Orçamento de TI por fase, não por ano: como planejar sem susto

Orçamento de TI por fase significa dividir o ano em ciclos curtos, normalmente trimestrais, e revisar a cada um quais riscos e prioridades merecem verba. O orçamento anual fixo faz o contrário: define uma linha em dezembro e trata tudo o que aparece depois como emergência.

A diferença aparece quando algo quebra em março. No modelo fixo, a empresa aprova às pressas, sem comparar fornecedor. No modelo por fase, o cenário já tinha reserva e dono.

Este texto explica como funciona, por que o modelo anual falha em empresa sem direção técnica e por onde começar.

Por que o orçamento anual de TI falha?

Porque tecnologia não é custo fixo. Aluguel e folha mudam pouco em doze meses. Risco e prioridade de tecnologia mudam o tempo todo.

Três situações comuns mostram o problema:

• Uma vulnerabilidade aparece em março, e o orçamento só reabre em dezembro.
• Um fornecedor comunica reajuste em junho, e a linha do ano já foi comprometida.
• A demanda cresce em setembro e exige mais capacidade do que o planejado em janeiro.

Nos três casos, a empresa tem dois caminhos. Espera a próxima revisão e convive com o risco. Ou aprova uma exceção sob pressão. O segundo caminho é o mais usado, e é o mais caro em decisão: sem tempo, a empresa não cota, não compara e não negocia prazo.

Quanto custa decidir TI na emergência?

Nenhum estudo mede o custo de “decidir sem cotar”. Mas há dados sobre o custo de incidentes, que são o gatilho típico da decisão de emergência.

O relatório Cost of a Data Breach 2026, da IBM, aponta média global de US$ 4,99 milhões por violação de dados, recorde da série. A IBM atribui a alta, em parte, a custos maiores de detecção, escalonamento e perda de negócio. Fonte: IBM, Cost of a Data Breach Report 2026.

No Brasil, a mesma pesquisa registrou média de R$ 7,44 milhões por violação em 2026, contra R$ 7,19 milhões em 2025, segundo a cobertura do Canaltech. O levantamento ouviu 602 organizações no mundo, incluindo 42 no Brasil. A base brasileira é pequena. Leia o número como ordem de grandeza, não como previsão para o seu negócio.

O que o dado sustenta: incidente de segurança é um evento caro e recorrente. O que ele não sustenta: que orçar por fase reduz esse custo. Essa relação é uma lógica de gestão, não um resultado medido pela pesquisa.

Esse padrão tem nome entre quem trabalha com governança: TI reativa. A empresa só olha para tecnologia quando o problema chega ao caixa ou ao cliente. Quem orça por fase inverte a ordem e olha antes.

O que é orçar TI por fase, na prática?

É um processo com três componentes.

1. Separação por categoria. Divida o gasto em três linhas:

• manutenção do que já existe (custo previsível);
• resposta a incidente (imprevisível, mas provisionável);
• investimento em algo novo (planejável com antecedência).

Uma única linha genérica de “TI” esconde para onde o dinheiro vai.

2. Revisão trimestral de prioridade. Todo trimestre, a diretoria revisa três perguntas. O que mudou no risco? O que mudou na necessidade do negócio? O que sai da fila para dar lugar ao que entrou? Trimestral é um ritmo comum: frequente para reagir, leve para não virar burocracia.

3. Reserva para imprevisto conhecido. Nem todo imprevisto é imprevisível. Toda empresa sabe que pode sofrer um incidente de segurança, só não sabe quando. Com reserva definida, o evento deixa de ser “emergência” e vira “o cenário previsto aconteceu”.

Orçar por fase custa mais caro?

Não necessariamente. O total gasto pode ser o mesmo. O que muda é o momento e a qualidade da decisão.

Decisão planejada permite cotar, comparar e negociar. Decisão de emergência costuma aceitar a primeira solução disponível. O ganho do modelo por fase está em pagar um preço justo pela mesma necessidade. Não há garantia de economia: o resultado depende do histórico e da disciplina de cada empresa.

Como o NIST trata governança de risco de TI?

O NIST Cybersecurity Framework 2.0, publicado em fevereiro de 2024, organiza o trabalho de cibersegurança em seis funções: Govern, Identify, Protect, Detect, Respond e Recover. A função Govern é a novidade da versão 2.0. O NIST a descreve com a ideia de que a cibersegurança é uma fonte importante de risco empresarial e deve ser pesada junto com riscos financeiros e de reputação.

O mesmo material afirma que o framework serve a organizações de todos os tipos e portes, de escolas e entidades sem fins lucrativos a grandes corporações. O NIST também publica um guia rápido para pequenas empresas (NIST SP 1300).

Para o decisor, a lição é direta: risco de tecnologia pertence à agenda da liderança. Orçamento é o instrumento que transforma essa agenda em decisão. Orçar por fase é uma forma simples de colocar a governança no calendário.

O que a diretoria deve decidir em cada revisão trimestral?

Leve a reunião com pauta fechada. Cinco perguntas bastam:

• Qual risco mudou desde a última revisão?
• Qual contrato de fornecedor vence ou reajusta no próximo ciclo?
• Quanto da reserva para imprevisto foi usado, e por quê?
• Qual investimento novo entra, e o que sai da fila para abrir espaço?
• Quem responde por cada decisão, e até quando?

Registre as respostas em uma página, com data e responsável. Na revisão seguinte, essa página mostra o que foi decidido, o que andou e o que ficou parado. Sem esse registro, a empresa repete a mesma discussão a cada susto.

Por onde começar se hoje tudo é reativo?

Não implemente tudo de uma vez. Siga cinco passos:

1. Liste os gastos de tecnologia dos últimos 12 meses.
2. Classifique cada gasto em manutenção, incidente ou investimento novo.
3. Veja qual categoria domina. Se for incidente, a operação é reativa.
4. Marque a primeira revisão trimestral e nomeie um responsável por ela.
5. Defina com a diretoria uma reserva inicial para o imprevisto conhecido.

O passo 3 dispensa opinião. A divisão mostra o padrão sozinha. O passo 4 costuma ser o gargalo: sem dono, a revisão não acontece, e o orçamento volta a ser decidido por inércia, a cada vez que algo quebra.

Quem deve conduzir a revisão em empresa sem TI estruturada?

Esse é o ponto fraco da maioria das empresas médias. Elas têm sistemas, fornecedores e dados, mas ninguém com mandato para ligar risco, prioridade e custo. O resultado é o padrão descrito acima: o orçamento vira reação.

A Direção de Tecnologia resolve exatamente essa lacuna. É um Head de TI terceirizado que assume a camada de decisão: mapeia riscos, define prioridades, acompanha custos, cuida do roadmap, avalia fornecedores e leva as decisões à diretoria, com execução delegada a quem faz. No ciclo trimestral, ele prepara o que a diretoria precisa decidir e registra o que ficou combinado.

O diagnóstico do ambiente é uma fase incluída no onboarding, depois da contratação. Não é um produto separado. Ele dá ao Head a base para montar o primeiro orçamento por fase com dados da própria empresa.

Se a sua empresa decide tecnologia somente quando algo quebra, o próximo passo é conversar sobre a Direção de Tecnologia. Na conversa, você descreve como as decisões de TI acontecem hoje e vê se o modelo faz sentido para o seu caso.