Na análise de riscos sobre os ativos de TI de uma organização, é comum estabelecer níveis de risco para cada ameaça identificada. Também é importante identificar os possíveis tratamentos e seus custos para decidir o que será feito. Nesse contexto, qual alternativa NÃO representa uma opção disponível à gerência para ser utilizada no julgamento sobre o tratamento de riscos?