Imagine um escritório de advocacia de porte médio na véspera de um prazo processual relevante. O sistema de gestão de processos para de responder, os advogados não conseguem acessar as petições em andamento e a única pessoa que sabe restaurar o banco de dados, e que sabe onde estão as credenciais do servidor, está afastada por motivo de saúde, sem condições de atender o telefone. A equipe procura uma senha anotada, um manual, um contato do fornecedor, e não encontra nada, porque tudo isso sempre esteve guardado na memória de um profissional dedicado e competente.
O cenário descreve um risco que poucas empresas registram em seus mapas de risco, embora ele esteja presente em quase toda organização que confiou sua TI (tecnologia da informação) a um analista ou a um time pequeno. Com os anos, esse profissional acumula decisões, atalhos e exceções que nunca chegaram ao papel, e a empresa passa a depender de uma pessoa da mesma forma que poderia depender de um único cliente ou de um único fornecedor.
A pergunta que vale levar desta leitura é simples e desconfortável: se a pessoa que conhece a sua TI por inteiro saísse amanhã, quanto tempo a operação levaria para se reorganizar, e quanto isso custaria em prazo, receita e reputação?
Quando o conhecimento crítico tem um único endereço
A concentração de conhecimento raramente nasce de má gestão. Ela surge do mérito, porque o profissional que resolve rápido recebe mais demandas, aprende mais sobre o ambiente e se torna a referência natural para tudo, enquanto a empresa, satisfeita com os resultados, deixa de perguntar como as coisas funcionam por baixo. O risco cresce justamente quando a operação vai bem, e por isso quase nunca aparece numa reunião de diretoria antes de virar incidente.
Os gatilhos são previsíveis e nenhum deles exige uma crise: um pedido de demissão, uma promoção para outra área, uma licença médica ou a sobrecarga que leva o profissional a adiar tudo o que não é urgente. A pesquisa State of Cybersecurity 2024 da ISACA, associação global de profissionais de auditoria, governança e segurança da informação, aponta que os níveis de estresse dos profissionais de cibersegurança estão em alta, em grande parte por causa de um cenário de ameaças cada vez mais desafiador, e identifica lacunas importantes de competências na área. Um profissional estressado e insubstituível representa, ao mesmo tempo, um risco de saída e um risco de erro.
O mercado de trabalho agrava o quadro. De acordo com o IT Industry Outlook 2025 da CompTIA, associação da indústria de tecnologia, o desequilíbrio entre a oferta de competências digitais e a demanda por especialistas vem forçando as empresas a mudar a forma como atraem e retêm talentos, e a demanda por habilidades técnicas segue alta em todos os setores. O mesmo estudo indica que mais de três em cada quatro profissionais em funções técnicas se sentem otimistas com o potencial de carreira, o que sugere que o analista que sustenta a sua TI provavelmente tem boas opções fora da sua empresa.
No setor jurídico, as consequências ganham contornos concretos. Um escritório que não consegue restaurar o repositório de documentos dos clientes dentro de um prazo processual enfrenta perda de prazo, exposição à responsabilidade profissional e desgaste com clientes que confiaram informações sigilosas à banca. Quando um cliente corporativo pede, numa auditoria de fornecedores, a comprovação de como esses documentos são protegidos, o escritório precisa apresentar políticas, registros e testes documentados, algo que a memória de um profissional, por mais confiável que ele seja, não substitui.
O efeito chega também ao valor da empresa. Numa due diligence, a investigação detalhada que antecede uma fusão, uma aquisição ou a entrada de um sócio, a falta de documentação de TI é lida como passivo oculto, porque o comprador precisa saber se os sistemas continuarão funcionando depois da transação. Regulações de proteção de dados como o GDPR (General Data Protection Regulation, regulamento geral de proteção de dados da União Europeia) e a LGPD (Lei Geral de Proteção de Dados) reforçam essa exigência ao cobrar que a organização demonstre com evidências como trata informações pessoais.
Como transformar dependência em capacidade distribuída
O primeiro passo é tratar o tema como risco de negócio, com dono, prazo e indicador. O NIST (National Institute of Standards and Technology, instituto de referência em normas de tecnologia) publicou em maio de 2010 o guia SP 800-34 Rev. 1 sobre planejamento de contingência, que ajuda as organizações a avaliar sistemas e operações para definir requisitos e prioridades de continuidade. O guia traz um modelo de BIA (Business Impact Analysis, análise de impacto no negócio), ferramenta útil para listar os sistemas críticos, o impacto de cada parada e, por extensão, quem sabe operá-los.
O segundo passo é medir a dependência com perguntas objetivas. Para cada sistema crítico, a liderança deve saber quem tem as credenciais administrativas, onde está a documentação, quando foi o último teste de restauração e qual fornecedor acionar em caso de falha. Quando a resposta a essas perguntas é sempre o mesmo nome, a empresa encontrou o seu ponto único de falha humano.
O terceiro passo é distribuir o conhecimento sem retirar a autoridade de quem o construiu. Um modelo de equipe estendida, como o de serviços de TI gerenciados, combina NOC (Network Operations Center, centro de operações de rede), SOC (Security Operations Center, centro de operações de segurança), runbooks, que são roteiros operacionais passo a passo, e monitoramento compartilhado do ambiente. O profissional interno continua decidindo e liderando, enquanto a retaguarda especializada registra procedimentos, acompanha alertas e absorve parte da carga repetitiva.
Ao avaliar um parceiro, exija evidências: documentação entregue em formato que a empresa controla, relatórios periódicos de testes de backup e recuperação de desastres, cofre de credenciais com acesso definido por função e um plano de transição que preserve o papel da TI interna.
5 perguntas que todo gestor deveria fazer
Quais sistemas ficariam sem dono se uma ou duas pessoas deixassem a empresa amanhã?
Responder exige um inventário honesto, sistema por sistema, que cruze cada ativo crítico com as pessoas capazes de operá-lo, restaurá-lo e negociar com o fornecedor. No escritório de advocacia, a lista costuma incluir o sistema de gestão de processos, o repositório de documentos dos clientes, o correio eletrônico, o controle de prazos e o acesso remoto dos advogados.
O exercício revela, com frequência, que sistemas considerados simples dependem de uma configuração que só uma pessoa entende. Todo sistema com um único nome na coluna de responsáveis merece prioridade de documentação, porque é ali que uma ausência inesperada se transforma em parada.
Quanto custa, em prazo e em receita, uma ausência inesperada de quem conhece a TI por inteiro?
O custo raramente aparece como uma linha única do orçamento. Ele se espalha em horas faturáveis perdidas, em consultorias emergenciais contratadas às pressas, em prazos que exigem pedidos de prorrogação e em clientes que passam a questionar a capacidade da empresa de proteger o que confiaram a ela.
Para quem precisa de custo previsível, a dependência de uma pessoa funciona como uma despesa variável escondida, que não aparece enquanto tudo funciona e se materializa de uma vez, no pior momento. Converter esse risco em um custo recorrente e conhecido, por meio de documentação, monitoramento e retaguarda contratada, troca a surpresa pela previsibilidade.
Quanto do valor que construí depende de conhecimento guardado na memória de uma só pessoa?
Uma empresa vale, em parte, pela capacidade de continuar funcionando sem depender de indivíduos específicos. Investidores, compradores e sucessores observam esse ponto com atenção, porque um negócio que só opera com determinadas pessoas presentes vale menos e é mais difícil de transferir.
Para quem fundou ou dirige o negócio, documentar a TI é uma forma de proteger o patrimônio construído ao longo de anos. Um escritório que demonstra como protege os documentos sigilosos dos clientes, com políticas escritas e testes registrados, chega mais forte a uma due diligence e à renovação de contrato com um cliente corporativo exigente.
Como ganho retaguarda para documentar o ambiente sem tirar minha equipe da operação diária?
Documentar e padronizar raramente acontece por iniciativa própria do time interno, e o motivo quase sempre é a falta de tempo, já que a operação diária consome cada hora disponível. Quando cada dia traz chamados, atualizações e incidentes, o registro de procedimentos fica para depois, e esse depois costuma nunca chegar.
Uma retaguarda especializada resolve o impasse ao assumir o monitoramento contínuo, a triagem de alertas e a produção de runbooks em conjunto com o profissional interno, que valida cada procedimento. O líder de TI ganha tempo para projetos estratégicos, divide o peso das tarefas repetitivas e mantém a autoridade sobre as decisões do ambiente que conhece melhor do que ninguém.
Quais indicadores mostram que o risco de pessoa-chave em TI está, de fato, diminuindo?
Três indicadores bastam para começar: a cobertura de documentação dos sistemas críticos, a frequência e o resultado dos testes de restauração e o tempo necessário para integrar um novo profissional ao ambiente. Cada um deles pode ser acompanhado em reunião de gestão, sem exigir conhecimento técnico de quem acompanha.
Um quarto sinal é qualitativo e revelador, porque mostra quantas pessoas, dentro e fora da empresa, conseguem responder às perguntas críticas sobre cada sistema. Quando essa contagem passa de um nome para vários, a empresa reduziu de forma mensurável um risco que antes era invisível.
Perguntas frequentes
O que é risco de pessoa-chave em TI?
Risco de pessoa-chave em TI é a dependência de um único profissional, ou de um time muito pequeno, para operar, restaurar e proteger sistemas críticos. Ele se manifesta quando essa pessoa sai, adoece, é promovida ou fica sobrecarregada, e a empresa descobre que credenciais, rotinas e decisões nunca foram documentadas.
Uma equipe estendida de TI substitui o profissional interno?
Uma equipe estendida de TI atua como retaguarda do profissional interno, que mantém a liderança e a autoridade sobre o ambiente. O modelo agrega monitoramento contínuo, documentação estruturada e especialistas em operação e segurança, distribuindo o conhecimento sem retirar o protagonismo de quem conhece o negócio.
Como começar a reduzir a dependência de um único profissional de TI?
O ponto de partida é um inventário dos sistemas críticos que indique, para cada um, quem tem acesso, onde está a documentação e quando houve o último teste de restauração. A partir desse mapa, a empresa prioriza a documentação dos sistemas com um único responsável e define indicadores para acompanhar a evolução.
Descubra em poucos minutos quais pontos da sua TI dependem de uma só pessoa com o Diagnóstico Estratégico de TI, sem compromisso.
Se a sua TI mora na cabeça de uma só pessoa, converse com a Zamak e transforme esse conhecimento em patrimônio da empresa.