Governança de TI - Definindo Estratégias para o sucesso

Governança de TI Definindo estratégias para o Sucesso Marco Túlio O. de Moraes – matulio@gmail.com

sumário
Governança Corporativa
Problemas enfrentados por TI
Tipos de Gestão de TI
Governança de TI
Fatores que demandam Governança de TI
O framework COBIT
Suíte de produtos

Governança Corporativa Prover direção estratégica conformidade com leis e regulamentos Monitorar a performance

O que demanda governança corporativa? sustentabilidade empresarial Leis e regulamentos Administrar a complexidade da organização Responsabilidade ambiental responsabilidade social

O que demanda governança corporativa? Gerenciamento de riscos Transparência Gestão Financeira eficiente

Trocando em miúdos...
Gerenciamento x Governança
3 perguntinhas básicas :
Que decisões precisam ser feitas ?
Quem deverá fazer essas decisões ?
Como se irá fazê-las e como monitorá-las ?

Preocupações crise do subprimes bolha da internet

Sarbanex-Oxley ( SOX ) COSO Gerenciamento de Riscos Corporativos

E na Administração pública ?

E o mercado Brasileiro, como está ? Leis Brasileiras

Falando um pouco de “T.I.”

A TI é isso... A TI é aquilo... Perdas financeiras Posição fraca no mercado Baixo retorno sobre investimentos Tecnologia obsoleta Prazos não cumpridos; Orçamentos estourados Imagem desgastada

Tipos de Gestão de TI (Os arquétipos de Weil e Ross) Monarquia dos Negócios Duopólio Anarquia Feudalismo Monarquia de TI Federalismo

Onde queremos chegar? Onde estamos Agora ? Como chegaremos lá ? Como saber se chegamos lá ? O que é governança de TI

O que é governança de TI Gerenciar riscos

O que é governança de TI Especificar os direitos de decisão e as responsabilidades para a TI

O que é governança de TI Controlar efetivamente os recursos ( gerenciá-los com responsabilidade)

O que é governança de TI Medir a performance ( saber aonde estamos e se estamos caminhando certo)

Oferecer serviços de qualidade a um custo acordado O que é governança de TI

O que é governança de TI Alinhar estrategicamente seus objetivos com os da organização

Conformidade com leis e regulamentos

Segurança

Aumento da demanda por serviços

Execução de Projetos

Alinhamento e retorno sobre o grande número de investimentos

Faz um link com os requisitos dos negócios
Organiza as atividades de TI em um modelo de processos
Define objetivos que serão controlados ao decorrer do processo
E Como ele supre essas necessidades ?

Focado em negócios

O Framework: Strategic Alignment Value Delivery Risk Management Resource Management Performance Measurement IT IT Governance Governance Domains Domains Strategic Alignment Value Delivery Risk Management Resource Management Performance Measurement IT Governance Focus Areas

Estrutura: O Cubo

Critérios da Informação ( Requisitos dos Negócios )
Efetividade
Eficiência
Confidencialidade
Integridade
Disponibilidade
Conformidade
Confiabilidade

Efetividade – lida com a informação relevante e pertinente para o processo de negócio bem como a mesma sendo entregue em tempo, de maneira correta, consistente e utilizável. Eficiência – relaciona-se com a entrega da informação através do melhor (mais produtivo e econômico) uso dos recursos. Confidencialidade – está relacionada com a proteção de informações confidenciais para evitar a divulgação indevida. Integridade – relaciona-se com a fidedignidade e totalidade da informação bem como sua validade de acordo os valores de negócios e expectativas. Disponibilidade – relaciona-se com a disponibilidade da informação quando exigida pelo processo de negócio hoje e no futuro. Também está ligada à salvaguarda dos recursos necessários e capacidades associadas . Conformidade – lida com a aderência a leis, regulamentos e obrigações contratuais aos quais os processos de negócios estão sujeitos, isto é, critérios de negócios impostos externamente e políticas internas. Confiabilidade – relaciona-se com a entrega da informação apropriada para os executivos para administrar a entidade e exercer suas responsabilidades fiduciárias e de conformidade com leis e regulamentos Critérios da Informação ( Requisitos dos Negócios )

Recursos de TI Infra-estrutura Processos Pessoas Aplicações Entregam Executam Informações Precisam de

Domínios de TI
Plan and Organise
Acquire and Implement
Deliver and Support
Monitor and Evaluate
Processos de TI
Estratégia de TI
Operações de Computadores
Gestão de Incidentes
Testes
Gerência de Mudança
Plano de Continuidade
Gerência de problemas
Atividades
Registrar um novo problema
Análise
Propor soluções
Monitorar soluções
Registrar Erro Conhecido
Etc.
Grupo de processos com uma responsabilidade em comum A serie de atividades juntas Ações necessárias para alcançar um resultado desejado Processos de TI

Como eles se relacionam ? Recursos De TI Informação organizacional Requisitos dos Negócios Processos de TI

C OBI T Framework MONITORAR E AVALIAR PROCESSOS DE NEGÓCIOS INFORMAÇÃO
Efetividade
Eficiência
Confidencialiidade
Integridade
Disponibilidade
Conformidade
Confiabilidade
Criteria C OBI T RECURSOS de TI
Aplicações
Infraestrutura
Processos
Pessoas
PLANEJAR E ORGANIZAR ADQUIRIR E IMPLEMENTAR ENTREGAR E SUPORTAR

Domínios do COBIT

Planejamento e organização PO1 Definir um Plano Estratégico de TI PO2 Definir a Arquitetura da Informação PO3 Determinar as Diretrizes de Tecnologia PO4 Definir os Processos, a Organização e os Relacionamentos de TI PO5 Gerenciar o Investimento de TI PO6 Comunicar Metas e Diretrizes Gerenciais PO7 Gerenciar os Recursos Humanos de TI PO8 Gerenciar a Qualidade PO9 Avaliar e Gerenciar os Riscos de TI PO10 Gerenciar Projetos

Aquisição e Implementação AI 1 Identificar Soluções Automatizadas AI2 Adquirir e Manter Software Aplicativo AI3 Adquirir e Manter Infraestrutura de Tecnologia AI4 Habilitar Operação e Uso AI5 Adquirir Recursos de TI AI6 Gerenciar Mudanças AI7 Instalar e Homologar Soluções e Mudanças

Entrega e Suporte DS1 Definir e Gerenciar Níveis de Serviços DS2 Gerenciar Serviços Terceirizados DS3 Gerenciar o Desempenho e a Capacidade DS4 Assegurar a Continuidade dos Serviços DS5 Garantir a Segurança dos Sistemas DS6 Identificar e Alocar Custos DS7 Educar e Treinar os Usuários DS8 Gerenciar a Central de Serviço e os Incidentes DS9 Gerenciar a Configuração DS10 Gerenciar Problemas DS11 Gerenciar os Dados DS12 Gerenciar o Ambiente Físico DS13 Gerenciar as Operações

Monitorar e Avaliar ME1 Monitorar e Avaliar o Desempenho de TI ME2 Monitorar e Avaliar os Controles Internos ME3 Assegurar a Conformidade com Requisitos Externos ME4 Prover Governança de TI

Informações iniciais sobre um processo

AI6 AI 6 Descrição do processo

AI6 Gerenciar Mudanças Todas as mudanças, incluindo manutenções e correções de emergência, relacionadas com a infraestrutura e as aplicações no ambiente de produção são formalmente gerenciadas de maneira controlada. As mudanças (incluindo procedimentos, processos, parâmetros de sistemas e de serviço) devem ser registradas, avaliadas e autorizadas antes da implementação e revisadas em seguida, tendo como base os resultados efetivos e planejados. Isso assegura a mitigação de riscos, de impactos negativos, na estabilidade ou na integridade do ambiente de produção. Descrição do Processo

Diretrizes de Gerenciamento

Diretrizes de Gerenciamento AI-6 Gerenciamento de mudanças

Tabela RACI R: Responsável A: Responsabilizado C: Consultado I: Informado

Objetivos e Métricas Medição de Performance

Balanced Score Card (BSC)

Para onde estamos indo ? O que precisaremos fazer corretamente ? Como chegaremos lá ? Como medimos como estamos indo ? Balanced Score Card (BSC)

Objetivos e métricas

Maturidade dos processos
Medição de Performance

Modelos de Maturidade 0 1 2 3 4 5 Inexistente Inicial Repetível Definido Gerenciado Otimizado Enterprise current status International standard guidelines Industry best practice Enterprise strategy Legend for Symbols Used Legend for Rankings Used 0 - Management processes are not applied at all. 1 - Processes are ad hoc and disorganised. 2 - Processes follow a regular pattern. 3 - Processes are documented and communicated. 4 - Processes are monitored and measured. 5 - Best practices are followed and automated.

0 - Inexistente quando Não há um processo de gerenciamento de mudanças formalmente estabelecido, e as mudanças podem ser feitas praticamente sem nenhum controle. Não há consciência de que as mudanças podem interromper as operações de TI de negócio, tampouco há consciência dos benefícios de um bom gerenciamento de mudanças. 1 - Inicial/ Ad hoc quando É reconhecido que as mudanças devem ser gerenciadas e controladas. As práticas variam, e existe a probabilidade de execução de mudanças não autorizadas. A documentação de mudança é insuficiente ou inexistente e a de configuração é incompleta e não confiável. Provavelmente os erros ocorrem junto com interrupções no ambiente de produção devido a um gerenciamento de mudanças ineficiente. 2 - Repetível, porém Intuitivo quando há um processo informal de gerenciamento de mudanças seguido na maioria das mudanças ocorridas, porém esse processo é desestruturado, rudimentar e propenso a erros. A precisão da documentação de configuração é inconsistente, e antes da mudança apenas são realizados um planejamento e uma avaliação limitados dos impactos. 3 - Processo Definido quando há um processo formal de gerenciamento de mudanças, que inclui categorização, priorização, procedimentos de emergência, autorização de mudança e controle de versão, porém a conformidade com o processo ainda é emergente. São aplicadas soluções alternativas, e com frequência os processos são ignorados. Podem ocorrer erros, e mudanças não autorizadas acontecem ocasionalmente. A análise de impacto das mudanças de TI sobre as operações de negócios começa a ser formalizada para apoiar a implementação planejada de novas tecnologias e aplicações. Modelo de Maturidade ( Processo AI6 )

4 - Gerenciado e Mensurável quando O processo de gerenciamento de mudanças é bem desenvolvido, acompanha consistentemente todas as mudanças e os responsáveis pelo gerenciamento podem afirmar que as exceções são mínimas. Os processos são eficazes e eficientes, porém se apóiam em vários procedimentos e controles manuais para assegurar que a qualidade seja obtida. Todas as mudanças estão sujeitas ao planejamento e à avaliação de impacto para minimizar a probabilidade de problemas após a produção. Há um processo de aprovação de mudanças estabelecido. A documentação de gerenciamento de mudanças está atualizada e correta, e as mudanças são controladas formalmente. A documentação de configuração é precisa. O planejamento e a implementação do gerenciamento de mudanças estão ficando mais integrados com as mudanças nos processos de negócio, para assegurar que o treinamento, as mudanças organizacionais e as questões de continuidade de negócio sejam tratados. Há maior coordenação entre o gerenciamento de mudanças de TI e a redefinição de processos de negócio. Há um processo consistente para monitorar a qualidade e o desempenho do processo de gerenciamento de mudanças. 5 - Otimizado quando O processo de gerenciamento de mudanças é revisado e atualizado regularmente para permanecer em alinhamento com as boas práticas. O processo de revisão reflete o resultado do monitoramento. As informações de configuração são automatizadas por software e propiciam o controle de versão. O rastreamento de mudanças é sofisticado e inclui ferramentas que detectam software sem licença e não autorizado. O gerenciamento de mudanças de TI é integrado ao gerenciamento de mudanças de negócio para assegurar que a TI viabilize o crescimento da produtividade e crie novas oportunidades de negócios para a organização. Modelo de Maturidade ( Processo AI6 )

 2009 ISACA All rights reserved. Star Chart IT Process/Maturity Levels for Process XX Awareness and Communication Policies, Standards and Procedures Tools and Automation Skills and Expertise Responsibility and Accountability Goal Setting and Measurement 1 Inicial/ Ad hoc 2 Repetível, porém Intuitivo 3 Processo Definido 4 Gerenciado e Mensurável 5 Otimizado

Modelo de Maturidade ( Benchmark ) 1.00 1.50 2.00 2.50 3.00 3.50 Po1 Po3 Po5 Po9 Po10 A11 A12 A15 A16 DS1 DS4 DS5 DS10 DS11 M1 large medium small

Controles

Controles Políticas, procedimentos, práticas e estruturas organizacionais desenhadas para prover certeza de que os objetivos da organização estão sendo alcançados e eventos indesejáveis serão prevenidos ou detectados e corrigidos. Definição de Controle Definição de Objetivo de Controle em TI O estado de um resultado desejado ou propósito a ser alcançado pela implementação de práticas de controle em uma atividade particular de TI.

Exemplo de Objetivos de Controle AI6 Gerenciar Mudanças AI6.1 Padrões e Procedimentos de Mudança Estabelecer procedimentos formais de gerenciamento de mudanças para lidar de modo padronizado com todas as solicitações de mudança em aplicações, procedimentos, processos, parâmetros de sistema, parâmetros de serviço e plataformas subjacentes (inclusive solicitações de manutenção e reparo). AI6.2 Avaliação de Impacto, Priorização e Autorização Avaliar todas as solicitações de mudança de modo estruturado com relação a impactos no sistema operacional e na respectiva funcionalidade. Assegurar que todas as mudanças sejam categorizadas, priorizadas e autorizadas. AI6.3 Mudanças de Emergência Estabelecer um processo para definição, solicitação, testes, documentação, avaliação e autorização de mudanças de emergência que não sigam o processo de mudança estabelecido. AI6.4 Acompanhamento de Status e Relatórios de Mudanças Estabelecer um sistema de acompanhamento e relatórios de mudanças para documentar mudanças rejeitadas, comunicar o status de mudanças aprovadas e em andamento e executar mudanças. Garantir que as mudanças autorizadas sejam implementadas conforme planejado. AI6.5 Finalização da Mudança e Documentação Atualizar a documentação os procedimentos do sistema e de usuários sempre que forem implementadas mudanças no sistema.

Management defines parameters, characteristics and procedures that identify and declare emergencies.
All emergency changes are documented, if not before, then after, implementation.
All emergency changes are tested, if not before, then after, implementation.
All emergency changes are formally authorised by the system owner and management before implementation.
Before and after images as well as intervention logs are retained for subsequent review.
Controlling emergency changes by implementing the control practices will :
Ensure that emergency
procedures are used in declared
emergencies only
Ensure that urgent changes can
be implemented without
compromising integrity,
availability, reliability, security,
confidentiality or accuracy
AI6 Gerenciar Mudança AI6.3 Mudanças de Emergência Estabelecer um processo para definição, solicitação, testes, documentação, avaliação e autorização de mudanças de emergência que não sigam o processo de mudança estabelecido. Control Practices Why do it? Práticas de Controle

Controles de Aplicação

“ Assurance”

Verifica se os objetivos de controle estão sendo alcançados
Identifica ‘‘fraquezas’’ e riscos nos processos implementados
Provê informações detalhadas sobre a necessidade de ações corretivas
‘‘ Assurance ’’ “ Estamos no caminho certo? Caso não estejamos, como iremos nos ajustar ? ’’

Business Processos de TI Guia de auditoria Objetivos de controle Práticas de controle Controle do Resutado dos testes Indicatodores de performance Indicadores de resultado Modelos de maturidade requisitos informações Medido por Controlado por Implementado com performance resultados maturidade Auditado por A parte sem o todo não é todo... Derivado de Atividades Chave Tabela RACI Dividido em Feito por Auditado por

PERFORMANCE Objetivos do Negócio CONFORMIDADE Basel II, Sarbanes- Oxley Act, etc. Governança Corporativa Governança de TI ISO 9001:2000 ISO 17799 ISO 20000 Padrões de Melhores Práticas ProcedimentosQA Processos e Procedimentos Drivers C OBI T COSO Princípios de Segurança ITIL Balanced Scorecard Onde o Cobit se posiciona?

Suíte de produtos Governança, Segurança e “Assurance” Gerenciamento de ti e dos negócios Governança

The strategic question The value question The architecture question The delivery question O importante é responder aos 4 ‘Ares’

E ainda tem mais coisas...
ISO 38.500
Gestão de Projetos – PMBok
Val IT
RISK IT

Governança de TI Definindo estratégias para o Sucesso

http://www.marcomoraes.com.br	867
http://www.slideshare.net	52
http://blog.marcomoraes.com.br	21
http://governandoti.wordpress.com	13
http://translate.googleusercontent.com	2
http://cc.bingj.com	2
http://webcache.googleusercontent.com	1
http://br.bing.com	1

Governança de TI - Definindo Estratégias para o sucesso

by Marco Túlio Oliveira de Moraes on Apr 20, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

8 Embeds 959

Statistics

Governança de TI - Definindo Estratégias para o sucesso — Presentation Transcript