Se for feita corretamente, a documentação interna é a forma como uma empresa se mantém consistente e coerente à medida que cresce. Se for mal feita, torna-se um risco.

Quando a documentação interna é deixada para segundo plano, surgem dois problemas.

O primeiro é a desorganização, que resulta em versões erradas, políticas ocultadas, materiais de integração que ninguém atualizou desde que a empresa tinha metade do seu tamanho atual. O segundo é a exposição de dados: dados confidenciais guardados em locais onde não deveriam estar.

A maioria das equipas consegue gerir o primeiro problema (mesmo que se sinta sobrecarregada por ele). O segundo problema é mais difícil de resolver, mas consideravelmente mais perigoso quando não é resolvido.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Eis uma estrutura prática para a gestão do conhecimento interno que mantém os dados confidenciais seguros sem dificultar o trabalho da sua equipa.

O problema da organização

Quando os documentos internos estão desorganizados, não tardará a aperceber-se disso. Principalmente devido à frustração e à confusão que isso causa em toda a sua empresa.

Por exemplo, imaginemos que existem três versões do manual do colaborador na sua unidade, além de materiais de integração que não são atualizados desde que a empresa tinha 10 pessoas na folha de pagamentos. Isto torna a integração lenta e inconsistente, e dá aos novos colaboradores uma impressão errada sobre o funcionamento da sua empresa.

Ou imaginemos que várias políticas importantes da empresa não estão numa pasta claramente marcada, mas sim enterradas algures num tópico de e-mail. Os gestores acabam por ter de adivinhar as políticas e não conseguem aplicá-las de forma consistente. Um colaborador recebe uma resposta, outro recebe uma resposta diferente.

A desorganização pode ser resolvida com o sistema certo (já lá iremos). Mas existe um segundo problema que não pode ser resolvido com uma melhor estrutura de pastas.

O problema da segurança

Por mais bem organizado que esteja o seu armazenamento de documentos, se os processos e ferramentas que lidam com esses documentos forem insuficientes, a informação confidencial ficará exposta.

Podem ser escalões salariais armazenados numa folha do Google partilhada, código-fonte ou chaves de API colados num canal do Slack, um contrato de cliente enviado por e-mail como anexo, ou notas de entrevista de candidatos contendo informações de identificação pessoal, encaminhadas descuidadamente e agora guardadas em seis caixas de entrada.

Quando práticas facilmente descuradas como estas causam um incidente de dados, já não está apenas a lidar com colegas frustrados e processos bloqueados. Em vez disso, depara-se com danos de reputação e pesadas sanções financeiras.

Grande parte destes dados, quer sejam registos de colaboradores, informações de clientes ou detalhes financeiros, são dados pessoais ou confidenciais ao abrigo do GDPR. Isto significa que quem quer que lide com os mesmos é responsável pela forma como são armazenados, acedidos e partilhados. E os acidentes não removem a culpa.

Em 2022, um funcionário dos Recursos Humanos da UNIQLO respondeu a um pedido de folha de pagamentos enviando acidentalmente por e-mail um PDF contendo os dados salariais de 446 colaboradores. A autoridade espanhola de proteção de dados multou a UNIQLO em 270.000 €(nova janela). O incidente não foi causado por hackers. Foi causado pela ausência de medidas organizacionais em torno de um processo de rotina de Recursos Humanos.

Como criar um sistema de documentação interna que resolva ambos os problemas

Pense no que está a criar como uma wiki segura da empresa. Irá precisar de quatro categorias de documentação interna, cada uma com diferentes níveis de confidencialidade e requisitos de acesso.

Categoria 1: Conhecimento de referência

Este é o material que todos os colaboradores devem conseguir encontrar por si mesmos: políticas da empresa, diretrizes de marca, guias práticos, documentação de ferramentas, organigramas. Proteger esta categoria não se trata de restringir o acesso — trata-se de precisão. Concentre-se no controlo de versões (uma versão atual, e não de cinco cópias contraditórias em circulação) e numa atribuição clara de responsabilidade (uma pessoa designada responsável por manter cada documento atualizado).

Categoria 2: Conhecimento de equipa e de projeto

É aqui que a maior parte do trabalho diário realmente reside: planos de projeto, documentação de processos, notas de reunião, roteiros, manuais internos. Não necessita de acesso a toda a empresa, pelo que deve protegê-lo com permissões ao nível da equipa ou do projeto. Tal como o conhecimento de referência, cada documento precisa de um proprietário designado e de uma cadência de revisão, caso contrário, torna-se obsoleto sem que ninguém note.

Categoria 3: Dados confidenciais e regulados

Esta é a categoria de maior risco e existe em todos os departamentos: relatórios e previsões financeiras, contratos legais, registos de colaboradores e clientes, planos estratégicos, credenciais de segurança. Estes necessitam de um acesso estritamente restrito, limitado a pessoas ou equipas específicas que precisem deles. (Uma palavra-passe não é suficiente aqui. Precisa de encriptação ponto a ponto.)

Este tipo de dados também não deve ser anexado a e-mails, guardado em unidades pessoais ou partilhado através de ligações sem data de expiração.

O Proton Drive é um armazenamento na nuvem empresarial que gere esta categoria com encriptação de conhecimento zero — nem mesmo a Proton consegue ler os conteúdos — além de controlos de acesso granulares que mantêm os dados confidenciais onde devem estar.

Categoria 4: Materiais partilhados externamente

Alguns documentos precisam de sair temporariamente do seu sistema interno: pacotes de integração para novas contratações, ficheiros partilhados com prestadores de serviços ou fornecedores, materiais enviados para clientes durante um projeto. Isto é delicado precisamente porque o acesso muitas vezes tem de ser concedido antes de uma relação ser totalmente avaliada. A solução é simples: definir ligações para expirar, pré-configurar o acesso em vez de o conceder de forma ad hoc, e revogá-lo no momento em que já não for necessário.

O Proton Drive define datas de expiração para ligações por predefinição, para que os materiais partilhados expirem automaticamente sem que ninguém se tenha de lembrar de os revogar.

Escolher a plataforma certa para uma gestão segura do conhecimento interno

A estrutura que delineámos pode ser utilizada em qualquer plataforma. Mas não é qualquer plataforma que consegue garantir que a estrutura se aplique a si mesma, em vez de depender de as pessoas se lembrarem de a seguir.

O erro humano surge inevitavelmente quando depende de processos manuais para definir datas de expiração em ligações partilhadas, rever o acesso na saída de colaboradores e manter níveis de permissão à medida que a equipa cresce. Mas com a plataforma certa, a sua estrutura pode ser aplicada através de automatização.

Existe um segundo requisito para a sua plataforma: um design focado primeiro na privacidade. Muitas plataformas destinadas a consumidores não foram concebidas para armazenar informações confidenciais: de facto, por predefinição, recolhem o conteúdo dos documentos para alimentar a sua indexação de pesquisa e funcionalidades de IA.

A maioria das empresas não sonharia em armazenar dados de clientes numa pasta não segura do Google Drive. Os dados dos colaboradores merecem o mesmo padrão. A plataforma certa tratará tanto da aplicação como da encriptação ponto a ponto.

Três decisões que manterão o seu sistema em funcionamento

Uma boa plataforma na nuvem aplicará a sua estrutura de segurança, mas mesmo as melhores plataformas não conseguem verificar e atualizar os seus documentos por si.

A documentação sem manutenção cria dois tipos de risco.

Existe o risco legal: um procedimento disciplinar desatualizado pode invalidar um caso em tribunal, por exemplo.

Existe o risco cultural: quando a documentação oficial não reflete a realidade, os colaboradores reparam e concluem que ninguém está sob controlo.

Siga estas três regras e poderá evitar ambos:

  • Cada documento tem um proprietário designado (não uma equipa). A responsabilidade partilhada por uma equipa é uma responsabilidade que ninguém assume
  • As datas de revisão são definidas no momento da criação, não adicionadas mais tarde. É difícil defender um documento em tribunal quando este não é revisto há três anos (ou não existe registo de quando foi verificado pela última vez)
  • Arquive documentos, não os elimine. Eliminar documentos significa problemas se você (ou um regulador) alguma vez precisar de aceder aos mesmos. Arquivá-los numa pasta claramente etiquetada mantém o seu sistema limpo sem tornar os documentos irrecuperáveis

Nada disto exige um gestor de conhecimento dedicado. Apenas três decisões, tomadas uma vez (e revistas trimestralmente).

Uma lista de verificação de conformidade para documentação interna de Recursos Humanos

Lembre-se: é o controlador de dados. A responsabilidade não cabe ao seu fornecedor de nuvem, cabe-lhe a si.

  • Sabe quem tem acesso aos seus documentos mais confidenciais — dados financeiros, jurídicos, de colaboradores ou de clientes — e se essa lista está atualizada?
  • Os documentos confidenciais estão encriptados em repouso, e não apenas em trânsito?
  • As ligações partilhadas para documentos confidenciais têm datas de expiração?
  • Existe um processo documentado para revogar o acesso quando alguém sai ou um projeto termina?
  • Consegue produzir um registo de auditoria de quem acedeu a quê e quando?
  • Os dados confidenciais são armazenados numa jurisdição com leis de privacidade rigorosas, como a Suíça?
  • Cada documento tem um proprietário designado e uma data de revisão?
  • Os documentos substituídos são arquivados em vez de eliminados?

Se puder responder sim a tudo isto, o seu sistema de documentação está em boa forma.

Uma base de conhecimento segura na qual os seus colaboradores podem confiar, e uma plataforma para a disponibilizar

A estrutura deste guia fornece-lhe o enquadramento. Precisa de uma plataforma que a aplique, para que os padrões de segurança que definiu não dependam de as pessoas se lembrarem de os aplicar.

Não procure mais do que o Proton Workspace. Um pacote de colaboração segura, baseado em encriptação ponto a ponto e alojado na Suíça, uma das jurisdições de privacidade mais fortes do mundo, o Proton Workspace oferece à sua equipa:

Os seus colaboradores confiam-lhe os seus dados mais confidenciais. Está na altura de criar um sistema de documentação interna que seja digno dessa confiança.

Iniciar avaliação gratuita do Proton Workspace