COBIT

COBIT (Control Objectives for Information and related Technology)

INTRODUÇÃO

Atualmente, é impossível imaginar uma empresa sem uma forte área de sistemas de informações (TI), para manipular os dados operacionais e prover informações gerenciais aos executivos para tomadas de decisões. A criação e manutenção de uma infra-estrutura de TI, incluindo profissionais especializados requerem altos investimentos. Algumas vezes a alta direção da empresa coloca restrições aos investimentos de TI por duvidarem dos reais benefícios da tecnologia.
Entretanto, a ausência de investimentos em TI pode ser o fator chave para o fracasso de um empreendimento em mercados cada vez mais competitivos. Por outro lado, alguns gestores de TI não possuem habilidade para demonstrar os riscos associados ao negócio sem os corretos investimentos em TI. Para melhorar o processo de análise de riscos e tomada de decisão é necessário um processo estruturado para gerenciar e controlar as iniciativas de TI nas empresas, para garantir o retorno de investimentos e adição de melhorias nos processos empresariais.
Esse novo movimento é conhecido como Governança em TI, ou "IT Governance".
O termo "IT governance" é definido como uma estrutura de relações e processos que dirige e controla uma organização a fim de atingir seu objetivo de adicionar valor ao negócio através do gerenciamento balanceado do risco com o retorno do investimento de TI.
Para muitas organizações, a informação e a tecnologia que suportam o negócio representa o seu mais valioso recurso. Além disso, num ambiente de negócios altamente competitivo e dinâmico é requerido uma excelente habilidade gerencial, onde TI deve suportar as tomadas de decisão de forma rápida, constante e com custos cada vez mais baixos.
Não existem dúvidas sobre o benefício da tecnologia aplicada aos negócios.
Entretanto, para serem bem sucedidas, as organizações devem compreender e controlar os riscos associados no uso das novas tecnologias. O CobiT (Control Objectives for Information and related Technology) é uma ferramenta eficiente para auxiliar o gerenciamento e controle das iniciativas de TI nas empresas.

DEFINIÇÃO
O CobiT é um guia para a gestão de TI recomendado pelo ISACF (Information Systems Audit and Control Foundation, http://www.isaca.org/). O CobiT inclui recursos tais como um sumário executivo, um framework, controle de objetivos, mapas de auditoria, um conjunto de ferramentas de implementação e um guia com técnicas de gerenciamento.
As práticas de gestão do CobiT são recomendadas pelos peritos em gestão de TI que ajudam a otimizar os investimentos de TI e fornecem métricas para avaliação dos resultados. O CobiT independe das plataformas de TI adotadas nas empresas.
O CobiT é orientado ao negócio. Fornece informações detalhadas para gerenciar processos baseados em objetivos de negócios. O CobiT é projetado para auxiliar três audiências distintas:

• Gerentes que necessitam avaliar o risco e controlar os investimentos de TI em uma organização.
• Usuários que precisam ter garantias de que os serviços de TI que dependem os seus produtos e serviços para os clientes internos e externos estão sendo bem gerenciados.
• Auditores que podem se apoiar nas recomendações do CobiT para avaliar o nível da gestão de TI e aconselhar o controle interno da organização.

O CobiT está dividido em quatro domínios:

1. Planejamento e organização.
2. Aquisição e implementação.
3. Entrega e suporte.
4. Monitoração.

Os quatro domínios do CobiT

A figura acima ilustra a estrutura do CobiT com os quatro domínios, onde claramente está ligado aos processos de negócio da organização. Os mapas de controle fornecidos pelo CobiT auxiliam os auditores e gerentes a manter controles suficientes para garantir o acompanhamento das iniciativas de TI e recomendar a implementação de novas práticas, se necessário. O ponto central é o gerenciamento da informação com os recursos de TI para garantir o negócio da organização.

DESENVOLVIMENTO DO COBIT

A primeira publicação foi em 1996 enfocando o controle e análise dos sistemas de informação. Sua segunda edição em 1998 ampliou a base de recursos adicionando o guia prático de implementação e execução. A edição atual, já coordenada pelo IT Governance Institute, introduz as recomendações de gerenciamento de ambientes de TI dentro do modelo de maturidade de governança.

O CobiT recebe um conjunto de contribuições de várias empresas e organismos internacionais, entre eles:

• Padrões técnicos da ISO, EDIFACT, etc.
• Os códigos de conduta emitidos pelo Conselho de Europa, OECD, ISACA, etc.
• Critérios de qualificação para TI e processos: ITSEC, TCSEC, ISO 9000, SPICE, TickIT, etc.
• Padrões profissionais para controle internos e auditoria: COSO, IFAC, AICPA, CICA, ISACA, IIA, PCIE, GAO, etc.
• Práticas e exigências dos fóruns da indústria (ESF, I4) e das plataformas recomendadas pelos governos (IBAG, NIST, DTI), etc.
• Exigências das indústrias emergentes como operação bancária, comércio eletrônico e engenharia de software.

DOMÍNIOS DO COBIT
Cada domínio (planejamento, organização, aquisição, implementação, entrega, suporte e monitoração) cobre um conjunto de processos para garantir a completa gestão de TI, somando 34 processos:

Planejamento e Organização

1. Define o plano estratégico de TI
2. Define a arquitetura da informação
3. Determina a direção tecnológica
4. Define a organização de TI e seus relacionamento
5. Gerencia os investimento de TI
6. Gerencia a comunicação das direções de TI
7. Gerencia os recursos humanos
8. Assegura o alinhamento de TI com os requerimentos externos
9. Avalia os riscos
10. Gerencia os projetos
11. Gerencia a qualidade

Aquisição e implementação

1. Identifica as soluções de automação
2. Adquire e mantém os softwares
3. Adquire e mantém a infra-estrutura tecnológica
4. Desenvolve e mantém os procedimentos
5. Instala e certifica softwares
6. Gerencia as mudanças

Entrega e suporte

1. Define e mantém os acordos de níveis de serviços (SLA)
2. Gerencia os serviços de terceiros
3. Gerencia a performance e capacidade do ambiente
4. Assegura a continuidade dos serviços
5. Assegura a segurança dos serviços
6. Identifica e aloca custos
7. Treina os usuários
8. Assiste e aconselha os usuários
9. Gerencia a configuração
10. Gerencia os problemas e incidentes
11. Gerencia os dados
12. Gerencia a infra-estrutura
13. Gerencia as operações

Monitoração

1. Monitora os processos
2. Analisa a adequação dos controles internos
3. Prove auditorias independentes
4. Prove segurança independente

BENEFÍCIOS
Na era da dependência eletrônica dos negócios e da tecnologia, as organizações devem demonstrar controles crescentes em segurança. Cada organização deve compreender seu próprio desempenho e deve medir seu progresso. O benchmarking com outras organizações deve fazer parte da estratégia da empresa para conseguir a melhor competitividade em TI. As recomendações de gerenciamento do CobiT com orientação no modelo de maturidade em governança auxiliam os gerentes de TI no cumprimento de seus objetivos alinhados com os objetivos da organização.
Os guidelines de gerenciamento do CobiT focam na gerência por desempenho usando os princípios do balanced scorecard. Seus indicadores chaves identificam e medem os resultados dos processos, avaliando seu desempenho e alinhamento com os objetivos dos negócios da organização.

FERRAMENTAS DE GERENCIAMENTO
Os modelos de maturidade de governança são usados para o controle dos processos de TI e fornecem um método eficiente para classificar o estágio da organização de TI. A governança de TI e seus processos com o objetivo de adicionar valor ao negócio através do balanceamento do risco e returno do investimento podem ser classificados da seguinte forma:

• 0 Inexistente
• 1 Inicial / Ad Hoc
• 2 Repetitivo mas intuitivo
• 3 Processos definidos
• 4 Processos gerenciáveis e medidos
• 5 Processo otimizados

Essa abordagem é derivada do modelo de maturidade para desenvolvimento de software, Capability Maturity Model for Software (SW-CMM), proposto pelo Software Engineering Institute (SEI). A partir desses níveis, foi desenvolvido para cada um dos 34 processos do CobiT um roteiro:
Onde a organização está hoje
O atual estágio de desenvolvimento da industria (best-in-class)
O atual estágio dos padrões internacionais
Aonde a organização quer chegar
Os fatores críticos de sucesso definem os desafios mais importantes ou ações de gerenciamento que devem ser adotadas para colocar sobre controle a gestão de TI. São definidas as ações mais importantes do ponto de vista do que fazer a nível estratégico, técnico, organizacional e de processo.
Os indicadores de objetivos definem como serão mensurados os progressos das ações para atingir os objetivos da organização, usualmente expressos nos seguintes termos:

• Disponibilidade das informações necessárias para suportar as necessidades de negócios
• Riscos de falta de integridade e confidencialidade das informações
• Confirmação de confiabilidade, efetividade e conformidade das informações.
• Eficiência nos custos dos processos e operações

Indicadores de desempenho definem medidas para determinar como os processos de TI estão sendo executados e se eles permitem atingir os objetivos planejados; são os indicadores que definem se os objetivos serão atingidos ou não; são os indicadores que avaliam as boas práticas e habilidades de TI.

BIBLIOGRAFIA RECOMENDADA
http://www.itgovernance.org/ ou no site do Information System Audit & Control Association
http://www.isaca.org/.