16. Riscos e controles

Risco	Possível impacto	Controle recomendado
Indisponibilidade de sistemas críticos	Paralisação de atividades, atrasos, perda de produtividade e impacto operacional.	Monitoramento, suporte prioritário, plano de contingência e análise de incidentes.
Acesso indevido a dados ou sistemas	Vazamento de informação, uso inadequado, fraude ou descumprimento legal/contratual.	Controle de acessos, revisão periódica, segregação de perfis e bloqueio em desligamentos.
Perda de dados	Retrabalho, indisponibilidade, perda de evidências e impacto na continuidade.	Backup, teste de restauração, armazenamento seguro e gestão de permissões.
Equipamentos sem controle ou manutenção	Falhas recorrentes, custos elevados, perda de ativos e baixa disponibilidade.	Inventário, histórico de manutenção, termo de entrega/devolução e ciclo de renovação.
Instalação de software não autorizado	Risco de malware, não conformidade de licença e instabilidade dos equipamentos.	Bloqueio de instalação, validação pela TI e controle de licenças.
Incidentes recorrentes sem causa tratada	Reincidência, baixa satisfação do usuário e sobrecarga da equipe de TI.	Análise de causa, plano de ação, base de conhecimento e melhoria preventiva.
Mudanças não controladas	Falhas, indisponibilidade, perda de configuração e impacto em usuários.	Gestão de mudanças com análise de risco, aprovação, teste e comunicação.
Fornecedores de TI sem desempenho adequado	Atrasos, baixa qualidade de suporte e exposição a riscos contratuais.	SLAs, avaliação de fornecedor, registro de não conformidades e plano de ação.