COBIT5

Página 1

*Organizações querem:

1.Info para tomar decisão de negócio.

2.Alcançar seus objetivos estratégicos com o auxílio da TI.

3.Alcançar excelencia operacional por meio da TI.

4.Manter riscos em níveis aceitáveis e otimizar custos.

5.Buscar conformidade (leis, regulamentos, políticas, contratos...)

*A Importância da informação

1.Recurso valioso para empresa. (principal ativo)

2.Ciclo de vida da Info: criada, usada, retida, divulgada e destruída. -> TI o apoia.

3.A TI é indispensável em todos os aspectos do negócio.

*Mostra que TI é importante para a empresa a alta administração, através da geração de informação para o negócio (retimento e etc..) -> para tomada de decisões

*Cobit 5

1.Framework completo e aceito internacionalmente p governança e gestão DE TI (enterprise = ponta a ponta)

2.Suporta ou axilia as orgs no alcance dos objetivos de negócio e entrega de valor.

3.COBIT não é mais uma sigla, agora é uma marca. -> não mais para objetivos de controle, e sim agora para práticas de gestão.

4.Evolução das versões anteriores.

5.Integra negócio e TI, e agora outros frameworks da ISACA como o VAL IT(análise de negócio - orçamento, investimento..) e o RISK IT(gerencia de risco).

*Fatores q motivaram o COBIT5 (vindos das organizações)

1.Possibilitar maior participação dos stakeholders nas decisões da empresa (riscos aceitáveis, custos razoáveis...ver prioridades) -> tb transparência a eles com o andamento e resuls

2.Tratar a dependência entre a parceria de negócio e TI.(fornecedores, terceirizados, provedores de serviços de TI, consultores de TI...)

3.Lidar com quantidade de info e manter info de qualidade.

4.Cobrir organização de ponta a ponta. (todas as interfaces relevantes pras tomadas de decisões - desde as partes interessadas até o cara de TI operacional)

*Novidades do COBIT 5

1.5 princípios e 7 habilitadores

2.Integra os principais frameworks da ISACA: ISO38500(norma de gov de TI, princípios), VAL IT, RISK IT

3.Define novo modelo de referência de processos de TI e como avalia a capacidade deles. (novo modelo de avaliação de capacidade de processos)

4.Diferença entre governança e gerenciamento.

_____________________________________________________________________________________________________

*Histórico e Evolução do COBIT (foi sendo acoplado as características)

COBIT1- framework pra auditoria, e tinha objetivos de controle - resultado esperado.(que agora são práticas de gestão)

.p verificar se determinados resultados(objetivos de controle) estavam sendo alcançados.

COBIT2- foco no controle, foi incorporado as práticas de controle(detalhamento maior de como alcançar os objetivos de controle). - auditar e controlar

.práticas, políticas e estruturas organizacionais para controle e garantia de que esses objetivos serão alcançados. (ainda para auditores)

COBIT3- foco para gerenciamento. Objetivos de negócio, não apenas TI(objetivos de controle). Surgiu os critérios de qualidade da informação, recursos de TI...

.conceito de governança de TI surgiu aqui - falar a linguagem de negócio (um nível estratégico)

COBIT4- framework de governança de TI. Não era totalmente integrado (trabalhava com outros frameworks paralelos - VAL IT E RISK IT).

.Já se integrava com PMBOK, normas ISO de segurança, ITIL...

COBIT5- framework completo de governança de nível empresarial de TI (incorpora governança de negócio de TI e governança funcional de TI) - integra negócio e tecnologia de maneira abrangente(ponta a ponta)

.abordagem bem mais holística - integrado com vários frameworks, sem precisar de frameworks paralelos. (integração total com os padrões de mercado)

.framework integrador que traz todos os padrões para dentro dele e diz aonde deve usar frameworks de nichos específicos(como itil,pmbok e iso27001) em seus nichos de atuação.

.processos de TI e tudo aquilo que interage com a TI.

*Governança x Gerenciamento

.Governança de TI: tomada de decisões, definir a direção ou rumo da organização. - só pode ser feito se entender as necessidades das partes interessadas.

.primeiro se AVALIA essa direção(com os stakeholders), depois se DIRIGE e por último MONITORA como está indo essa decisão.

.diretoria da Organização.

.Gerenciamento de TI: implementação das decisões tomadas no nível de Governança.(projetos e planos específicos)

.Planejar, Construir, Executar e Monitorar as atividades- sempre alinhado com as decisões tomadas anteriormente.

*Família de Produtos do COBIT5 - Diversos guias específicos para cada assunto. (p focar em públicos alvos específicos e p facilitar a manutenção dessas publicações)

.O núcleo do COBIT5 - o guia framework - principal produto - princípios, habilitadores, mapa de processos, resumo do guia de implementação... é um resumão

.Guias Habilitadores

-Guia específico para Processos (detalhados)

-Informações Habilitadoras (mostra como lida com a info e seu ciclo de vida)

...

.Guias Profissionais: pra profissionais específicos

-Guia de Implementação(etapas de como pode implementar o cobit)

-Guia p segurança da informação

-Guia para Assurance(Auditoria)

-Guia para Riscos

...

.Ambiente Colaborativo Online do COBIT5 - versão online

->Então o COBIT está fragmentado ou organizado numa familia de produtos.

*Princípios:

1.Satisfazer as necessidades das partes interessadas: é o fundamental e 1º. (clientes, patrocinadores e etc)

2.Cobrir a empresa de ponta a ponta: mapeia vários departamentos que estão envolvidos na governança e gerenciamento de TI. (não são exercidos apenas pela parte de TI)

3.Aplicar um framework integrado e único: existem vários frameworks de mercado(Itil, pmbok, isos..), e procura-se a alinhar o cobit com todos. (trazer p dentro dele)

4.Possibilitar uma abordagem holística: procura mostrar os elementos envolvidos no 1º principio: processos, informações, pessoas, políticas organizacionais, ética, padrões... (habilitadores)

5.Separar Governança de Gerencimaneto: processos p um e processos p outro.

____________________________________________________________________________________________________

*Satisfazer as necessidades das partes interessadas

.Exatamente esse é o grande objetivo das organizações de qlqr tipo - atender aos interessados. (criar valor aos stakeholders - gerar benefícios a um custo ideal e riscos em níveis aceitáveis)

.a governança que negocia esses custos e riscos.

.Objetivo da Governança: criação de valor às partes interessadas. -> Com Realização de Benefícios, Riscos otimizados e recursos otimizados. (em níveis razoáveis)

.É preciso de 3 perguntas parar criar valor: quem vai receber o benefício, qm vai lidar com os riscos e que recursos serão necessários.

.Cobit ajuda fornecendo: processos e outros habilitadores p criação de valor. (A TI é uma apoiadora)

.Para alcançar as metas dos stakeholders: mecanismos conhecido como Cascata de Metas(Goals Cascace) -> mapeamento de metas de negócio em metas de TI e habilitadores, ou seja, TI gerando valor ao negócio e atendendo aos interesses dos stakeholders.

**O Sistema de Cascata(desdobramento) de Metas: mapeia objetivos de alto nível(estratégicos) e os riscos associados, definindo prioridades de implementação(por onde começa)

Funciona em 4 níveis:

1.Necessidades das Partes Interessadas: que precisam ser satisfeitas, agregar valor a eles.

2.Metas Corporativos ou Empresariais: necessidades traduzidas p metas empresarias(de toda a sua empresa, organização)

3.Metas de TI: as metas de cima sendo traduzidas pro Departamento de TI. (apoiando)

4.Metas de Habilitadores: metas de TI sendo traduzidos em metas de habilitadores(recursos ou facilitadores que se utiliza p alcançar gov de TI)

Entao: Motivadores dos stakeholders impulsionam as necessidades dos stakeholders que tem 3 níveis(os objetivos de governança): realizar benefícios(financeiro ou não), otimizar riscos e recursos. -> desdobra Metas empresariais(ou de negócio) que desdobra em Metas de TI que desdobra em Metas para habilitadores.

***Metas Genéricas Empresariais: definidas com base nas perspectivas do BSC e são comuns a quase todas as organizações (exemplos de metas)

.Cada uma se relaciona de forma primária ou secundários com os objetivos de governança.

Exemplo: Transparência Financeira - ta na dimensão Financeira do BSC, se relaciona primariamente com realização de benefícios e secundariamente com otimização de recursos e tb de riscos.

***Metas de TI (genéricas): tb são comuns à maioria das orgs, tb baseadas nas perspectivas do BSC e tb são 17. Associam às metas genéricas.

Ex:Agilidade de TI - ta na dimensão Interna do BSC. Se relaciona primária ou secundariamente com algumas das metas genericas empresariais.

.Benefícios da cascata de metas:

1.Permite definir prioridades com base nos objetivos estratégicos.

2.Define metas relevantes em vários níveis de responsabilidades.

3.Identifica claramente como os habilitadores são importantes p alcançar as metas de negócio.

.Obs: A cascata de metas não é uma verdade universal, é apenas para guia, pq:

1.Cada empresa tem diferentes prioridades e metas que podem mudar com o tempo.

2.O mapeamento n leva em conta tamanho ou tipo da empresa.

3.O mapeamento usa apenas dois níveis de relevância/prioridade.(primário e secundário)

Ou seja, deve-se personalizar a cascata para sua empresa.

____________________________________________________________________________________________________________________

*Cobrir a Organização de Ponta a Ponta

O COBIT5:

1.Integra a Gov (Empresarial) de TI a Gov Empresarial.

2.Cobre todas as funções e processos dentro da org. - não foca apenas na função de TI. (mostra processos e papéis q não são de TI, tb)

3.Todos devem gerenciar infos de alguma maneira.

.É um framework abrangente(traz tudo p dentro dele) e vai de ponta a ponta.

**Componentes Chave de um Sistema de Governança

1.Objetivo de Governança: criação de valor (e os seus 3 níveis: benefícios, riscos e recursos)

2.Habilitadores de Governança: que habilitadores terão.

3.Escopo da Governança: a área que será governada na empresa.

4.Papéis,Atividades e Relações: quem faz o que e como atuará e interagirão entre si.

*Aplicar um framework único e integrado

1.Alinha-se com outros frameworks e padrões relevantes: COSO, ISO 9000, ISO 38500, ISO 27000, ITIL, PMBOK, CMMI...

2.É abrangente e utiliza linguagem agnóstica(não técnica) - não foca em nenhum tema, mas tem um pouco de tudo

3.Provê arquitetura simples para publicação de material - mais fácil integração de novos.

.Base de Conhecimento do COBIT -> tem como fonte de conhecimento: guias que ja existiam da ISACA(VAL IT e RISK IT), novos materiais da ISACA e outros padrões.

.Usa os habilitadores do COBIT 5

.Aplica-se um filtro nessa base e gera a família do COBIT5. (produtos focados por tema)

________________________________________________________________________________________________________________________

*Possibilitar uma Abordagem Holística: pra isso, uso dos habilitadores

.Holístico = totalidade e levando em conta as partes desse todo.

.Habilitadores: fatores que sozinho ou coletivamente influenciam o funcionamento de algo. (Governança e Gerenciamento, no caso do CObiT)

-algo tangível ou intangível q auxilia na efetiva realização da governança.

-são dirigidos pelo desdobramento de metas. (cascata de metas) - metas de alto nível definem oq os habilitadores devem alcançar.

.7 categorias de Habilitadores:

1.Princípios, Políticas e Frameworks: filosofia de trab da org.

2.Processos: elementos transformadores que processam entradas e geram produtos de trab. São 37.

3.Estruturas Organizacionais: Comitês, grupos de trabalho...departamentos onde as pessoas trabalham na empresa

4.Cultura, Ética e Conduta: comportamentos que diferenciam o certo do errado...a ética e conduta que geram a cultura da org.

5.Informação: dados em todas as suas formas, usados pelo negócio.

6.Serviços, Infra e Apps: elementos mais operacionais que dão suporte p gerar infos.

7.Pessoal, Habilidades e Competências: o capital humano.

**Princípios, Políticas e Frameworks: são estruturas de trabalho, fornecem guias, relacionamentos, regras...filosofia de trabalho da org (guiam os demais habilitadores)

.Princípios: valores,crenças, premissas da org. (forma de pensar) -> base ética, dá limite a empresa

.Políticas: intençao e direçao geral da org, informado pela gerencia.

.Frameworks: guia prático pro dia a dia.

**Processos: conjunto de práticas alinhadas às políticas,que recebem entradas e aplicam essas práticas gerando uma atividade de trabalho.(produtos,serviços...)

.São 37 processos. Precisam de informaçoes, estruturas organizacionais, infra..

**Estruturas Organizacionais: entidades(Comitês, grupos de trab, departamentos, escritórios...) que participam de tomadas de decisões.

.Essas entidades possuem hierarquia e dependencias entre si.

Devem ser considerados: forma de funcionamento, os membros, até onde pode atuar, e procedimentos de escalonamento.

**Cultura, Ética e Conduta: conjuntos de comportamentos individuais e coletivos na organização

.Ajudam a diferenciar o certo do errado. .Influenciam a gov de TI e a forma de trabalhar.

.Afetam processos e estruturas organizacionais.

**Informação: todo dado produzido e usado na organização (mts vezes é o próprio produto da org) - gera info através de apps de TI

.É o combustível da org p tomada de decisões. .Pode ser escrita, eletrônica...

.Possui um ciclo de vida: criada, usada, destruída...

**Serviços, Infra e Apps: são suporte e fornecem as infos q o negócio precisa.

.São implementados de acordo com princípios de arquitetura. (Ex: padrões de projeto p apps)

**Pessoal, Habilidades e Competências: educar e qualificar as pessoas. Ex: Definir níveis de habilidades.

.Pessoal: capital humano, pessoas que executam processos e tomam decisões.

.Habilidades: capacidade de alcançar resultados.

.Competencias: capacidade de executar tarefa.

.Os Habilitadores são interconectados:

-Cada um precisa de um input de outros hab p ser efetivo. Ex: Processos precisam de Infos, pessoas...

-Cada um gera output pra beneficiar outros hab.

.Dimensões dos Habilitadores: estrutura comum p detalhar melhor cada hab. (todos o tem) e permite com que os habilitadores falem entre si. - São 4:

-Partes Interessadas

-Metas

-Ciclo de Vida

-Boas Práticas

**Partes Interessadas: cada habilitador tem partes interessadas (desempenham papel ativo ou têm interesse no habilitador)

.São internas ou externas. .É importante conhecê-las para envolver as pessoas corretas. Para conseguir obter os resultados do habilitador é necessário isso.

Ex: no habilitador processo, essa dimensão aparece na forma da Matriz RACI.

**Metas: todo habilitador tem um número de metas, e só vai gerar valor quando atingí-las. (lembre-se que o último nível do goals cascade é o "metas de habilitadores")

.Podem ser descritas como resultados esperados do habilitador ou como se aplica o habilitador.

obs: critérios da informação se transformaram em metas do habilitador Informação.

Ex; Metas do habilitador da Informação:

.Qualidade Intrínseca: Exatidão = Integridade; .Acessibilidade: Prontidão = Disponibilidade, Acesso Restrito = Confidencialidade

**Ciclo de Vida: cada habilitador tem um ciclo de vida, desde nascimento ao descarte.

Fases do ciclo: plano, desenho, construção, uso, avaliação, e eliminação.

Lembrar do Itil: estratégia, desenho, transição, operação e melhoria contínua.

**Boas Práticas: exemplos de como implementar o habilitador e que produtos de trabalho gerados.

O Cobit5 fornece várias boas práticas para o habilitador Processo. (os outros habilitadores tem que procurar em outros frameworks)

______________________________________________________________________________________

*Separar Governança de Gerenciamento

.Governança: no nível estratégico, próximo das partes interessadas. Nível de decisões.(toma decisões) Provê direcionamento por meio de priorização e tomada de decisões.

-Responsabilidade do corpo diretivo. -Avalia, Dirige e Monitora.

.Gerenciamento: nível de atividades, de implementação das decisões. -Planeja,Constrói, Executa e Monitora as atividades que implementam as decisões. (alinhadas com as decisões)

-Responsabilidade da gerencia executiva, sob liderança CEO(chief executive officer)

As necessidades de negócio influenciam o nível de Governança, o qual Avalia, Dirige e Monitora(decisões) a org como um todo. Daí são gerados atividades no nível de Gerenciamento: Planeja,Constrói, Executa e Monitora(as atividades alinhadas).

Processos: distinção entre processos de governança e de gerenciamento (domínios separados) - 1 pra Gov e 4 pra Ger.

Informação: são trocadas entre processos de Gov e de Ger.

Estruturas Organizacionais: podem ser de gov ou ger. Decisões tomadas pelas estruturas de Gov são implementadas pelas estruturas de Ger.

Principios, Politicas e Frameworks: veículo pelo qual decisões de Gov são institucionalizadas -> interação entre decisões de Gov(direcionamento) e decisões de Ger(execução das decisões)

Cultura, Ética e Comportamento: bom exemplo dado pela Gov e deve ser seguido pela Ger.

Pessoas, Habilidades e Competencias: Gov e Ger exigem habilidades diferentes, mas ambas precisam entender suas próprias tarefas e como são diferentes.

Servições, Infra e Apps: Serviços requiridos e suportados pela infra e app p prover info adequadade pro corpo de Gov.

_____________________________________________________________________________________

*Modelo de Referência de Processos do COBIT5

.Não é prescritivo, apenas recomenda usar alguns processos. .É uma referencia -> cobre as atividades de TI de qualquer empresa, e elas escolhem os processos conforme o seu caso.

.O importante é satisfazer os objetivos de Gov e Ger.

.Duas grandes áreas de Processo: De Governança e De Gerenciamento.

Gov: 5 processos contidos no domínio Avaliar,Dirigir e Monitorar.

Ger: 32 processos, contidos nos 4 domínios de gerenciamento(Alinhar, Planejar e Organizar ; Construir, Adquirir e Implementar ; Entregar, Servir e Suportar ; Monitorar, Avaliar e Medir)

resumo: Planejar, Construir, Executar e Monitorar.

**Dominio1: Avaliar, Dirigir e Monitorar - de governança, interesse da alta adm, dos diretores...

**Dominio2: Alinhar, Planejar e Organizar - ajudam a fazer alinhamento com o negócio e gerar planos...nível de estratégia

**Dominio3: Construir, Adquirir e Implementar - executar projetos, dev produtos, serviços...nível de pôr a mão na massa.

**Dominio4: Entregar, Servir e Executar - operações, atendimento de requisições...é um nível operacional

**Dominio5: Monitorar, Avaliar e Medir - qualidade, controle interno, checar desempenho...sobre todos os processos de gerenciamento.

____________________________________________________________________________________________

*Avaliar, Dirigir e Monitorar:

.Assegurar o Estabelecimento e Manutenção do Framework de Governança: qual modelo p tomada de decisões? quem toma, veta e prioriza decisão? Papéis, responsabilidades..? Sistema de Governança de TI.

.Assegurar a Entrega de Benefícios: garante que entrega algum valor aos stakeholders, q vc ta fazendo oq realmente interessa. Vê investimentos, custo beneficio..Se processos de negócio estão entregando valor.

.Assegurar a Otimização de Riscos: entender o Apetite e Tolerância a Riscos. Definir o qt de risco é aceitável para organização. Perfil de tolerância a riscos de toda a org.

.Assegurar a Otimização de Recursos: como alocar recursos, quanto de orçamento para cada área...qt investir...de toda a org. (Financeiro e outros)

.Assegurar a Transparência para as Partes Interessadas: aproximar a TI do negócio. Reportar infos relevantes aos stakeholders, no tempo e de maneira correta. Ver se eles estão satisfeitos.

___________________________________________________________________________________________

*Alinhar, Planejar e Organizar:(13) -> alinhar TI com negócio

.Gerenciar o Framework de Gestão de TI: definir conjunto de políticas(conjunto de regras) de gerenciamento. Garantir a divulgação das políticas e como devem ser implementadas.

.Gerenciar Estratégia: alinhar estratégia de TI com a de negócio. Garantir que a estratégia de TI é factível e focada no negócio, comunicar claramente a estrategia e associar metas de TI com metas de negócio.

.Gerenciar a Arquitetura Corporativa: define a arquitetura de informação utilizada na sua empresa. Forma padronizada(modelos, padrões..) p integrar as infos numa arq consistente.

.Gerenciar Inovação: gerar valor para organização através da inovação, avanços tecnológicos...novidades do mercado. Criar cultura de inovação, pensar na frente.

.Gerenciar Portfólio: decide aonde que vão ser feitos os investimentos dos projetos. Verificar o caso de negócio. Projetos ou serviços aprovado p fazer parte do portfolio. (após implementados)

.Gerenciar Orçamento e Custos: (Financeiro no ITIL) define o orçamento q reflita os gastos planejados. Alocar custos nos serviços, de forma justa. Monitorar Orçamento.

.Gerenciar RH: alocar as pessoas certas com habilidades certas nos locais necessários. Definir papeis e responsabilidades, treinamentos...Gerencia e desenvolver pessoas.

.Gerenciar as Relações: ponte entre TI e negócio, de maneira formal. Focando no alcance dos resultados do negócio. Garantir q exista um bom relacionamente entre TI e a empresa.

.Gerenciar Acordos de Nivel de Serviço: entender os requisitos de determinado serviço e gerar acordo q reflitam as espectativas e necessidades do cliente. Especificação, projeto e monitoramento dos serviços de acordo com o nivel de serviço.

.Gerenciar Fornecedores: selecionar Fornecedores adequados pros serviços e projetos, Gerenciar o relacionamento da sua empresa c eles(contratos), monitorar os contratos.

.Gerenciar Qualidade: definir o sistema de qualidade(q padrões de qualidade). Qual critério de qualidade e um esquema de melhoria. Os stakeholders consideram q as soluções dos serviços são de qualidade? A entrega de projeto é feita com qualidade? Os requisitos da qualidade definidos estão sendo implementos nos processos?

.Gerenciar Riscos: identifica, avalia e trata os riscos relacionados a TI. Riscos específicos, em nível de projeto ou serviço.

.Gerenciar Segurança: estabelecer sistema de gestão de segurança da informação, pra manter o impacto de incidentes de segurança em niveis aceitáveis. CID e etc no contexto de segurança da info. Estabelecer políticas de segurança.

São Processos táticos, gerenciais.

F E I A P O R R A F Ú Q R S

R S N R O R H E C O U I E

A T O Q R Ç L O R A S G

M R V U T A A R N L C U

E A A I F M Ç D E I O R

W T Ç T O E Õ O C D A

O E A E L N E S E A N

R G O T I T S D D Ç

K I U O O O E A

A R R

A

___________________________________________________________________________________________________

*Construir, Adquirir e Implementar - execução de projetos p dev produtos e serviços onde estarão os negócios

.Gerenciar Programas e Projetos: iniciar, planejar, executar e encerrar projetos de maneira estruturada e alinhada com as metas de negócio. Revisões de Pós Implementação.

.Gerenciar Definição de Requisitos: requisitos devem ser analisados p garantir q estão alinhados com a estratégia da org, e se são relevantes pra solução. Fazer Analise de Custo/Benefício.

.Gerenciar a Identificação e Construção de Soluções: implementar os requisitos, atividades de design, projetos, testes e manutenção. Estabelece soluções.

.Gerenciar Disponibilidade e Capacidade: garantir que os serviços tenham níveis adequados dentro de um custo aceitável. Capacidade = desempenho. Disponibilidade = confiabilidade(se manter operacional). Tem q considerar o crescimento da Demanda(futuro).

.Gerenciar a Implementação de Mudança Organizacional: coordenar várias mudanças organizacionais com um risco reduzido, cobrindo todo o ciclo de vida da mudança e as partes interessadas afetadas, tanto de negocio quanto da TI. Estratégico. Entender as necessidades de mudança das partes interessadas e dar poder as pessoas corretas p entregar a mudança. Depois checar se a mudança é sustentável. Cultura, conduta. Afeta toda a org.

.Gerenciar Mudanças: mudanças específicas. Recebe solicitações, analisa(ve risco, os interessados) e aprova ou não. Os mesmos tipos de mudança do ITIL.

.Gerenciar Aceite e Transição da Mudança: homologação da mudança, testar, comunicar e etc. (parecido com liberação)

.Gerenciar Conhecimento: comunicação. Garantir q as pessoas tenham o conhecimento certo na hr certa. Manter essa distrubuição de conhecimento relevante e confiável p apoiar decisões.

.Gerenciar Ativos: controla o ciclo de vida dos ativos(qlqr coisa com importancia p org). Continuem agregando valor, protegidos, operacionais...

.Gerenciar Configuração: controle de versão dos ativos. Relacionamentos entre os ativos, os recursos q se vai utilizar...Auditorias de config. Estabelecer baselines(snapshot) p verificar o real e o papel.

Projetos, realizar mudanças, gerar soluções, definir requisitos p essas soluções, pôr operacional e controlar os ativos e seus relacionamentos. Execução de projetos.

P R A D I D/C I M A C

R E C I D O M U T O

O Q E S E N P D I N

J U I P N H L V F

E I T T E E O I

T S E E C M S G

O I S

T M C O M

O U A L U

D P D

____________________________________________________________________________________________________

*Entregar, Servir e Suportar: com solução já implantada, manter operando.

.Gerenciar Operações: executar as ativs operacionais e rotineiras da org p entregar serviços de TI. Monitoração da infra, gerenciar centro de dados e etc

.Gerenciar Requisições de Serviços e Incidentes: requisições dos usuários pra duvidas, orientações e etc(comunicação de baixo risco). Incidentes é qualquer coisa q diminua qualidade de serviço ou interrompa. Dar uma resposta a essas coisas num tempo oportuno. Interface com usuário final.

.Gerenciar Problemas: causa raiz de um ou mais incidentes. Diagnóstico e solução da causa.

.Gerenciar Continuidade: planos de contingencia, de continuidade... políticas de continuidade...manter serviço funcionando.

.Gerenciar Serviços de Segurança: nível operacional. Segurança de Rede, Proteção de Info, Restrições de Acesso, Segurança Física... Atuar de acordo com a política definida no planejar.

.Gerenciar os Controles de Processo de Negócio: controla o processamento de info, os níveis de acessos e privilégios, erros nos apps... Gerenciar controles nos apps da org q geram info.

Operações, Requisições e Incidentes, Problemas, Continuidade, Serviços de Segurança, e Controle do Processo de Negócio

P I S C O

R N E O P

O C R N E

B I V T R

L D R A

E S S O Ç

M E L O

A R G E E

S E S S

Q

S N

E

G

O

C

I

O

_____________________________________________________________________________________________________

*Monitorar, Avaliar e Medir: monitora tudo q acontece no gerenciamento da TI

.MAM Desempenho e Conformidade: todo processo tem um conjunto de métricas e indicadores que sinalizam se processo ta dentro do tempo, custo e outros parâmetros. Mede esses indicadores e métricas de desempenho e conformidade de cada processos e gera relatórios de conformidade.

.MAM Sistema de Controle Interno: avaliações internas por autoavaliações ou avaliação independente. Gera relatórios pros stakeholders. Ve se controles tão bem estabelecidos.

.MAM Conformidade com Requisitos Externos: conformidade com leis, regulamentos e exigencias contratuais. (é um controle externo)

C I E

O N X

N T T

F E E

O R R

R N N

M O O

I

D

A

D

E

__________________________________________________________________________________________________

*Estrutura Descritiva de Processos (padrão)

.Descrição(resumida) e Propósito(se não atingir o propósito do processo, seu nível de capacidade é zero)

.Metas e Métricas

.Práticas (de Gov ou Ger) = objetivos de controle. (como executar o processo)

.Matriz RACI - papéis e responsabilidades (obs: mts deles n tem a ver com TI (Ex:CIO,CEO, escritório de projeto..)

.Entradas e Saídas (entre processos, p se comunicarem) - são definidas no nível de prática

.Guias Relacionados - dizer como ser mapeado para outro framework para determinado processo. (com + detalhes)

obs:Processos contem práticas e atividades.

___________________________________________________________________________________________________

*Modelo de Capacidade do COBIT5 -> permitir avaliação e melhoria dos processos, baseado no padrão ISO15504 - padrão de avaliação e melhoria

.Capacidade de processos! -> Ta no guia específico PAM(Process Access Model), mais detalhado.

.Para ter uma visão completa de melhoria de habilitadores, deve ter outras guias para avaliar os outros habilitadores tb, mas por enquanto só tem p processos.

.Um modelo de avaliação de processos serve para:

-benchmarking(comparar com padrão) de capacidade de processos

-mapear "as-is"(onde estou) e "to-be"(onde quero chegar) - traçar plano de melhoria

-analise de gap entre as-is e to be.

-provar p alta adm classificações do nivel de capacidade dos processos.

.propósito: pode ser interno(rigor mais fraco), foco entre áreas da própria organização.

-pode ser externo(rigor mais forte), foco em avaliações formais com relatórios e certificação

**Níveis de Capacidade: (OBS: níveis acumulativos, precisa do anterior)

.0 - Incompleto: não é implementado ou não atinge propósito(apesar de implementado). (ou seja, não existe ou é incompleto)

.1 - Executado: processo alcança seu propósito, atinge as metas. (apenas atinge)

.2 - Gerenciado: além de executado, é implementado de maneira gerenciada(planejado e monitorado), e tb monitora seus produtos de trab.

.3 - Estabelecido: processo gerenciado e definido(padronizado).

.4 - Previsível: processo estabelecido e opera dentro de limites p atingir seus resultados. (quantitativo)

.5 - Em Otimização: processo previsível continuamente melhorado p atingir metas de negócio atuais e futuras.

Pulo no nível 0 pro 1 é o mais importante. Para atingir os níveis, precisa satisfazer atributos de processos.

.Atributos de Processos: características mensuráveis da capacidade do processo, e são aplicáveis a qualquer processos.

-1.1: Desempenho do Processo = processo atinge seus objetivos e gera todos os produtos de trab necessários.

-2.1: Gerenciamento de Desempenho = plano p executar processo, e monitorado se está de acordo. Responsabilidades e autoridades definidos. Recursos necessários identificados. Comunicação entre os envolvidos é clara.

-2.2: Gerenciamento dos Produtos de Trabalho do Processo: que são definidos, documentados e controlados.

-3.1: Definição de Processo = processo padrão definido. (competências, papéis necessários, infra, ambiente de trab, sequencia com outros processos...)

-3.2: Implantação de Processo = implanta processo definido no dia a dia da org. Papeis e responsabilidades comunicados, Pessoas treinadas, Recursos e Infra necessários disponibilizados.

-4.1: Medição de Processo = objetivos quantitativos estabelecidos, métricas identificadas, resuls das medições coletados p monitorar desempenho do processo.

-4.2: Controle de Processo = ténicas de análise e controle são aplicadas. Limites são estabelecidos p saber ql desempenho é normal e ql extrapola. Ações corretivas são tomadas p resolver causas de variações.

-5.1: Inovação de Processo = dados coletados p possibilitar inovação e boas práticas. Observar oportunidades de melhorias através de tecnologias e novos conceitos.

-5.2: Otimização de Processo = mudanças p implementar melhoria no processo, p garantir melhoria continua.

.Diferenças entre avaliaççoes do COBIT4.1 e 5:

-Pontuação no COBIT5 costuma ser menor, por ser mais rígido.

-4.1: produzia perfil de maturidade da organização

-5: provê escala de capacidade de cada processo: baseado nos 9 atributos. Formalização mt maior.

*Tipos de Avaliação

.Formais(externas): realizadas por avaliadores certificados e externos a org. Avaliação formal, gerando relatório de conformidade e certificado.

.Auto Avaliação(interna) : podem ser conduzidas pela própria org.(menos rigorosas) Servem p fazer análise de gap, diagnósticos internos...

*Benefícios da Mudança:

.Foco maior no processo q ta sendo executado.

.Modelo simplificado e único, redução de duplicidade.

.Maior formalidade e rigor, avaliação mais confiável.

.Conformidade com padrões internacionais de avaliações de processos.

___________________________________________________________________________________________________

*Guia de Implementação: adaptar à sua organização.

.Frameworks, padrões e melhores práticas só são úteis se forem implementados.

.Existem desafios e problemas a serem superados p implementar a gov empresarial de TI, e este guia mostra como superá-los.

.Não é uma abordagem prescritiva ou solução completa, é apenas um guia. - reflete liçoes aprendidas de versões anteriores e outros frameworks da ISACA.

.Abordagem baseada na Melhoria Contínua

-Criar ambiente apropriado para essa implementação: mudança de cultura, de paradigma e etc..não é facil as pessoas estarem preparadas para mudanças.

-Reconhecimento de pontos de dor(problemas que a empresa ta passando) e eventos de gatilho(que fazem a TI precisar atuar).

-Abordagem de ciclo de vida: dividir uma melhoria em etapas, pois não dá p fazer tudo de uma vez.

-Início a partir de business case(plano q convence a alta adm q melhorias são necessárias) - custo benefício, estatísticas e etc

**Criar Ambiente apropriado: antes de mudar qlqr coisa na org, precisa-se preparar o ambiente e as pessoas para mudanças que virão

.Entender o contexto que a gov de TI será implementada e oq será alcançado.

.Estabelecer ambiente apropriado - primeiro passo p implementar melhorias na gov de TI. Buscar um patrocinador forte, precisa ser interesse da alta adm. (TI não é auto governada, nunca)

.Deve ter um Comitê Diretivo de TI, ou de governança ou de conselho: agir em nome do conselho, responsável pela tomada de decisões da TI. (conversa diretamente c a alta adm)

**Pontos de Dor e Eventos de Gatilho: ponto de partida na implementação

.Pontos de Dor: problemas q podem afetar a atuação da org e q precisam ser melhorados p ter sucesso numa abordagem de gov. (Probs com terceirizados, probs com gastos, falhas no cumprimento regulatórios...)

.Eventos de Gatilho: normalmente são demandas novas q surgem e q dão pressão para TI atuar. (Mudanças no mercado, novas leis, mudança no modelo de negócio...)

**Ciclo de vida: em fases

.1- What are the drivers - Quais são os motivadores?

-Identificar pontos de dor e gatilhos.

-Um motivador de mudança pode ser interno ou externo, problemas ou condições que estimulam às mudanças.

.2 - What are we now - Onde estamos agora?

-Diagnóstico para saber as áreas mais arriscadas e onde o foco deve ser dado.

-São mapeadas capacidades e deficiências atuais da org.

.3 - Where do we want to be - Onde queremos estar?

-Um objetivo de melhoria é estabelecido. -Prioridades de iniciativas factíveis e que tragam benefícios(as mais fáceis de alcançar devem vir primeiro)

.4 - What needs to be done - O que precisa ser feito?

-Soluções práticas e factíveis são planejadas e serão implementadas por projetos. (gerar planos)

-Cada projeto será justificado para alta adm através de um Business Case.

.5 - How do we get there - Como chegamos lá?

-As soluções que eram planos serão implementadas e transformadas em práticas do dia a dia.

-Definir métricas p monitorar essas práticas e garantir que está indo na direção correta.

.6 - Did we get there - Chegamos lá?

-Monitora se os benefícios esperados foram realizados. (Planned x Did)

.7 - How do we keep momentum going - Como manter o impulso?

-Revisar o sucesso global e começar a identificar novos requisitos pra gov e verificar se a melhoria contínua pode ser aplicada aos seus processos, estruturas...a tudo q foi feito p se chegar onde chegou.

-Baseado na melhoria contínua.

**Entendendo os Business Cases: documento que justifica um projeto ou nova solução com base nos benefícios esperados. Ferramenta dinâmica com visual atual do projeto e futuro da org. Contém:

.Benefício de negócio esperados.

.Alinhamento com a estratégia.

.Mudanças necessárias, custos, riscos...

.Quais são os papéis necessários e como tudo isso será monitorado.