No cenário empresarial atual, a Tecnologia da Informação (TI) deixou de ser um mero suporte operacional para se tornar um pilar estratégico, impulsionando a inovação, a eficiência e a competitividade. No entanto, com essa crescente importância, surgem desafios complexos. Por exemplo, como garantir que os investimentos em TI gerem valor real para o negócio? Além disso, como gerenciar os riscos inerentes à tecnologia e otimizar o uso dos recursos? É justamente aqui que o COBIT 5 entra em cena, apresentando-se, portanto, como uma estrutura de governança e gestão de TI que se tornou referência global.
Se você já ouviu falar em COBIT e pensou que era um universo restrito a especialistas de TI, prepare-se para desmistificar essa ideia. Para tanto, elaboramos cuidadosamente este guia para oferecer uma visão clara e acessível do COBIT 5. Nosso objetivo é mostrar, assim sendo, como ele pode ser um aliado poderoso para qualquer organização que busca alinhar a TI aos seus objetivos de negócio, criando valor de forma sustentável e equilibrada.
1) COBIT 5: A Ponte entre TI e Estratégia de Negócios
O COBIT (Control Objectives for Information and related Technology) é, sem dúvida, em sua essência, um dos modelos que as organizações mais aceitam para a governança e controle de TI. Sua concepção visou, primordialmente, integrar e harmonizar as melhores práticas e padrões de TI existentes em uma estrutura abrangente, com o propósito de, finalmente, alcançar padrões de governança aceitos internacionalmente.
Assim sendo, em vez de focar na implementação de controles específicos, o COBIT 5 adota uma abordagem holística. Ele, portanto, parte dos requisitos estratégicos da organização para abranger toda a gama de atividades de TI. Dessa forma, atua como uma ponte vital, garantindo que a TI não opere em um vácuo, mas sim em total sintonia com a visão e os objetivos corporativos. Adicionalmente, sua flexibilidade permite que ele se integre perfeitamente a outros padrões e frameworks, como ITIL, ISO 27001 e PMBOK, potencializando os resultados e garantindo níveis definidos de controle.
2) Os 5 Princípios Fundamentais do COBIT 5: A Base da Governança Eficaz
Cinco princípios-chave estruturam o COBIT 5, e estes, por conseguinte, formam a espinha dorsal de um framework de governança e gestão de TI corporativa verdadeiramente eficaz. Portanto, eles servem como a bússola que orienta as organizações na otimização de seus investimentos em tecnologia e informação, sempre visando o benefício das partes interessadas.
- Atender às Necessidades das Partes Interessadas: O COBIT 5 reconhece que a TI deve gerar valor para todos os stakeholders, desde acionistas e clientes até colaboradores e reguladores. Este princípio, consequentemente, garante o alinhamento das decisões de TI com as expectativas e requisitos de cada grupo.
. - Cobrir a Organização de Ponta a Ponta: A governança de TI não é um departamento isolado. Pelo contrário, o COBIT 5 estende sua abrangência a todas as funções e processos da organização, integrando a TI ao contexto corporativo mais amplo.
. - Aplicar um Framework Único e Integrado: Em vez de múltiplas abordagens fragmentadas, o COBIT 5 oferece um modelo coeso que unifica as práticas de governança e gestão de TI, o que, por sua vez, simplifica a complexidade e promove a consistência.
.. - Permitir uma Abordagem Holística: Este princípio, por sua vez, enfatiza a importância de considerar todos os “habilitadores” (pessoas, processos, cultura, infraestrutura, informações, serviços e aplicações) para que a governança de TI seja completa e eficaz.
. - Distinguir a Governança da Gestão: O COBIT 5 faz uma distinção clara entre governança (avaliar, direcionar e monitorar) e gestão (planejar, construir, executar e monitorar), desse modo, garantindo que cada nível tenha suas responsabilidades e foco bem definidos.
3) Os Objetivos Estratégicos do COBIT 5: Criando Valor com a TI
Com base nesses princípios, o COBIT 5 persegue objetivos claros e tangíveis para as organizações. Em primeiro lugar, ele busca otimizar o valor da TI. Para tanto, oferece um framework abrangente que auxilia as organizações a maximizar o retorno sobre seus investimentos em TI. Em segundo lugar, visa à governança e gestão holística. Isso significa que permite a governança e gestão holística da TI para toda a organização. Finalmente, busca criar uma linguagem comum, facilitando a comunicação e o alinhamento estratégico entre as áreas de TI e de negócios.
4) COBIT em Ação: Quem se Beneficia?
A beleza do COBIT reside em sua versatilidade. Isso ocorre porque, nós o projetamos meticulosamente para ser uma ferramenta valiosa em diferentes níveis de gerenciamento, adaptando-se às necessidades e capacidades específicas de cada organização.
- Alta Gerência e Executivos: Utilizam o COBIT para assegurar que os investimentos significativos em TI gerem o valor esperado, equilibrando adequadamente os riscos e os controles.
. - Gerenciamento Operacional: Encontra no COBIT um facilitador para garantir a gestão e o controle apropriados e eficientes dos serviços de TI, sejam eles internos ou externos.
. - Gerenciamento de TI: Emprega o COBIT como uma ferramenta operacional para assegurar que a estratégia de negócios suporte de maneira controlada e gerenciada de forma adequada o fornecimento de serviços de TI.
. - Auditores de Sistemas de Informação (SI): Beneficiam-se do COBIT para avaliar a adequação dos controles, projetar testes eficazes e fornecer à administração aconselhamento preciso sobre o sistema de controles internos da companhia.
Em suma, o COBIT 5 é um guia dinâmico, baseado em pesquisas contínuas das melhores práticas em diversos ambientes de TI. Sua abrangência, por exemplo, que cobre todos os aspectos da governança de TI (diferente de outros padrões mais específicos, como os focados apenas em segurança da informação), e seu alinhamento com princípios de boa governança corporativa o tornam intrinsecamente aceitável para diversas camadas de gestão e para os órgãos reguladores.
5) A Estrutura do COBIT 5: Domínios e Processos Detalhados
O coração do COBIT 5 é seu Modelo de Referência de Processos, que, por sua vez, organiza as atividades de TI em áreas de governança e gestão. Juntas, essas áreas contêm um total de 5 domínios, cada um com um nome de três letras, e 37 processos de TI.
5.1) Processos de Governança: Avaliar, Dirigir e Monitorar (EDM)
O Papel Estratégico do Domínio EDM na Governança de TI
Este domínio, a espinha dorsal da governança de TI, dita as responsabilidades da alta direção na avaliação, direcionamento e monitoramento do uso dos ativos de TI para a criação de valor. Além disso, ele abrange a definição do framework de governança, o estabelecimento de critérios para valor (investimento), risco (apetite ao risco) e recursos (otimização), bem como a garantia da transparência da TI para os stakeholders.
Os 5 processos deste domínio são:
- EDM01 – Garantir a Definição e Manutenção do Framework de Governança: Estabelece a estrutura e as responsabilidades para a governança de TI.
. - EDM02 – Garantir a Realização de Benefícios: Assegura que a TI entregue o valor esperado e os benefícios prometidos.
. - EDM03 – Garantir a Otimização de Riscos: Gerencia e mitiga os riscos de TI para proteger o valor da organização.
. - EDM04 – Garantir a Otimização de Recursos: Otimiza o uso dos recursos de TI, como pessoas, infraestrutura e aplicações.
. - EDM05 – Garantir Transparência para as Partes Interessadas: Assegura que os stakeholders tenham visibilidade sobre o desempenho e os riscos da TI.
5.2) Processos de Gestão: Alinhar, Planejar e Organizar (APO)
Alinhando a TI aos Objetivos Corporativos com APO
O domínio APO foca em como a TI pode contribuir da melhor forma para os objetivos corporativos. Nesse sentido, ele aborda a estratégia e táticas de TI, arquitetura corporativa, inovação, gerenciamento de portfólio, orçamento, qualidade, riscos e segurança.
Os 13 processos deste domínio incluem:
- APO01 – Gerenciar a Estrutura de Gestão de TI: Define e mantém a estrutura organizacional para a gestão de TI.
. - APO02 – Gerenciar a Estratégia: Desenvolve e mantém a estratégia de TI alinhada aos objetivos de negócio.
. - APO03 – Gerenciar a Arquitetura da Organização: Garante a consistência e a integração da arquitetura de TI.
. - APO04 – Gerenciar a Inovação: Identifica e explora novas tecnologias e oportunidades.
. - APO05 – Gerenciar o Portfólio: Otimiza o portfólio de investimentos em TI.
. - APO06 – Gerenciar Orçamento e Custos: Controla os gastos e o orçamento de TI.
. - APO07 – Gerenciar Recursos Humanos: Garante que a TI tenha as pessoas certas com as habilidades necessárias.
. - APO08 – Gerenciar Relacionamentos: Mantém uma comunicação eficaz com as partes interessadas.
. - APO09 – Gerenciar Contratos de Prestação de Serviços: Gerencia os acordos com provedores de serviços de TI.
. - APO10 – Gerenciar Fornecedores: Supervisiona e otimiza o desempenho dos fornecedores de TI.
. - APO11 – Gerenciar Qualidade: Assegura a qualidade dos produtos e serviços de TI.
. - APO12 – Gerenciar Riscos: Identifica, avalia e trata os riscos de TI.
. - APO13 – Gerenciar Segurança: Protege os ativos de informação da organização.
5.3) Processos de Gestão: Construir, Adquirir e Implementar (BAI)
Transformando a Estratégia em Realidade com BAI
O domínio BAI transforma a estratégia de TI em realidade, identificando os requisitos, gerenciando programas e projetos, e implementando soluções. Além disso, ele aborda o gerenciamento de disponibilidade, capacidade, mudanças organizacionais e de TI, aceitação e transição, bem como o gerenciamento de ativos, configuração e conhecimento.
Os 10 processos deste domínio são:
- BAI01 – Gerenciar Programas e Projetos: Planeja, executa e monitora projetos de TI.
. - BAI02 – Gerenciar Definição de Requisitos: Garante que os requisitos de negócio sejam claramente definidos para as soluções de TI.
. - BAI03 – Gerenciar Identificação e Desenvolvimento de Soluções: Desenvolve ou adquire soluções de TI que atendam aos requisitos.
. - BAI04 – Gerenciar Disponibilidade e Capacidade: Garante que a infraestrutura de TI esteja disponível e com capacidade adequada.
. - BAI05 – Gerenciar Capacidade de Mudança Organizacional: Prepara a organização para as mudanças introduzidas pela TI.
. - BAI06 – Gerenciar Mudanças: Controla e coordena as mudanças nos sistemas e serviços de TI.
. - BAI07 – Gerenciar Aceitação e Transição de Mudança: Garante que as novas soluções sejam aceitas e implementadas com sucesso.
. - BAI08 – Gerenciar Conhecimento: Captura, armazena e compartilha o conhecimento de TI.
. - BAI09 – Gerenciar Ativos: Controla e otimiza os ativos de TI ao longo de seu ciclo de vida.
. - BAI10 – Gerenciar Configuração: Mantém informações precisas sobre os componentes da infraestrutura de TI.
5.4) Processos de Gestão: Entregar, Serviços e Suporte (DSS)
Garantindo a Entrega e o Suporte dos Serviços de TI com DSS
O domínio DSS é o responsável pela entrega dos serviços de TI necessários para atender aos planos táticos e estratégicos. Para tanto, ele inclui processos para gerenciar operações, requisições de serviços, incidentes, problemas, continuidade, serviços de segurança e controle de processos de negócio.
Os 6 processos deste domínio são:
- DSS01 – Gerenciar as Operações: Garante a execução diária e eficiente dos serviços de TI.
. - DSS02 – Gerenciar Solicitação de Serviços e Incidentes: Lida com as requisições dos usuários e resolve interrupções nos serviços.
. - DSS03 – Gerenciar Problemas: Identifica e resolve as causas-raiz dos incidentes.
. - DSS04 – Gerenciar Continuidade: Garante a resiliência dos serviços de TI em caso de desastres.
. - DSS05 – Gerenciar Serviços de Segurança: Protege os serviços de TI contra ameaças de segurança.
. - DSS06 – Gerenciar os Controles de Processos de Negócio: Assegura que os controles de TI suportem os processos de negócio.
5.5) Processos de Gestão: Monitorar, Avaliar e Analisar (MEA)
Monitoramento Contínuo e Avaliação com MEA
O domínio MEA visa monitorar o desempenho dos processos de TI, avaliando a conformidade com os objetivos internos e os requisitos externos. Em outras palavras, esta é a etapa de verificação e ajuste contínuo.
Os 3 processos deste domínio são:
- MEA01 – Monitorar, Avaliar e Analisar o Desempenho e Conformidade: Acompanha o desempenho dos processos de TI e a conformidade com as políticas.
. - MEA02 – Monitorar, Avaliar e Analisar o Sistema de Controle Interno: Avalia a eficácia dos controles internos de TI.
. - MEA03 – Monitorar, Avaliar e Analisar a Conformidade com Requisitos Externos: Garante que a TI esteja em conformidade com leis, regulamentos e padrões externos.
Para um aprofundamento ainda maior em cada um desses processos, a publicação complementar COBIT 5: Enabling Processes é uma referência indispensável.
6) Medindo o Sucesso: Os Níveis de Capacidade do COBIT 5
Para avaliar a maturidade e a eficácia dos processos de TI, o COBIT 5 introduz 6 níveis de capacidade, que variam de 0 a 5. Assim sendo, esses níveis, por sua vez, fornecem uma escala clara para medir o quão bem um processo é executado e gerenciado, permitindo que as organizações identifiquem pontos fortes e áreas para melhoria contínua.
- Nível 0 – Processo Incompleto: O processo não atinge seu objetivo ou não é implementado.
. - Nível 1 – Processo Executado: A organização implementa o processo e ele atinge seu objetivo.
. - Nível 2 – Processo Gerenciado: A organização planeja, monitora e ajusta o processo.
. - Nível 3 – Processo Estabelecido: A organização define, documenta e implementa o processo de forma consistente.
. - Nível 4 – Processo Previsível: A organização executa o processo dentro de limites definidos, com medições e controle quantitativos.
. - Nível 5 – Processo Otimizado: A organização aprimora continuamente o processo para atender aos objetivos de negócio atuais e futuros.
É crucial entender que as organizações alcançam cada nível de capacidade somente após a plena realização do nível anterior. Por exemplo, para atingir o Nível 3 (Processo Estabelecido), é fundamental que os atributos de processo do Nível 2 (Processo Gerenciado) já estejam amplamente consolidados. Essas métricas, portanto, são ferramentas poderosas para a administração e auditores, visto que facilitam o julgamento do grau de conformidade e maturidade que a organização alcança em cada processo de TI.
7) Considerações Finais: COBIT 5 – Mais que um Framework, um Aliado Estratégico para a Governança de TI
O COBIT 5 transcende a ideia de ser apenas um conjunto de diretrizes; na verdade, ele é um parceiro estratégico para qualquer organização que almeja maximizar o valor de sua TI, gerenciar riscos de forma proativa e otimizar seus recursos. Ele se baseia no entendimento de que a TI é responsável pelo design e pela implementação de controles automatizados, guiados pelas necessidades de negócio especificadas pelos proprietários dos processos. Os controles gerais de TI, por sua vez, são responsabilidade direta da função de TI, e o framework os cobre integralmente.
Como você pode perceber, o universo da governança de TI com o COBIT é vasto e fascinante. Esta publicação, no entanto, é um ponto de partida para desvendar sua riqueza, contudo, há ainda muito a explorar. Tópicos como o Modelo de Capacidade de Processo do COBIT 5 em maior profundidade, o COBIT For Risks, as fases do ciclo de vida da implementação, o mapeamento entre objetivos corporativos e de TI, a correlação com outros padrões e a descrição detalhada dos habilitadores são apenas algumas das avenidas que podemos percorrer em futuras discussões.
Sua jornada para uma governança de TI mais robusta e alinhada aos negócios começa aqui.