Governança Corporativa e Governança em TI
Autor: Renato Santos | Publicado: 2012-01-13T15:43:00-08:00

Governança corporativa é o conjunto de processos, costumes, políticas, leis, regulamentos e instituições que regulam a maneira como uma empresa é dirigida, administrada ou controlada. O termo inclui também o estudo sobre as relações entre os diversos atores envolvidos (os stakeholders) e os objetivos pelos quais a empresa se orienta. Os principais atores tipicamente são os acionistas, a alta administração e o conselho de administração. Outros participantes da governança corporativa incluem os funcionários, fornecedores, clientes, bancos e outros credores, instituições reguladoras (como a CVM, o Banco Central, etc.) e a comunidade em geral.
Tem havido um renovado interesse no assunto de governança corporativa desde 2001, particularmente devido aos espetaculares colapsos de grandes corporações norte-americanas como a Enron Corporation e Worldcom. Em 2002, o governo federal norte-americano aprovou a Lei Sarbannes-Oxley, com o propósito de restaurar a confiança do público em geral na governança corporativa.

As oito principais características da "boa governança"


- Participação
Participação significa que homens e mulheres devem participar igualmente das atividades de governo.
A participação deve contemplar a possibilidade de participação direta ou participação indireta através de instituições ou representantes legítimos.
A participação implica a existência de liberdade de expressão e liberdade de associação de um lado, e uma sociedade civil organizada de outro lado.
O princípio, apesar de parecer utópico, é perfeitamente possível desde que existam leis claras e específicas que garantam os termos propostos; e existam iniciativas do Estado visando à sustentação dos termos.

- Estado de Direito
A boa governança requer uma estrutura legal justa que se aplica a todos os cidadãos do Estado independentemente de sua riqueza financeira, de seu poder político, de sua classe social, de sua profissão, de sua raça e de seu sexo.
A boa governança deve garantir total proteção dos direitos humanos, pertençam as pessoas a maiorias ou a minorias sociais, sexuais, religiosas ou étnicas.
A boa governança deve garantir que o poder judiciário seja independente do poder executivo e do poder legislativo.
A boa governança deve garantir que as forças policiais sejam imparciais e incorruptíveis.

- Transparência
Mais do que "a obrigação de informar", a administração deve cultivar o "desejo de informar", sabendo que da boa comunicação interna e externa, particularmente quando espontânea, franca e rápida, resulta um clima de confiança, tanto internamente, quanto nas relações da empresa com terceiros. A comunicação não deve restringir-se ao desempenho econômico-financeiro, mas deve contemplar também os demais fatores (inclusive intangíveis) que norteiam a ação empresarial e que conduzem à criação de valor. No Brasil existe a Lei de Responsabilidade Fiscal, que induz o gestor público à transparência de seus atos. Essa transparência pode ser melhorada, significativamente, com instrumentos como a Demonstração do Resultado Econômico, com o contracheque econômico e o balanço social.

- Responsabilidade
As instituições governamentais e a forma com que elas procedem são desenhadas para servir os membros da sociedade como um todo e não apenas pessoas privilegiadas.
Os processos das instituições governamentais são desenhados para responder as demandas dos cidadãos dentro de um período de tempo razoável.

- Decisões orientadas para um Consenso
As decisões são tomadas levando-se em conta que os diferentes grupos da sociedade necessitam mediar seus diferentes interesses. O objetivo da boa governança na busca de consenso nas relações sociais deve ser a obtenção de uma concordância sobre qual é o melhor caminho para a sociedade como um todo. Além disso, as decisões também devem ser tomadas levando em conta a forma como tal caminho pode ser trilhado.
Essa forma de obter decisões requer uma perspectiva de longo prazo para que ocorra um desenvolvimento humano sustentável. Essa perspectiva também é necessária para conseguir atingir os objetivos desse desenvolvimento.

- Igualdade e inclusividade
A boa governança deve assegurar igualdade de todos os grupos perante os objetivos da sociedade. O caminho proposto pelo governante deve buscar promover o desenvolvimento econômico de todos os grupos sociais.
As decisões devem assegurar que todos os membros da sociedade sintam que façam parte dela e não se sintam excluídos em seu caminho para o futuro.
Esta abordagem requer que todos os grupos, especialmente os mais vulneráveis, tenham oportunidade de manter e melhorar seu bem –estar.

- Efetividade e eficiência
A boa governança deve garantir que os processos e instituições governamentais devem produzir resultados que vão ao encontro das necessidades da sociedade ao mesmo tempo em que fazem o melhor uso possível dos recursos à sua disposição. Veja Lei do Ótimo de Pareto. Isso também implica que os recursos naturais sejam usados sustentavelmente e que o ambiente seja protegido.

- Suporte à auditoria fiscalizadora
As instituições governamentais, as instituições do setor privado e as organizações da sociedade civil deveriam ser fiscalizáveis pelas pessoas da sociedade e por seus apoiadores institucionais. De forma geral, elas devem ser fiscalizáveis por todas aquelas pessoas que serão afetadas por suas decisões, atos e atividades.


Governança em Tecnologia da Informação



Esta é uma questão que muitos CIOs estão fazendo. Isto ocorre devido à diversidade de ferramentas e conceitos que são “despejados” no mercado, gerando dúvidas e definições incorretas sobre o tema.
Os grandes equívocos que ocorrem freqüentemente são de definição, onde se conceitua a Governança de TI (GTI) como um painel de indicadores, ou como um processo de gestão de portfólio dos projetos estratégicos.
Existem algumas frentes defensoras do conceito de que com a implementação de alguns processos baseados em apenas uma das melhores práticas (como Balanced Scoredcards (BSC), CobiT, ou ITIL) por si só, garantem a Governança, entretanto este conceito está incorreto.
A premissa mais importante da Governança de TI é o alinhamento entre as diretrizes e objetivos estratégicas da organização com as ações de TI. A definição do ilustre professor da FGV Sr. João R. Peres demonstra este conceito de forma abrangente, atribuindo os papéis e as responsabilidades conforme abaixo:
“Governança de TI é um conjunto de práticas, padrões e relacionamentos estruturados, assumidos por executivos, gestores, técnicos e usuários de TI de uma organização, com a finalidade de garantir controles efetivos, ampliar os processos de segurança, minimizar os riscos, ampliar o desempenho, otimizar a aplicação de recursos, reduzir os custos, suportar as melhores decisões e conseqüentemente alinhar TI aos negócios.”
Está definição deixa clara a importância da Governança de TI em organizações que almejam atender a crescente demanda por aumento de qualidade de produtos e processos, a alta competitividade do mercado globalizado e a busca por menores custos e maiores lucros.
Outra definição que se encaixa em Governança de TI é de considerá-la como “a Gestão da Gestão”, demonstrando seu papel principal que é de auxiliar o CIO (Governante de TI) a avaliar os rumos a serem tomados para o alcance dos objetivos da organização, onde um direcionamento errado pode levar a empresa ao fracasso em pouco tempo.
Casos de sucesso de um programa de Governança aplicados a uma organização não dão a garantia do mesmo sucesso à outra. Estes casos são muito instrutivos e importantes para auxiliar nos caminhos da elaboração de um programa próprio.
A implementação efetiva da Governança de TI só é possível com o desenvolvimento de um framework (modelo) organizacional específico. Para tanto, devem ser utilizadas, em conjunto, as melhores práticas existentes como o BSC, PMBok, CobiT, ITIL, CMMI e ISO 17.799, de onde devem ser extraídos os pontos que atinjam os objetivos do programa de Governança. Além disso, é imprescindível levar em conta os aspectos culturais e estruturais da empresa, devido à mudança dos paradigmas existentes.
O grande desafio do Governante de TI é o de transformar os processos em “engrenagens” que funcionem de forma sincronizada a ponto de demonstrar que a TI não é apenas uma área de suporte ao negócio e sim parte fundamental da estratégia das organizações.
Fonte: http://www.itweb.com.br/voce_informa/interna.asp?cod=180

Metodologias Importantes

Cobit 4.1 -&nbsp;COBIT®, do inglês, Control Objectives for Information and related Technology, é um guia de boas práticas apresentado como framework, dirigido para a gestão de tecnologia de informação (TI). Mantido pelo ISACA (Information Systems Audit and Control Association), possui uma série de recursos que podem servir como um modelo de referência para gestão da TI, incluindo um sumário executivo, um framework, objetivos de controle, mapas de auditoria, ferramentas para a sua implementação e principalmente, um guia com técnicas de gerenciamento. Especialistas em gestão e institutos independentes recomendam o uso do CobiT como meio para otimizar os investimentos de TI, melhorando o retorno sobre o investimento (ROI) percebido, fornecendo métricas para avaliação dos resultados (Key Performance Indicators KPI, Key Goal Indicators KGI e Critical Success Factors CSF).
O Cobit 4.1 possui 4 fases e 34 processos.


ITIL v3 -&nbsp;O Itil v3 possui exatas 5 fases e 26 processos. O Itil é uma metodologia voltada para a entrega de serviços com base nas melhores práticas de Tecnologia da Informação.


COSO -&nbsp;O COSO® (Committee of Sponsoring Organizations of the Treadway Commission) é uma organização privada criada nos EUA em 1985 para prevenir e evitar fraudes nas demonstrações contábeis da empresa.
Inicialmente criada como National Commission on Fraudulent Financial Reporting, essa comissão era formada por representantes das principais associações de classes de profissionais ligados à área financeira. O primeiro objeto de estudo da comissão foram os controles internos da empresas. Essa comissão posteriormente tornou-se um comitê e passou a se chamar COSO - Committee of Sponsoring Organizations of the Treadway Commission (em português: Comitê das Organizações Patrocinadoras).
O COSO é uma organização sem fins lucrativos, dedicada a melhoria dos relatórios financeiros, sobretudo pela aplicação da ética e efetividade na aplicação e cumprimento dos controles internos e é patrocinado pela cinco das principais associações de classe de profissionais ligados à área financeira nos EUA.
Em decorrência da globalização e padronização internacional das técnicas de auditoria, as recomendações da COSO, relativas ao controles internos, bem como seu cumprimento e observância, são amplamente praticados e tidos como modelo e referência no Brasil e na maioria dos países do mundo.
 

PmBok 4 - O PMI é o orgão regulador do PmBok, responsável por um guia em melhores práticas no gerenciamento de projetos que está na sua 4º edição.
 

CMMi -&nbsp;O CMMI (Capability Maturity Model Integration) é um modelo de referência que contém práticas (Genéricas ou Específicas) necessárias à maturidade em disciplinas específicas (Systems Engineering (SE), Software Engineering (SW), Integrated Product and Process Development (IPPD), Supplier Sourcing (SS)). Desenvolvido pelo SEI (Software Engineering Institute) da Universidade Carnegie Mellon, o CMMI é uma evolução do CMM e procura estabelecer um modelo único para o processo de melhoria corporativo, integrando diferentes modelos e disciplinas.
O CMMI foi baseado nas melhores práticas para desenvolvimento e manutenção de produtos. Há uma ênfase tanto em engenharia de sistemas quanto em engenharia de software, e há uma integração necessária para o desenvolvimento e a manutenção.
A versão atual do CMMI (versão 1.3) foi publicada em 27 de outubro de 2010 e apresenta três modelos:
CMMI for Development (CMMI-DEV), voltado ao processo de desenvolvimento de produtos e serviços.
CMMI for Acquisition (CMMI-ACQ), voltado aos processos de aquisição e terceirização de bens e serviços.
CMMI for Services (CMMI-SVC), voltado aos processos de empresas prestadoras de serviços.
 
ISO 17.799 -&nbsp;A ISO/IEC 17799 foi atualizada para numeração ISO/IEC 27002 em julho de 2007. É uma norma de Segurança da Informação revisada em 2005 pela ISO e pela IEC. A versão original foi publicada em 2000, que por sua vez era uma cópia fiel do padrão britânico (BS) 7799-1:1999.
O padrão é um conjunto, de recomendações para práticas na gestão de Segurança da Informação. Ideal para aqueles que querem criar, implementar e manter um sistema.
A ISO/IEC-17799 tem como objetivos: confidencialidade, integridade e disponibilidade das informações, os quais são fatores muito importantes para a segurança da informação.

ISO/IEC 27001 -&nbsp;ISO/IEC 27001 é um padrão para sistema de gestão da segurança da informação (ISMS - Information Security Management System) publicado em outubro de 2005 pelo International Organization for Standardization e pelo International Electrotechnical Commision. Seu nome completo é ISO/IEC 27001:2005 - Tecnologia da informação - técnicas de segurança - sistemas de gerência da segurança da informação - requisitos mas conhecido como ISO 27001[1].
Seu objetivo é ser usado em conjunto com ISO/IEC 17799, o código de práticas para gerência da segurança da informação, o qual lista objetivos do controle de segurança e recomenda um conjunto de especificações de controles de segurança. Organizações que implementam um ISMS de acordo com as melhores práticas da ISO 17799 estão simultaneamente em acordo com os requisitos da ISO 27001, mas uma certificação é totalmente opcional.
Este padrão é o primeiro da família de segurança da informação relacionado aos padrões ISO que espera-se sejam agrupados à série 27000. Outros foram incluídos antecipadamente:
ISO 27000 - Vocabulário de Gestão da Segurança da Informação (sem data de publicação);
ISO 27001 - Esta norma foi publicada em Outubro de 2005 e substituiu a norma BS 7799-2 para certificação de sistema de gestão de segurança da informação;
ISO 27002 - Esta norma irá substituir em 2006/2007 o ISO 17799:2005 (Código de Boas Práticas);
ISO 27003 - Esta norma abordará as diretrizes para Implementação de Sistemas de Gestão de Segurança da Informação, contendo recomendações para a definição e implementação de um sistema de gestão de segurança da informação. Deverá ser publicada em 2006;
ISO 27004 - Esta norma incidirá sobre as métricas e relatórios de um sistema de gestão de segurança da informação. A sua publicação deverá ocorrer em 2007;
ISO 27005 - Esta norma será constituída por indicações para implementação, monitoramento e melhoria contínua do sistema de controles. O seu conteúdo deverá ser idêntico ao da norma BS 7799-3:2005 – “Information Security Management Systems - Guidelines for Information Security Risk Management”, a publicar em finais de 2005. A publicação da norma ISO 27005 ocorreu em meados de 2008;
ISO 27006 - Esta norma especifica requisitos e fornece orientações para os organismos que prestem serviços de auditoria e certificação de um sistema de gestão da segurança da informação.


Sarbanes Oxley -&nbsp;A Lei Sarbanes Oxley de 2002 também conhecida como Public Company Accounting Reform and Investor Protection Act of 2002 e comumente chamada SOX ou SarBox, sancionada em 30 de julho de 2002, é uma lei federal dos USA em resposta aos inúmeros escândalos corporativos e contábeis de grandes proporções ocorridos na época.
Nomeada com base nos nomes de seus patrocinadores legislativos, Senador Sarbanes (democrata de Maryland) e Deputado Michel G. Oxley ( republicano de Ohio), a lei foi aprovada pela camara por votação de 423 a 3 e pelo Senado por 99 a 0.
A lei possui 11 títulos, indo de responsabilidades adicionais os conselhos de administração das empresas a penalidade criminais, e requer da Securities and Exchange Commission –
SEC a implementação de regras definidas pela lei.
A primeira parte da lei estabelece uma nova agência o Public Company Acconting Oversight Board (PCAOB), que tem o encargo de supervisionar, regulamentar, inspecionar e disciplinar as empresas de auditoria externa em seus papéis de auditores de companhias abertas.
A Sarbanes tem por objetivo estabelecer sanções que coíbam procedimentos não éticos e em desacordo com as boas práticas de governança corporativa por parte das empresas atuantes no mercado norte americano. O objetivo final é restabelecer o nível de confiança nas informações geradas pelas empresas.
Com mais de 300 seções, tendo maior&nbsp;impacto as outras metodologias&nbsp;as seções 302 e 404, a SOX é provavelmente a legislação mais significante para os negócios nos EUA.
 

Balanced ScoreCard -&nbsp;Balanced Scorecard é uma metodologia de medição e gestão de desempenho desenvolvida pelos professores da Harvard Business School, Robert Kaplan e David Norton, em 1992. Os métodos usados na gestão do negócio, dos serviços e da infra-estrutura, baseiam-se normalmente em metodologias consagradas que podem utilizar a TI (tecnologia da informação) e os softwares de ERP como soluções de apoio, relacionando-a à gerência de serviços e garantia de resultados do negócio. Os passos dessas metodologias incluem: definição da estratégia empresarial, gerência do negócio, gerência de serviços e gestão da qualidade; passos estes implementados através de indicadores de desempenho.O BSC (Balanced Scorecard) foi apresentado inicialmente como um modelo de avaliação e performance empresarial, porém, a aplicação em empresas proporcionou seu desenvolvimento para uma metodologia de gestão estratégica.Os requisitos para definição desses indicadores tratam dos processos de um modelo da administração de serviços e busca da maximização dos resultados baseados em quatro perspectivas que refletem a visão e estratégia empresarial:financeira.clientes.processos internos.aprendizado e crescimento.