Text of Governança de TI COBIT Referência: COBIT Framework Versão 4.1
Slide 1
Governana de TI COBIT Referncia: COBIT Framework Verso 4.1
Slide 2
Histrico e evoluo Primeira verso em 1996 Information System
Control and Audit Foundation (ISACF) Compilao de referncias sobre
controle e auditoria de TI Segunda verso em 1998 Information System
Control and Audit Association (ISACA) Acrscimo e atualizao de
referncias, kit de implantao Terceira verso em 2000 (Cobit 3 Edio)
IT Governance Institute Criao do Management Guidelines Quarta verso
em 2005 (Cobit 4.0) Consolidao e detalhamento de instrumentos
gerenciais Refinamento em 2007 (Cobit 4.1) Quinta verso em 2012
(Cobit 5.0) 2
Slide 3
Governana de TI Responsabilidade da alta direo, consiste em
liderana, estruturas organizacionais e processos que garantem que a
TI corporativa sustenta e estende as estratgias e objetivos da
organizao 3
Slide 4
O CobiT voltado para 3 nveis distintos: Gerentes Usurios
Auditores
Slide 5
Responsabilidades da alta direo Assegurar o alinhamento entre a
estratgia de TI e a estratgia de negcios Direcionar a execuo da
estratgia de TI Assegurar o cumprimento da estratgia de TI Promover
cultura de abertura e colaborao entre as reas de negcios e a rea de
TI 5
Slide 6
Governana de TI O qu: liderana, estruturas organizacionais e
processos Quem: executivos e alta direo (no s a rea de TI) Para qu:
garantir que a TI sirva como instrumento para sustentar e ampliar o
negcio da organizao Como: controle sobre os processos e recursos de
TI para garantir qualidade, confiabilidade e segurana das informaes
6
Slide 7
Desafios Aproveitar a capacidade da TI de impulsionar e
transformar as prticas de negcios Garantir o retorno dos
investimentos em TI, por meio do equilbrio entre o valor da
informao e os custos de TI Evitar as falhas de TI, que cada vez
mais prejudicam o valor e a reputao da organizao Gerenciar os
riscos gerados pela dependncia de elementos fora do controle direto
da organizao Gerenciar o impacto da TI sobre a continuidade de
negcios, causado pela dependncia da informao 7
Slide 8
Focos da governana de TI Alinhamento estratgico Vinculao entre
TI e negcios (planejamento e operaes) Agregao de valor Garantia de
alcance dos benefcios, com otimizao de custos Gerenciamento de
recursos Otimizao dos investimentos e do uso dos recursos de TI
Gerenciamento de riscos Incorporao do tratamento de riscos e da
conformidade nos processos Mensurao de desempenho Uso do BSC para
avaliar todas as dimenses da TI 8
Slide 9
Viso geral do modelo 9
Slide 10
Princpios bsicos Objetivos de negcios requerem informaes
Informaes so produzidas por recursos de TI Recursos de TI so
gerenciados por processos Processos devem ser controlados 10
Slide 11
Princpios bsicos 11
Slide 12
Caractersticas gerais Foco no negcio Orientado a processos
Baseado em controles Dirigido por mtricas 12
Slide 13
Foco no negcio 13 O negcio requer informaes que atendam aos
critrios Os processos usam recursos para gerar as informaes
Slide 14
Critrios da informao - Qualidade Efetividade/Eficcia
(Effectiveness) Eficincia 14
Slide 15
Critrios da informao - Segurana Confidencialidade Integridade
Disponibilidade 15
Slide 16
Critrios da informao - Adequao Conformidade Confiabilidade
16
Slide 17
Recursos de TI Aplicaes Dados Infra-estrutura Pessoas 17
Slide 18
Orientado a processos 18
Slide 19
Avaliar, dirigir e monitorar Alinhar, planejar e organizar
Costruir, adquirir e Implementar Entregar suporte e servio
Monitorar, verificar e avaliar
Slide 20
Orientado a processos 20
Slide 21
Matriz de responsabilidade 21 R (responsible) Quem responsvel
pela execuo da atividade A (accountable) Quem presta contas pelos
resultados da atividade C (consulted) Quem consultado para execuo
da atividade I (informed) Quem informado do resultado da
atividade
Slide 22
Baseado em controles Polticas, procedimentos, prticas e
estruturas organizacionais Alm de controles gerais, aplicveis a
todos os processos, cada processo possui seus prprios objetivos de
controle 22
Slide 23
Controles gerais de processos PC1 Process Owner Cada processo
deve ter um responsvel PC2 Repeatability Os processos devem ser
executados de forma consistente PC3 Goals and Objectives Os
processos devem ter objetivos e metas claras PC4 Roles and
Responsibilities A responsabilidade pela execuo das atividades dos
processos deve ser atribuda a papis especficos PC5 Process
Performance Os processos devem ter seu desempenho medido PC6
Policy, Plans and Procedures Polticas, planos e procedimentos
associados aos processos devem ser documentados, revisados,
mantidos atualizados e comunicados para os envolvidos 23
Slide 24
Controles gerais de aplicao AC1 Source Data Preparation and
Authorisation Os documentos de origem devem ser preparados e
aprovados segundo o critrio de segregao de funes AC2 Source Data
Collection and Entry Os dados devem ser almentados de forma
tempestiva por pessoas autorizadas, e eventuais correes no devem
comprometer os nveis de autorizao do sistema AC3 Accuracy,
Completeness and Authenticity Checks Todas as transaes devem ser
precisas, completas e vlidas AC4 Processing Integrity and Validity
Os dados devem ser mantidos ntegros e vlidos durante todo o ciclo
de processamento AC5 Output Review, Reconciliation and Error
Handling As sadas do sistema devem ser verificadas quanto preciso,
protegidas durante a transmisso, entregues aos destinatrios
corretos e utilizadas corretamente AC6 Transaction Authentication
and Integrity Os dados passados entre aplicaes ou reas da organizao
devem ser verificados quanto autenticidade e integridade 24
Slide 25
Dirigido por mtricas Modelos de maturidade Metas e indicadores
de processos Metas de atividades 25
Slide 26
Modelo de maturidade 26
Slide 27
A verso 5 utiliza como base a ISO-15504 e traz uma proposta
chamada de Modelo de Capacidade de Processo, onde existem 6 nveis
de maturidade, que so: 0 Processo Incompleto: O processo no existe
ou no atende seu objetivo. 1 Processo Executado: O processo est
implementado e atinge seu objetivo. 2 Processo Gerenciado: Possui
os atributos Gerenciamento de Performance e Gerenciamento de
Produto. O processo est implementado de um modo gerenciado e seus
produtos esto estabelecidos e controlados. 3 Processo estabelecido:
Possui os atributos Definio de Processo e Implementao de Processo
um processo definido capaz de atingir os seus resultados. 4
Processo Previsvel: Possui os atributos Gerenciamento do Processo e
Controle do Processo, e agora opera dentro de limites para atingir
seu resultado. 5 Processo Otimizado: Possui os atributos Inovao de
Processo e Otimizao de Processo. O processo previsvel melhorado
continuamente para atender as necessidades atuais e planejadas no
negcio.
Slide 28
Metas e indicadores Metas e indicadores so definidos em trs
nveis TI Processos Atividades So definidos dois tipos de
indicadores Mtricas de resultado Indicadores de desempenho 28
Slide 29
Metas e indicadores Metas so derivadas em cascata Objetivos do
negcio para metas de TI Metas de TI para metas de processos Metas
de processos para metas de atividades 29
Slide 30
Metas e indicadores Mtricas de resultado so definidas para cada
uma das metas estabelecidas Mtricas de resultado de um nvel servem
como indicadores de desempenho para o nvel seguinte 30
DS1 definir e gerenciar nveis de servios DS2 gerenciar servios
de terceiros DS3 gerenciar performance e capacidade DS4 garantir
continuidade dos servios DS5 garantir segurana dos sistemas DS6
identificar e alocar custos DS7 educar e treinar usurios DS8
gerenciar service desk e incidentes DS9 gerenciar a configurao DS10
gerenciar problemas DS11 gerenciar dados DS12 gerenciar o ambiente
fsico DS13 gerenciar a operao ME1 monitorar e avaliar o desempenho
da TI ME2 monitorar e avaliar os controles internos ME3 assegurar
conformidade com requisitos externos ME4 prover governana de TI PO1
definir um plano estratgico de TI PO2 definir a arquitetura de
informao PO3 determinar a direo tecnolgica PO4 definir processos,
organizao e relacionamentos da TI PO5 gerenciar o investimento em
TI PO6 comunicar metas e diretivas gerenciais PO7 gerenciar
recursos humanos de TI PO8 gerenciar qualidade PO9 avaliar e
gerenciar riscos PO10 gerenciar projetos AI1 identificar solues AI2
adquirir e manter aplicaes AI3 adquirir e manter infraestrutura
tecnolgica AI4 viabilizar operao e uso AI5 adquirir recursos de TI
AI6 gerenciar mudanas AI7 instalar e certificar sistemas e mudanas
PLANEJAMENTO E ORGANIZAO AQUISIO E IMPLEMENTAO ENTREGA E SUPORTE
MONITORAMENTO E AVALIAO Domnios e processos 32
Slide 33
Detalhamento do contedo Para cada processo, o COBIT apresenta
Objetivos do processo Critrios de informao atendidos Recursos de TI
gerenciados reas de governana afetadas Metas de TI associadas Metas
do processo Metas de atividades Indicadores Objetivos de controle
Relao entre processos (entradas e sadas) Matriz RACI (Responsible,
Accountable, Consulted, Informed) Metas e indicadores Modelo de
maturidade 33
Slide 34
Planejamento e organizao PO1 Definir um plano estratgico de TI
PO2 Definir a arquitetura de informao PO3 Determinar a direo
tecnolgica PO4 Definir processos, organizao e relacionamentos PO5
Gerenciar o investimento em TI PO6 Comunicar metas e diretivas
gerenciais PO7 Gerenciar recursos humanos de TI PO8 Gerenciar
qualidade PO9 Avaliar e gerenciar riscos PO10 Gerenciar projetos
34
Slide 35
Planejamento e Organizao PO1 Definir um plano estratgico de TI
Meta do processo Integrar a gesto de TI e de negcios, traduzir
requisitos de negcio em ofertas de servios de TI e desenvolver
estratgias para entregar esses servios de forma efetiva Metas de
atividade Alinhar o planejamento estratgico de TI com necessidades
atuais e futuras do negcio Compreender a capacidade atual de TI
Prover um esquema de priorizao e quantificao dos objetivos e
requisitos de negcio 35
Slide 36
Planejamento e Organizao PO2 Definir a arquitetura da informao
Meta de processo Estabelecer um modelo de dados corporativo e um
esquema de classificao para garantir integridade e consistncia dos
dados Metas de atividade Assegurar a preciso da arquitetura da
informao e do modelo de dados Atribuir propriedade da informao
Classificar as informaes segundo um esquema previamente definido
36
Slide 37
Planejamento e Organizao PO3 Determinar a direo tecnolgica Meta
de processo Definir e implementar arquitetura e padres tecnolgicos
que reconheam e aproveitem oportunidades tecnolgicas Metas de
atividade Estabelecer frum para definir arquiteturas e verificar
conformidade Estabelecer planos de infra-estrutura tecnolgica com
viso de custos, riscos e requisitos Definir padres de
infra-estrutura tecnolgica com base nos requisitos da arquitetura
da informao 37
Slide 38
Planejamento e Organizao PO4 Definir procs, organiz. e
relacionamentos Meta de processo Estabelecer estruturas
organizacionais de TI transparentes e flexveis, e definir e
implementar processos de TI com papis e responsabilidades
integradas aos processos de negcio Metas de atividade Definir um
framework de processos de TI Estabelecer estruturas e comits
organizacionais Definir papis e responsabilidades 38
Slide 39
Planejamento e Organizao PO5 Gerenciar o investimento em TI
Meta de processo Tomar decises efetivas e eficientes sobre
investimentos em TI, e definir e monitorar oramentos de TI de
acordo com a estratgia e as decises tomadas Metas de atividade
Preparar e alocar oramentos Definir critrios formais de
investimento (ROI, VPL, taxa de retorno, etc.) Medir e avaliar o
valor de TI para o negcio 39
Slide 40
Planejamento e Organizao PO6 Comunicar metas e diretrizes
gerenciais Meta de processo Prover aos stakeholders polticas,
procedimentos, diretrizes e outros documentos que sejam precisos,
compreensveis e aprovados, como parte de um framework de controle
de TI Metas de atividade Definir um framework de controle de TI
Desenvolver e implantar polticas de TI Garantir o cumprimento das
polticas de TI 40
Slide 41
Planejamento e Organizao PO7 Gerenciar recursos humanos de TI
Meta de processo Contratar e treinar pessoal, definir planos de
carreira, criar descries de cargos, atribuir papis compatveis s
habilidades, estabelecer processos de reviso e garantir conscincia
da dependncia de indivduos Metas de atividade Rever o desempenho da
equipe Contratar e treinar pessoal de TI para suportar os planos
tticos de TI Mitigar os riscos de dependncia de recursos chave
41
Slide 42
Planejamento e Organizao PO8 Gerenciar qualidade Meta de
processo Definir sistema de gesto de qualidade (QMS), monitorar o
desempenho de acordo com objetivos predefinidos e implementar um
programa de melhoria contnua dos servios de TI Metas de atividade
Definir padres e prticas de qualidade Monitorar e revisar o
desempenho de acordo com os pares e prticas definidos Melhorar
continuamente o QMS 42
Slide 43
Planejamento e Organizao PO9 Avaliar e gerenciar riscos de TI
Meta de processo Desenvolver um framework de gerncia de riscos com
avaliao, mitigao e comunicao de riscos residuais de TI - integrado
ao gerenciamento de riscos de negcio Metas de atividade Garantir
que o gerenciamento de riscos esteja totalmente embutido nos
processos gerenciais Realizar avaliaes de risco Recomendar e
comunicar planos de preveno e tratamento de riscos 43
Slide 44
Planejamento e Organizao PO10 Gerenciar projetos Meta de
processo Aplicar abordagem sistemtica de gerncia de projetos e
programas aos projetos de TI e habilitar a participao dos
stakeholders no monitoramento do progresso e dos riscos dos
projetos Metas de atividade Definir e garantir o cumprimento de
abordagens de gerncia de projetos e programas Criar diretrizes para
o gerenciamento de projetos Planejar cada projeto includo no
portflio 44
Slide 45
Aquisio e implementao AI1 Identificar solues AI2 Adquirir e
manter aplicaes AI3 Adquirir e manter infra-estrutura tecnolgica
AI4 Viabilizar operao e uso AI5 Adquirir recursos de TI AI6
Gerenciar mudanas AI7 Instalar e certificar sistemas e mudanas
45
Slide 46
Aquisio e Implementao AI1 Identificar solues Meta de processo
Identificar solues tecnicamente viveis e com relaes custo-benefcio
adequadas Metas de atividade Definir requisitos tcnicos e de negcio
Realizar estudos de viabilidade com base em padres de
desenvolvimento Aprovar (ou rejeitar) requisitos e resultados de
estudos de viabilidade 46
Slide 47
Aquisio e Implementao AI2 Adquirir e manter aplicaes Meta de
processo Garantir a existncia de um processo de desenvolvimento
tempestivo e com relao custo- benefcio adequada Metas de atividade
Traduzir requisitos de negcio em especificaes Aderir a padres de
desenvolvimento em todas as modificaes das aplicaes Separar
atividades de desenvolvimento, teste e operao 47
Slide 48
Aquisio e Implementao AI3 Adquirir e manter infra-estrutura
tecnolgica Meta de processo Prover plataformas apropriadas para as
aplicaes de negcio, alinhadas a padres e arquiteturas de TI Metas
de atividade Produzir um plano de aquisio de tecnologia alinhado ao
plano de infra-estrutura tecnolgica Planejar a manuteno da
infra-estrutura Implementar medidas de controle, segurana e
auditoria 48
Slide 49
Aquisio e Implementao AI4 Habilitar operao e uso Meta de
processo Prover manuais e materiais de treinamento efetivos para
transferir o conhecimento necessrio para operao e uso dos sistemas
Metas de atividade Desenvolver e tornar disponvel a documentao de
transferncia de conhecimento Comunicar e treinar usurios, gerentes
de negcio e equipes de operao e suporte Produzir materiais de
treinamento 49
Slide 50
Aquisio e Implementao AI5 Adquirir recursos de TI Meta de
processo Adquirir e manter habilidades de TI que respondam
estratgia de TI, bem como uma infra-estrutura de TI integrada e
padronizada, reduzindo os riscos de contrataes de TI Metas de
atividade Obter aconselhamento profissional em questes legais e
contratuais Definir padres e procedimentos de contratao Adquirir
hardware, software e servios de acordo com os procedimentos
definidos 50
Slide 51
Aquisio e Implementao AI6 - Manage changes Meta de processo
Controlar a avaliao de impacto, autorizao e implementao de todas as
mudanas na infra- estrutura e nas aplicaes, de modo a minimizar
erros causados por especificaes incompletas e evitar a implementao
de mudanas no autorizadas Metas de atividade Definir e comunicar
procedimentos de mudana, incluindo as mudanas de emergncia Avaliar,
priorizar e autorizar mudanas Acompanhar o status e relatar mudanas
51
Slide 52
Aquisio e Implementao AI7 Instalar e certificar solues e
mudanas Meta de processo Testar aplicaes e solues de
infra-estrutura para que elas sejam adequadas ao propsito e livres
de erros, e planejar sua colocao em produo Metas de atividade
Estabelecer metodologias de teste Realizar o planejamento da
liberao Submeter os resultados dos testes avaliao e aprovao dos
gerentes de negcios Realizar revises ps-implementao 52
Slide 53
Entrega e suporte DS1 Definir e gerenciar nveis de servios DS2
Gerenciar servios de terceiros DS3 Gerenciar performance e
capacidade DS4 Garantir continuidade dos servios DS5 Garantir
segurana dos sistemas DS6 Identificar e alocar custos DS7 Educar e
treinar usurios DS8 Gerenciar service desk e incidentes DS9
Gerenciar a configurao DS10 Gerenciar problemas DS11 Gerenciar
dados DS12 Gerenciar o ambiente fsico DS13 Gerenciar a operao
53
Slide 54
Entrega e Suporte DS1 Definir e gerenciar nveis de servios Meta
de processo Identificar requisitos de servio, desenvolver acordos
de nvel de servio e monitorar o seu cumprimento Metas de atividade
Formalizar acordos internos e externos alinhados aos requisitos e
capacidade de entrega Relatar o alcance dos nveis de servio
Identificar e comunicar requisitos novos e atualizados para o
planejamento estratgico 54
Slide 55
Entrega e Suporte DS2 Gerenciar servios de terceiros Meta de
processo Estabelecer relacionamentos e responsabilidades bilaterais
com provedores de servios qualificados e monitorar a entrega dos
servios para garantir aderncia aos acordos Metas de atividade
Identificar e categorizar fornecedores de servios Identificar e
mitigar riscos de fornecedores Monitorar e medir desempenho de
fornecedores 55
Slide 56
Entrega e Suporte DS3 Gerenciar desempenho e capacidade Meta de
processo Atender aos requisitos de tempo de resposta dos SLAs,
minimizar downtime e melhorar continuamente o desempenho e
capacidade de TI Metas de atividade Planejar e prover capacidade e
disponibilidade dos sistemas Monitorar e relatar desempenho dos
sistemas Modelar e prever desempenho dos sistemas 56
Slide 57
Entrega e Suporte DS4 Garantir continuidade dos servios Meta de
processo Prover resilincia para solues automatizadas e desenvolver,
manter e testar planos de continuidade de TI Metas de atividade
Desenvolver e manter contingncia de TI Treinar e testar planos de
contingncia de TI Armazenar cpias de planos de contingncia e de
dados em locais off-site 57
Slide 58
Entrega e Suporte DS5 Garantir segurana dos sistemas Meta de
processo Definir polticas, planos e procedimentos de segurana de TI
e monitorar, detectar, relatar e resolver vulnerabilidades e
incidentes de segurana Metas de atividade Compreender requisitos,
vulnerabilidades e ameaas de segurana Gerenciar identidades e
autorizaes de usurios de forma padronizada Testar a segurana
regularmente 58
Slide 59
Entrega e Suporte DS6 Identificar e alocar custos Meta de
processo Capturar e alocar de forma precisa e completa os custos de
TI, e reportar tempestivamente sobre o uso de TI e os custos
alocados Metas de atividade Alinhar cobranas qualidade e quantidade
de servios providos Construir e obter acordo sobre um modelo
completo de custos de TI Implementar cobranas de acordo com as
polticas 59
Slide 60
Entrega e Suporte DS7 Educar e treinar usurios Meta de processo
Compreender claramente as necessidades de treinamento de usurios de
TI, executar uma estratgia efetiva de treinamento e medir seus
resultados Metas de atividade Estabelecer currculos de treinamento
Organizar e entregar treinamentos Monitorar e relatar sobre a
efetividade dos treinamentos 60
Slide 61
Entrega e Suporte DS8 Gerenciar Service Desk e incidentes Meta
de processo Estabelecer uma funo service desk profissional, com
resposta rpida, procedimentos claros de escalao e resoluo e anlise
de tendncias Metas de atividade Instalar e operar um service desk
Monitorar e relatar tendncias Definir critrios e procedimentos
claros de escalao 61
Slide 62
Entrega e Suporte DS9 Gerenciar configurao Meta de processo
Estabelecer e manter um repositrio completo e preciso de atributos
de configurao e linhas de base de ativos de TI, e compar-los com a
configurao real dos ativos Metas de atividade Estabelecer um
repositrio central para todos os itens de configurao Identificar e
manter itens de configurao Revisar a integridade de dados de
configurao 62
Slide 63
Entrega e Suporte DS10 Gerenciar problemas Meta de processo
Registrar, rastrear e resolver problemas operacionais, investigar a
causa raiz de todos os problemas significativos e definir solues
para os problemas Metas de atividade Realizar anlise da causa raiz
dos problemas reportados Analisar tendncias Assumir a propriedade
de problemas e desenvolver sua soluo 63
Slide 64
Entrega e Suporte DS11 Gerenciar dados Meta de processo Manter
os dados completos, precisos, disponveis e protegidos Metas de
atividade Fazer backup de dados e testar sua restaurao Gerenciar o
armazenamento de dados on-site e off-site Descartar dados e
equipamentos de forma segura 64
Slide 65
Entrega e Suporte DS12 Gerenciar o ambiente fsico Meta de
processo Prover e manter um ambiente fsico adequado para proteger
ativos de TI de acesso no autorizado, dano ou roubo Metas de
atividade Implementar medidas de segurana fsica Selecionar e
gerenciar instalaes 65
Slide 66
Entrega e Suporte DS13 Gerenciar operaes Meta de processo
Atender aos nveis de servio operacionais para o processamento de
informaes, proteger sadas sensveis e monitorar e manter a
infra-estrutura Metas de atividade Operar o ambiente de TI de
acordo com os nveis de servio e procedimentos definidos Manter a
infra-estrutura de TI 66
Slide 67
Monitoramento e avaliao ME1 Monitorar e avaliar o desempenho da
TI ME2 Monitorar e avaliar os controles internos ME3 Assegurar
conformidade com requisitos externos ME4 Prover governana de TI
67
Slide 68
Monitoramento M1 Monitorar e avaliar o desempenho da TI Meta de
processo Monitorar e relatar mtricas de processo e identificar e
implementar aes de melhoria Metas de atividade Coletar e traduzir
relatrios de desempenho de processos em relatrios gerenciais
Revisar o desempenho de acordo com metas predefinidas e iniciar aes
corretivas adequadas 68
Slide 69
Monitoramento M2 Monitorar e avaliar controles internos Meta de
processo Monitorar os processos de controle das atividades de TI e
identificar aes de melhoria Metas de atividade Definir um sistema
de controles internos embutidos no framework de processos de TI
Monitorar e relatar sobre a efetividade dos controles internos de
TI Relatar excees de controle para ao gerencial 69
Slide 70
Monitoramento M3 Garantir conformidade com requisitos Meta de
processo Identificar leis, regulamentos e contratos aplicveis e o
nvel de conformidade requerido de TI, e otimizar processos para
reduzir riscos de no-conformidade Metas de atividade Identificar
requisitos legais, regulatrios e contratuais relacionados a TI
Avaliar o impacto de requisitos de conformidade Monitorar e relatar
sobre a conformidade com os requisitos 70
Slide 71
Monitoramento M4 Prover governana de TI Meta de processo
Preparar relatrios executivos sobre a estratgia, desempenho e
riscos de TI, e responder a requisitos de governana alinhado s
diretrizes estratgicas Metas de atividade Estabelecer um framework
de governana de TI integrado governana corporativa Obter garantia
independente sobre o status da governana de TI 71
