Dá para reconhecer pela agenda. O trabalho chega como incidente: o regulador pergunta, o financeiro encontra dois números de receita, um cliente recebe o extrato de outro, um modelo aparece treinado com dados que jamais deveria ter visto. O time responde bem — às vezes heroicamente — e depois volta ao que estava fazendo até o próximo. Governança reativa não é defeito de caráter: é a cara da governança antes de alguém financiar prevenção, e quase todo programa começa aqui.
Na prática. A saída é usar os incidentes, não apenas sobreviver a eles. Registre cada um com o que custou, quais dados estavam envolvidos e qual controle o teria pegado. Doze registros formam um padrão, e um padrão constrói o business case que nenhum slide de maturidade constrói: os mesmos três domínios, o mesmo dono ausente, a mesma regra de qualidade que não existe. É também o momento de converter um incidente em controle permanente em vez de em mais uma limpeza.
Onde dá errado. Ficar aqui. Um time conhecido por consertar coisas se torna a brigada de limpeza — valorizada, ocupada, nunca financiada para prevenir — e a reputação endurece: governança é quem você chama depois do estrago. O sinal de que isso está acontecendo é simples: ninguém consegue citar uma decisão que a função de governança tomou antes de um incidente forçá-la.