Project Creator + Billing Account Administrator

Project Creator é a role de rotina para quem abre projetos; ela deliberadamente não inclui vincular faturamento. Billing Account Administrator inclui. A soma cria o ciclo requisitar/aprovar dentro de uma pessoa: o projeto nasce, é vinculado e começa a consumir sem que ninguém tenha autorizado a despesa.

Consumo não orçado que só aparece na fatura consolidada, e projetos sem dono financeiro claro — o padrão mais comum de desperdício em GCP.

• Conceder Billing Account User (que permite vincular a uma conta específica) em vez de Billing Account Administrator para o fluxo de criação.
• Exigir label de centro de custo em todo projeto novo, validado por organization policy.
• Segregar criação de projeto de administração de faturamento.
• Revisar mensalmente projetos criados e seu consumo contra o orçamento aprovado.

• https://cloud.google.com/billing/docs/how-to/billing-access