CobiT 4.0

COBIT^®, do inglês, Control Objectives for Information and related Technology, é um guia de boas práticas apresentado como framework, dirigido para a gestão de tecnologia de informação (TI). Mantido pelo ISACA (Information Systems Audit and Control Association), possui uma série de recursos que podem servir como um modelo de referência para gestão da TI, incluindo um sumário executivo, um framework,objetivos de controle, mapas de auditoria, ferramentas para a sua implementação e principalmente, um guia com técnicas de gerenciamento. Especialistas em gestão e institutos independentes recomendam o uso do CobiT como meio para otimizar os investimentos de TI, melhorando o retorno sobre o investimento (ROI) percebido, fornecendo métricas para avaliação dos resultados (Key Performance Indicators KPI, Key Goal Indicators KGI e Critical Success Factors CSF).

O CobiT independe das plataformas de TI adotadas nas empresas, tal como independe do tipo de negócio e do valor e participação que a tecnologia da informação tem na cadeia produtiva da empresa.

Em 28 de janeiro de 2010, foi anunciada oficialmente a tradução do COBIT 4.1 para a Língua Portuguesa.

O cubo do Cobit

É o modelo que representa como os componentes se inter-relacionam:

Critérios de Informação ou Requisitos de Negócio

• Efetividade
• Eficiência
• Confidencialidade
• Integridade
• Disponibilidade
• Conformidade
• Confiabilidade

Recursos de TI

• Aplicações
• Informação
• Infraestrutura
• Pessoas

Estrutura do Cobit

CobiT cobre quatro domínios, os quais possuem 34 processos, e estes processos possuem 318 objetivos de controle:

• Planejar e Organizar
• Adquirir e Implementar
• Entregar e Dar Suporte
• Monitorar e Avaliar

Planejar e Organizar

O domínio de Planejamento e Organização cobre o uso de informação e tecnologia e como isso pode ser usado para que a empresa atinja seus objetivos e metas. Ele também salienta que a forma organizacional e a infraestrutura da TI devem ser consideradas para que se atinjam resultados ótimos e para que se gerem benefícios do seu uso. A tabela seguinte lista os processos de TI para o domínio do Planejamento e Organização.

PROCESSOS DE TI
Planejar e Organizar

PO1	Definir um Plano Estratégico de TI	6 OCs
PO2	Definir a Arquitetura de Informação	4 OCs
PO3	Determinar o Direcionamento Tecnológico	5 OCs
PO4	Definir os Processos, Organização e Relacionamentos de TI	15 OCs
PO5	Gerenciar o Investimento em TI	5 OCs
PO6	Comunicar as Diretrizes e Expectativas da Diretoria	5 OCs
PO7	Gerenciar os Recursos Humanos de TI	8 OCs
PO8	Gerenciar a Qualidade	6 OCs
PO9	Avaliar e Gerenciar os Riscos de TI	6 OCs
PO10	Gerenciar Projetos	14 OCs

Adquirir e Implementar

O domínio de Adquirir e Implementar cobre a identificação dos requisitos de TI, a aquisição de tecnologia e a implementação desta dentro dos processos de negócio da companhia. Esse domínio também lida com o desenvolvimento de um plano de manutenção que a companhia adota para prolongar a vida do sistema de TI e de seus componentes. A seguinte tabela lista os processos de TI de Aquisição e Implementação.

PROCESSOS DE TIAdquirir e Implementar

AI1	Identificar Soluções Automatizadas	4 OC
AI2	Adquirir e Manter Software Aplicativo	10 OC
AI3	Adquirir e Manter Infraestrutura de Tecnologia	4 OC
AI4	Habilitar Operação e Uso	4 OC
AI5	Adquirir Recursos de TI	4 OC
AI6	Gerenciar Mudanças	5 OC
AI7	Instalar e Homologar Soluções e Mudanças	9 OC

Entregar e Suportar

O domínio Entregar e Suportar foca aspectos de entrega de tecnologia da informação. Cobre a execução de aplicações dentro do sistema de TI e seus resultados, assim como os processos de suporte que permitem a execução de forma eficiente e efetiva. Esses processos de suporte também incluem questões de segurança e treinamento. A seguir, a tabela com os processos de TI desse domínio.

PROCESSOS DE TIEntregar e Suportar

DS1	Definir e Gerenciar Níveis de Serviço	6 OC
DS2	Gerenciar Serviços de Terceiros	4 OC
DS3	Gerenciar Capacidade e Desempenho	5 OC
DS4	Assegurar Continuidade de Serviços	10 OC
DS5	Assegurar a Segurança dos Serviços	11 OC
DS6	Identificar e Alocar Custos	4 OC
DS7	Educar e Treinar Usuários	3 OC
DS8	Gerenciar a Central de Serviço e os Incidentes	5 OC
DS9	Gerenciar a Configuração	3 OC
DS10	Gerenciar os Problemas	4 OC
DS11	Gerenciar os Dados	6 OC
DS12	Gerenciar o Ambiente Físico	5 OC
DS13	Gerenciar as Operações	5 OC

Monitorar e Avaliar

O domínio de Monitorar e Avaliar lida com a estimativa estratégica das necessidades da companhia e avalia se o atual sistema de TI atinge os objetivos para os quais ele foi especificado e controla os requisitos para atender objetivos regulatórios. Ele também cobre as questões de estimativa, independentemente da efetividade do sistema de TI e sua capacidade de atingir os objetivos de negócio, controlando os processos internos da companhia através de auditores internos e externos.

PROCESSOS DE TIMonitorar e Avaliar

ME1	Monitorar e Avaliar o Desempenho	6 OC
ME2	Monitorar e Avaliar os Controles Internos	7 OC
ME3	Assegurar a Conformidade com Requisitos Externos	5 OC
ME4	Prover a Governança de TI	7 OC

Estrutura de cada processo

Cada processo do CobIT deve descrever as seguintes características:

• Nome do processo
• Descrição do processo
  • Critérios de informação
  • Declaração genérica de ações
    • Indicadores de performace
  • Recursos de TI envolvidos
  • Objetivos de controle detalhados
  • Diretrizes de gerenciamento
    • Entradas
    • Saídas
    • Matrizes de responsabilidade
    • Objetivos e métricas
  • Modelo de maturidade
    

Notas e referências

1. ↑ Lançada a Nova Tradução do COBIT 4.1 em Português 
2. Clique aqui para download (>>Aqui<<)

PO9 - Avaliar e Gerenciar os Riscos de TI

PO9.1 Alinhamento da gestão de riscos de TI e de Negócios

Estabelecer uma estrutura de gestão de riscos de TI alinhada com a estrutura de gestão de riscos da organização (corporação).

PO9.2 Estabelecimento do Contexto de Risco

Estabelecer o contexto ao qual a estrutura de avaliação de risco é aplicada para assegurar resultados esperados. Isso inclui a definição dos contextos interno e externo de cada avaliação de risco, o objetivo da avaliação e os critérios pelos quais os riscos são avaliados.

PO9.3 Identificação de Eventos

Identificar eventos (importante ameaça real que explora significativas vulnerabilidades) com potencial impacto negativo nos objetivos ou nas operações da organização, incluindo aspectos de negócios, regulamentação, aspectos jurídicos, tecnologia, parcerias de negócio, recursos humanos e operacionais. Determinar a natureza do impacto e manter esta informação. Registrar e manter um histórico dos riscos relevantes.

PO9.4 Avaliação de Risco

Avaliar regularmente a probabilidade e o impacto de todos os riscos identificados, utilizando métodos qualitativos e quantitativos. A probabilidade e o impacto associado ao risco inerente e residual devem ser determinados individualmente, por categoria e com base no portfólio da organização.

PO9.5 Resposta ao Risco

Desenvolver e manter um processo de respostas a riscos para assegurar que controles com uma adequada relação custo-benefício mitiguem a exposição aos riscos de forma contínua. O processo de resposta ao risco deve identificar estratégias de risco, tais como evitar, reduzir, compartilhar ou aceitar o risco, determinar responsabilidades, e considerar os níveis de tolerância definidos.

PO9.6 Manutenção e Monitoramento do Plano de Ação de Risco

Priorizar e planejar as atividades de controle em todos os níveis da organização para implementar as respostas aos riscos identificadas como necessárias, incluindo a identificação de custos, benefícios e responsabilidade pela execução. Obter aprovações para ações recomendadas e aceitação de quaisquer riscos residuais e assegurar que as ações aprovadas sejam assumidas pelos donos dos processos afetados. Monitorar a execução dos planos e reportar qualquer desvio para a Alta Direção.

Abraços

COBIT - Critérios de Informação

Para atender aos objetivos de negócios, as informações precisam se adequar a certos critérios de controles, aos quais o CobiT denomina necessidades de informação da empresa. Baseado em abrangentes requisitos de qualidade, guarda e segurança, sete critérios de informação distintos e sobrepostos são definidos, como segue:

1. Efetividade lida com a informação relevante e pertinente para o processo de negócio bem como a mesma sendo entregue em tempo, de maneira correta, consistente e utilizável.

 

2. Eficiência relaciona-se com a entrega da informação através do melhor (mais produtivo e econômico) uso dos recursos.

 

3. Confidencialidade está relacionada com a proteção de informações confidenciais para evitar a divulgação indevida.Empresa para TI

 

4. Integridade relaciona-se com a fidedignidade e totalidade da informação bem como sua validade de acordo os valores de negócios e expectativas.

 

5. Disponibilidade relaciona-se com a disponibilidade da informação quando exigida pelo processo de negócio hoje e no futuro. Também está ligada à salvaguarda dos recursos necessários e capacidades associadas.

 

6. Conformidade lida com a aderência a leis, regulamentos e obrigações contratuais aos quais os processos de negócios estão sujeitos, isto é, critérios de negócios impostos externamente e políticas internas.

 

7. Confiabilidade relaciona-se com a entrega da informação apropriada para os executivos para administrar a entidade e exercer suas responsabilidades fiduciárias e de governança.

 

 

Fonte: Gestão da TI

Em TI, o que não se mede não se gerencia

Governança de TI é um conjunto de normas e processos para trazer transparência e indicadores de desempenho para a área de TI nas empresas. Mas há sempre o risco de errar no essencial.

Seguindo a exigência de mercado por transparência, redução de risco e maior controle, após os escândalos contábeis de superorganizações consideradas até então livres destes riscos, iniciou–se a instituição de processos e normas que em conjunto foram denominadas de Governança Corporativa.



Com o mesmo intuito, a área de TI das empresas vem investindo esforços e recursos financeiros, em volume considerável, para instituir o que foi denominado de Governança de TI. É uma iniciativa bem–vinda, pois ao trazer transparência às suas atividades e resultados,
desmistifica muitas crenças de uma área por muito tempo considerada uma caixa preta dentro das organizações.



As empresas que investem no desenvolvimento da governança têm utilizado, em sua maioria, o CobiT (Control Objective of Information and Related Technology) como padrão de estrutura de indicadores de desempenho para a área de TI.



A padronização tem como benefício criar a possibilidade futura de comparações entre organizações em bases semelhantes, mas o principal benefício da Governança, ou em outros termos, da utilização de indicadores como ferramenta de apoio à tomada de decisão é o desenvolvimento da cultura gerencial que se baseia na expressão “O que não se mede não se gerencia”.



Tudo parece caminhar muito bem, mas cuidado com as armadilhas. Elas existem. A principal delas é a falta de consciência de que a instituição da governança se torna uma poderosa ferramenta de gestão, se bem definida e utilizada.



Quando ocorre este desvio de entendimento, a utilização da governança desliza para terrenos pouco produtivos, já percorridos por outras ferramentas, como a própria
certificação ISO 9000. Para muitas organizações, a certificação ISO 9000 teve a função principal e errônea de ser apenas um selo de marketing, quando seu principal objetivo é ser uma ferramenta de gestão.



Da mesma forma, a governança de TI começa a ser vista por algumas organizações mais como uma ferramenta de divulgação da excelência organizacional de TI do que como uma ferramenta de apoio efetivo aos seus gestores.



Existe um longo caminho ainda a ser percorrido. Quando abordamos processos de gestão, quaisquer que sejam eles, estamos tratando essencialmente com a cultura e conseqüentemente com o ser humano. Não se muda a cultura de uma pessoa e menos ainda de um grupo de forma repentina. A instituição da governança deve ser entendida como uma nova forma de gestão, para que possamos extrair tudo que ela possa nos dar.



A gestão por indicadores apresenta algumas características:



1. A gestão deve estar focada no que for medido;

2. Tudo o que é importante deve ser medido;

3. Nem tudo é importante em um processo;

4. Toda medida deve estar associada a uma tomada de decisão;

5. Os critérios e alternativas da tomada de decisão devem ser bem conhecidos;

6. Os itens anteriores devem ser revistos periodicamente.



Poucas empresas possuem a cultura para seguir estes passos. Em conseqüência, o sinal amarelo é um alerta muito valioso para que as empresas não gastem recursos escassos sem o melhor retorno. E também para a própria governança, que se coloca no risco de ser julgada como uma ferramenta de resultados medíocres pela má utilização de seus conceitos.



Pergunta:

Gostaria de entender essa frase. Qual seu significado. “Não se gerencia o que não se mede, não se mede o que não se define, não se define o que não se entende, não hásucesso no que não se gerencia”.
Obrigada



Resposta:
Sandra, na frase que citas estão arrolados todos os fundamentos de gestão: “Não se gerencia o que não se mede, não se mede o que não se define, não se define o que não se entende, não hásucesso no que não se gerencia”.
Todo gerenciamento deve ser factual, ou seja, decisões devem ser tomadas com base na observação de fatos que devem ser medidos, formando uma base numérica que favorece a análise dos mesmos.
Não há a menor possibilidade de medirmos aquilo que não temos a idéia clara de funcionamento. Em um ambiente organizacional, o mapeamento dos processos deve representar as atividades da empresa, sendo eles os alvos de medições para análise.
Para que os processos possam ser mapeados juntamente com suas interrelações, eles devem ser entendidos e reconhecidos dentro da organização.
Por fim, a conclusão é perfeita: não se consegue sucesso sem gerencia, pois o gerenciamento envolve:
- ter plena consciência dos métodos atuais, de seus índices de eficiência e eficácia, das análises críticas sobre estes índices
- elaborar planos de ação visando as correções de rumo necessárias visando o atingimento dos objetivos da organização.
- medir os resultados obtidos com as ações realizadas
- replanejar novamente.
Ou seja, ter um PDCA ativo e real.
Espero ter te auxiliado.
Um abraço. Alexandre.




Fonte: http://webinsider.uol.com.br/2004/11/29/em-ti-o-que-nao-se-mede-nao-se-gerencia/