Segundo Kam et al. (2013), pressões externas podem impulsionar o cumprimento de Políticas de Segurança da Informação nas organizações e essa noção é consistente com a Teoria Institucional. Para Björck (2004), o lado humano da Segurança da Informação deve conduzir a atenção para teorias que estudam o comportamento social, e a Teoria Institucional mostra-se adequada para compreender, explicar, controlar e prever questões de Segurança da Informação nas organizações.
Quinello (2007) aponta que, ao perceberem que as organizações não eram sistemas fechados às influências externas, pesquisadores do campo de estudo da Administração passaram a investigar diferentes abordagens teóricas após 1940. A partir dessa perspectiva, veio a compreensão de que as organizações influenciam e recebem influências do ambiente externo, que passou a ter destaque nos estudos organizacionais. Dentre as abordagens teóricas que consideram o ambiente como fator que influencia as organizações, o autor destaca a Teoria Institucional, que, segundo Scott (2005), trata da criação, difusão,
adoção e adaptação de estruturas, esquemas, regras, normas e rotinas ao longo do espaço e do tempo.
Weerakkody, Dwivedi e Irani (2009) argumentam que a Teoria Institucional é proeminente em pesquisas nos campos da sociologia, ciência política, economia e estudos organizacionais. Guarido Filho, Machado-da-Silva e Gonçalves (2009) observaram um crescimento da importância da Teoria Institucional no campo dos estudos organizacionais, com um aumento das publicações e adesão de novos pesquisadores a esta abordagem. Para Weerakkody, Dwivedi e Irani (2009), pesquisadores têm utilizado a perspectiva institucional para estudar as influências internas e externas sobre os padrões organizacionais e explicar por que algumas ideais e estruturas organizacionais perduram nas organizações.
Quinello (2007) esclarece que o desenvolvimento da Teoria Institucional se deu em dois movimentos: a Velha Escola Institucional, que tem seu foco na organização; e a Nova Escola Institucional, também conhecida como Escola Neo-Institucional, que tem um foco no campo organizacional. DiMaggio e Powell (1983) explicam que as duas escolas institucionais se baseiam na relação entre a organização e o ambiente em que ela está inserida, e Peci (2006) complementa que ambas são céticas quanto à racionalidade das decisões dos atores organizacionais.
De acordo com Quinello (2007), para a Velha Escola, há uma busca por legitimar os interesses pessoais ou o poder das lideranças por meio de acordos e alianças políticas internas e a influência do ambiente, enquanto o neo-institucionalismo tem um foco nos conflitos entre grupos ou organizações e nas mudanças resultantes desses conflitos, com a institucionalização de estruturas no campo organizacional e a busca por legitimação da organização. Para Busanelo (2010), a vertente Neo-Institucional proliferou após a publicação do artigo seminal de Meyer e Rowan (1977).
Neste ponto, é necessário esclarecer o que é uma instituição no contexto dessa abordagem teórica. Peci (2006) denuncia o fato de o termo ser utilizado de forma controversa quanto à sua concepção teórica e aplicação prática. No contexto da Teoria Institucional, instituições são regras, práticas, procedimentos, políticas e programas que são incorporados pela sociedade e pelas organizações, de acordo com Meyer e Rowan (1977). Para estes autores, as organizações, inseridas no ambiente institucional, agem conforme aquilo que é considerado apropriado e eficiente dentro desse campo. Dessa forma, o ambiente no qual uma organização está inserida influencia fortemente suas estruturas organizacionais, de maneira
que práticas e processos já institucionalizados em um campo organizacional são incorporados pelas organizações que o compõem, legitimando-as nesse campo. Para Tolbert e Zucker (1983), a institucionalização é o processo através do qual os componentes de uma estrutura formal se tornam amplamente aceitos, considerados tanto adequados quanto necessários, servindo para legitimar as organizações.
Essas instituições existentes no ambiente no qual uma organização está inserida limitam ou definem como ela deve agir. Para DiMaggio e Powell (1983), o ambiente institucional força a organização a tornar-se semelhante às outras que atuam nesse mesmo campo. Estes autores explicam que campo organizacional é um conjunto de organizações que constituem uma área reconhecida de vida institucional. Eles citam como exemplos de organizações que compõem esse conjunto os fornecedores-chave, consumidores, agências reguladoras e outras organizações que prestam serviços, produzem ou fornecem produtos semelhantes. Segundo Scott (1992), campo organizacional é um conjunto de organizações que compartilham um sistema de significados comum e que interagem com uma frequência maior do que com organizações externas a ele.
De acordo com os autores que estudam a Teoria Institucional, as organizações dentro do mesmo campo organizacional assumem formas institucionalizadas semelhantes. Para DiMaggio e Powell (1983), um campo organizacional estabelecido tem tanta influência nas estruturas das organizações que o compõem que elas experimentam uma homogeneização, e essa semelhança leva a uma redução na diversidade do campo. Estes autores argumentam ainda que o conceito que melhor capta este processo é o de isomorfismo e sustentam que esse fenômeno pode ser de dois tipos: o isomorfismo competitivo, que é mais relevante para os campos em que há competição livre e aberta entre as organizações; e o isomorfismo institucional, relacionado não à competição por recursos e consumidores, mas por poder político e legitimidade institucional. DiMaggio e Powell (1983) asseveram que o isomorfismo institucional é a razão dominante pela qual as organizações assimilam determinadas estruturas ou assumem determinadas formas.
A mudança institucional provocada por isomorfismo ocorre através de três mecanismos, que nem sempre são empiricamente distintos e que tendem a ter origens em condições diferentes e a levar a resultados diferentes (DIMAGGIO; POWELL, 1983):
a) Isomorfismo coercitivo – que resulta de influências políticas formais e informais de outras organizações, tanto por dependência quanto por expectativas culturais do meio em que atuam. É o isomorfismo relacionado à necessidade de legitimidade e ao poder político.
b) Isomorfismo mimético – é o resultado de respostas das organizações a padrões de incerteza, seja por tecnologias organizacionais mal compreendidas, por objetivos ambíguos ou por soluções pouco claras.
c) Isomorfismo normativo – relacionado à profissionalização, é o isomorfismo que certas categorias ou grupos de profissionais forçam ou impõem às organizações através de crenças e comportamentos tidos como certos em sua categoria ou grupo.
No isomorfismo coercitivo, as pressões que uma organização sofre para se assemelhar às outras podem ser percebidas como força, persuasão ou convite para associação, podendo ser também uma determinação do Governo ou de quem regula certos tipos de atividade, de acordo com DiMaggio e Powell (1983). Portanto, os autores descrevem o isomorfismo coercitivo como resultado de pressões formais e informais existentes no campo organizacional. Com isso, a relação de dependência que uma organização tem de outra do mesmo campo organizacional é uma fonte de pressão que pode resultar em isomorfismo coercitivo. Políticas e regras adotadas pelas matrizes das organizações são também refletidas nas suas subsidiárias através de coerção, como mencionam DiMaggio e Powell (1983), reforçando o argumento de Holland et al. (1994) e Teo, Wei e Benbasat (2003) de que a administração central de uma organização é uma fonte relevante de pressão coercitiva. Além disso, a força que o Estado exerce sobre as organizações também pode levar ao isomorfismo, como observaram Meyer e Rowan (1977). Appari, Johnson e Anthony (2009) explicam que o ambiente legal pede mudanças significativas nas estruturas das organizações. Para eles, a regulação pode levar as organizações a uma padronização de processos, práticas e recursos, visando à legitimação no ambiente de negócio através da demonstração de conformidade. Assim, as regras institucionalizadas e legitimadas pelo Estado e no Estado acabam sendo refletidas nas organizações.
No isomorfismo mimético, uma organização imita a outra para resolver um problema comum cuja solução é incerta, o que pode ser mais viável e ter um custo menor do que descobrir ou criar a própria solução. As organizações tendem a imitar outras do seu
campo que são tidas como bem-sucedidas ou mais legítimas, e isso nem sempre ocorre de forma que a organização que serve como modelo saiba que está sendo imitada, e nem sempre as soluções são difundidas de forma intencional entre os demais constituintes do campo organizacional (DIMAGGIO; POWELL, 1983).
Já no isomorfismo normativo, certas categorias ou grupos de profissionais forçam ou impõem mudanças às organizações, tanto em decorrência da formação que tiveram em universidades e cursos voltados para formação profissional, quanto pelo surgimento e crescimento de redes profissionais que saem do contexto das organizações onde trabalham, esclarecem DiMaggio e Powell (1983). Os autores acrescentam que os profissionais também migram de uma organização para outra, levando consigo seus conhecimentos, e as empresas de consultoria, associações profissionais e industriais também têm um papel relevante ao difundir entre seus profissionais ou associados preceitos que podem levar as organizações a semelhanças, esclarecem os autores.
Nesse contexto, as pressões do ambiente institucional são aquelas exercidas pelos constituintes do ambiente institucional sobre as organizações que o compõem para que se conformem com as regras e valores institucionalizados. Com base nos mecanismos de isomorfismo institucional propostos por DiMaggio e Powell (1983) e nos pilares institucionais de Scott (2008), Handgraaf (2012) classifica essas pressões como regulativas, miméticas e normativas, limitando as pressões regulativas àquelas canalizadas por meio de documentos escritos, ignorando outras formas de coerção. Neste trabalho, essas pressões são chamadas de coercitivas em respeito à denominação dada por DiMaggio e Powell (1983) aos mecanismos de isomorfismo institucional.
Outro conceito importante para a abordagem institucional é o de legitimidade. De acordo com Suchman (1995), legitimidade é uma suposição ou percepção generalizada de que as ações de uma entidade são desejáveis ou apropriadas dentro de um sistema socialmente construído de normas, valores, crenças e definições. Segundo Tolbert e Zucker (1983), quando alguns elementos organizacionais se tornam institucionalizados – percebidos como necessários e apropriados para a eficiência organizacional –, as organizações são pressionadas a incorporar esses elementos em sua estrutura formal para que tenham legitimidade, pois, ao incorporá-los, demonstram que estão com uma conduta considerada apropriada e correta.
Para DiMaggio e Powell (1983), na perspectiva da abordagem institucional, a legitimidade frente às expectativas de partes interessadas é requisito para a sobrevivência das
organizações no seu campo organizacional. Segundo estes autores, mesmo que inovações sejam adotadas inicialmente por uma ou algumas organizações com o objetivo de melhorar o desempenho, estas vão sendo assimiladas pelos outros constituintes do ambiente institucional de forma que deixam de representar uma vantagem competitiva e tornam-se meios para obter legitimidade.
Embora a Teoria Institucional seja amplamente utilizada em estudos no campo da Administração, esta abordagem não está livre de críticas. Quinello (2007) identifica na literatura trabalhos críticos à Teoria Institucional, nos quais os autores argumentam que alguns dos trabalhos seminais se baseiam em considerações teóricas de múltiplos estudos, dificultando a reprodutibilidade dos resultados e sua categorização. Quinello (2007) aponta também críticas à ausência de métricas confiáveis, ao fato de a teoria não responder a questões como o porquê de algumas ideias e técnicas se tornarem reconhecidas e outras não, ou o porquê de alguns padrões serem persistentes nas organizações e outros não. Para os críticos, são necessários mais estudos empíricos e testes validados sobre o processo de institucionalização, e a abordagem institucional não explica de forma aprofundada como práticas e crenças racionalizadas levam à adoção de procedimentos e regras organizacionais.
Ao analisar criticamente a contribuição da Escola Neo-Institucional aos estudos organizacionais, Peci (2006) argumenta que o novo institucionalismo não consegue distanciar-se da “ortodoxia funcionalista” e apresenta ainda outros “pontos de estrangulamento”, alguns dos quais estão aqui sintetizados: pouca atenção é dispensada à compreensão dos processos de institucionalização, sem que sejam questionados os motivos pelos quais algumas práticas são institucionalizadas e outras não; há pouca atenção a questões de criação e transformação que levam às mudanças nas organizações – o foco é sobre a durabilidade e persistência das instituições; o tratamento dado ao poder enfatiza o aspecto regulativo, não a distinguindo de outras abordagens funcionalistas. A autora conclui que os estudos dentro da abordagem neo-institucional são pouco preocupados com processos de mudança e transformação organizacional e institucional, tanto em termos teóricos quanto empíricos.
A despeito das críticas, Dwivedi, Wade e Schneberger (2012) entendem que a abordagem institucional traz bases teóricas que permitem realizar estudos na área de Sistemas de Informação. Já Hu, Hart e Cooke (2007) admitem que a abordagem pode contribuir em investigações sobre as forças que impulsionam a mudança ou a inércia nas organizações, o que tem sido demonstrado em diferentes estudos. Focando especificamente em Segurança da
Informação, Lorens (2007) considera que as organizações baseiam suas decisões em melhores práticas de mercado, experiências de outras organizações e modelos institucionalizados, o que é consistente com a Teoria Institucional.
Nesse sentido, Björck (2004) e recomenda a utilização da Teoria Institucional em pesquisas no campo dos estudos organizacionais, explicando que esta abordagem não é um sistema coerente de regras, mas um conjunto de ideias que formam uma perspectiva de mecanismos que apoiam ou restringem o comportamento social. O autor vai além e considera a Teoria Institucional adequada para explicar a relação entre o ambiente externo e a Segurança da Informação nas organizações, com o que concordam Kam et al. (2013).