Como adaptar os conteúdos de sensibilização à cultura de cada organização

Em 2012 a Metro Trains Melbourne deixou de insistir no cartaz de segurança e lançou uma canção com bonecos coloridos que morrem de maneiras absurdas. Uma dessas maneiras era ficar na beira da plataforma da estação. O Dumb Ways to Die começou como campanha de segurança ferroviária e acabou como marca global de entretenimento com videojogos próprios; a campanha reporta ainda uma queda de 21% nos incidentes.

A mensagem de fundo era a de sempre. O que se refez foi a embalagem, e essa embalagem estava calibrada para as pessoas de Melbourne em 2012. A mesma canção, com o mesmo humor negro, noutro sítio e diante de outro público podia sair mal ou até ofender.

As organizações têm este problema a toda a hora, mesmo que não lhe dêem esse nome. Alguém vê o programa de sensibilização que na empresa ao lado funcionou às mil maravilhas, replica-o peça por peça e aqui não acontece nada. A qualidade do conteúdo não baixou na mudança. O que ficou de fora foi a cultura da organização que o recebe, distinta da do país onde está e da do setor onde compete.

O que significa adaptar a sensibilização à cultura de uma organização?

Adaptar a sensibilização à cultura de uma organização é ajustar o tom, os exemplos, o canal e o formato do conteúdo à forma como essa organização trabalha e fala, mantendo fixo o comportamento que o programa quer mudar. É uma decisão de conteúdo, tomada antes de escolher a primeira peça.

Convém separá-la de duas coisas com que se confunde muitas vezes.

Uma é o branding. Que o programa leve o logótipo próprio e viva num domínio da organização muda bastante a forma como é recebido, porque deixa de parecer publicidade de um fornecedor. Mas é a camada de cima. O conteúdo pode ter o logótipo perfeito e continuar a falar de um mundo que as pessoas dessa empresa não reconhecem.

A outra é a língua. Ter o material em várias línguas para uma multinacional é indispensável e não chega. Duas filiais que falam a mesma língua podem ter culturas de trabalho opostas, e ao contrário, duas fábricas da mesma empresa em países diferentes podem parecer-se muitíssimo. A língua escolhe-se por país. A cultura lê-se por organização.

A ideia também não é uma excentricidade nossa. O guia NIST SP 800-50r1, de setembro de 2024, apresenta as suas recomendações para construir um programa de aprendizagem em cibersegurança como algo personalizável e aplicável ao processo de cada organização, com o objetivo explícito de desenvolver lá dentro uma cultura de segurança. Diz isso em geral, sem dizer como. A parte do como é a que nos toca.

Como se lê a cultura de uma organização antes de escolher o conteúdo?

Não é preciso um inquérito de clima. Há cinco sinais que já estão à vista, observáveis numa semana de conversas com quem coordena cada área.

O primeiro é por que canal as pessoas ficam a saber o que se passa. Conta o que se usa de verdade, mais do que o que aparece no organigrama. Em algumas organizações é o email, noutras um grupo de mensagens que ninguém administra, noutras a reunião de segunda-feira e noutras quem distribui as tarefas do dia.

O segundo é como se nomeiam as coisas lá dentro. Cada organização tem o seu vocabulário, e esse vocabulário funciona como uma palavra-passe. Se na tua empresa todos dizem “o processo” e o conteúdo diz “o registo do colaborador”, já perdeste meio segundo de atenção na tradução. Meio segundo parece pouco, e numa peça de um minuto é uma eternidade.

O terceiro é o que acontece quando alguém se engana. É o sinal mais incómodo e o que mais define o resultado. Onde o erro se reporta sem drama, uma simulação de phishing é recebida como um exercício e o momento educativo seguinte lê-se por inteiro. Onde o erro se tapa, a mesma simulação é recebida como uma armadilha da empresa, e a primeira coisa que as pessoas aprendem é avisarem-se umas às outras de que há campanha (o que, diga-se de passagem, demonstra uma capacidade de comunicação interna admirável).

O quarto é quem tem autoridade informal. A pessoa em quem os restantes acreditam não assina sempre o comunicado, e quando o conteúdo chega através dela, chega diferente.

O quinto é quanto tempo real existe, e em que momento. É uma restrição da função antes de ser uma preferência, e olhámos para ela de perto ao falar de públicos que não trabalham em frente a um ecrã.

Com os cinco sinais em cima da mesa, a escolha de conteúdo deixa de ser uma questão de gosto.

Sinal cultural observado	Decisão de conteúdo que sugere
As pessoas sabem por uma pessoa antes de saber por um canal	Guião breve para contar em voz alta, em vez de uma peça para reencaminhar
Vocabulário interno próprio e muito marcado	Editar os exemplos e os nomes dos sistemas antes da primeira campanha
O erro tapa-se	Começar por conteúdo narrativo e deixar a simulação para mais tarde
O erro reporta-se sem castigo	Simulação cedo, com o momento educativo como peça central
Autoridade informal distribuída por área	Peças curtas que cada responsável possa apresentar como suas
Jornada partida em intervalos de minutos	Gotejamento contínuo em doses pequenas, nunca a sessão de meia hora
Cultura muito formal, setor regulado	Tom sóbrio e exemplos do próprio setor, sem humor de enchimento
Cultura informal, equipas jovens	Banda desenhada, videojogo e competição entre áreas

O cruzamento com que formato serve para que comportamento fecha a escolha.

Que parte do programa não se adapta?

O comportamento pretendido, o critério com que se valida e a evidência que é preciso poder mostrar. Reportar um email suspeito em vez de o apagar, confirmar por outra via um pedido de pagamento que chegou com pressa, não reutilizar em mais nenhum sítio a palavra-passe do trabalho. Isso é igual num banco e numa empresa de logística, e não se negocia com a cultura de ninguém.

Adapta-se a embalagem. O reflexo que queremos treinar continua a ser o mesmo.

Vale a pena nomear o risco de exagerar, que aparece depressa. Uma organização que evita o conflito pode empurrar para conteúdo tão suave que nunca nomeia o risco, e aí a adaptação comeu a mensagem. A prova é simples. Se ao terminar a peça a pessoa não sabe o que se espera que faça de diferente amanhã, o ajuste saiu mal, por confortável que a peça pareça.

Como se nota que a adaptação funcionou?

Nota-se em três movimentos, e nenhum é a nota do teste.

A participação deixa de depender do lembrete. Quando o conteúdo entra na cultura, as pessoas completam-no sem que as chefias tenham de o pedir pela terceira vez.

Sobe o reporte voluntário de emails suspeitos. É o comportamento mais sensível ao clima interno de todos os que medimos, porque reportar expõe quem reporta.

E a pergunta de validação deixa de falhar sempre no mesmo ponto. Quando o mesmo mal-entendido se repete numa área e não nas outras, o problema está em como traduziste o exemplo para essa área mais do que naquilo que as pessoas sabem.

Convém olhar para vários meses seguidos antes de concluir algo. Um mês isolado pode ser uma campanha interna que empurrou os números, ou uma semana tranquila.

O que resolve a plataforma e o que fica do teu lado?

Os conteúdos da SMARTFENSE são desenvolvidos com foco no público-alvo da América Latina, Espanha, Portugal e Itália, com um processo de regionalização em vez de uma tradução direta, e com a explicação do porquê em primeiro plano à frente da lista do que fazer. Essa camada cultural de região vem resolvida de origem.

Por cima há duas alavancas concretas. As variáveis permitem definir uma vez um dado próprio da organização, como o número para onde se reportam os incidentes, e fazem com que todos os conteúdos que usam esse dado o mostrem já ajustado. E qualquer conteúdo se pode editar a 100%, por isso o vocabulário interno entra sem pedir autorização a ninguém. Os catálogos separados por público fazem o resto, porque na mesma organização a fábrica, o escritório e a equipa comercial são três culturas que convivem debaixo do mesmo logótipo.

O que nenhuma plataforma sabe é se na tua organização se pode fazer uma piada. Sabe-o quem trabalha lá dentro, e é a parte do trabalho que não se automatiza.

O que viajou de Melbourne

Daquela canção não se exportou o humor negro. Exportou-se a ideia de olhar para o público real antes de decidir o formato, que é uma ideia bastante menos pegajosa e bastante mais útil.

Antes da próxima campanha, experimenta uma só pergunta na reunião de área. Se nesta organização alguém se engana com um email estranho, o que faz? A resposta vai dizer-te por onde começar, e costuma ser diferente da que o programa vinha a supor.