Sobre a areia

A casa que parecia de pé

Quando cheguei, a conta de anúncios da clínica somava quase trezentos mil reais investidos ao longo da vida, e todo esse histórico morava fora do portfólio da empresa, na conta pessoal de alguém que já não fazia parte da equipe.

As campanhas rodavam, os relatórios saíam e, visto de fora, havia ali uma operação de mídia de pé, com histórico, públicos, pixel e um algoritmo que já tinha aprendido alguma coisa sobre quem compra ali. Visto de dentro, o desenho era outro: ao menos cinco perfis pessoais de Facebook, cada qual com o seu portfólio, os seus e-mails e as suas pessoas, com acesso ou sem ele. Cada número de WhatsApp morava num portfólio diferente, e no portfólio principal o segundo fator de autenticação não era exigido de ninguém.

A parábola de Mateus costuma ser lida como uma história de desabamento, embora o desabamento ocupe só o último versículo da passagem. Durante todo o resto, a casa sobre a areia está de pé, igual à casa sobre a rocha, e quem passa na rua não vê diferença entre as duas; a diferença está embaixo, e só aparece quando chove.¹

Na clínica ainda não tinha chovido. A chuva, porém, seria qualquer coisa: a pessoa que saiu apagar a própria conta, esquecer a senha, perder o celular onde o segundo fator vivia. Nenhuma delas é improvável, e todas acontecem numa terça-feira comum.

Embora estivesse inteira, aquela casa nunca teve chão.

O fio

O fio que puxou tudo foi quase ridículo. Uma tela do Instagram pedia um código de verificação enviado a um e-mail que não existia. O que parecia um login perdido era o rascunho de uma verificação abandonada, um processo que alguém começou e ninguém terminou.

G. K. Chesterton propôs uma regra para quem encontra uma cerca no meio do caminho e não sabe por que ela está ali: não a derrube antes de descobrir por que foi posta.² O e-mail que não existia era um sintoma, e puxando esse fio apareceu o novelo. Eram 45 sistemas, em nove categorias. Deles, 33 tinham criticidade alta, e vinte não tinham dono conhecido. Nenhum tinha a senha num cofre da empresa, e nenhum jamais fora conferido por ninguém. Havia vinte e dois riscos documentados, 18 de gravidade alta. Das nove contas de anúncios, três nunca tinham sido auditadas, e uma delas era invisível para quem administrava a mídia. Dois portfólios tinham o mesmo CNPJ e foram verificados no mesmo dia. Circulavam três contas de WhatsApp e quatro números que ninguém conseguia reconciliar.

O que o inventário encontrou

Achado	Medida
Sistemas inventariados	45, em nove categorias
Criticidade alta	33 dos 45
Sem dono conhecido	20 dos 45
Senhas no cofre da empresa	0 dos 45
Alguma vez conferidos	0 dos 45
Riscos documentados	22, sendo 18 de gravidade alta
Contas de anúncios	9, três nunca auditadas e uma invisível para a gestão de mídia
Portfólios com o mesmo CNPJ	2
WhatsApp	3 contas, 4 números sem reconciliação
Segundo fator no portfólio principal	exigido de ninguém
Conta que rodava a mídia	em outro portfólio, com uma única pessoa com acesso

O jarro sem fundo

A infraestrutura física contava a mesma história em ponto pequeno. Cada aparelho tinha a sua senha, a rede mesh usava uma autenticação diferente da rede interna, e a impressora funcionava num computador e se recusava no outro, o que me custou meses trocando portas de acesso para descobrir por quê. Havia três redes de internet para uma empresa só; três redes podem ser administradas, mas aquelas, do jeito que estavam, não tinham quem as administrasse.

O mito grego tem uma imagem exata para isso. As Danaides foram condenadas a encher de água um jarro de fundo furado: elas despejam, o jarro esvazia, e elas despejam de novo. Waterhouse as pintou sem desespero, o que é pior, com as cabeças baixas e os olhos cansados, enquanto a água escorre pela boca de uma máscara na base da bacia, justamente onde nenhuma delas olha. Platão usou o mesmo jarro para descrever a alma que nunca se satisfaz, porque tudo o que entra nela vaza.³

Toda operação construída sobre uma base que não controla trabalha como as Danaides, e cada campanha nova, cada ajuste, cada conserto é água despejada no jarro. O esforço é real, e ainda assim o resultado não se acumula, visto que o recipiente pertence a outro.

São João Crisóstomo, comentando a parábola no século IV, chamou de insensato o construtor da areia por um motivo preciso: ele “se submete ao trabalho e se priva do fruto”.⁴

O insensato da parábola trabalha tanto quanto o prudente, só que sobre o chão errado.

Capital morto

O economista peruano Hernando de Soto passou anos tentando entender por que países cheios de casas, terrenos e negócios continuavam pobres, e a resposta dele cabe em duas palavras, capital morto, que é como ele chama a propriedade sem registro.⁵ A casa existe e a família mora nela, mas ela não pode ser dada em garantia, vendida com segurança nem protegida em juízo. Existe e não vale.

Uma conta de anúncios com quase trezentos mil reais de histórico é um ativo: guarda o aprendizado do algoritmo, os públicos, o pixel e anos de dados sobre quem compra. Ela não aparece no balanço, não tem escritura e, naquele caso, estava registrada no nome de alguém que tinha ido embora; não se podia verificar o anunciante, trocar o meio de pagamento nem garantir que a conta continuasse existindo no mês seguinte. Era capital morto no sentido exato de De Soto.

Ronald Coase perguntou, em 1937, por que existem empresas, se o mercado poderia coordenar tudo sozinho.⁶ Parte da resposta está em que a firma é a fronteira do que é seu: dentro dela, você não negocia, você decide. Uma empresa cujos ativos digitais moram em contas pessoais não tem essa fronteira. Ela é um conjunto de favores.

Transferir a conta mostrou o preço dessa saída. A Meta não tem botão de transferir; o dono atual remove a conta do portfólio dele, a conta fica sem dono por um instante, e o portfólio de destino a reivindica pelo número de identificação, de maneira que, durante esse instante, trezentos mil reais de histórico não pertencem a ninguém. Kafka escreveu um romance inteiro sobre um homem que tenta falar com um castelo que não tem porta.⁷ Cada verificação feita do zero, cada seletor de país que abre nos Estados Unidos, cada tela que pede código para um e-mail que não existe é um capítulo desse livro. O nosso, ao menos, terminou, porque a transferência aconteceu e a conta hoje está no portfólio da empresa.

Ninguém construiu isso sozinho

Seria cômodo contar esta história com um culpado, e seria falso, porque a pessoa que saiu não criou a desordem, e quem administrava o outro portfólio tampouco. Cada decisão, no dia em que foi tomada, tinha a sua razão: um perfil pessoal porque era o que estava logado, um Gmail porque era o que existia, um celular para o segundo fator porque era o de quem estava ali.

James Reason, estudando acidentes em aviação e medicina, descreveu isso como o modelo do queijo suíço.⁸ Todo acidente nasce de várias fatias de proteção, cada uma com os seus buracos, que num dia qualquer se alinham. Ali os buracos tinham nome: Gmail pessoal como chave-mestra, segundo fator num único celular, ex-integrante com acesso total, conta de anúncios fora do portfólio da empresa. Isolado, cada um parecia tolerável; alinhados, bastavam para derrubar a operação inteira.

Charles Perrow foi mais longe e chamou de normal o acidente em sistemas complexos e fortemente acoplados,⁹ isto é, uma propriedade do próprio sistema, e não uma exceção. Rede, impressora, WhatsApp, portfólio, pixel, tudo dependia de tudo. A engenharia de software tem um nome informal para medir isso, o bus factor, que conta quantas pessoas precisam ser atropeladas por um ônibus para que o projeto pare. Ali, o número era um.

Para quem dirige uma empresa, a distinção tem consequência prática: se a desordem é culpa de alguém, basta trocar a pessoa; se ela é normal, a solução tem de ser estrutural, e trocar a pessoa só troca o nome de quem segura o fio.

Heidegger e o martelo

Martin Heidegger tem uma observação que explica por que ninguém vê o problema antes. Quando um martelo funciona, você não pensa no martelo. Pensa no prego. A ferramenta some na mão de quem a usa. Ela só aparece quando quebra.¹⁰

Infraestrutura é o martelo. Enquanto funciona, é invisível: não entra na pauta da diretoria, não tem dono no organograma, não aparece no orçamento. Ela só vira assunto quando impede alguma coisa, e aí vira assunto urgente, caro e feito às pressas. É por isso que quase toda empresa descobre a própria fundação depois, e nunca antes.

Desfazer e remontar

O trabalho foi braçal. Consistiu em entender o que estava rolando, desfazer e remontar: trocar a porta da impressora até ela responder aos dois computadores, juntar as redes, tirar os números de WhatsApp dos portfólios espalhados, transferir a conta de anúncios, exigir segundo fator e configurar, na propriedade da empresa, as contas de Meta, Google, LinkedIn e Pinterest.

No dia 9 de agosto, o inventário listava 22 riscos, e a coluna “resolvido em” estava vazia nos 22. Hoje os 22 estão resolvidos. Alguns eu resolvi à mão, clicando tela por tela; outros, com ajuda de inteligência artificial, que leu documentação, montou scripts e conferiu o que eu tinha feito. A ferramenta mudou de um risco para outro, e o método ficou o mesmo: entender antes de desfazer, desfazer antes de remontar, e só considerar resolvido o que foi conferido depois.

Relendo a lista agora, o que me impressiona é que nenhum dos 22 exigia tecnologia nova, orçamento ou fornecedor; exigia alguém com tempo, acesso e a decisão de que aquilo era trabalho, e não um detalhe.

Figura 1 · os 22 riscos

Os riscos documentados em 9 de agosto, e onde estão hoje

Inventário de acessos de 9 de agosto de 2026, que marcava zero riscos resolvidos. Situação atual declarada pelo responsável pela infraestrutura em 29 de setembro de 2026.

A certidão

Se eu começasse de novo, começaria do começo. Parece clichê, mas é o que faria diferente: um plano de negócio antes de começar a operação. Não um plano de mídia. Um plano que dissesse, antes do primeiro anúncio, quais sistemas a empresa vai usar, em nome de quem cada um fica, quem tem acesso, onde vive a senha e o que acontece se essa pessoa sumir.

Esse plano cabe numa tabela, e qualquer empresa preenche em um dia. Eu a chamo de certidão de propriedade digital. Uma linha por sistema.

A certidão de propriedade digital

Coluna	Pergunta
Sistema	Qual é?
Para que serve	O que para se ele sumir?
Titular	Em nome de quem está? É da empresa ou de uma pessoa?
Onde vive o acesso	Qual e-mail, qual celular, qual cofre?
Criticidade	Alta, média ou baixa?
Segundo fator	Existe? Em que aparelho?
No cofre	A senha está no gerenciador de senhas da empresa?
Última conferência	Quando alguém verificou tudo isso pela última vez?
O que quebra se sumir	Qual é a consequência, dita numa frase?

Três regras saem dela. A primeira: todo ativo digital está em nome da empresa, nunca de uma pessoa, e o e-mail que o administra está no domínio da empresa, nunca num Gmail pessoal. A segunda: nenhum sistema crítico depende de um único celular ou de uma única pessoa; o bus factor mínimo é dois. A terceira: a certidão é conferida a cada saída de alguém da equipe, e não quando algo quebra.

Na série de ensaios sobre o painel, o contrato do número responde se o dado é verdadeiro. A certidão responde a uma pergunta anterior: se ele é seu.

Antes de perguntar se o número está certo, pergunte de quem é o painel.

A rocha

Jan Luyken gravou a parábola inteira num quadro só. Em primeiro plano está a casa sobre a rocha, batida pelas ondas e de pé; ao fundo, pequena, a outra já afunda, e dois homens na rocha apontam para ela. A gravura deixa de fora o momento da construção, quando as duas casas eram iguais, e escolhe o dia da chuva, que é o único em que a diferença aparece, embora ela estivesse ali desde a primeira pedra.

Santo Agostinho resumiu a parábola numa frase que serve para qualquer empresa: quem ouve e não faz “constrói uma ruína”.¹¹ A ruína começa no dia da obra, quando alguém escolhe o chão, e a tempestade só a torna visível.

Toda empresa está construindo sobre alguma coisa, e sobre todas vai chover; a pergunta que resta, enquanto as duas casas ainda parecem iguais, é o que está embaixo.

Sobre o quê?

Os dados deste ensaio são de uma clínica real de SP, do nicho de estética, anonimizada a pedido. Nomes, cidade e sistemas específicos foram omitidos; as contagens e as datas são as medidas.