1 em Cada 3 Brechas Começa nas Pessoas: O Raio‑X da Falta de Cultura de Segurança

TL;DR — Leia em 60 segundos

• Um em cada três incidentes de segurança começa com comportamento humano inadequado, negligência ou desconhecimento básico de boas práticas.
• Phishing, vazamento acidental de dados, uso de senhas fracas e compartilhamento indevido de acessos continuam sendo as principais portas de entrada no Brasil.
• Tecnologia sozinha não resolve: sem cultura de segurança, qualquer firewall, EDR ou ferramenta de ponta vira apenas um paliativo caro.
• Empresas que treinam continuamente, simulam ataques e medem comportamento reduzem drasticamente incidentes internos e perdas financeiras.
• Cultura de segurança não é campanha anual; é processo contínuo, estratégico e mensurável, integrado à governança e à alta liderança.

O que é Falta de Cultura de Segurança nos Colaboradores e por que é crítico em 2026

Falta de cultura de segurança nos colaboradores é a ausência de consciência, comportamento e responsabilidade compartilhada em relação à proteção de dados, sistemas e informações corporativas. Não se trata apenas de desconhecimento técnico, mas de um problema estrutural que envolve postura, mentalidade, liderança e priorização estratégica. Quando colaboradores não compreendem o impacto de suas ações digitais, a empresa inteira fica vulnerável, independentemente do nível de investimento em tecnologia.

Em 2026, esse problema tornou-se ainda mais crítico por três fatores principais. Primeiro, a hiperconectividade ampliou exponencialmente a superfície de ataque. O trabalho híbrido, o uso de dispositivos pessoais e o acesso remoto a sistemas críticos tornaram cada colaborador um ponto de entrada potencial. Segundo, a sofisticação dos ataques aumentou. Golpes de phishing evoluíram para campanhas altamente personalizadas com uso de inteligência artificial generativa, tornando mais difícil distinguir comunicação legítima de fraude. Terceiro, a pressão regulatória intensificou-se. A LGPD consolidou-se no Brasil como um marco regulatório relevante, com multas e sanções que podem comprometer financeiramente organizações que não demonstram diligência.

Estudos globais consistentes ao longo dos últimos anos indicam que entre 70 por cento e 85 por cento das violações de dados envolvem algum fator humano, seja por erro, negligência ou engenharia social. No contexto brasileiro, levantamentos de entidades como a FEBRABAN, a ANPD e empresas de resposta a incidentes apontam que phishing continua sendo a principal causa de comprometimento inicial. Isso significa que a maior vulnerabilidade não está necessariamente no código ou na infraestrutura, mas no comportamento das pessoas.

A cultura de segurança é crítica porque conecta tecnologia, processo e pessoas. Sem ela, políticas viram documentos esquecidos na intranet. Treinamentos tornam-se eventos pontuais sem impacto real. Ferramentas sofisticadas operam no modo reativo, apenas apagando incêndios. Em contrapartida, quando há cultura sólida, o colaborador identifica um e-mail suspeito antes de clicar, questiona pedidos incomuns de transferência financeira, protege suas credenciais e reporta incidentes rapidamente. Essa mudança de postura reduz drasticamente o tempo de detecção e o impacto financeiro de ataques.

Em 2026, organizações que não tratam cultura de segurança como prioridade estratégica estão assumindo risco operacional direto. O mercado tornou-se menos tolerante a falhas. Clientes exigem transparência. Parceiros exigem comprovação de maturidade. Investidores exigem governança robusta. Cultura de segurança deixou de ser diferencial e passou a ser requisito mínimo de sobrevivência digital.

Como funciona na prática: Anatomia completa

Na prática, a falta de cultura de segurança manifesta-se de forma silenciosa e cotidiana. Não é apenas o grande incidente que chama atenção, mas a soma de pequenos comportamentos de risco que se acumulam ao longo do tempo. Senhas anotadas em papéis, compartilhamento de acessos via aplicativos de mensagem, uso de Wi-Fi público sem VPN, download de arquivos desconhecidos e ausência de verificação de links são exemplos recorrentes.

A anatomia de um incidente iniciado por falha humana geralmente segue um padrão. Primeiro, ocorre o contato inicial, frequentemente por meio de engenharia social. Pode ser um e-mail convincente, uma ligação se passando por fornecedor ou uma mensagem interna forjada. Em seguida, há a ação do colaborador, que pode clicar em um link, fornecer credenciais ou autorizar uma transação. Depois, o atacante explora a confiança obtida para movimentação lateral, exfiltração de dados ou instalação de ransomware. Tudo isso pode acontecer em minutos.

A falta de cultura também se reflete na baixa taxa de reporte. Muitos colaboradores, por medo de punição ou por não reconhecerem a gravidade do ocorrido, deixam de comunicar um clique suspeito. Esse atraso amplia o impacto do incidente. Empresas com cultura madura, por outro lado, incentivam reporte imediato e não punitivo, permitindo resposta rápida e contenção eficaz.

Outro elemento central é a desconexão entre liderança e prática operacional. Quando a alta gestão não demonstra comprometimento visível com segurança, os colaboradores tendem a enxergar o tema como secundário. Cultura começa no topo. Se executivos ignoram boas práticas, utilizam senhas fracas ou burlam controles, a mensagem implícita para a organização é clara: segurança não é prioridade real.

Engenharia social como vetor dominante

A engenharia social continua sendo o principal instrumento explorado por atacantes porque se baseia em fatores psicológicos universais como urgência, autoridade, medo e curiosidade. No Brasil, golpes envolvendo falsos boletos, atualização bancária e supostos comunicados fiscais são comuns. Em ambientes corporativos, solicitações falsas de transferência financeira em nome de diretores ainda geram prejuízos significativos.

Com o avanço de tecnologias de geração de texto e voz sintética, os ataques tornaram-se mais convincentes. Já existem casos documentados internacionalmente de fraudes com deepfake de voz simulando CEOs para autorizar pagamentos. Em organizações sem cultura de verificação e dupla checagem, esse tipo de golpe encontra terreno fértil.

Comportamento organizacional e pressão por produtividade

Outro fator relevante é a cultura organizacional orientada exclusivamente à produtividade. Quando metas são agressivas e prazos são apertados, colaboradores tendem a priorizar rapidez em detrimento de cautela. Clicar rapidamente em um anexo ou ignorar um alerta de segurança pode parecer um atalho aceitável sob pressão.

Empresas que integram segurança aos indicadores de desempenho conseguem equilibrar produtividade e proteção. Isso inclui métricas de participação em treinamentos, taxa de reporte de incidentes e resultados de simulações de phishing. Quando segurança passa a fazer parte do cotidiano e da avaliação de desempenho, o comportamento muda.

Passo a passo: Implementação profissional

Fase 1: Diagnóstico e mapeamento

A implementação de uma cultura de segurança começa com diagnóstico estruturado. É essencial compreender o nível atual de maturidade da organização, identificar lacunas comportamentais e mapear riscos específicos do setor. Isso envolve entrevistas com lideranças, aplicação de questionários anônimos e análise de incidentes passados.

Simulações de phishing são ferramentas valiosas nessa etapa. Ao medir taxas de clique e de reporte, a empresa obtém indicadores objetivos sobre vulnerabilidades humanas. Também é importante avaliar políticas existentes, verificar se são compreendidas e aplicadas na prática, e não apenas formalizadas em documentos.

O mapeamento deve incluir análise de perfis de acesso, rotinas operacionais e fluxos críticos de informação. Departamentos financeiros, recursos humanos e tecnologia costumam concentrar dados sensíveis e, portanto, exigem atenção especial. O diagnóstico é a base para qualquer planejamento eficaz.

Fase 2: Planejamento e arquitetura

Com base no diagnóstico, define-se a estratégia de cultura de segurança. Essa etapa inclui definição de objetivos claros, indicadores de desempenho e cronograma de ações. É fundamental alinhar a iniciativa à estratégia corporativa e obter apoio formal da alta direção.

O planejamento deve contemplar programa contínuo de treinamento, campanhas internas de comunicação, criação de canais de reporte e definição de responsabilidades. Segurança não pode ser exclusiva do departamento de TI; precisa envolver todas as áreas.

Também é recomendável estabelecer políticas claras e acessíveis, com linguagem simples e exemplos práticos. Documentos excessivamente técnicos tendem a ser ignorados. A arquitetura cultural deve considerar diversidade de perfis, níveis educacionais e realidades operacionais.

Fase 3: Implementação e testes

A implementação envolve execução dos treinamentos, campanhas e simulações planejadas. Treinamentos devem ser interativos, contextualizados e atualizados regularmente. Casos reais brasileiros aumentam a relevância e o engajamento.

Simulações periódicas de phishing permitem testar a evolução comportamental. É importante que resultados sejam usados para aprendizado e não para punição. Feedback individualizado aumenta a eficácia do processo.

Testes de mesa e exercícios de resposta a incidentes também são recomendados. Eles ajudam equipes a entender protocolos e reduzem tempo de reação em situações reais.

Fase 4: Monitoramento contínuo

Cultura de segurança não é projeto com início e fim. Exige monitoramento constante. Indicadores como taxa de cliques em phishing, número de incidentes reportados e tempo médio de resposta devem ser acompanhados regularmente.

Revisões periódicas das políticas e atualização dos conteúdos de treinamento são essenciais, especialmente diante da evolução das ameaças. Feedback dos colaboradores também deve ser coletado para aprimorar abordagens.

Monitoramento contínuo permite ajustes estratégicos e consolida segurança como parte integrante da cultura organizacional.

Erros críticos e como evitá-los

Um erro recorrente é tratar cultura de segurança como evento anual. Palestras isoladas não transformam comportamento. A solução é adotar abordagem contínua, com reforços periódicos e integração ao cotidiano.

Outro erro é culpabilizar colaboradores publicamente após falhas. Isso gera medo e reduz reporte espontâneo. O correto é promover ambiente de aprendizado sem punição desproporcional.

Ignorar liderança é falha grave. Sem exemplo do topo, a cultura não se consolida. Executivos devem participar ativamente de treinamentos e comunicações.

Treinamentos genéricos e descontextualizados também são ineficazes. Conteúdo precisa refletir realidade do setor e ameaças específicas enfrentadas pela organização.

Subestimar a importância de métricas é outro equívoco. Sem indicadores claros, não há como avaliar progresso ou justificar investimentos.

Ferramentas e tecnologias essenciais

Cada ferramenta deve ser integrada a estratégia maior. Tecnologia sem processo e cultura não atinge pleno potencial.

Checklist completo de implementação

Prioridade alta inclui diagnóstico inicial, simulações de phishing, treinamento obrigatório para todos, criação de canal de reporte e definição de indicadores.

Prioridade média envolve campanhas internas periódicas, testes de resposta a incidentes e revisão de políticas.

Prioridade contínua inclui monitoramento de métricas, atualização de conteúdos e reforço da liderança.

Casos reais e estudos de caso

Um banco médio brasileiro sofreu fraude após colaborador financeiro atender ligação falsa de suposto diretor solicitando transferência urgente. Ausência de protocolo de dupla validação resultou em prejuízo milionário.

Empresa de varejo teve dados expostos após clique em e-mail de atualização de fornecedor. Falta de treinamento e ausência de autenticação multifator ampliaram impacto.

Indústria nacional reduziu em mais de 60 por cento cliques em phishing após programa contínuo de cultura, demonstrando eficácia de abordagem estruturada.

Como a Decripte ajuda com Falta de Cultura de Segurança nos Colaboradores

A Decripte atua integrando diagnóstico comportamental, inteligência de ameaças e programas estruturados de awareness. Por meio do Intelligence Center disponível em /intelligence-center, empresas obtêm visão clara do nível de maturidade atual.

Oferecemos simulações realistas adaptadas ao contexto brasileiro, relatórios executivos para tomada de decisão e programas contínuos alinhados à LGPD e às melhores práticas internacionais.

Nosso portal em /artigos amplia conhecimento com conteúdo atualizado e aplicável à realidade nacional.

Como a Decripte resolve Falta de Cultura de Segurança nos Colaboradores

A Decripte resolve o problema por meio de abordagem integrada em três passos. Primeiro, diagnóstico detalhado no /intelligence-center para identificar vulnerabilidades humanas específicas. Segundo, implementação de plano estruturado com base em nossos /planos, adaptados ao porte e setor da empresa. Terceiro, monitoramento contínuo com métricas claras e relatórios executivos.

Nosso método combina tecnologia, comunicação estratégica e capacitação contínua. Atuamos lado a lado com lideranças para transformar segurança em valor de negócio.

Acesse agora o Intelligence Center e descubra como fortalecer sua cultura de segurança de forma prática e mensurável.

Perguntas frequentes (FAQ)

O que caracteriza uma cultura de segurança forte?

Uma cultura de segurança forte é caracterizada por comportamento consistente, liderança engajada e processos claros. Não depende apenas de conhecimento técnico, mas de atitude diária.

Por que colaboradores clicam em phishing mesmo após treinamentos?

Treinamentos isolados não mudam comportamento. Pressão, urgência e engenharia social sofisticada influenciam decisões rápidas.

Como medir cultura de segurança?

Por meio de métricas como taxa de clique em phishing, número de incidentes reportados e participação em treinamentos.

Cultura de segurança é responsabilidade de quem?

É responsabilidade compartilhada, com liderança dando exemplo e TI apoiando tecnicamente.

Qual a relação entre LGPD e cultura de segurança?

A LGPD exige medidas técnicas e administrativas, incluindo conscientização de colaboradores.

Treinamentos online são suficientes?

São parte da solução, mas precisam ser complementados por simulações e comunicação contínua.

Quanto tempo leva para mudar cultura?

Mudança cultural é processo contínuo que pode levar meses ou anos, dependendo do engajamento.

Pequenas empresas precisam investir nisso?

Sim. Pequenas empresas também são alvo frequente de ataques e têm menos capacidade de absorver prejuízos.

Como engajar colaboradores resistentes?

Com comunicação clara, exemplos reais e apoio da liderança.

Qual o papel da alta direção?

Demonstrar compromisso, alocar recursos e participar ativamente.

Simulações de phishing não geram desconfiança?

Quando bem comunicadas, geram aprendizado e fortalecem confiança.

Como começar imediatamente?

Realizando diagnóstico inicial no Intelligence Center da Decripte.

Comece agora — diagnóstico gratuito em 5 minutos

A cultura de segurança da sua empresa pode ser o elo mais forte ou o mais fraco da sua estratégia digital. Não espere um incidente para descobrir qual é o seu caso.

Acesse agora https://decripte.com.br/intelligence-center e realize um diagnóstico gratuito em poucos minutos. Identifique vulnerabilidades humanas antes que criminosos o façam.

Conheça também nossos /planos de segurança e fortaleça sua organização com estratégia, tecnologia e cultura sólida. Segurança começa nas pessoas. Comece hoje.

Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK

A falta de cultura de segurança se materializa tecnicamente por meio de Táticas, Técnicas e Procedimentos (TTPs) amplamente documentados na matriz MITRE ATT&CK. Um dos vetores mais recorrentes é o Initial Access (TA0001) via Phishing (T1566), especialmente Spearphishing Attachment (T1566.001) e Spearphishing Link (T1566.002). Organizações com baixa maturidade cultural apresentam maior taxa de clique em campanhas simuladas e reais, permitindo a execução de malware loaders que estabelecem persistência inicial. A ausência de treinamento contínuo favorece a exploração de engenharia social contextualizada, como uso de temas internos (RH, financeiro, jurídico) e thread hijacking.

Outro vetor crítico é o Credential Access (TA0006), com destaque para Brute Force (T1110), Credential Dumping (T1003) e Phishing for Information (T1598). Funcionários que reutilizam senhas ou negligenciam MFA tornam-se porta de entrada para ataques de password spraying. Após o comprometimento inicial, atacantes frequentemente exploram LSASS memory dumping para extração de hashes NTLM e movimentação lateral. A falta de conscientização sobre cofre de senhas corporativo e políticas de senha forte amplia significativamente a superfície de ataque.

No estágio de Persistence (TA0003) e Privilege Escalation (TA0004), observam-se técnicas como Create or Modify System Process (T1543) e Scheduled Task/Job (T1053). Ambientes onde colaboradores possuem privilégios administrativos desnecessários facilitam a instalação de serviços maliciosos e tarefas agendadas persistentes. A cultura permissiva de “acesso por conveniência” reduz o atrito operacional, mas aumenta exponencialmente o risco sistêmico.

Em Defense Evasion (TA0005), agentes maliciosos utilizam Obfuscated Files or Information (T1027), Indicator Removal on Host (T1070) e desativação de ferramentas de segurança. Usuários que ignoram alertas de EDR ou desativam antivírus para instalar softwares não autorizados contribuem diretamente para o sucesso dessas técnicas. A ausência de políticas claras e fiscalização técnica permite que binários assinados sejam utilizados em ataques Living off the Land (LOLBins), como PowerShell (T1059.001) e WMI (T1047).

Por fim, na fase de Lateral Movement (TA0008) e Impact (TA0040), destacam-se Remote Services (T1021) e Data Encrypted for Impact (T1486), comuns em campanhas de ransomware. Funcionários sem treinamento adequado frequentemente não reconhecem sinais de comprometimento inicial, retardando a resposta e permitindo propagação interna. A cultura organizacional influencia diretamente o tempo médio de detecção (MTTD) e contenção (MTTC), impactando custos e reputação.

Indicadores de Comprometimento e Detecção

Indicadores de Comprometimento (IOCs) associados à exploração humana incluem domínios recém-registrados (NRDs), padrões anômalos de autenticação e execução suspeita de processos como powershell.exe com parâmetros codificados em Base64. Logs de proxy e firewall podem revelar conexões recorrentes para IPs com baixa reputação ou ASN suspeitos. A correlação entre user-agent incomum e download de anexos executáveis é um forte sinal de alerta.

No SIEM, regras eficazes incluem detecção de múltiplas tentativas de login falhas seguidas de sucesso (indicando password spraying), criação de novas contas administrativas fora de janela de mudança e execução de binários em diretórios temporários. Consultas baseadas em comportamento (UEBA) são particularmente úteis para identificar desvios do padrão histórico do usuário, como login simultâneo em localidades geográficas distintas (impossible travel).

Regras YARA podem ser implementadas para identificar padrões de malware loaders, ofuscação em scripts PowerShell e assinaturas conhecidas de ransomware. A inspeção de memória para strings suspeitas associadas a ferramentas como Mimikatz aumenta a capacidade de detecção precoce. A integração entre EDR e SIEM deve permitir resposta automatizada, como isolamento de endpoint ao detectar execução de técnicas mapeadas à ATT&CK.

Adicionalmente, monitorar alterações em chaves críticas de registro, criação de tarefas agendadas e modificação de GPOs fornece visibilidade sobre persistência. Métricas como taxa de falsos positivos, tempo médio de triagem e cobertura de logs por fonte devem ser continuamente avaliadas para garantir eficácia operacional.

Roadmap de Implementação em 12 Meses

Fase 1: Diagnóstico (Meses 1-3)

O primeiro trimestre deve focar em avaliação de maturidade cultural e técnica. Isso inclui security awareness assessment, testes de phishing simulados e análise de configuração de controles existentes. A realização de um gap analysis alinhado ao NIST CSF permite identificar lacunas prioritárias.

Paralelamente, deve-se mapear privilégios excessivos e revisar políticas de acesso. Auditorias de contas inativas e análise de exposição externa (attack surface management) complementam o diagnóstico técnico.

Métricas de sucesso: taxa inicial de clique em phishing, percentual de contas com MFA habilitado, número de usuários com privilégio administrativo local e baseline de MTTD.

Fase 2: Fundação (Meses 4-6)

Nesta fase, implementam-se políticas formais e treinamentos estruturados. Programas de conscientização contínua com microlearning mensal aumentam retenção de conhecimento. Simulações de phishing progressivas ajudam a medir evolução comportamental.

Do ponto de vista técnico, reforça-se MFA, segmentação de rede e princípio de menor privilégio. Integração de logs críticos ao SIEM deve ser concluída aqui.

Métricas de sucesso: redução de 30% na taxa de clique em phishing, 95% de adesão ao MFA, cobertura de logs superior a 85% dos ativos críticos.

Fase 3: Operação (Meses 7-9)

Com a base estabelecida, inicia-se monitoramento contínuo orientado a risco. Criação de playbooks de resposta a incidentes específicos para phishing, comprometimento de credenciais e ransomware é essencial.

Treinamentos avançados para times técnicos (blue team) devem incluir mapeamento prático à MITRE ATT&CK. Exercícios de tabletop com liderança executiva aumentam alinhamento estratégico.

Métricas de sucesso: redução do MTTD em 40%, tempo de resposta a incidentes inferior a 4 horas, aumento da taxa de reporte voluntário de e-mails suspeitos.

Fase 4: Otimização (Meses 10-12)

Nesta etapa, a organização deve evoluir para automação e melhoria contínua. Implementação de SOAR para resposta automatizada reduz carga operacional. Revisões trimestrais de privilégios e testes de intrusão validam controles.

A cultura deve ser reforçada por campanhas internas, gamificação e reconhecimento de comportamentos seguros. Segurança passa a ser KPI corporativo.

Métricas de sucesso: taxa de clique inferior a 5%, zero contas privilegiadas sem justificativa formal, aumento do índice de maturidade cultural medido por pesquisa interna.

Perguntas Aprofundadas de Executivos Seniores

1. Como quantificar financeiramente o impacto da falta de cultura de segurança?

A quantificação deve combinar métricas de risco cibernético com indicadores financeiros tradicionais. O primeiro passo é estimar o Annualized Loss Expectancy (ALE) considerando probabilidade de incidentes associados a falhas humanas e impacto médio por evento. Estudos indicam que ataques iniciados por phishing podem resultar em custos que incluem interrupção operacional, pagamento de resgate, multas regulatórias e danos reputacionais. Ao cruzar dados internos — como taxa de clique em phishing e MTTD — com benchmarks do setor, é possível projetar cenários financeiros realistas. Além disso, deve-se considerar custos indiretos como queda no valor de mercado e aumento do prêmio de seguro cibernético. Investimentos em cultura de segurança tendem a reduzir significativamente a probabilidade de eventos críticos, impactando diretamente o risco residual e melhorando previsibilidade orçamentária.

2. Cultura de segurança é responsabilidade exclusiva do CISO?

Não. Embora o CISO lidere a estratégia técnica, cultura organizacional é responsabilidade compartilhada com CEO, RH e demais executivos. Segurança deve estar integrada aos valores corporativos e metas estratégicas. Quando a liderança comunica consistentemente a importância do tema e demonstra comportamento exemplar, há maior adesão dos colaboradores. RH desempenha papel central ao incorporar segurança no onboarding e avaliações de desempenho. O CFO contribui ao alinhar orçamento com análise de risco baseada em dados. A responsabilidade distribuída cria accountability transversal, reduzindo dependência exclusiva da área técnica e fortalecendo resiliência organizacional.

3. Como equilibrar experiência do usuário e controles rigorosos?

O equilíbrio exige abordagem baseada em risco e adoção de tecnologias adaptativas, como autenticação contextual e Zero Trust. Nem todos os ativos demandam o mesmo nível de controle; segmentação inteligente reduz fricção desnecessária. Além disso, comunicação clara sobre o “porquê” das medidas aumenta aceitação. Implementar SSO e MFA com biometria pode simultaneamente elevar segurança e melhorar experiência. Métricas de satisfação do usuário devem ser monitoradas paralelamente a indicadores de segurança, permitindo ajustes contínuos. O objetivo não é eliminar fricção, mas torná-la proporcional ao risco.

4. Como medir efetivamente a maturidade cultural ao longo do tempo?

A mensuração deve combinar indicadores quantitativos e qualitativos. Taxa de clique em phishing, adesão a treinamentos e volume de incidentes reportados são métricas objetivas. Pesquisas internas avaliam percepção e confiança dos colaboradores em relação às políticas. Indicadores comportamentais, como aumento de reporte espontâneo de ameaças, refletem mudança cultural genuína. O uso de frameworks como Security Culture Framework (SCF) ajuda a estruturar avaliação em dimensões como atitude, comportamento e conhecimento. A análise longitudinal desses dados permite identificar tendências e ajustar estratégias.

5. Qual o papel do conselho de administração na governança da cultura de segurança?

O conselho deve exercer supervisão estratégica, garantindo que riscos cibernéticos estejam integrados ao gerenciamento corporativo de riscos (ERM). Isso inclui revisar relatórios periódicos de métricas-chave, validar orçamento adequado e assegurar que a liderança executiva mantenha accountability. Conselheiros devem buscar capacitação básica em cibersegurança para tomar decisões informadas. Ao tratar cultura de segurança como tema recorrente em reuniões estratégicas, o conselho sinaliza prioridade institucional. Essa postura fortalece a governança, reduz assimetrias de informação e protege valor de longo prazo para acionistas.