Capítulo 42 — Governança, riscos e compliance de segurança: pesquisa aplicada

Mapa da aula

Aula 42 publicada. Mapa, exemplo, EX124.

flowchart TD
  N0["42.1 Uma pergunta aplicada"]
  N1["42.2 Método"]
  N2["42.3 Leitura crítica"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX124"]

Desenho lógico

flowchart LR
  N0["42.1 Uma pergunta aplicada"]
  N1["42.2 Método"]
  N2["42.3 Leitura crítica"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX124"]

[42.1 Uma pergunta aplicada]
    |
    v
[42.2 Método]
    |
    v
[42.3 Leitura crítica]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX124]

Objetivos de aprendizagem

Você vai (1) formular uma pergunta de pesquisa aplicada em GRC; (2) escolher um método adequado a uma organização em operação; (3) revisar as evidências criticamente.

42.1 Uma pergunta aplicada

Nadia escolhe uma pergunta de pesquisa aplicada para o último ano: a nova prática da Ardwell de relatar faixas de perda esperada ao conselho muda as decisões que ele toma, em comparação com o antigo mapa de calor? Ela a reduz a termos mensuráveis: o número de decisões de tratamento de riscos por trimestre, o tempo entre a proposta e a decisão e se as decisões seguem os maiores riscos residuais. As três medidas podem ser contadas nas atas do conselho, o que torna a comparação repetível. Ela registra que o estudo pode descrever mudanças, mas não consegue separar totalmente o efeito dos relatórios de outras mudanças.

42.2 Método

Ela usa uma comparação antes e depois das atas do conselho, quatro trimestres antes e quatro depois da mudança, codificando cada decisão com um livro de códigos que pilota com um colega, o que também reduz o risco de seu próprio viés decidir a codificação. Também entrevista dois conselheiros. Wohlin e colegas (2012) descrevem ameaças à validade que ela adapta: mudanças na composição do conselho, um incidente grave que poderia provocar ação e o viés dela própria, que ajudou a projetar o novo pacote. Ela registra como cada uma poderia afetar os resultados, para que os examinadores possam pesá-las ao ler as conclusões.

42.3 Leitura crítica

Nadia revisa as evidências publicadas. Hubbard e Seiersen (2016) defendem métodos quantitativos, enquanto Cox (2008) analisa as fraquezas das matrizes de risco. Spears e Barki (2010) mostram que envolver os usuários de negócio melhora a gestão de riscos de segurança. Ela observa que a maioria das fontes é analítica ou vem de outros contextos, e poucas medem diretamente as decisões dos conselhos. Seu estudo pode acrescentar uma pequena e honesta evidência de uma cooperativa, desde que relate seus limites e não a trate como prova geral. Sua contribuição é descrita, portanto, como evidência local de uma organização, e não como teste das afirmações publicadas.

Exemplo resolvido

Nadia formula um estudo antes e depois sobre as decisões do conselho, lista as ameaças à validade, incluindo o próprio viés, e o posiciona diante das evidências publicadas.

Caso sintético. O estudo é sintético; as obras citadas são reais.

Erros e limites

Desenhos antes e depois confundem efeitos de época. As atas são registros incompletos.

Exercícios

• EX124 — Desfechos medidos. Que desfechos Nadia mede?
  Mostrar critérios de avaliação

  Rubrica: 3 = decisões por trimestre, tempo até a decisão e alinhamento com os maiores riscos;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX125 — Viés próprio. Por que o papel da própria Nadia é uma ameaça à validade?
  Mostrar critérios de avaliação

  Rubrica: 3 = ela ajudou a projetar o novo pacote;; 2 = viés;; 1 = vago;; 0 = nenhuma.
• EX126 — Lacuna de evidência. O que falta nas evidências publicadas?
  Mostrar critérios de avaliação

  Rubrica: 3 = medição direta das decisões dos conselhos;; 2 = lacuna;; 1 = vago;; 0 = nenhuma.

Síntese

A pesquisa aplicada em GRC precisa de perguntas mensuráveis, ameaças à validade explícitas e afirmações modestas.