5 slides, 5 perguntas, 25 minutos: o formato que o conselho entende e decide

Conselhos não decidem bem sobre cibersegurança porque recebem a informação no formato errado. Não falta tema. Falta estrutura.

O resultado é previsível e se repete em nove entre dez organizações: os conselheiros assentem sem perguntas substantivas, a ata registra "apresentação realizada" sem nenhuma decisão formalizada e a próxima reunião repete exatamente a mesma pauta. Em ambientes regulados, esse ciclo tem consequências jurídicas concretas. Em caso de incidente material, a primeira pergunta de auditores e reguladores é sempre a mesma: o conselho sabia do risco?

O Modelo 5x5 resolve com uma regra simples: 5 slides, 5 perguntas, 25 minutos. O conselheiro sai da reunião com clareza sobre exposição, decisão tomada e responsabilidade atribuída, sem precisar ter virado técnico para isso.

Por que o formato atual trava

Dashboards de SOC, matrizes NIST, relatórios de patching e SLA têm conteúdo correto e formato errado para o conselho. São insumos do comitê executivo, não do conselho de administração. Quando chegam à sala de conselho sem tradução, produzem silêncio, não deliberação.

A regra dos 25 minutos resolve a economia de atenção: 15 minutos de apresentação e 10 minutos de discussão dirigida. Tempo suficiente para uma decisão substantiva por reunião.

Os 5 slides

O primeiro slide traz o Mapa de Exposição Agregada. A pergunta orientadora é direta: onde estamos materialmente expostos hoje? O slide apresenta cinco a sete cenários, cada um com vetor mais provável e exposição estimada em reais por faixa, mais o total agregado com variação em relação ao ciclo anterior. A regra de ouro é não apresentar lista de CVEs neste slide. O conselho não decide em CVE. Decide em cenário monetizado.

O segundo slide apresenta a Posição Estratégica. Cada cenário recebe uma e apenas uma posição: mitigar, quando há investimento ativo em controle ou processo; transferir, quando a cobertura se dá via seguro cyber ou cláusula contratual; ou aceitar, quando a retenção é formal, com motivo registrado e revisão calendarizada.

O terceiro slide concentra as Decisões em Curso e Pendentes. Para as decisões do ciclo anterior, o slide mostra status, dono e prazo. Para as decisões propostas neste ciclo, apresenta justificativa, custo e razão exposição/custo. O limite é três decisões pendentes por reunião de conselho. Acima disso o conselho perde foco, o que geralmente indica que o comitê executivo deveria ter consolidado antes de levar ao board.

O quarto slide traz Sinais de Alerta e Movimentos do Setor: um a três incidentes setoriais públicos relevantes dos últimos 90 dias, movimentos regulatórios pertinentes, cenários internos emergentes como novos contratos com SLA cyber, processos de M&A ou fornecedores críticos, e um a dois indicadores agregados não técnicos. O slide não serve para alarmismo. Os sinais precisam ser acionáveis, motivando revisão de mapa, ajuste de prioridade ou conforto explícito sobre a cobertura existente.

O quinto slide é o mais importante: a Síntese para o Conselho. Três blocos objetivos: o que está sob controle, o que requer decisão nesta reunião e o que requer apenas ciência formal sem ação imediata. Este é o slide que vira ata. Se ele estiver mal construído, os quatro anteriores foram desperdiçados.

As 5 perguntas

Os dez minutos de discussão dirigida seguem cinco perguntas fixas, cada uma com propósito específico.

A primeira pergunta é se algum cenário do mapa surpreende o conselho. O objetivo é calibrar a leitura executiva com a percepção externa dos conselheiros, que muitas vezes têm visibilidade de mercado que a equipe interna não tem.

A segunda pergunta verifica se a posição estratégica de cada cenário está adequada ao apetite a risco formalmente aprovado. Revalida a coerência entre o que foi decidido e o que está sendo praticado.

A terceira pergunta questiona se os riscos aceitos no ciclo anterior foram revisados na data prevista. Garante que aceitação formal não se converta em omissão com data de validade vencida.

A quarta pergunta confirma se as decisões propostas têm dono executivo claro e prazo defensável. Evita o encaminhamento sem responsável nominal, que em governança não é decisão.

A quinta pergunta é a mais importante do ponto de vista fiduciário: existe algum cenário de impacto material que o conselho não viu e que deveria estar na pauta? Essa pergunta abre espaço para que os próprios conselheiros tragam temas que a equipe interna pode estar evitando por razões políticas ou operacionais. Conselhos disciplinados reservam tempo real para ela. A quinta pergunta registra em ata que o tema foi solicitado e respondido, o que constitui evidência fiduciária defensável em incidente posterior.

A redação da ata

A ata de uma reunião com o Modelo 5x5 tem três funções: documentar ciência formal, formalizar decisões com elementos rastreáveis e criar evidência fiduciária defensável. O modelo de redação segue o padrão: o conselho tomou ciência do mapa de exposição do trimestre, com exposição estimada total e variação em relação ao ciclo anterior; aprovou as decisões com dono e prazo; ratificou as posições estratégicas; homologou as aceitações formais de risco residual com revisão prevista; e tomou ciência dos sinais de alerta sem necessidade de ação imediata.

Decisão aprovada sem dono nominal não é decisão. É encaminhamento. O nome do responsável entra na ata e o vCSO ou CISO reporta o status individual na próxima reunião.

Cinco erros frequentes na implementação

O primeiro erro é inflar os slides para mostrar trabalho. SOC, NIST e certificações são insumos do comitê executivo. Cinco slides ou nada.

O segundo é manter o mapa congelado entre reuniões. Mapa que não varia é sinal de estagnação metodológica, não de estabilidade real.

O terceiro é formalizar aceitação de risco sem calendarizar a revisão. Sem data, a aceitação perde valor fiduciário e vira esquecimento documentado.

O quarto é tratar a quinta pergunta como formalidade. Isso destrói a função mais importante do modelo.

O quinto é aprovar decisão sem dono nominal. Já descrito acima, mas vale reforçar: encaminhamento sem nome não produz accountability.

Migração em 3 ciclos

A transição do modelo atual para o 5x5 não precisa ser abrupta. No primeiro ciclo, mantém-se o reporting atual e adiciona-se os cinco slides ao final da pauta, conduzindo as cinco perguntas. No segundo ciclo, o reporting técnico é substituído pelos cinco slides e passa a ser disponibilizado como anexo para quem quiser aprofundar. No terceiro ciclo, o Modelo 5x5 é a única forma de reporting cyber ao conselho.

Nove meses. Três ciclos trimestrais.

5x5 e as 5 Decisões: formatos complementares

O Modelo 5x5 é o formato do conselho. O método das 5 Decisões é o formato do comitê executivo. Os dois operam em camadas diferentes e se complementam.

O comitê executivo conduz o trabalho denso: mapeia cenários, prioriza, aprova investimentos, formaliza aceitações e revisa resultados. O conselho ratifica, homologa o que excede os limites de delegação e exerce oversight. O 5x5 é a síntese executiva do ciclo de 5 Decisões.

Adotar apenas um dos dois funciona, mas é subótimo. Governança executiva forte com conselho desconectado gera exposição fiduciária. Conselho informado com comitê executivo sem método gera inconsistência entre apresentação e prática.

Próximos passos concretos

O primeiro passo é auditar a última pauta de conselho. Havia mapa de exposição agregada? Posição estratégica por cenário? Decisões com dono e prazo? Sinais acionáveis? Síntese decisional? Se mais de um desses elementos estiver ausente, há espaço para melhoria.

O segundo passo é propor o modelo como item de pauta, formalizando com a presidência do conselho a adoção a partir do próximo ciclo em ata simples.

O terceiro passo, especialmente útil para CISOs e CROs sem prática de board, é simular antes de aplicar. Uma sessão de simulação calibra tom, foco e respostas às cinco perguntas antes da estreia real.

LeanBic Cibersegurança

www.leanbic.com.br