Como Construir um Comitê de Risco Cibernético no Conselho

Desde 1º de julho de 2021, instituições autorizadas a funcionar pelo Banco Central operam sob a Resolução CMN nº 4.893/2021, que trata da política de segurança cibernética e exige, segundo análise publicada no Migalhas, a designação de um diretor responsável e a formalização da política em reunião do conselho de administração, ou da diretoria, na ausência de um conselho formal. A régua subiu em dezembro de 2025: a Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025 atualizaram a norma original, reforçando exigências de gestão de risco cibernético e continuidade de negócios, com prazo de adequação até 1º de março de 2026. Para o conselho, isso significa que cibersegurança deixou de ser pauta técnica delegável e virou item de governança com data de vencimento.

Fora do universo regulado pelo Bacen, a pressão vem de outro lugar, mas é igualmente concreta: investidores, seguradoras e a responsabilidade pessoal dos próprios conselheiros. A NACD (National Association of Corporate Directors), em parceria com a Internet Security Alliance, publica desde 2014 o Director's Handbook on Cyber-Risk Oversight, hoje já em edições mais recentes, com princípios que orientam como um board deve supervisionar, e não microgerenciar, o risco cibernético. A edição de 2026 detalha cinco categorias de métricas que qualquer conselho deveria exigir do CISO, da exposição financeira a eventos cibernéticos até o alinhamento entre investimento em segurança e decisões de negócio.

Este artigo é um guia prático para conselheiros e C-level não técnico: como estruturar um comitê de risco cibernético, quem deve sentar à mesa, com que frequência ele deve se reunir, que métricas cobrar do CISO, e o que os casos SolarWinds e Uber ensinam sobre o custo de uma supervisão que falha antes mesmo do incidente acontecer.

Por Que o Conselho Precisa de um Comitê de Risco Cibernético

Tratar cibersegurança como um item ocasional de pauta, revisado quando o CISO pede tempo de fala, não é mais compatível com o nível de exposição financeira, regulatória e pessoal que o tema carrega hoje. Um comitê dedicado, ou uma função claramente atribuída dentro de um comitê existente, resolve três problemas ao mesmo tempo: garante cadência de supervisão (a pauta não compete com todo o resto da agenda do board), cria memória institucional sobre o apetite a risco da organização, e documenta que o conselho exerceu diligência ativa, não passiva, sobre o tema.

Esse último ponto importa mais do que parece. Como os casos SolarWinds e Uber mostram mais adiante neste artigo, a ausência de um processo formal de supervisão é, em si, um fator agravante quando algo dá errado. A forma como a cibersegurança é apresentada ao board, e não apenas o conteúdo apresentado, é parte do que caracteriza uma boa governança. Esse é o tema que aprofundamos no nosso guia de board reporting em cibersegurança, que trata especificamente de como estruturar essa comunicação entre CISO e diretoria.

O Que a Regulação Brasileira Já Exige do Conselho

Para instituições financeiras, a exigência já não é uma boa prática opcional. A Resolução CMN nº 4.893/2021 dispõe sobre a política de segurança cibernética para instituições autorizadas a funcionar pelo Banco Central e, segundo análise publicada no Migalhas, exige a designação de um diretor responsável pela política e a formalização dessa política em reunião do conselho de administração, ou da diretoria, quando não há conselho formal constituído. Em dezembro de 2025, a Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025 atualizaram essa norma, reforçando as exigências de gestão de risco cibernético e de continuidade de negócios, com prazo de adequação fixado em 1º de março de 2026.

Na prática, isso significa que a gestão de risco cibernético cobrada pela regulação inclui a supervisão de fornecedores e prestadores de serviços críticos, não apenas os sistemas internos da instituição. É um ponto que qualquer comitê de risco cibernético do board precisa incorporar à sua pauta, e que tratamos com mais profundidade no nosso guia de gestão de risco de terceiros.

Mesmo fora do setor financeiro regulado, o padrão que essas resoluções estabelecem, formalização em ata, diretor ou responsável nomeado, revisão periódica documentada, é um bom piso de referência para qualquer conselho que queira demonstrar diligência, independentemente de estar ou não sob supervisão direta do Bacen.

Estrutura e Composição do Comitê

Não existe um modelo único obrigatório de comitê de risco cibernético, e a regulação brasileira não prescreve sua composição em detalhe. O que existe é um conjunto de princípios de supervisão, consolidados pela NACD em parceria com a Internet Security Alliance no Director's Handbook on Cyber-Risk Oversight, que orientam como o board deve se organizar para exercer essa função sem se transformar em um comitê técnico paralelo ao time de segurança.

Quem Deve Sentar à Mesa

O CISO deve ser uma presença regular, mas não a única voz na sala. Um comitê equilibrado normalmente reúne conselheiros independentes com alguma familiaridade com risco ou tecnologia, o responsável jurídico ou de compliance (dado o peso regulatório e contratual do tema), e, quando existir, o executivo de risco corporativo, de forma que a cibersegurança seja discutida como risco de negócio integrado, e não como um domínio isolado do departamento de TI.

Cadência de Reuniões

Como referência internacional, não como norma brasileira, comitês de tecnologia e risco cibernético em empresas do setor financeiro nos Estados Unidos costumam ter entre quatro e cinco diretores, com reuniões de quatro a seis vezes por ano, complementadas por uma sessão anual de aprofundamento. Esse ritmo é consistente com a orientação de que o board deve receber atualizações substantivas de risco cibernético pelo menos trimestralmente, com um aprofundamento anual mais extenso e reporte imediato em caso de incidente material, entre uma reunião e outra. Para o CISO especificamente, a prática recomendada é uma apresentação formal ao board a cada trimestre, com setores de maior risco se beneficiando de check-ins mensais mais curtos entre as revisões trimestrais completas.

Que Métricas o Conselho Deve Exigir do CISO

A queixa mais comum de conselheiros não técnicos é receber relatórios cheios de siglas e contagens de vulnerabilidades sem tradução para risco de negócio. A boa notícia é que já existe um roteiro relativamente maduro de que tipo de métrica pedir, e ele não exige que o conselheiro entenda de tecnologia.

As Cinco Categorias do NACD

O Cyber-Risk Oversight Handbook 2026 da NACD propõe organizar o reporte ao board em cinco categorias de métricas: ambiente de ameaças (o que está mudando lá fora), exposição a perda financeira (quanto a organização arriscaria perder), perfil de risco e maturidade (onde a organização está na sua jornada de segurança), exposição de cadeia de suprimentos e terceiros, e alinhamento entre investimento em segurança e decisões de negócio. Essas cinco categorias funcionam como um checklist que o conselho pode usar para avaliar se um relatório do CISO está completo ou se está deixando lacunas de visibilidade.

Indicadores Financeiros que Todo Board Entende

Na prática, os indicadores mais úteis para um conselho não técnico traduzem risco cibernético para a mesma linguagem usada em qualquer outro risco financeiro do negócio: exposição financeira estimada a eventos cibernéticos, evolução da postura de risco ao longo do tempo (está melhorando ou piorando trimestre a trimestre), decomposição de cenários de perda (o que aconteceria em diferentes tipos de incidente), retorno sobre o investimento em segurança, exposição a risco de terceiros, e adequação da cobertura de seguro cibernético contratada frente à exposição real da organização. Esse último ponto costuma ser subestimado: um comitê de risco cibernético que nunca revisou a apólice de seguro da empresa está discutindo apenas metade do risco financeiro que supervisiona.

Comitê Dedicado ou Comitê de Auditoria Existente?

Nem toda organização tem porte ou complexidade que justifique um comitê de risco cibernético totalmente separado, e a resposta correta depende do estágio da empresa. Segundo material do IBGC (Instituto Brasileiro de Governança Corporativa) em parceria com a KPMG, o conselho deve, no mínimo, definir claramente papéis e responsabilidades sobre risco cibernético, garantir independência de quem responde pela segurança da informação em relação às áreas que ela audita, e monitorar o apetite a risco cibernético de forma alinhada à estratégia da organização. Nesse desenho, o comitê de riscos tende a priorizar o risco cibernético pelo seu potencial impacto financeiro e reputacional, enquanto o comitê de auditoria foca na eficácia dos controles internos relacionados ao tema.

Para conselhos menores, a alternativa realista não é ignorar o tema, mas atribuí-lo formalmente a um comitê já existente, seja o de auditoria, seja o de riscos, com pauta e cadência próprias dentro dele, em vez de deixá-lo diluído entre outros assuntos. O que não deveria acontecer é a ausência completa de uma instância formal de supervisão, seja qual for o nome do comitê que a exerce.

Quando a Supervisão do Board Falha: SolarWinds e Uber

Dois casos nos Estados Unidos, distintos entre si, mostram por que a formalização da supervisão não é burocracia: ela é a diferença entre uma organização que consegue demonstrar diligência e uma que não consegue.

SolarWinds: a Fiscalização que Elevou a Régua

Em 30 de outubro de 2023, a SEC (a comissão de valores mobiliários dos Estados Unidos) processou a SolarWinds e seu CISO, Timothy Brown, por supostas declarações enganosas sobre as práticas de cibersegurança da empresa entre 2018 e 2021. O desfecho, porém, não foi uma condenação: em 18 de julho de 2024, a Justiça derrubou a maior parte das alegações da SEC, e em 20 de novembro de 2025 a própria SEC concordou em encerrar o caso definitivamente. O resultado foi favorável à empresa e ao executivo, mas o episódio, mesmo sem condenação, elevou a expectativa regulatória sobre a especificidade e a execução real dos programas de segurança que empresas divulgam a investidores, algo que qualquer comitê de risco cibernético deveria levar em conta ao revisar como a organização se comunica externamente sobre o tema.

Uber: Quando Ninguém no Board Sabia

O caso Uber teve um desfecho bem mais duro. O ex-CSO (chief security officer) Joe Sullivan foi considerado culpado por um júri em 2022 e sentenciado em maio de 2023 a três anos de liberdade condicional e 200 horas de serviço comunitário, por obstruir uma investigação da FTC (a agência de proteção ao consumidor dos EUA) e não reportar um vazamento de dados ocorrido em 2016, que expôs informações de 57 milhões de usuários. O pagamento de cem mil dólares aos invasores foi disfarçado internamente como recompensa de bug bounty. Foi o primeiro caso de responsabilização criminal de um executivo de segurança nos Estados Unidos, e críticos do setor apontaram, na época, a ausência de supervisão tanto do board quanto da alta liderança da empresa como um fator que permitiu que a decisão de encobrir o incidente fosse tomada sem nenhum contrapeso institucional.

Os dois casos, com desfechos tão diferentes, convergem para o mesmo ponto: um comitê de risco cibernético formal, com atas, cadência definida e métricas exigidas do CISO, é exatamente o tipo de estrutura que teria dado ao board de qualquer uma dessas empresas uma chance real de perguntar as coisas certas antes que a decisão chegasse a esse ponto.

Como Colocar o Comitê em Prática

Formalizar um comitê de risco cibernético não exige reinventar a governança da organização. Exige um pequeno número de decisões tomadas de forma deliberada e documentadas em ata: quem compõe o comitê, com que frequência ele se reúne, quais das cinco categorias de métricas da NACD o CISO deve reportar a cada ciclo, e qual o gatilho para uma reunião extraordinária fora do calendário regular. Instituições financeiras já têm prazo regulatório para isso, com adequação exigida até 1º de março de 2026; para as demais organizações, a ausência de prazo legal não é motivo para adiar, é apenas um lembrete de que a iniciativa, nesse caso, precisa partir do próprio conselho.

Perguntas Frequentes

Conclusao

Um comitê de risco cibernético no conselho não elimina o risco de um incidente acontecer, mas muda fundamentalmente a posição da organização depois que ele acontece: entre uma empresa que consegue mostrar atas, métricas exigidas e cadência de supervisão documentada, e uma que não tem nenhum registro formal de ter perguntado as coisas certas antes do incidente. Para instituições financeiras, o prazo de adequação de 1º de março de 2026 já dá um horizonte concreto para essa decisão. Para as demais organizações, a ausência de prazo legal não deveria ser confundida com ausência de urgência.