Oversight (IGs, Tribunais, Comitês)

Nota do capítulo "13 - Contra-Inteligência (CI)", pasta "07 - Liderança e Governança".
Fecha a trilogia de governança com os mecanismos de supervisão que mantêm a CI dentro do mandato autorizado.
Traduz Inspectors General, cortes de vigilância e comitês parlamentares em equivalentes corporativos: auditoria, comitê de ética e conselho.

1. Contexto e Posicionamento na Biblioteca

Toda função que coleta informação e engana adversários precisa responder a alguém que não a executa. Esta nota fecha a trilogia de governança do capítulo tratando da supervisão: por que a contra-inteligência sem oversight se corrompe mesmo com pessoas boas, como os estados organizaram essa supervisão com Inspectors General, cortes de vigilância e comitês parlamentares, e quais são os equivalentes corporativos em auditoria interna, comitê de ética e conselho. O fechamento traz um modelo de oversight corporativo aplicado ao caso mais sensível do dia a dia, as operações de decepção, com estrutura, registro e cadência prontos para adoção.

O posicionamento na pasta é o do freio verificador: a nota de Responsabilidade Executiva define quem autoriza, a de Marcos Legais define o que pode ser autorizado, a de Ética orienta o que é correto autorizar, e esta nota verifica se o executado corresponde ao autorizado. A supervisão não é uma camada de desconfiança contra a equipe, e sim a condição que permite dar poder à equipe; é porque existe oversight independente que uma organização pode autorizar operações de engano e monitoramento sem transferir riscos incontáveis para o próprio ambiente.

2. Por que CI Sem Oversight se Corrompe

A corrupção de programas de inteligência raramente começa com má-fé explícita, e quase sempre começa com deriva lógica. Cada ampliação pequena de escopo parece justificada pela ameaça; cada atalho de procedimento parece inofensivo diante da urgência; cada registro não feito parece poupar esforço em um programa que "já é confiável". O problema estrutural é que o próprio programa julga a adequação do próprio programa, e nenhuma função consegue ser parte interessada e juíza no mesmo caso. Sem verificação externa, a deriva acumula até que um caso explícito a torne pública.

Três mecanismos concretos produzem essa deriva corporativa, e todos têm precedente documentado na vigilância estatal. O primeiro é o mission creep, em que o programa criado para adversários externos passa a monitorar disputas internas, porque a ferramenta está lá e a demanda chega. O segundo é a autoproteção institucional, em que operações mal conduzidas são escondidas para proteger a reputação da função, transformando erro pequeno em encobrimento grande. O terceiro é a captura de propósito, em que o produto de inteligência passa a servir ao patrocinador como recurso político, e a métrica de sucesso deixa de ser risco reduzido para virar poder entregue. Os três são preveníveis com desenho de oversight, e os três são quase irreversíveis sem ele.

Há ainda uma razão de mercado que a doutrina estatal não cobre: a empresa vive sob escrutínio de reguladores, auditores externos, clientes e imprensa, e uma operação de CI desviada vira material de crise regulatória e contratual. O custo do oversight é baixo comparado ao custo de um caso público de vigilância abusiva de funcionários ou de engano contra clientes, e essa conta assimétrica é o argumento financeiro que o CISO deve levar ao conselho ao propor a estrutura descrita nas próximas seções.

A deriva tem um agravante corporativo que merece registro: o poder de coletar sobre pessoas é contratado dentro da própria empresa, e o objeto da coleta é, com frequência, colega de trabalho de quem coleta. Isso mistura relações pessoais com poder de vigilância de um modo que o Estado, com sua separação de carreiras e de jurisdições, não experimenta na mesma dose. O desenho de oversight corporativo precisa, por isso, prever mais rotatividade de revisores, mais recusas de participação quando há conflito de interesse declarado e mais registro de relações, e não apenas de operações.

3. Mecanismos Estatais de Supervisão

Os estados democráticos construíram a supervisão de inteligência em camadas complementares, e cada camada ensina um princípio transferível para a empresa. Os Inspectors General são auditores internos independentes dentro das agências, com acesso pleno a registros, poder de investigar denúncias e relatório direto à cúpula e ao parlamento; o princípio é que a primeira barreira é interna, mas precisa de independência e acesso. As cortes de vigilância, como a corte da FISA nos Estados Unidos, revisam previamente pedidos de coleta sensível; o princípio é que a autorização independente deve anteceder a operação, e não apenas auditar depois. Os comitês parlamentares de inteligência, como o Intelligence and Security Committee britânico e as comissões do Congresso norte-americano, avaliam o programa como um todo, seus orçamentos e seus desvios; o princípio é que alguém fora da cadeia operacional precisa olhar o programa inteiro, e não apenas casos.

O funcionamento detalhado desses mecanismos ensina detalhes de desenho que a tradução corporativa costuma perder. O pedido na corte da FISA é submetido com base em causa provável e revisado antes da coleta, com a possibilidade de participação de jurista independente em questões sensíveis de privacidade, e a operação sem aprovação simplesmente não acontece; o paralelo corporativo é que a revisão jurídica tem poder de veto, e não de sugestão. Os Inspectors General reportam periodicamente, com relatórios semestrais e investigações acionadas por hotline de denúncias, e suas recomendações têm tratamento formal com prazo e resposta da agência; o paralelo é que o auditor de CI tem cadência fixa e resposta obrigatória. Os comitês parlamentares publicam relatórios anuais, ouvem dirigentes em audiências e reavaliam poderes com prazo de validade, o que força o programa a justificar-se de novo em cada ciclo; o paralelo é que o mandato do programa de CI expira e precisa ser renovado com evidência, e não é vitalício por construção.

A tabela resume os mecanismos estatais e os equivalentes corporativos diretos, com a função que cada um exerce na tradução.

Dois traços separam um oversight real de um decorativo, e valem tanto para o estado quanto para a empresa. O primeiro é o acesso: quem supervisiona precisa poder ver registros sem filtro do programa supervisionado, inclusive registros que o programa preferiria não mostrar. O segundo é a consequência: o relatório precisa de destinatário com poder de decisão, e as recomendações precisam de tratamento registrado com prazo e responsável, pois oversight sem consequência é ritual que ensina ao programa que o ritual é o único requisito.

4. Equivalentes Corporativos e Como Operá-los

A empresa já possui a maioria dos órgãos que a supervisão de CI exige, e o trabalho de governança é conectar os existentes, e não inventar uma burocracia paralela. A auditoria interna assume o papel do Inspector General, com amostragem periódica de operações, verificação de autorizações e de trilhas, e relatório direto ao comitê de auditoria. O comitê de ética, com participação de jurídico, RH e DPO, assume a revisão de casos com pessoas e a instância de recurso de decisões contestadas. O conselho, por meio do comitê de auditoria ou de risco, assume o papel do comitê parlamentar, conhecendo o programa, seu mandato, suas métricas e seus desvios. E o canal de denúncia independente assume a função de ouvidoria, com proteção formal ao denunciante.

Cada equivalente precisa produzir artefato verificável com cadência e destinatário definidos, porque supervisão sem artefato é conversa. A tabela abaixo fixa o produto mínimo esperado de cada instância e é, na prática, o termo de referência do oversight de CI.

A operação desses equivalentes precisa de três especificações para funcionar no contexto de CI, e sem elas o arranjo fica nominal. Primeira, carta de acesso: a auditoria e o comitê de ética têm acesso garantido por escrito aos registros de operações de CI, autorizações, inventário de iscas e trilhas de telemetria, e a negação de acesso precisa ser registrada e escalada. Segunda, cadência e gatilho: revisão trimestral programada de amostras de operações, mais revisão imediata por gatilho, como operação de monitoramento de pessoa, reclamação de denunciante ou desvio identificado. Terceira, tratamento de achados: cada achado recebe classificação de severidade, responsável, prazo e verificação de fechamento, com sumário anual ao conselho incluindo o que foi descumprido.

Um detalhe de desenho evita o conflito de interesse mais comum: quem executa CI não pode compilar ou apresentar o relatório de oversight da própria função. A auditoria interna conduz a coleta de evidência, o revisor de ética conduz a avaliação de casos com pessoas, e a equipe de CI responde, complementa e corrige. O programa precisa sair da revisão com recomendações de melhoria e não com defesa de resultados, e o tom do relatório é um indicador de maturidade que conselheiros experientes leem com precisão.

5. Indicadores de Desvio em Operações de CI

A supervisão precisa de sinais objetivos, e os indicadores abaixo funcionam como lista de verificação para auditoria e para o comitê de ética. Cada item descreve um padrão observável que precede historicamente os abusos documentados em programas de vigilância, estatais ou corporativos.

• Operações sem registro: existência de monitoramento, iscas ou engano sem entrada no registro central, descoberta por telemetria, denúncia ou acaso, é o indicador mais grave de todos.
• Escopo crescente silenciosamente: coleta que começa limitada a um caso e persiste após o encerramento, ou dossiês que acumulam dados sem vínculo com a pergunta original.
• Uso de produto de CI fora da finalidade: telemetria de segurança aparecendo em avaliações de desempenho, decisões de promoção ou negociação interna sem processo formal.
• Autorização por exceção recorrente: padrão de operações executadas primeiro e formalizadas depois, com justificativa de urgência repetida.
• Iscas sem dono: honeypots e credenciais falsas ativas sem inventário atualizado, sem prazo de encerramento e sem revisão de conteúdo.
• Retaliação sutil a quem questiona: analistas que apontaram desvios passando a receber menos acesso, menos casos relevantes ou avaliação adversa sem fundamento técnico.
• Métricas de atividade substituindo valor: reporte que destaca volume de operações e alertas, sem vínculo com risco reduzido ou decisão habilitada.
• Acesso ao dossiê alargando-se: listas de pessoas com acesso a materiais de investigação crescendo sem reavaliação de necessidade.

Cada indicador precisa ter gatilho de ação definido, porque lista sem consequência vira inventário de risco decorativo. A tabela abaixo fixa a resposta imediata esperada quando o indicador é observado, e a resposta é da instância de oversight, e não do próprio programa.

Nenhum indicador isolado prova abuso, e a leitura correta é de tendência: dois ou três indicadores ativos simultaneamente, com persistência entre ciclos, justificam investigação formal pelo comitê de ética e comunicação ao conselho. O registro da leitura de tendência, com data e decisão, é o que diferencia supervisão de colecionismo de alertas.

6. Exemplo Prático: Modelo de Oversight Corporativo para Operações de Decepção

As operações de decepção concentram o risco ético do programa, porque combinam engano, dados fabricados e potencial alcance a pessoas não envolvidas. O modelo abaixo organiza a supervisão dessas operações em papéis separados, registro obrigatório e cadência de verificação, e pode ser adotado como política formal do programa.

MODELO DE OVERSIGHT - OPERACOES DE DECEPCAO (HONEYPOTS E ISCAS)

Papéis separados:
  1. Proponente: analista de CI que formula a operação com objetivo,
     escopo, duração e conteúdo previsto.
  2. Autorizador: CISO, com parecer prévio do jurídico; nenhuma
     operação inicia sem registro de autorização com prazo.
  3. Executor: equipe de CI, com acesso isolado ao ambiente da isca.
  4. Observador independente: auditoria interna e revisor de ética,
     com acesso garantido ao registro e às trilhas, sem participação
     na execução.

Registro obrigatório por operação:
  - Identificador único, objetivo declarado e pergunta de segurança.
  - Escopo técnico: o que é a isca, onde vive e o que contém.
  - Declaração de ausência de dados reais de terceiros, com revisão
     de conteúdo pelo jurídico quando aplicável.
  - Autorização com data de início e de encerramento.
  - Inventário atualizado e responsável nomeado pela isca.

Verificação:
  - Conciliação trimestral: toda isca ativa na telemetria deve ter
     registro ativo; toda isca sem dono é desativada no ato.
  - Amostragem semestral de operações encerradas, com verificação de
     encerramento técnico e de descarte dos registros previstos.
  - Revisão imediata por gatilho: denúncia, alcance a pessoa não
     prevista ou desvio de escopo identificado.
  - Relatório anual consolidado ao comitê de auditoria do conselho,
     incluindo desvios, correções e tendência de indicadores.

O modelo ilustra o padrão geral que se aplica a toda operação sensível de CI: papéis separados entre propor, autorizar, executar e observar; registro que permite reconstruir a operação sem depender da memória de quem a executou; e cadência de verificação com consequência registrada. O custo do modelo é de procedimento, e o benefício é que a organização pode manter capacidades de engano sem apostar o próprio nome em julgamento individual não verificado.

7. RACI e Cadência de Verificação das Operações de Decepção

O modelo da seção 6 ganha precisão operacional quando cada atividade tem dono único de decisão e papéis explícitos de apoio e informação. A matriz RACI abaixo formaliza essa distribuição para o ciclo completo de uma operação de decepção, com a regra de ouro de uma única letra A por linha: quando duas instâncias se consideram responsáveis finais pela mesma atividade, a separação de papéis que sustenta o oversight já falhou no papel.

A leitura da matriz segue a convenção padrão: R executa, A responde pela decisão, C é consultado antes e I é informado depois. O desenho reforça três separações que o capítulo exige: o proponente não autoriza, o executor não verifica e o observador independente não executa. O jurídico aparece como R na revisão de legalidade porque o parecer é artefato próprio, e não anuência passiva, e o comitê de auditoria concentra os A das atividades de auditoria e de reporte porque é a instância fora da cadeia operacional.

A cadência da matriz completa o desenho: a conciliação de inventário é trimestral e presencial ao registro, a amostragem de operações encerradas é semestral com pelo menos uma operação por trimestre coberta ao longo do ano, a revisão por gatilho é imediata, e o relatório anual ao conselho fecha o ciclo com a tendência dos indicadores da seção 5. Cada verificação gera registro datado com responsável, e a ausência de registro de verificação é tratada como achado, pelo mesmo racional da seção 5: o que não se verifica não existe.

8. Erros Comuns e Pontos de Atenção

• Tratar oversight como auditoria anual: desvio de CI se acumula em semanas, e não em ciclos anuais; cadência trimestral com gatilhos imediatos é o mínimo para operações sensíveis.
• Deixar o próprio programa reportar sobre si: relatório escrito por quem executa, com seleção própria de casos, é material de marketing, não supervisão; a coleta de evidência pertence ao observador independente.
• Negar acesso citando sigilo: sigilo protege a operação contra o adversário, e não o programa contra o auditor; negação de acesso precisa ser exceção registrada e escalada ao conselho.
• Instalar oversight sem acesso técnico: comitê que recebe apenas apresentações não verifica trilha, inventário nem encerramento; o observador precisa de acesso a telemetria e a registros brutos.
• Confundir conformidade documental com verificação: documento assinado sem conciliação com a realidade técnica vale pouco; amostragem com confronto entre registro e telemetria é o teste real.
• Rodar RACI nominal sem separação técnica de acesso: quando o proponente também administra o repositório de registros, a matriz existe no papel e não no ambiente; isolamento de acesso é parte do desenho, e não detalhe de implantação.
• Ignorar o canal de denúncia: quem trabalha no programa é a fonte mais precoce de sinais de desvio, e a proteção formal do denunciante é parte da arquitetura de oversight, e não de RH.
• Punir erro honesto como abuso: oversight que converte qualquer falha em punição ensina a esconder falhas, e o escondimento é o mecanismo central da corrupção; a resposta proporcional preserva a transparência que a supervisão precisa.
• Encerrar supervisão com o programa maduro: maturidade reduz frequência de desvio, mas não muda a estrutura de incentivos; a verificação é permanente porque o poder é permanente.

9. Integração com o Restante da Biblioteca

Esta nota fecha o circuito de governança aberto nas notas de Responsabilidade Executiva, Marcos Legais e Ética, e o teste integrado do capítulo é simples: para qualquer operação sensível, existe autorização pelo titular certo, dentro dos limites legais, com revisão ética registrada e verificação independente posterior. Na arquitetura do Framework CTH, o oversight corporativo complementa os controles do grupo GOV, em especial CTI.1 de patrocínio e CTI.2 de posicionamento, e os registros exigidos aqui alimentam a evidência de auditoria do modelo de maturidade e do controle CTI.10 de proteção de contra-inteligência.

Fora do capítulo, a nota de Privacidade e Considerações Legais do capítulo 12 cobre a dimensão de proteção de dados que os mecanismos aqui descritos verificam, e as notas de construção de equipe do capítulo 12 recebem daqui o componente de cultura que o código de conduta e o canal de denúncia formalizam. As operações de decepção supervisionadas por este modelo são especificadas nas notas de CI Ofensiva da pasta "02 - Taxonomia de CI" e nos honeypots do capítulo 02, e a conciliação de inventário descrita na seção 6 deve ser executada em conjunto com esses controles. O princípio final que atravessa a biblioteca inteira vale com força dobrada aqui: controle que não se verifica não existe, e a verificação que não tem consequência não é controle.