de pagamento não serve para o faturamento, e vice-versa. Em 1983, Warren McFarlan e dois colegas propuseram na Harvard Business Review situar cada empresa em um de quatro quadrantes: suporte, fábrica, transição ou estratégico [1][2].
• O caso: em 2018, seis participantes do sistema de transferências do país sofreram ataques na peça que usavam para se conectar a ele [10]. As regras de segurança já existiam; o Banco do México constatou que eram cumpridas de forma desigual [8][10].
• O custo de não agir: segundo o Banxico, com as informações disponíveis em maio de 2018, cerca de 300 milhões de pesos em envios irregulares ficaram sujeitos a revisão [9]. Eram recursos das próprias instituições [9]: segundo o Banxico, «los recursos de los clientes nunca estuvieron en riesgo» [os recursos dos clientes nunca estiveram em risco] [10]. Na pesquisa global do Uptime Institute, do setor de data centers, 57% disseram que a última queda grave custou mais de 100.000 dólares [15].
• O que decidir na segunda-feira: quais sistemas são «fábrica» (não podem cair) e quais são «estratégicos» (definem como a empresa compete), quem responde por cada um e quanto custa uma hora sem eles. No final há um inventário para levar à reunião.

Neste artigo

1. O que diz a matriz de McFarlan, em resumo?
2. Em que quadrante estão a empresa e cada um dos sistemas?
3. O que muda em orçamento, governança e risco em cada quadrante?
4. O que o SPEI de 2018 ensina sobre o sistema mais crítico da empresa?
5. Quanto custa uma hora sem sistema?
6. O que quebra quando um sistema crítico é tratado como se fosse de suporte?
7. Quais erros saem mais caros?
8. O que levar à reunião de segunda-feira?
9. Para levar
10. O que a Hábil faz?
11. Perguntas frequentes

O que diz a matriz de McFarlan, em resumo?

A matriz propõe dividir o orçamento de sistemas com duas perguntas: quanto dói se eles caírem hoje e quanto ajudam a competir amanhã.

Em duas linhas: em janeiro de 1983, F. Warren McFarlan, James L. McKenney e Philip Pyburn defenderam na Harvard Business Review que o papel dos sistemas muda de uma empresa para outra e que cada uma deve planejá-los de acordo com esse papel [1]. Resumiram isso em uma matriz de quatro quadrantes, que o próprio McFarlan chamou de «matriz estratégica» ao citar esse artigo um ano depois [2].

As duas perguntas da matriz são [1]:

• Hoje: quanto a operação diária depende de que os sistemas funcionem sem interrupções?
• Amanhã: quanto importam, para competir, os sistemas que estão sendo construídos?

Matriz redesenhada com nossas palavras a partir de McFarlan, McKenney e Pyburn [1]. No original, o quadrante que aqui chamamos de «transição» se chama turnaround: a empresa que dá uma virada com os sistemas.

Cada quadrante, com um exemplo dos autores:

• Fábrica. A operação depende dos sistemas, mas o que se constrói não muda a forma de competir. Os autores colocaram aqui alguns fabricantes, companhias aéreas e redes de lojas, onde, escreveram, «even a one-hour disruption in systems» [mesmo uma interrupção de uma hora nos sistemas] afeta o desempenho do negócio [1].
• Estratégico. A empresa depende deles hoje e precisa deles para ganhar amanhã. Os exemplos foram muitos bancos e seguradoras [1].
• Transição. Hoje a empresa não depende por completo de que funcionem sem interrupção, mas o que constrói é vital para a estratégia dela. O exemplo: um fabricante que cresceu tão rápido que os controles já não davam conta [1].
• Suporte. Nem a operação depende deles nem o que se constrói é decisivo. O exemplo: uma grande indústria que gastava quase 30 milhões de dólares por ano em sistemas e podia continuar operando, ainda que aos trancos, se eles falhassem [1].

Duas advertências do artigo original são úteis para a empresa. A primeira: muitas vezes há uma distância entre o quadrante em que a empresa está e aquele em que a diretoria acredita que ela está [1]. A segunda: partes diferentes da organização podem estar em etapas diferentes, e a forma de planejar muda com elas [1].

Em 2005, McFarlan e Richard Nolan levaram a matriz ao conselho de administração, também na Harvard Business Review: o tipo de supervisão que o conselho deve exercer sobre os sistemas depende do quadrante [3]. Desse artigo saem os limites da próxima seção.

Em que quadrante estão a empresa e cada um dos sistemas?

A localização se faz com números, não com opiniões: quantas horas a empresa aguenta sem o sistema e que parte do investimento fica com a tecnologia.

Nolan e McFarlan deram três limites concretos [3]:

Para estratégico não dão um limite próprio: dizem que exige a mesma confiabilidade que a fábrica [3]. Se um sistema atinge o limite de um minuto e, além disso, o eixo «amanhã» sai alto, avalie se é estratégico.

Acrescentam dois traços do quadrante fábrica: voltar a trabalhar à mão é difícil ou impossível, e clientes e fornecedores costumam se comunicar com a empresa por meio dos sistemas dela [3].

Com isso montamos oito perguntas. A lista é nossa, não do modelo; cada pergunta diz de onde vem.

Eixo «hoje»: quanto a operação depende deste sistema?

1. Se ele cai por uma hora, a empresa deixa de vender, cobrar, faturar ou entregar? [1]
2. Passar 12 horas sem ele, no papel, causaria consequências sérias? [3]
3. Uma lei, um regulador ou um contrato exige este sistema para operar? No México, por exemplo, sem o CFDI (a nota fiscal eletrônica mexicana) validado pelo SAT (a autoridade tributária mexicana) não há comprovante fiscal emitido: antes de ser expedido, ele é enviado ao SAT, que o valida e lhe atribui um número de folio [13].
4. Os clientes ou fornecedores da empresa se conectam diretamente a ele? [3]

Eixo «amanhã»: quanto ele ajuda a competir?

1. Os projetos em andamento sobre este sistema mudam a forma de conquistar clientes: preço, rapidez, canal ou serviço? [1]
2. Uma parte relevante das vendas entra por um canal digital próprio? (nossa leitura)
3. Algum concorrente já tira clientes da empresa com um sistema que ela não tem? [2]
4. A tecnologia fica com mais da metade do investimento de capital ou com mais de 15% dos custos? [3]

Como ler (orientativo, nosso): dois ou mais «sim» em um eixo é «alto». Hoje alto e amanhã baixo: fábrica. Os dois altos: estratégico. Hoje baixo e amanhã alto: transição. Os dois baixos: suporte. A 8 se responde uma única vez para a empresa toda, não sistema por sistema; se for «sim», some-a aos sistemas do projeto de transformação.

Os autores classificam a empresa inteira [1][3]. Nós propomos responder à lista sistema por sistema, porque é raro que todos caiam no mesmo quadrante. A folha de pagamento, o faturamento e a loja on-line de uma mesma empresa podem estar em três quadrantes diferentes. Essa aplicação é nossa leitura, apoiada na advertência de 1983 sobre as partes da organização que andam em ritmos diferentes [1].

O que muda em orçamento, governança e risco em cada quadrante?

Cada quadrante pede uma regra de gasto e um responsável diferentes; usar a mesma para todos é pagar demais em uns e de menos em outros.

Nolan e McFarlan deram a cada quadrante uma regra de gasto de uma linha e um tipo de supervisão [3]. As regras vão com nossas palavras; as duas últimas colunas são nossa leitura.

Dois detalhes que mudam decisões:

• Na fábrica, a pergunta do conselho é de continuidade. Os autores pedem que se confirme que a recuperação de desastres e a segurança estão cobertas, e que as contingências sejam testadas de forma contínua para saber que de fato funcionam [3].
• Na transição, a empresa não fica muito tempo. Ao terminar a mudança, passa para fábrica ou para estratégico; e, uma vez instalados os sistemas novos, não há volta ao manual [3].

O que o SPEI de 2018 ensina sobre o sistema mais crítico da empresa?

Se a peça mais crítica depende de um terceiro, ela deve ser governada como parte da operação, com evidência de que cumpre a regra: no SPEI de 2018, a regra existia, mas era cumprida de forma desigual.

O Sistema de Pagos Electrónicos Interbancarios (SPEI) é o que movimenta as transferências entre bancos e outras instituições financeiras no México. O Banco do México o chama de «el sistema de pagos mexicano más importante» [o sistema de pagamentos mexicano mais importante] [10].

Três dados para dimensioná-lo:

• Em 2018 processou 595 milhões de operações entre usuários finais e, no fim do ano, tinha 92 participantes [10].
• As instituições que sofreram os ataques movimentavam, juntas, cerca de 13% das operações do SPEI [8][10].
• As regras dele medem o serviço em segundos: no horário de operação, o banco que recebe uma transferência de mais de 8.000 pesos tem 5 segundos para creditá-la ao cliente, e nos demais casos o prazo é de 30 segundos [6][8].

Para fins do modelo, essa conexão ilustra um componente de alta criticidade operacional, como o que Nolan e McFarlan descrevem no quadrante fábrica: o negócio se perde ainda que a falha dure um minuto [3]. As fontes não permitem situar cada participante em um quadrante; a leitura é nossa e se limita à peça.

O que aconteceu, em ordem?

Tudo sai do que publicaram o Banco do México e a CNBV.

A CNBV, no relatório de 2018, inclui esses fatos entre os ataques contra os principais sistemas de pagamentos do país e diz que acompanhou a identificação, a contenção e a remediação deles [11]. A cifra de 300 milhões sai apenas do Banco do México [9], que a deu «con la información disponible» [com as informações disponíveis] naquele momento.

O que importa para a empresa

1. O mais crítico dependia de um terceiro. Em todos os casos identificados como ataque, o aplicativo de conexão tinha sido desenvolvido por um terceiro [8][10]. Na mesma página, o Banxico esclarece que «la vulnerabilidad pudo tener su origen tanto en los sistemas, como en la infraestructura en la que fue instalado» [a vulnerabilidade pode ter tido origem tanto nos sistemas quanto na infraestrutura em que foi instalado], e houve instituições com fornecedor externo que não foram afetadas [8]. O Banco do México não os valida nem os certifica: cada participante é responsável pelo próprio aplicativo, seja desenvolvido internamente ou por um fornecedor [8][10]. Para a empresa: o fornecedor de uma peça «fábrica» é governado como parte da operação.
2. A regra existia; o cumprimento, nem sempre. Segundo o relatório anual do Banco do México, os ataques ocorreram pelo cumprimento desigual dos requisitos de segurança [10]. Tratar um requisito de uma peça «fábrica» como trâmite de «suporte» é a leitura que nós fazemos.
3. O dano não ficou nos afetados. O Banco do México advertiu que o descumprimento de alguns participantes torna vulnerável todo o sistema [8]. Os atrasos podiam alcançar também clientes de instituições não afetadas diretamente [5].
4. A governança subiu ao nível do quadrante. Depois da crise vieram um oficial de segurança responsável, protocolos escritos, testes de confiabilidade de terceiros, um semáforo de alertas de quatro níveis e inspeções aos fornecedores [10]. É o que Nolan e McFarlan pedem para um quadrante fábrica: continuidade comprovada e alguém que responda por ela [3]. Essa relação é nossa leitura.

Não é um julgamento sobre nenhuma instituição. As fontes não dizem quais foram e aqui nenhuma é avaliada. É a pergunta que o modelo faria a qualquer conselho, inclusive ao da empresa: a nossa governança corresponde ao quadrante em que de fato estamos?

Quanto custa uma hora sem sistema?

Sem saber quanto custa uma hora fora do ar, será difícil saber se o sistema está superprotegido ou desprotegido.

Em 2018 o custo teve várias camadas: dinheiro em revisão [9], meses de operação por um esquema mais lento [8][10] e clientes esperando a transferência, em alguns casos um ou mais dias [9].

Para a empresa, o cálculo tem quatro partes. A fórmula é nossa:

1. Venda que não se recupera: o cliente que comprou em outro lugar.
2. Trabalho extra: horas para redigitar, conciliar e atender reclamações.
3. O que a lei, o regulador ou o contrato obrigam a cumprir. Revise que prazos e multas o contrato de serviço prevê e o que o regulador exige quando um sistema cai.
4. O que não se mede na hora: confiança, reputação e a atenção da equipe diretiva.

Cenário de exemplo (não é um caso real). Uma distribuidora vende 312 milhões de pesos por ano e opera 10 horas por dia, seis dias por semana: cerca de 3.120 horas de venda. Cada hora de operação movimenta, em média, 100.000 pesos. Se o sistema de pedidos e faturamento dela cai por uma hora e metade desses pedidos é recuperada mais tarde, a venda em risco é de cerca de 50.000 pesos, mais o trabalho extra e qualquer multa contratual. Com esse número, um investimento anual em contingência e monitoramento deixa de ser «gasto de sistemas» e passa a ser comparado com horas de queda evitadas.

A falha também não precisa nascer dentro da empresa. Em julho de 2024, uma atualização de software que a CrowdStrike, uma empresa independente de cibersegurança, publicou no dia 18 afetou cerca de 8,5 milhões de computadores com Windows no mundo, menos de 1% do total, segundo a Microsoft [14]. A Microsoft esclareceu que não foi um incidente dela: a origem foi a atualização de um terceiro [14].

E uma referência internacional. Na pesquisa anual do Uptime Institute, 57% dos que responderam disseram que a queda grave mais recente custou mais de 100.000 dólares, e um em cada cinco, mais de um milhão [15]. Segundo o mesmo comunicado, em nove anos de acompanhamento, cerca de dois terços das quedas relatadas publicamente vieram de fornecedores externos de tecnologia: nuvem, internet, telecomunicações e data centers [15]. É uma pesquisa global do setor de data centers e de serviços de tecnologia; use-a como ordem de grandeza, não como a cifra da empresa.

O que quebra quando um sistema crítico é tratado como se fosse de suporte?

O sistema crítico tratado como suporte pode aguentar meses; o risco é que falhe no dia em que mais se precisa dele, e sem plano.

Isto costuma quebrar quando um sistema fábrica é orçado como suporte. A tabela é nossa leitura, com fonte onde se indica.

O erro contrário também custa: tratar como estratégico o que é suporte e pagar redundância e comitês que não mudam nada. Para suporte, a regra dos autores é cuidar de cada peso [3].

Quais erros saem mais caros?

Vários dos erros mais caros são de localização: investir como se a empresa estivesse em um quadrante quando está em outro.

1. Uma única regra de orçamento para tudo. Nolan e McFarlan contrastam uma loja de roupas com uma grande companhia aérea: a estratégia de uma não serve para a outra [3]. Consequência: o que não importa fica superprotegido e o que para a operação fica exposto.
2. Acreditar estar em um quadrante e estar em outro. É a distância que os autores encontraram entre o quadrante real e aquele em que a diretoria acredita estar [1]. Consequência: planos de sistemas que não servem à estratégia, ou uma diretoria de tecnologia que fica sabendo do rumo tarde demais.
3. Ficar acomodado em «suporte». Em 1984, McFarlan contou o caso de um distribuidor que conectou os clientes aos computadores dele para que fizessem os pedidos diretamente; o concorrente, acomodado no suporte, não viu o que acontecia até que fosse tarde, e recuperar o atraso se mostrou difícil e caro [2]. Consequência: perde-se um terreno que custa muito recuperar.
4. Um projeto grande sem decisões vigiadas de cima. Nolan e McFarlan dizem que as surpresas costumam vir, na maioria das vezes, de uma gestão de projetos frouxa, e pedem que as decisões-chave subam ao nível que corresponde [3]. O exemplo deles é a Hershey: depois de ampliar o novo sistema de gestão, chegou o Halloween sem que ela conseguisse acompanhar pedidos, receitas nem estoque; segundo as melhores estimativas que relatam, isso custou 151 milhões de dólares [3]. Consequência: o projeto que ia dar vantagem vira a crise do ano.
5. Governar o fornecedor como se fosse um gasto, não como parte da operação. Em 2018, em todos os casos identificados como ataque, o aplicativo de conexão era de um terceiro [8][10]; o Uptime atribui a fornecedores externos cerca de dois terços das quedas públicas [15]. Consequência: no dia em que essa peça falha, a empresa não tem plano nem voz.
6. Dar por cumprida uma regra porque está escrita. Os requisitos do SPEI existiam desde 2017 [8]; o que faltou em alguns participantes foi cumpri-los [10]. Consequência: a regra não protege e, além disso, deixa claro quem deveria tê-la cumprido.
7. Não conhecer o custo de uma hora. Nossa leitura. Consequência: cada investimento em continuidade é discutido como gasto e perde para qualquer outra prioridade.

O que levar à reunião de segunda-feira?

Um inventário dos sistemas, classificado na matriz, com dono, custo de uma hora fora do ar e decisão.

É o primeiro passo que Nolan e McFarlan pedem a qualquer conselho [3]. O formato é nosso. Cada linha é um sistema; as colunas respondem ao que o comitê precisa para decidir.

Cenário de exemplo (não é um caso real). A mesma distribuidora de 312 milhões de pesos por ano.

Como preencher em uma semana (passos nossos):

1. Liste os sistemas que a operação usa, incluindo os de terceiros, as peças que conectam a empresa com bancos, o SAT ou os clientes, e as planilhas que sustentam um processo.
2. Defina um dono do negócio para cada um. Se ninguém levantar a mão, já se encontrou um risco.
3. Responda às oito perguntas da lista para cada sistema e atribua um quadrante.
4. Estime o custo de uma hora fora do ar com as quatro partes da fórmula. Uma estimativa grosseira basta para começar.
5. Escreva uma decisão por linha: investir, manter, substituir ou desligar. E quem a revisa, segundo a tabela de governança de Nolan e McFarlan [3].

Como ler: se um sistema é fábrica e a decisão diz «manter» sem teste de recuperação, é por ali que se começa. Se um sistema é estratégico e ninguém do comitê diretivo o supervisiona, é por ali que se segue.

Para levar

Três perguntas para o próximo comitê diretivo:

1. Quais dos nossos sistemas nos deixam sem vender, cobrar ou faturar se caírem por uma hora, e quanto essa hora nos custa?
2. O nosso orçamento de sistemas usa uma única regra para tudo, ou distingue entre o que não pode cair e o que nos faz competir?
3. Que parte do mais crítico depende de um terceiro, quem comprova que ele cumpre o que exigimos e o que faríamos se amanhã ele falhasse?

O que a Hábil faz?

A Hábil constrói o sistema de que a operação da empresa precisa quando nenhum produto se encaixa, e o conecta ao que ela já tem.

Partimos dos sistemas e processos que hoje funcionam para a empresa. Substituir algo só é proposto quando já não convém mantê-lo.

• Sistemas sob medida. Portais, fluxos de aprovação e a operação interna que hoje vive em planilhas e e-mails. Construímos sob medida, conectado aos sistemas da empresa, e entregamos funcionando.
• O que é da empresa ao final: o sistema operando, o código em nome da empresa no repositório da empresa, os testes automáticos e a documentação, com a passagem para quem vai operá-lo. Se amanhã a empresa quiser que outra equipe o mantenha, poderá fazê-lo.
• Antes de escrever uma linha, avaliamos junto com a empresa se já existe algo que resolva. Construir é a resposta apenas quando faz sentido.

Veja Sistemas sob medida.

E se o que a empresa precisa é integrar os sistemas, construímos a camada que os conecta, com cada operação confirmada e rastreável, e a possibilidade de trocar um deles com o menor impacto possível nos demais. Integramos sistemas empresariais desde 2012. Veja Integração.

Se já se sabe qual é o sistema «fábrica» da empresa, comecemos por ele. Peça a primeira conversa, sem custo. Nela avaliamos se convém configurar, usar um produto ou construir, e o que a empresa receberia em cada caso. Escreva para nós pelo WhatsApp.

Perguntas frequentes

Uma empresa fica sempre no mesmo quadrante?

Não. Os autores advertem que o papel dos sistemas pode crescer ou diminuir [1], e que o quadrante de transição é temporário: ao terminar a mudança, a empresa passa para fábrica ou para estratégico [3]. Por isso o inventário é revisado todo ano.

Por que as instituições afetadas em 2018 não são nomeadas?

Porque nas fontes citadas do Banco do México e da CNBV elas não são nomeadas, e este artigo se baseia apenas nelas. O caso não usa informações de clientes da Hábil.

Fontes consultadas em 22 de outubro de 2026. A única citação da Harvard Business Review aparece no original em inglês, com tradução; as de documentos em espanhol aparecem no original, com tradução entre colchetes.