ROI = (benefício direto − custo anual) ÷ custo anual. O benefício representa tempo de Engenharia recuperado; não é dinheiro em caixa. Estimativa de planejamento, não garantia de retorno.
- Saldo direto antes do bônus
- —
- Tempo dos Champions
- —
- Treinamentos e incentivos
- —
- Coordenação de Segurança
- —
- Outros custos anuais
- —
- Economia anual em pentest e auditoria
- —
- Capacidade recuperada em releases
- —
- Risco de incidente reduzido (valor esperado)
- —
- Total de benefícios indiretos
- —
- Orçamento separado para bônus
- —
- Investimento total após bônus
- —
- Saldo direto depois do bônus
- —
- ROI direto depois do bônus
- —
- Saldo total depois do bônus (direto + indiretos)
- —
- ROI combinado depois do bônus
- —
- Bônus médio por Champion, se dividido igualmente
- —
Exemplo de simulação: 10 Champions, 10% de dedicação, remuneração de R$ 25.000 por pessoa/mês e R$ 100.000 de gastos extras resultam em R$ 400.000 de investimento anual. Com histórico de 2.000 correções/ano, redução simulada de 20% e 8 h por correção, o custo-hora derivado de aproximadamente R$ 144,23 resulta em R$ 461.538 de capacidade recuperada e ROI de 15,4%. São hipóteses editáveis, não referências de mercado.
Benefício direto: vulnerabilidades corrigidas no último ano × redução simulada × horas de trabalho por correção × custo-hora calculado. A redução percentual é dividida por 100 no cálculo.
Custo anual: tempo dos Champions + treinamento e incentivos + coordenação de Segurança + outros custos informados. O investimento mensal é a média do custo anual dividida por 12.
Risco de incidente: (probabilidade anual antes − probabilidade anual depois) × impacto estimado. A diferença é valor esperado e só entra no cenário de benefícios indiretos, nunca no ROI direto.
Benefícios indiretos: economia declarada em pentest/auditoria + horas de bloqueio de releases × custo-hora de Engenharia + redução esperada de perda por incidente. Não inclua o mesmo gasto ou as mesmas horas duas vezes.
Pentest e auditoria: informe apenas gastos externos ou retrabalho evitado que não esteja contado nas horas diretas. Releases: horas de bloqueio evitadas × custo-hora de Engenharia; não inclui receita antecipada.
Bônus: opcional e separado do ROI direto. Se já estiver contabilizado no custo anual, use a opção correspondente para não somá-lo duas vezes.
Métricas para acompanhar a cada trimestre
Defina a linha de base antes de começar e compare o mesmo escopo a cada trimestre:
- MTTR: de 8 para 5 dias = redução de 37,5% (aproximadamente 38%).
- Risco ponderado: acompanhe a tendência usando a mesma regra de priorização.
- SLAs: percentual de achados corrigidos dentro do prazo.
- Classes de bugs: ocorrências por classe, como controle de acesso ou injeção.
- OWASP SAMM: repita o assessment com o mesmo escopo e método.
- Pentest, auditoria e releases: acompanhe achados recorrentes, custos evitados e horas de bloqueio no mesmo período.
