Metodologia configurável
O que a sua organização pode ajustar no cálculo — e o que é deliberadamente fixo.
A régua é sua
Boa parte da metodologia é parametrizada por organização, porque a política de gestão de risco varia e uma régua imposta produziria números que ninguém reconhece como próprios.
É possível ajustar o tamanho da matriz de risco e as faixas dos eixos, os pesos de impacto por perfil de fornecedor, o apetite ao risco, as faixas em dinheiro que definem criticidade no BIA, os marcos de tempo da curva de impacto, os pesos de composição entre domínios e quais frameworks aparecem na leitura de aderência.
Mudar vale daqui para frente
Alterações valem para os cálculos seguintes. Avaliações já concluídas guardam o resultado que tinham quando foram fechadas — o que preserva a comparabilidade histórica, mas também significa que uma mudança de régua não reescreve o passado.
O que não é configurável, e por quê
Algumas coisas são fixas de propósito, e vale conhecer o critério: não é configurável aquilo cuja configuração permitiria melhorar o número sem melhorar a realidade.
O exemplo mais claro é o piso de ameaça no risco cibernético. Se ele pudesse ser ajustado, bastaria configurá-lo em zero para a regra de que "ameaça tratada não vira ausência de ameaça" morrer por parâmetro, sem ninguém precisar revogá-la.
Piso também não se confunde com apetite. Apetite tem casa própria — a configuração de apetite, as alçadas de aprovação e a carta de risco. Misturar os dois é o caminho por onde se ajusta o parâmetro em vez de tratar o risco.