Sobre a areia

A casa que parecia de pé

Quando cheguei, a conta de anúncios da clínica tinha quase trezentos mil reais investidos ao longo da vida. Ela não estava no portfólio da empresa. Estava na conta pessoal de alguém que já não fazia parte da equipe.

As campanhas rodavam. Os relatórios saíam. Visto de fora, havia uma operação de mídia de pé, com histórico, públicos, pixel e um algoritmo que já tinha aprendido alguma coisa sobre quem compra ali. Visto de dentro, havia ao menos cinco perfis pessoais de Facebook, cada um com o seu portfólio, seus e-mails e suas pessoas que tinham ou não tinham acesso. Cada número de WhatsApp morava num portfólio diferente. No portfólio principal, o segundo fator de autenticação não era exigido de ninguém.

A parábola de Mateus costuma ser lida como uma história de desabamento. Não é. O desabamento é só o último versículo. Durante todo o resto, a casa sobre a areia está de pé, igual à casa sobre a rocha. Quem passa na rua não vê diferença. A diferença está embaixo, e só aparece quando chove.¹

Na clínica, ainda não tinha chovido. Mas a chuva seria qualquer coisa: a pessoa que saiu apagar a própria conta, esquecer a senha, perder o celular onde o segundo fator vivia. Nenhuma delas é improvável. Todas acontecem numa terça-feira comum.

Não era uma casa destruída. Era uma casa que nunca teve chão.

O fio

O fio que puxou tudo foi quase ridículo. Uma tela do Instagram pedia um código de verificação enviado a um e-mail que não existia. Parecia um login perdido. Não era login de nada. Era o rascunho de uma verificação abandonada, um processo que alguém começou e ninguém terminou.

G. K. Chesterton propôs uma regra para quem encontra uma cerca no meio do caminho e não sabe por que ela está ali: não a derrube antes de descobrir por que foi posta.² O e-mail que não existia parecia o problema. Era um sintoma. Puxando esse fio, apareceu o novelo: 45 sistemas em nove categorias, 33 deles de criticidade alta. Vinte sem dono conhecido. Nenhum com a senha num cofre da empresa. Nenhum jamais conferido por ninguém. Vinte e dois riscos documentados, 18 de gravidade alta. Nove contas de anúncios, três nunca auditadas, uma delas invisível para quem administrava a mídia. Dois portfólios com o mesmo CNPJ, verificados no mesmo dia. Três contas de WhatsApp e quatro números em circulação que ninguém conseguia reconciliar.

O que o inventário encontrou

Achado	Medida
Sistemas inventariados	45, em nove categorias
Criticidade alta	33 dos 45
Sem dono conhecido	20 dos 45
Senhas no cofre da empresa	0 dos 45
Alguma vez conferidos	0 dos 45
Riscos documentados	22, sendo 18 de gravidade alta
Contas de anúncios	9, três nunca auditadas e uma invisível para a gestão de mídia
Portfólios com o mesmo CNPJ	2
WhatsApp	3 contas, 4 números sem reconciliação
Segundo fator no portfólio principal	exigido de ninguém
Conta que rodava a mídia	em outro portfólio, com uma única pessoa com acesso

O jarro sem fundo

A infraestrutura física contava a mesma história em escala menor. Cada aparelho tinha uma senha. A rede mesh tinha uma autenticação diferente da rede interna. A impressora funcionava num computador e não no outro, e passei meses trocando portas de acesso para descobrir por quê. Havia três redes de internet para uma empresa só. Três redes podem ser administradas. Do jeito que estavam, não eram administradas por ninguém.

O mito grego tem uma imagem exata para isso. As Danaides foram condenadas a encher de água um jarro que tem o fundo furado. Elas despejam, o jarro esvazia, elas despejam de novo. Waterhouse as pintou sem desespero, o que é pior: cabeças baixas, olhos cansados, a água escorrendo pela boca de uma máscara na base da bacia, onde nenhuma delas olha. Platão usou o mesmo jarro para descrever a alma que nunca se satisfaz, porque tudo o que entra nela vaza.³

Toda operação construída sobre uma base que ela não controla trabalha como as Danaides. Cada campanha nova, cada ajuste, cada conserto é água despejada. O esforço é real. O resultado não acumula, porque o recipiente não é dela.

São João Crisóstomo, comentando a parábola no século IV, chamou o construtor da areia de insensato por um motivo preciso: ele “se submete ao trabalho e se priva do fruto”.⁴ O insensato não é preguiçoso. Ele trabalha tanto quanto o prudente. Só trabalha sobre o chão errado.

O insensato da parábola não é preguiçoso. Ele trabalha tanto quanto o prudente, só que sobre o chão errado.

Capital morto

O economista peruano Hernando de Soto passou anos tentando entender por que países cheios de casas, terrenos e negócios continuavam pobres. A resposta dele foi o título: propriedade sem registro é capital morto.⁵ A casa existe, a família mora nela, mas ela não pode ser dada em garantia, vendida com segurança nem protegida em juízo. Existe e não vale.

Uma conta de anúncios com quase trezentos mil reais de histórico é um ativo. Tem o aprendizado do algoritmo, os públicos, o pixel, anos de dados sobre quem compra. Ela não aparece no balanço, não tem escritura e, naquele caso, estava registrada no nome de alguém que tinha ido embora. Não dava para verificar o anunciante, trocar o meio de pagamento nem garantir que ela continuaria existindo no mês seguinte. Era capital morto no sentido exato de De Soto.

Ronald Coase perguntou, em 1937, por que existem empresas, se o mercado poderia coordenar tudo sozinho.⁶ Uma parte da resposta é que a firma é a fronteira do que é seu: dentro dela, você não negocia, você decide. Uma empresa cujos ativos digitais moram em contas pessoais não tem essa fronteira. Ela é um conjunto de favores.

Transferir a conta mostrou quanto custa sair dessa condição. A Meta não tem botão de transferir. O dono atual remove a conta do portfólio dele, a conta fica sem dono por um instante, e o portfólio de destino a reivindica pelo número de identificação. Durante esse instante, trezentos mil reais de histórico não pertencem a ninguém. Kafka escreveu um romance inteiro sobre um homem que tenta falar com um castelo que não tem porta.⁷ Cada verificação feita do zero, cada seletor de país que abre nos Estados Unidos, cada tela que pede um código para um e-mail que não existe é um capítulo desse livro.

A transferência aconteceu. A conta hoje está no portfólio da empresa.

Ninguém construiu isso sozinho

Seria fácil contar essa história com um culpado. Não há. A pessoa que saiu não criou a desordem, e quem administrava o outro portfólio também não. Cada decisão, tomada no dia em que foi tomada, fazia sentido: um perfil pessoal porque era o que estava logado, um Gmail porque era o que existia, um celular para o segundo fator porque era o de quem estava ali.

James Reason, estudando acidentes em aviação e medicina, descreveu isso como o modelo do queijo suíço.⁸ Nenhum acidente vem de uma falha. Vem de várias fatias de proteção, cada uma com seus buracos, que num dia qualquer se alinham. Gmail pessoal como chave-mestra, segundo fator num único celular, ex-integrante com acesso total, conta de anúncios fora do portfólio. Cada buraco, isolado, parece tolerável. Alinhados, derrubam a operação.

Charles Perrow foi mais longe: em sistemas complexos e fortemente acoplados, o acidente é normal.⁹ Não é exceção, é propriedade do sistema. Rede, impressora, WhatsApp, portfólio, pixel, tudo dependia de tudo. A engenharia de software tem um nome informal para medir isso, o bus factor: quantas pessoas precisam ser atropeladas por um ônibus para o projeto parar. Ali, o número era um.

Isso importa para quem dirige uma empresa por um motivo prático. Se a desordem é culpa de alguém, a solução é trocar a pessoa. Se ela é normal, a solução é estrutural, e trocar a pessoa só troca o nome de quem segura o fio.

Heidegger e o martelo

Martin Heidegger tem uma observação que explica por que ninguém vê o problema antes. Quando um martelo funciona, você não pensa no martelo. Pensa no prego. A ferramenta some na mão de quem a usa. Ela só aparece quando quebra.¹⁰

Infraestrutura é o martelo. Enquanto funciona, é invisível: não entra na pauta da diretoria, não tem dono no organograma, não aparece no orçamento. Ela só vira assunto quando impede alguma coisa, e aí vira assunto urgente, caro e feito às pressas. É por isso que quase toda empresa descobre a própria fundação depois, e nunca antes.

Desfazer e remontar

O trabalho não foi estratégico. Foi braçal. Entender o que estava rolando, desfazer, remontar. Trocar a porta da impressora até ela responder aos dois computadores. Juntar as redes. Tirar os números de WhatsApp dos portfólios espalhados. Transferir a conta de anúncios. Exigir segundo fator. Configurar, na propriedade da empresa, as contas de Meta, Google, LinkedIn e Pinterest.

No dia 9 de agosto, o inventário listava 22 riscos. A coluna “resolvido em” estava vazia nos 22. Hoje, os 22 estão resolvidos. Alguns eu resolvi à mão, clicando tela por tela. Outros, com ajuda de inteligência artificial, que leu documentação, montou scripts e conferiu o que eu tinha feito. A ferramenta mudou de um risco para outro. O método não: entender antes de desfazer, desfazer antes de remontar, e só considerar resolvido o que foi conferido depois.

Relendo a lista agora, o que impressiona não é o tamanho. É que nenhum dos 22 exigia tecnologia nova, orçamento ou fornecedor. Exigia alguém com tempo, acesso e a decisão de que aquilo era trabalho, e não um detalhe.

Figura 1 · os 22 riscos

Os riscos documentados em 9 de agosto, e onde estão hoje

Inventário de acessos de 9 de agosto de 2026, que marcava zero riscos resolvidos. Situação atual declarada pelo responsável pela infraestrutura em 29 de setembro de 2026.

A certidão

Se eu começasse de novo, começaria do começo. Parece clichê, mas é o que faria diferente: um plano de negócio antes de começar a operação. Não um plano de mídia. Um plano que dissesse, antes do primeiro anúncio, quais sistemas a empresa vai usar, em nome de quem cada um fica, quem tem acesso, onde vive a senha e o que acontece se essa pessoa sumir.

Esse plano cabe numa tabela, e qualquer empresa preenche em um dia. Eu a chamo de certidão de propriedade digital. Uma linha por sistema.

A certidão de propriedade digital

Coluna	Pergunta
Sistema	Qual é?
Para que serve	O que para se ele sumir?
Titular	Em nome de quem está? É da empresa ou de uma pessoa?
Onde vive o acesso	Qual e-mail, qual celular, qual cofre?
Criticidade	Alta, média ou baixa?
Segundo fator	Existe? Em que aparelho?
No cofre	A senha está no gerenciador de senhas da empresa?
Última conferência	Quando alguém verificou tudo isso pela última vez?
O que quebra se sumir	Qual é a consequência, dita numa frase?

Três regras saem dela. A primeira: todo ativo digital está em nome da empresa, nunca de uma pessoa, e o e-mail que o administra está no domínio da empresa, nunca num Gmail pessoal. A segunda: nenhum sistema crítico depende de um único celular ou de uma única pessoa; o bus factor mínimo é dois. A terceira: a certidão é conferida a cada saída de alguém da equipe, e não quando algo quebra.

Na série de ensaios sobre o painel, o contrato do número responde se o dado é verdadeiro. A certidão responde a uma pergunta anterior: se ele é seu.

Antes de perguntar se o número está certo, pergunte de quem é o painel.

A rocha

Jan Luyken gravou a parábola inteira num quadro só. Em primeiro plano, a casa sobre a rocha, batida pelas ondas, de pé. Ao fundo, pequena, a outra casa já afundando. Dois homens na rocha apontam para ela. A gravura não mostra o momento da construção, quando as duas casas eram iguais. Mostra o dia da chuva, que é o único dia em que a diferença aparece.

Santo Agostinho resumiu a parábola numa frase que serve para qualquer empresa: quem ouve e não faz “constrói uma ruína”.¹¹ A ruína não começa no dia da tempestade. Ela começa no dia da obra, quando alguém escolhe o chão.

Toda empresa está construindo sobre alguma coisa. A pergunta não é se vai chover. Vai. A pergunta é o que está embaixo.

Sobre o quê?

Os dados deste ensaio são de uma clínica real de SP, do nicho de estética, anonimizada a pedido. Nomes, cidade e sistemas específicos foram omitidos; as contagens e as datas são as medidas.