Pesquisar conteúdos

Encontre uma trilha ou aula pelo assunto.

Experimente pesquisar por “governança”, “ITIL” ou “planejamento”.

Conteúdo da trilha

COBIT

Conheça a estrutura do COBIT e como adaptar seus objetivos e componentes ao contexto da organização.
Governança6 de 1014 min de leitura

O que é COBIT

COBIT é um framework da ISACA para a governança e a gestão da informação e da tecnologia nas organizações. Ele oferece uma linguagem comum para relacionar necessidades das partes interessadas, objetivos organizacionais, prioridades de tecnologia, práticas, responsabilidades, informações e formas de avaliar desempenho.

A versão apresentada nesta aula é o COBIT 2019, lançada em 2018 e mantida pela ISACA como a base atual do framework. O nome permanece COBIT; a antiga expansão “Control Objectives for Information and Related Technologies” ajuda a compreender sua origem, mas o escopo evoluiu além de objetivos de controle e auditoria.

COBIT não é uma norma de certificação organizacional, uma metodologia de projetos, uma arquitetura técnica ou um manual de configuração. Ele ajuda a organizar o que precisa ser governado e gerenciado e como os diferentes elementos se relacionam. Práticas especializadas — como segurança, gestão de serviços ou desenvolvimento de software — podem ser integradas ao sistema.

Qual problema o COBIT ajuda a resolver

Organizações dependem de tecnologia, mas frequentemente tratam estratégia, riscos, serviços, segurança, projetos, dados e fornecedores em iniciativas separadas. Isso cria lacunas de responsabilidade, objetivos conflitantes e métricas que não mostram se a tecnologia está gerando valor.

O COBIT oferece um modelo integrado para perguntas como:

  • quais necessidades das partes interessadas devem orientar a tecnologia?
  • quais objetivos organizacionais e de alinhamento são prioritários?
  • quem governa e quem gerencia cada assunto?
  • quais processos e outros componentes precisam funcionar juntos?
  • qual nível de capacidade é necessário, em vez de buscar maturidade máxima em tudo?
  • como combinar o framework com normas, regulações e práticas já adotadas?

Da necessidade aos objetivos

O COBIT usa uma cascata de objetivos para preservar a ligação entre o que importa para as partes interessadas e o que precisa receber atenção na governança e na gestão. Em termos simplificados, necessidades e direcionadores conduzem a objetivos empresariais; esses objetivos orientam objetivos de alinhamento entre negócio, informação e tecnologia; por fim, são priorizados objetivos de governança e gestão.

Cascata simplificada que conecta necessidades das partes interessadas, objetivos organizacionais, objetivos de alinhamento e objetivos de governança e gestão
A cascata evita começar por processos ou controles isolados: prioridades do sistema devem conservar ligação com necessidades e objetivos.

Imagine que uma organização priorize continuidade de serviços essenciais. Essa decisão pode elevar a importância de objetivos relacionados a risco, disponibilidade, segurança, fornecedores e continuidade. Outra organização, focada em velocidade de inovação, pode priorizar arquitetura adaptável, entrega de soluções, competências e gestão de mudanças. O framework é o mesmo, mas a ênfase muda.

A cascata não substitui análise. Relações sugeridas pelo COBIT são pontos de partida e precisam ser validadas conforme estratégia, planejamento de TI e realidade operacional.

Os cinco domínios do modelo central

O modelo central do COBIT 2019 contém 40 objetivos de governança e gestão, agrupados em cinco domínios. As siglas vêm dos nomes em inglês.

EDM — Evaluate, Direct and Monitor

Reúne objetivos de governança: avaliar opções e necessidades, direcionar prioridades e monitorar desempenho e conformidade. Ele se conecta ao ciclo explicado em Governança de TI.

APO — Align, Plan and Organize

Abrange alinhamento, estratégia, arquitetura, inovação, orçamento, pessoas, relacionamentos, fornecedores, riscos, segurança e dados. Ele prepara e organiza as condições para a execução.

BAI — Build, Acquire and Implement

Trata da definição, aquisição e implementação de soluções, incluindo programas, requisitos, mudanças, conhecimento, ativos e configuração.

DSS — Deliver, Service and Support

Concentra a entrega e o suporte operacional: serviços, solicitações, incidentes, problemas, continuidade, segurança operacional e controles de processos de negócio.

MEA — Monitor, Evaluate and Assess

Reúne monitoramento de desempenho, sistema de controles internos, conformidade e avaliações de asseguração.

Mapa dos cinco domínios do COBIT com EDM na governança e APO, BAI, DSS e MEA na gestão
EDM orienta a governança. APO, BAI, DSS e MEA organizam objetivos de gestão ao longo de planejamento, mudança, operação e avaliação.

Os domínios não representam departamentos nem uma sequência rígida. Uma iniciativa pode depender simultaneamente de objetivos em vários domínios. COBIT descreve cada objetivo com propósito, práticas, atividades, métricas, relações e componentes aplicáveis; a publicação oficial “Governance and Management Objectives” contém o detalhamento completo.

Um sistema é mais do que processos

Um erro comum é reduzir COBIT a uma coleção de processos. O framework define sete componentes que, em conjunto, contribuem para um sistema de governança:

  1. processos: práticas e atividades organizadas para alcançar objetivos;
  2. estruturas organizacionais: entidades e papéis com autoridade decisória;
  3. princípios, políticas e procedimentos: direção traduzida em orientação aplicável;
  4. informação: dados e registros necessários para decidir, executar e demonstrar resultados;
  5. cultura, ética e comportamento: valores e condutas que influenciam o que realmente acontece;
  6. pessoas, habilidades e competências: conhecimento e capacidade humana;
  7. serviços, infraestrutura e aplicações: recursos tecnológicos que sustentam o sistema.

Uma política de segurança, por exemplo, terá pouco efeito se responsabilidades forem vagas, pessoas não possuírem competência, sistemas não suportarem o controle e a cultura recompensar atalhos. O olhar por componentes ajuda a encontrar esse tipo de desequilíbrio.

Sistema com sete componentes interligados ao redor de um objetivo: processos, estruturas, políticas, informação, cultura, pessoas e tecnologia
O objetivo está no centro. Melhorar somente o processo pode falhar quando os demais componentes não sustentam o comportamento esperado.

Por que o COBIT precisa ser adaptado

COBIT 2019 foi concebido para permitir um sistema sob medida. A ISACA chama de fatores de desenho as características que influenciam quais objetivos e componentes merecem prioridade e qual nível de capacidade é adequado.

Entre os fatores estão:

  • estratégia e objetivos empresariais;
  • perfil de riscos e problemas atuais de informação e tecnologia;
  • cenário de ameaças e requisitos de conformidade;
  • papel da tecnologia no modelo de atuação;
  • modelo de fornecimento, como interno, terceirizado ou nuvem;
  • métodos de implementação e estratégia de adoção tecnológica;
  • porte e características da organização.

Se um fator muda — por exemplo, uma nova regulação, aquisição empresarial ou dependência crítica de nuvem — o desenho precisa ser revisto. Essa natureza dinâmica impede que uma implementação seja tratada como projeto concluído para sempre.

Um exemplo de uso do COBIT

Considere uma organização que sofre interrupções recorrentes em um serviço digital terceirizado. O problema inicial parece operacional, mas uma análise ampla pode revelar:

  • responsabilidades pouco claras entre negócio, TI e fornecedor;
  • critérios de risco e continuidade não definidos pela governança;
  • contrato sem métricas ligadas ao serviço crítico;
  • arquitetura com ponto único de falha;
  • incidentes resolvidos sem análise de causas recorrentes;
  • relatórios técnicos que não mostram impacto para usuários.

O COBIT não entrega a configuração técnica da redundância nem o procedimento detalhado do service desk. Ele ajuda a garantir que os objetivos, responsabilidades e componentes necessários sejam considerados e conectados. Para práticas de gestão de serviços, outros referenciais podem complementar o desenho; a trilha apresentará ITIL no módulo seguinte.

Desempenho, capacidade e melhoria

COBIT inclui gestão de desempenho para avaliar como os componentes e o sistema contribuem com os objetivos. Para processos, níveis de capacidade de 0 a 5 ajudam a representar desde ausência ou execução incompleta até práticas quantitativamente controladas e continuamente melhoradas.

O nível-alvo deve responder à importância do processo e ao contexto. Um processo ligado a serviço crítico e alto risco pode exigir capacidade maior que outro de impacto limitado. Avaliação não deve ser uma disputa por pontuação: seu valor está em identificar lacunas relevantes e orientar melhorias proporcionais.

Uma adoção responsável pode seguir esta lógica:

  1. compreender contexto, objetivos, riscos e problemas;
  2. definir escopo inicial e resultados esperados;
  3. usar fatores de desenho para ajustar prioridades;
  4. avaliar capacidades e componentes existentes;
  5. planejar melhorias em ondas viáveis;
  6. medir resultados, aprender e revisar o sistema.

COBIT, controles e compliance

COBIT pode apoiar controles, auditorias e integração com requisitos, mas não transforma automaticamente a organização em “compliant”. É necessário identificar obrigações aplicáveis, interpretar requisitos no contexto, desenhar controles, atribuir responsáveis e produzir evidências. Esse fluxo pertence ao conteúdo de Compliance em TI.

Também é inadequado afirmar genericamente que uma organização é “certificada em COBIT”. A ISACA oferece certificações individuais e formação sobre o framework; COBIT não funciona como uma norma de sistema de gestão que certifica a organização.

O que você deve guardar

COBIT é um framework abrangente para conectar objetivos, governança e gestão da informação e tecnologia. Seu modelo central organiza 40 objetivos em cinco domínios, mas o sistema depende de sete componentes e deve ser ajustado por fatores de desenho. O propósito não é implementar tudo: é escolher e melhorar o que mais contribui para os objetivos e riscos da organização.

Referências