O que aprendi
'Risco zero' não é orçamento. A pergunta útil é que perdas o negócio suporta, por quanto tempo e quais obrigações não podem ser comprometidas.
O que eu faria
Eu ligaria cada cenário relevante ao impacto operacional, a uma faixa de perdas, a um objetivo de recuperação e ao custo de reduzir a exposição. Finanças e segurança escolheriam o limite juntos.