COBIT 2019: por que governança de TI virou prioridade estratégica

Com a transformação digital acelerando e a LGPD exigindo governança de dados, o COBIT 2019 se tornou a referência para empresas que querem TI alinhada ao negócio. Guia prático de implementação.

Por que governança de TI nunca foi tão urgente

Imagine uma empresa onde o departamento financeiro implementou um sistema de BI na nuvem sem comunicar a TI, o departamento de RH usa três ferramentas diferentes para o mesmo processo, e ninguém sabe exatamente onde estão os dados dos clientes.

Esse cenário é mais comum do que parece — e é exatamente o que a governança de TI foi projetada para evitar.

O COBIT (Control Objectives for Information and Related Technologies), agora em sua versão 2019, é o framework mais adotado globalmente para governança e gestão de TI corporativa. Desenvolvido pela ISACA, oferece um conjunto de práticas que conectam TI à estratégia do negócio.

O que mudou no COBIT 2019

O COBIT 5 era robusto, mas complexo demais para muitas organizações. O COBIT 2019 trouxe mudanças significativas:

Sistema de design flexível: cada empresa pode customizar o framework com base em fatores como setor, tamanho, estratégia de risco e metas de conformidade. Não existe mais um único modelo universal.

40 objetivos de governança e gestão organizados em cinco domínios:

EDM — Avaliar, Dirigir e Monitorar (nível de governança)
APO — Alinhar, Planejar e Organizar
BAI — Construir, Adquirir e Implementar
DSS — Entregar, Servir e Suportar
MEA — Monitorar, Avaliar e Analisar

Foco em resultados: em vez de apenas listar controles, o COBIT 2019 orienta as organizações a identificar quais objetivos de negócio dependem de quais objetivos de TI.

Os seis fatores de design

Para aplicar o COBIT 2019, a organização avalia seis fatores que moldam seu sistema de governança:

Estratégia corporativa: crescimento, inovação, conformidade ou otimização de custos?
Metas corporativas: quais resultados de negócio a TI precisa suportar?
Perfil de risco: qual o apetite a risco da organização?
Questões relacionadas a TI: quais são os maiores problemas atuais?
Panorama de ameaças: quais ameaças externas são mais relevantes?
Requisitos de conformidade: LGPD, SOX, ISO 27001, PCI-DSS?

Esse diagnóstico direciona quais dos 40 objetivos devem ser priorizados — evitando o erro de implementar tudo de uma vez.

Governança de TI e LGPD: a conexão obrigatória

A LGPD criou uma demanda direta por governança de dados — e, por extensão, por governança de TI. As obrigações da lei (mapeamento de dados, controle de acesso, gestão de incidentes, resposta a titulares) exigem processos maduros de TI.

O COBIT 2019 inclui objetivos diretamente relacionados a privacidade e proteção de dados:

APO13 — Gestão de Segurança da Informação
APO14 — Gestão de Dados (novo no 2019)
DSS05 — Gestão de Serviços de Segurança
MEA03 — Gestão de Conformidade com Requisitos Externos

Organizações que implementam COBIT com foco em LGPD criam a estrutura necessária para demonstrar conformidade à ANPD de forma organizada e evidenciada.

Como começar a implementação

Passo 1: Diagnóstico de maturidade atual

Use o modelo de capacidade do COBIT para avaliar o nível atual dos processos mais críticos. Os níveis vão de 0 (incompleto) a 5 (otimizado).

A maioria das empresas brasileiras de médio porte está entre os níveis 1 e 2. Isso não é um problema — é um ponto de partida.

Passo 2: Defina o nível-alvo por processo

Nem todo processo precisa atingir nível 5. Um processo de gestão de segurança pode precisar chegar ao nível 4, enquanto um processo interno menos crítico pode ficar no nível 2.

Passo 3: Priorize com base no risco e no negócio

Com recursos limitados, priorize os processos que:

Suportam os objetivos estratégicos mais importantes
Têm maior impacto em risco ou conformidade
Apresentam maior gap entre o estado atual e o desejado

Passo 4: Implemente em ciclos

Governança de TI não é implementada em um projeto — é construída em ciclos. Adote sprints de melhoria trimestrais com métricas claras de progresso.

Resultados tangíveis de uma boa governança de TI

Empresas com governança de TI madura apresentam, em média:

35% menos downtime não planejado (Gartner, 2024)
40% mais velocidade na entrega de projetos de TI
Redução de 25% no custo total de operação de TI
Conformidade regulatória mais fácil de demonstrar e manter

Governança de TI bem implementada não é burocracia — é a diferença entre uma TI que sustenta o negócio e uma TI que freia o negócio.