COBIT

COBIT – Control Objectives for Information and Related Technology

Objetivos de Controle para Informações e Tecnologias Relacionadas

Atualmente, as empresas estão com seus processos internos cada vez mais dependentes de recursos de Tecnologia da Informação (TI), o que implica uma necessidade, cada vez maior, de fazer a gestão sobre os riscos em TI, para não comprometer a continuidade do negócio.

O COBIT (do inglês, Control Objectives for Information and Related Technology) permite aplicar as melhores práticas de mercado para a gestão de riscos de TI e como é possível, por meio desta iniciativa, alcançar não só a excelência operacional, mas também estabelecer um modelo de governança que mantenha a área de TI integrada aos objetivos de negócio.

COBIT é um guia de boas práticas apresentado como framework, dirigido para a gestão de Tecnologia de Informação (TI). Criado e mantido pelo Information Systems Audit and Control Association (ISACA), possui uma série de recursos que podem servir como um modelo de referência para gestão da TI, incluindo um sumário executivo, um framework, controle de objetivos, mapas de auditoria, ferramentas para a sua implementação e, principalmente, um guia com técnicas de gerenciamento.

A estrutura do COBIT permite aplicar as melhores práticas de mercado para a gestão de riscos de TI e como é possível, por meio desta iniciativa, alcançar não só a excelência operacional, mas também estabelecer um modelo de governança que mantenha a área de TI integrada aos objetivos de negócio e ofereça a empresa condições adequadas para alcançar seus objetivos estratégicos.

É importante ter em mente que é possível integrar os principais modelos de mercado para gerenciar adequadamente os riscos de TI em um cenário cada vez mais complexo e competitivo, e onde o tempo de resposta da TI em relação às necessidades do negócio faz a diferença entre permanecer no mercado ou perder espaço para a concorrência.

Risco

A palavra risco faz parte do nosso cotidiano e a empregamos de diversas formas e com diversos sentidos. O risco do acidente, o risco de dar errado, o risco iminente, o risco elevado são alguns exemplos corriqueiramente encontrados nas nossas literaturas técnica ou leiga, cujo sentido predominante é o de representar uma certa chance de algo acontecer.

Trazendo este conceito a realidade de mercado, do ponto de vista de gestão empresarial é necessário considerar, no mínimo, risco de mercado, de crédito, legal e operacional, sendo que podemos definir o cálculo do risco como a tentativa de se medir o grau de incerteza na obtenção do retorno esperado em uma determinada aplicação financeira ou investimento realizado.

A TI deixou de lado o papel de dar suporte ao negócio e, principalmente na área financeira, se tornou a estratégia do próprio negócio. O nível de dependência de tecnologia para o mercado financeiro é algo muito difícil de ser mensurado, no entanto, se entendermos que a TI é um conjunto estrutural na qual a empresa depende para realizar suas atividades, o nível de dependência é 100%.

Atualmente existe a necessidade das empresas em estabelecer e implementar mecanismos de controle, não só no que diz respeito à gestão de riscos, como também pelo fato de que estas estão sujeitas a legislação e regulamentação existente para o mercado nacional ou internacional, e é exatamente respondendo a este tipo de necessidade que o COBIT pode ser aplicado, já que o framework do COBIT é focado no nível estratégico e, por se tratar de um framework de controle, possibilita que a TI tenha seu desempenho mensurado e seus riscos devidamente apontados e tratados.

O COBIT não é um padrão, não é uma norma como a ISO 20.000, ISO 17.799 ou ISO 9.001, e ele também não serve como guia para maximizar os benefícios da TI.

Em vez disso, o COBIT ajuda a direcionar ou priorizar os esforços e recursos da TI para atender aos requisitos do negócio. A adoção do COBIT não tem como meta controlar todos os processos, mas apenas identificar quais processos da TI estão impactando, ou gerando riscos para o negócio, de modo a priorizar o gerenciamento destes processos.

O framework de controle do COBIT segue a premissa que não é possível gerenciar aquilo que não se mede. Desta forma ele propõe uma série de objetivos de controle e seus respectivos indicadores de desempenho.

Missão do COBIT

Pesquisar, desenvolver, publicar e promover um conjunto de objetivos de controle para tecnologia que seja embasado, atual, internacional e aceito em geral para uso do dia-a-dia de gerentes de negócios e auditores.

O framework do COBIT foi criado tendo como principais características o foco no negócio, a orientação a processos, ser baseado em controles e direcionado por métricas.

Adotar COBIT ajuda uma empresa a implementar boas práticas em governança de TI, pois ele oferece um guia de melhores práticas e direcionamento.

Sua estrutura classifica os processos em 4 domínios, e apresenta atividades em uma estrutura gerenciável e lógica.

Práticas do COBIT

As boas práticas do COBIT representam um consenso entre especialistas no que diz respeito a Governança de TI, pois seu framework é extremamente focado no controle e pouco focado na execução.

Estas práticas ajudam a otimizar os investimentos em TI, assegurando a entrega do serviço e fornecendo uma mensuração que possibilita identificar a performance de cada objetivo de controle e, como consequência, tomar ações gerenciais para mitigar riscos e atingir os resultados desejados.

O COBIT é independente da plataforma de TI adotada nas empresas, também é totalmente independente do tipo de negócio e do valor e participação que a tecnologia da informação tem na cadeia produtiva da empresa.

Recomendações

O PCAOB recomenda que as empresas utilizem um framework adequado, e reconhecido no mercado, para avaliar seus controles internos, e cita especificamente o framework do COSO.

No que diz respeito a governança de TI, o COBIT é framework de controle para processos de TI que melhor atende as exigências do COSO.

O framework do COBIT, por sua vez, está situado em um nível mais estratégico e sugere o uso de outros frameworks que podem ser vistos como complementares e necessários para que se estabeleça um modelo de governança de TI.

Public Company Accounting Oversight Board