Governança de TI: Evolução, Desafios e Frameworks

Evolução e Desafios da TI no Negócio

De Provedor de Serviços a Parceiro Estratégico

Provedor de Serviços

• A TI busca eficiência
• Os orçamentos são baseados em benchmarks externos
• A TI atua independente do negócio
• A TI é vista como uma despesa a ser controlada
• Os gerentes de TI são técnicos

Parceiro Estratégico

• A TI busca o crescimento do negócio
• Os orçamentos são baseados na estratégia do negócio
• A TI é inseparável do negócio
• A TI é vista como um investimento a ser gerenciado
• Os gerentes de TI são solucionadores de problemas de negócio

Frameworks e Padrões de Gestão de TI

Marcos Históricos e Modelos Relevantes

IBM - ISMA (*Information Systems Management Architecture*) - Modelo de processo criado pela IBM em 1980 para gestão de computadores.

HP - ITSM (*Information Technology Service Management*) - Framework da HP que foi baseado na ITIL para gestão de serviços da HP, para atender provedores de serviços e parceiros da HP.

ITIL V2 - Versão 2 da ITIL lançada em 2000.

BSI CODE - Código de Prática da BSI para o Gerenciamento de Serviços de TI (antiga BS 15000).

Desafios da TI: Alinhamento, Complexidade e Riscos

Com o aumento da sua importância para a organização, a TI passou a ter os seguintes desafios:

• Alinhar os serviços com as necessidades atuais e futuras do negócio;
• Conviver com ambientes cada vez mais complexos;
• O Negócio depender de TI;
• Reduzir custos e riscos;
• Justificar retorno sobre os investimentos em TI;
• Manter conformidade com leis e regulamentos;
• Garantir a segurança das informações; etc.

Alinhamento com o Negócio

Razões pela falta de alinhamento da TI com o negócio:

• Falta de definição dos requisitos de negócio;
• Falta de definição de prioridades;
• Complexidade dos projetos;
• Falta de comprometimento da alta direção;
• Problemas de comunicação entre o negócio e a TI;
• Falta de recursos humanos e financeiros;
• Lideranças de TI ainda despreparadas para compreender seu papel e atuar estrategicamente.

Complexidade dos Ambientes de TI

Por que os ambientes de TI estão cada vez mais complexos?

• Número maior de sistemas para cada negócio da empresa;
• Novas tecnologias criando uma infraestrutura de TI mais complexa;
• Necessidade de treinamento contínuo para manter a equipe atualizada;
• Empresas globalizadas com várias filiais em diversos países, com infraestrutura de TI para cada uma;
• Aumento da quantidade de prestadores de serviços, exigindo maior controle sobre os contratos; etc.

Impacto da Parada da TI

Se a TI parar pode, por exemplo, resultar nos seguintes problemas:

• Redução de vendas e atraso nas entregas com a parada do sistema de emissão de pedidos e de notas fiscais;
• Produção que depende de sistemas inoperantes;
• Pessoal administrativo impossibilitado de executar suas tarefas;
• Clientes sem acesso a informações;
• Impacto negativo da imagem da empresa no mercado.

Riscos nas Operações de TI

Motivos que geram riscos às operações de TI:

• Falta de gestão financeira, contabilização dos custos de TI e avaliação do retorno após os investimentos;
• Falta de gestão de mudanças, avaliação de impactos e custos relacionados;
• Falta de gestão de projetos, resultando em atrasos e custos não previstos;
• Falta de gestão de contratos com fornecedores;
• Falta de hardware e software adequados;
• Falta de desenvolvimento das competências necessárias;
• Falta de recursos humanos;

E mesmo assim a TI tem que fornecer os serviços necessários garantindo a redução de custos e riscos.

* ITIL define as "melhores práticas" para processos e procedimentos.

* A *ISO 20000-1* especifica vários processos de gestão de serviços relacionados, identifica as relações existentes entre eles e como essas relações dependem da sua aplicação dentro de uma organização. Também especifica objetivos e controles para permitir que uma organização entregue serviços gerenciados.

Governança de TI, Conformidade e Regulamentação

Problemas em Projetos de TI

Principais problemas relacionados aos projetos de TI mal gerenciados:

• Falha na definição do escopo e requisitos do projeto devido à falta de alinhamento com os envolvidos;
• Atraso na entrega devido ao mau dimensionamento de tempo e recursos necessários;
• Falta de Gerenciamento de Projetos e planejamento inadequado.

Conformidade com Leis e Regulamentos

A implementação de uma governança de TI ajuda a atender a governança corporativa em relação às leis e regulamentos que estão relacionados com a TI e a empresa.

A Governança de TI deve ter como foco de atuação atender aos requisitos destas leis e regulamentos aos quais a empresa está sujeita.

Legislações, Órgãos e Padrões Chave

Legislações: *Basiléia II*, *Sarbanes-Oxley*, *IAS/IFRS* - normas contábeis internacionais publicadas pelo IASB (*International Accounting Standards Board*).

Órgãos reguladores: SEC, BACEN, CVM.

Padrões: *ISO 27001*, *ISO 17799*, *ISO 20000-1*, *ISO 9001*.

Outros: leis, requerimentos de mercado, etc.

Órgãos Reguladores: BACEN, CVM, SEC

BACEN

O Banco Central do Brasil ou Bacen é autarquia federal integrante do Sistema Financeiro Nacional, vinculada ao Ministério da Fazenda do Brasil. Assim como os outros bancos centrais do mundo, o brasileiro é a autoridade monetária principal do país, tendo recebido essa competência de três instituições diferentes: a Superintendência da Moeda e do Crédito (SUMOC), o Banco do Brasil e o Tesouro Nacional.

CVM

A Comissão de Valores Mobiliários (CVM) é uma autarquia vinculada ao Ministério da Fazenda do Brasil que, juntamente com a Lei das Sociedades por Ações, disciplinou o funcionamento do mercado de valores mobiliários e a atuação de seus protagonistas.

SEC - US Securities and Exchange Commission, é responsável por proteger investidores, facilitar a formação de capital, manter a estabilidade dos mercados, etc.

Catástrofes Financeiras e Respostas

Catástrofes financeiras:

• 1975 – Quebra dos bancos Herstatt da Alemanha e Franklin National de Nova York
• 1975 – Formação do Comitê da Basiléia
• 1993 – Bank of Credit and Commerce International faliu em meio a escândalos de fraude e lavagem de dinheiro
• 1995 – Barings faliu depois de 233 anos de existência
• 1997 – Comitê da Basiléia edita os 25 princípios: Instituição de Controles Internos
• 1995/98 – Askin Capital, Orange County, Chemical Bank, entre outros
• 1998 – Comitê da Basiléia edita mais 13 Princípios: Gestão de Riscos
• 1998 – Resolução Bacen 2.554 – Controles Internos e Lei 9.613 para prevenir lavagem de dinheiro
• 2001 – Enron – 7ª maior empresa dos EUA faliu e a WorldCom demitiu 20.000 funcionários
• 2002 – SEC edita a Lei Sarbanes-Oxley
• 2003 – Resolução 3.081 – Bacen – responsabilidades dos administradores

Princípios Essenciais do Comitê da Basiléia

Os Princípios Essenciais do Comitê da Basiléia:

• Precondições para uma supervisão bancária eficaz - Princípio 1
• Autorizações e estrutura - Princípios 2 a 5
• Regulamentos e requisitos prudenciais - Princípios 6 a 15
• Métodos de supervisão bancária contínua - Princípios 16 a 20

Sarbanes-Oxley e o Papel da TI

O que é a Sarbanes-Oxley? Qual o papel de TI?

É uma lei que torna os executivos responsáveis por estabelecer, avaliar e monitorar a eficácia dos controles internos relacionados a relatórios financeiros.

Para atender aos requisitos desta lei, a TI deverá atuar em duas frentes:

1. Estabelecer controles para o ambiente geral de TI que abranjam: desenvolvimento, mudanças, operações e controle de acesso;
2. Estabelecer processos de negócio críticos (contas significativas de balanço):
   • Mapear os sistemas que suportam os dados financeiros e os respectivos controles;
   • Identificar os riscos de TI relacionados aos sistemas;
   • Implementar e monitorar controles que mitiguem riscos;
   • Documentar e testar os controles de TI;
   • Assegurar que os controles de TI sejam atualizados e adequados para suportar as mudanças nos controles internos.

Principais Frameworks de Governança e Gestão de TI

1. Guia para gestão de TI recomendado pelo ISACA (*Information Systems Audit and Control Association*);

2. O COBIT inclui: sumário executivo, framework, controle de objetivos, indicadores de desempenho, indicadores de metas, um conjunto de ferramentas de implementação e um guia com técnicas de implementação;

3. As práticas de gestão do COBIT são recomendadas por peritos em gestão de TI que ajudam a otimizar os investimentos em TI e fornecem métricas para avaliação dos resultados;

4. O COBIT independe das plataformas de TI adotadas pelas empresas;

5. O COBIT foi criado para atender à necessidade de um framework.

COBIT

COBIT (*Control Objectives for Information and related Technology*)

Este é o modelo de trabalho mais utilizado na Governança de TI e está na sua versão 5. Ele apresenta recursos que incluem sumário executivo, controles de objetivos, mapas de auditoria, indicadores de metas e desempenho, e um guia com técnicas de gerenciamento. Suas práticas de gestão são recomendadas por especialistas da área e ele pode ser utilizado para testar e garantir a qualidade dos serviços de TI prestados, utilizando um sistema de métricas próprio.

ITIL

ITIL (*Information Technology Infrastructure Library*)

Este é um framework que é voltado para o público e não para o proprietário. Nesse contexto, o ITIL define um conjunto de práticas para o gerenciamento dos serviços de TI por meio de “bibliotecas” que fazem parte de cada módulo de gestão. Dessa forma, diferentemente do COBIT, este é um modelo mais focado nos serviços de TI em si.

PMBOK

PMBOK (*Project Management Body of Knowledge*)

Este framework está voltado para o gerenciamento de projetos da área e para melhorar o desenvolvimento e a atuação dos profissionais de TI. Portanto, todas as definições, conjuntos de ações e processos do PMBOK estão descritos em seu manual, que expõe as habilidades, ferramentas e técnicas necessárias para realizar a gestão de um projeto.

Benefícios do COBIT

Benefícios do COBIT

• O COBIT lida com todos os aspectos dos problemas relacionados à Governança de TI;
• O COBIT foi criado por um grande número de especialistas;
• O ITGI contribuiu com seus 35 anos de experiência em segurança em TI para o desenvolvimento do COBIT;
• O COBIT está em manutenção contínua. Periodicamente, uma nova versão é publicada;
• Os patrocinadores do COBIT são organizações sem fins lucrativos; sua missão é ajudar seus clientes a alcançar seus objetivos principais;
• O COBIT pode ser aplicado em empresas de pequeno e grande porte;
• Usar o COBIT pode introduzir ordem e qualidade nos processos de TI;
• O COBIT é compatível com outros padrões e pode ser utilizado para gerenciar todos os processos de TI;
• O COBIT está em conformidade com regulamentos como Sarbanes-Oxley, Basiléia, entre outros.