CFO pergunta: "Quanto vamos gastar em segurança e o que isso volta pra empresa?" Se você responde "protege contra vazamento", perdeu. Este é o cálculo que ganha.

Modelo de ROI

ROI de segurança = (custo de incidente evitado × probabilidade) − custo do programa

Simples. Só que a maioria não sabe os números.

Componente 1: custo médio de incidente

Base 2026, empresas brasileiras médias (R$ 10-100M ARR):

• Vazamento de PII (< 100k registros): R$ 400k-1,2M (comunicação, ANPD, retenção, jurídico).
• Vazamento grande (> 500k registros): R$ 3-15M.
• Fraude por conta comprometida: R$ 200k-2M por incidente.
• Downtime por incidente crítico: R$ 50k/hora (varia por setor).
• Perda reputacional: média 6-14% de churn 6 meses após vazamento público.

Componente 2: probabilidade

Base pesquisa Varredura 2026:

• Empresa sem varredura contínua: 34% chance de incidente reportável/ano.
• Empresa com varredura contínua + pentest anual: 11% chance/ano.
• Empresa com programa maduro (SOC 2, pentest, bug bounty): 4% chance/ano.

Componente 3: custo do programa

• Varredura contínua: R$ 3-24k/ano.
• Pentest anual: R$ 30-100k.
• Compliance (SOC 2/ISO): R$ 65-120k inicial + R$ 20-40k/ano manutenção.
• Time interno parcial: R$ 300-450k/ano.

Cálculo exemplo — SaaS B2B (R$ 30M ARR)

Custo médio esperado de incidente pra esse porte: R$ 2,5M.

Cenário A: sem programa

• Prob. incidente/ano: 34%
• Perda esperada: 0,34 × R$ 2,5M = R$ 850k/ano
• Custo do programa: R$ 0
• Total: -R$ 850k/ano

Cenário B: varredura + pentest

• Prob. incidente/ano: 11%
• Perda esperada: 0,11 × R$ 2,5M = R$ 275k/ano
• Custo do programa: R$ 60k/ano (varredura R$ 15k + pentest R$ 45k)
• Total: -R$ 335k/ano
• Ganho: R$ 515k/ano vs A

Cenário C: programa maduro

• Prob. incidente/ano: 4%
• Perda esperada: 0,04 × R$ 2,5M = R$ 100k/ano
• Custo do programa: R$ 400k/ano (com time interno)
• Total: -R$ 500k/ano
• Ganho: R$ 350k/ano vs A

Melhor ROI: cenário B. Investir mais só faz sentido acima de R$ 100M ARR ou em regulado.

As 3 objeções que sempre aparecem

"E se o cálculo estiver errado?"

Rode sensibilidade: mesmo com probabilidade metade da estimada, ROI ainda positivo em B. Mostre a planilha.

"Preferimos ter reserva pra pagar incidente."

Custo de incidente inclui não só multa. Inclui churn, perda de deal enterprise em RFP, perda de talento (dev não trabalha em empresa hackeada), aumento de prêmio de seguro.

"Nunca tivemos incidente."

Selection bias. Empresas que tiveram raramente contam. E o risco cresce com faturamento.

Componente para board — o slide único

Copie e adapte:

INVESTIMENTO ANUAL EM SEGURANÇA: R$ 60k

RISCO EVITADO (esperado): R$ 575k/ano
- 68% redução em prob. de incidente reportável
- Custo médio evitado: R$ 850k

ROI: 9,5x (retorno esperado)

PAYBACK: 1,3 meses (cenário conservador)

COMPARÁVEL: 
- Investimento em SDR: ROI 3-5x
- Investimento em marketing: ROI 2-4x
- Investimento em segurança: ROI 5-15x

O que gestor de segurança faz errado no pitch

• Fala de "compliance" quando deveria falar de "risco financeiro".
• Traz features técnicas quando deveria trazer probabilidade × impacto.
• Não mostra sensibilidade dos números.
• Compara com custo, não com ROI relativo.

TL;DR

• Fórmula: (custo incidente × prob) − custo programa.
• Números de mercado disponíveis, use-os.
• ROI de varredura + pentest tipicamente 5-10x.
• Compare com investimentos comparáveis (SDR, marketing) no slide.

Cálculo em planilha disponível para download em varredura.com.br.