Gestão de ativos de TI: por que inventário não é mais suficiente

Numa empresa média ou grande, a pergunta mais simples de TI costuma ser a mais constrangedora: “o que exatamente a gente tem rodando agora?”. Não é por falta de ferramenta, nem por incompetência do time. É porque o ambiente mudou de natureza. A TI deixou de ser um conjunto de coisas fixas em um lugar fixo para virar uma malha de serviços, dispositivos, identidades, licenças e integrações que se desloca o tempo todo. E, quando o terreno se move, inventário vira fotografia antiga.

No Brasil, esse fenômeno fica ainda mais evidente pela escala. A 36ª Pesquisa do Uso de TI do FGVcia estima 502 milhões de dispositivos digitais em uso no país em junho de 2025, somando computadores e smartphones, uma densidade de 2,4 dispositivos por habitante. A mesma pesquisa indica que, nas empresas pesquisadas, a nuvem responde, em média, por 52% do processamento, e que gasto e investimento em TI chegaram a 10% da receita nas organizações analisadas. Quando o volume cresce e a arquitetura se distribui, o “cadastro de ativos” como tarefa periódica vira um esforço de Sísifo.

É aqui que a gestão de ativos de TI deixa de ser um tema burocrático e passa a ser um assunto de governança, risco e dinheiro. Porque, quando a organização não sabe com precisão o que tem, ela também não sabe onde está exposta, onde está gastando sem retorno, e onde está criando dívida técnica e operacional que vai cobrar juros com o tempo.

O problema não é falta de inventário, é falta de realidade

Inventário é listagem. Gestão é disciplina. Inventário responde “quais ativos existem”; gestão de ativos responde “quais ativos existem, em que estado, com qual dono, com qual risco, com qual custo, com qual vínculo com serviço, dado e identidade, e o que deve acontecer a seguir”. Essa diferença parece semântica, mas na prática é o corte entre uma TI que “registra” e uma TI que “governa”.

A confusão começa quando a empresa acredita que ter uma CMDB, uma planilha patrimonial ou um relatório do endpoint manager significa ter controle. Só que controle não é um documento, é um ciclo. Ativo nasce, muda, se integra, recebe atualização, acumula vulnerabilidade, muda de owner, muda de finalidade, é substituído, é desativado. Em ambientes híbridos, isso acontece em horas, não em trimestres.

Essa distância entre “cadastro” e “chão de fábrica” aparece nas pesquisas globais de forma bem direta. O relatório State of ITAM da Flexera aponta que 53% dos times de TI relatam dificuldade em ganhar ou manter visibilidade completa dos investimentos tecnológicos. No mesmo recorte, o relatório também estima desperdício persistente de gasto em TI na faixa de 20% a 30% em diferentes frentes (desktop, datacenter, IaaS/PaaS, SaaS), além de custos relevantes com auditorias de software.

O ponto não é usar a Flexera como “autoridade final”. É perceber que esse número conversa com o que a gente vê no dia a dia: SaaS se multiplicando por cartão corporativo, contas cloud criadas para projetos e esquecidas, notebooks que trocam de usuário sem ajuste de perfil e política, ativos “zumbis” que continuam consumindo licença e acesso, e integrações que passam a ser tão importantes quanto o próprio aplicativo.

Gestão de ativos de TI como alicerce de segurança e risco operacional

Em segurança, a gestão de ativos é um pré-requisito prático para qualquer promessa mais sofisticada. “Gerir vulnerabilidades”, por exemplo, exige saber quais sistemas existem e onde estão. “Segmentar rede” exige saber quais dispositivos e serviços de fato se comunicam. “Zero Trust” exige mapear identidades, endpoints, aplicações e dados, e suas relações. SOC eficiente exige telemetria, e telemetria exige inventário vivo: o que precisa mandar log, de onde, com qual prioridade, e por quê.

A dor aparece quando o incidente acontece e a empresa descobre, no meio do incêndio, que havia ativos fora do radar. A IBM, no release brasileiro do Cost of a Data Breach 2025, aponta custo médio de violação de dados no Brasil de R$ 7,19 milhões, com phishing como vetor inicial mais frequente no recorte brasileiro (18%), além de exploração de vulnerabilidades (13%) e comprometimento de terceiros/cadeia de suprimentos (15%). A mesma comunicação destaca que complexidade do sistema de segurança adicionou, em média, R$ 725 mil ao custo total.

Esse dado é útil por um motivo específico: ele conecta custo à complexidade. E complexidade, quase sempre, é o nome elegante para falta de visibilidade e falta de integração. Quando não se sabe “o que é ativo e o que é serviço”, a contenção vira caça ao tesouro. Quando não se sabe “quem é dono do quê”, cada ação depende de escalonamento político. Quando não se sabe “qual versão está rodando”, a correção de vulnerabilidade vira uma aposta.

Mesmo sem o incidente, o risco operacional se acumula em silêncio. Patch management fica incompleto, porque existem endpoints fora da política. Hardening vira exceção, porque há sistemas legados que ninguém quer “mexer”. A cada exceção, a superfície de ataque ganha um corredor novo. E a conta aparece do jeito mais simples: mais indisponibilidade, mais ruído de suporte, mais improviso.

Gestão de ativos de TI como governança de custo, contrato e compliance

O desperdício em TI raramente é “má gestão” no sentido moral da palavra. Ele costuma ser consequência de ativos sem governança. Licenças duplicadas por unidades diferentes, contratos renovados por inércia, assinaturas SaaS que continuam rodando para times que já mudaram de ferramenta, cloud dimensionada para pico de projeto que nunca virou produto.

O relatório da Flexera chama atenção para desperdício e para o peso de auditorias de software, incluindo percentuais significativos de organizações que reportaram custos milionários em auditorias ao longo de três anos. Esse tema deveria doer mais no Brasil do que costuma doer, porque aqui a pressão por eficiência convive com ambientes heterogêneos e com uma cultura forte de exceção operacional. Quando a organização não tem visibilidade, ela negocia pior. Quando não tem uso real medido, ela compra por medo. Quando não tem controle de ciclo de vida, ela renova por preguiça.

Compliance também entra nessa conta, e não só LGPD. Inventário de ativos é base para auditorias internas, para controles gerais de TI, para segregação de funções aplicada a sistemas que mudam de dono, para evidência de controle em ambientes regulados. E, em 2025, esse problema ganhou mais um nome que começa a aparecer nas conversas: shadow AI. A IBM destaca que uso não autorizado de ferramentas de IA aumentou custos médios de violações, e observa baixa maturidade de políticas e controles em parte relevante das organizações.

Na prática, a gestão de ativos de TI precisa aprender a tratar não só hardware e software “clássicos”, mas também modelos, ferramentas e integrações de IA como ativos de risco: onde rodam, com quais dados, com quais acessos, com quais logs e com quais contratos.

O que muda quando a gestão vira contínua: integração, automação e dono claro

Quando a empresa acerta gestão de ativos, não é porque encontrou uma “ferramenta perfeita”. É porque desenhou um modelo operacional que fecha o ciclo. Isso exige três coisas que parecem simples, mas costumam falhar.

A primeira é integrar fontes de verdade. Dados de ativos estão espalhados: ITSM, endpoint management, identidade, cloud, rede, procurement, finanças, segurança, inventário patrimonial, MDM. Se cada área tem uma visão parcial e ninguém consolida, a organização vira refém do “me manda o último relatório”.

A segunda é automatizar o que é repetitivo, e reservar o humano para decisão. Descoberta de ativos, reconciliação, detecção de mudança, classificação por criticidade, identificação de proprietário, correlação com serviço, checagem de conformidade. Isso não é glamour, é sobrevivência. O objetivo é que a base seja atualizada por evento, não por campanha.

A terceira é estabelecer propriedade e responsabilidade de forma explícita. Um ativo sem owner é um risco sem dono. E, quando não há dono, a regra real do mundo corporativo é simples: ninguém prioriza.

Existe um ganho colateral muito importante quando esses três pontos se encaixam: ITSM melhora. Incidentes e mudanças deixam de ser tratados como tickets soltos e passam a ser tratados como eventos em cima de serviços e ativos conhecidos. A qualidade do diagnóstico sobe, o tempo de resolução cai, a conversa com o negócio fica mais objetiva. Isso parece “coisa de operação”, mas é um habilitador direto de estratégia, porque reduz o custo invisível de manter a máquina funcionando.

Gestão de ativos de TI como maturidade digital, não como projeto de cadastro

A discussão sobre gestão de ativos costuma fracassar quando é vendida como “arrumação”. Arrumação não compete com projeto de produto, não compete com IA, não compete com ERP, não compete com agenda do board. Agora, quando a gestão de ativos é apresentada como infraestrutura de decisão, o jogo muda.

A pesquisa do FGVcia mostrando nuvem respondendo por mais da metade do processamento nas empresas e o patamar de investimento em TI em relação à receita é um lembrete prático de que tecnologia já não é área de apoio. Se a TI virou estrutura do negócio, então os ativos de TI são parte do patrimônio estratégico, e não itens de almoxarifado.

Esse é o ponto mais negligenciado: gestão de ativos não é o fim, é o começo. É o que permite que segurança seja proativa em vez de reativa. É o que permite que finanças entenda gasto de tecnologia com menos achismo. É o que permite que compras negocie com base em uso. É o que permite que arquitetura tenha mapa, não só intenção. É o que permite que governança funcione sem teatro.

Inventário é necessário, mas não resolve. Ele descreve um mundo que já mudou. A gestão de ativos de TI, quando feita como disciplina contínua, é uma forma de reduzir a distância entre o que a empresa acha que tem e o que ela de fato opera, paga e arrisca. E essa distância, em ambientes híbridos e acelerados, é onde nascem as perdas mais caras: desperdício de licença e cloud, auditorias dolorosas, incidentes que demoram a conter, vulnerabilidades que ninguém viu, responsabilidades que ninguém assumiu.

No fim, a frase é dura, mas é útil: empresa que não domina seus ativos não domina seus riscos, seus custos nem sua estratégia digital. Gestão de ativos é o alicerce silencioso que sustenta todo o resto, inclusive aquilo que costuma ganhar holofote.Gestão de ativos de TI: por que inventário não é mais suficiente