Governança de TI: COBIT, ITIL e ISO 20000 em linhas gerais

Governança de TI aparece em provas de cargos de tecnologia como um bloco de conceitos e siglas. O candidato que sabe o que cada referência é e para que serve resolve a maioria das questões sem decorar versões. Este guia trata do geral e evita deliberadamente números de versão e listas extensas de processos, que mudam a cada edição e devem ser conferidos no edital. Não há cálculo ou código aqui.

Governança e gestão: a distinção que abre tudo

	Governança	Gestão
Pergunta	para onde a organização deve ir e quem decide?	como chegar lá no dia a dia?
Quem	direção, alta administração	gestores e equipes
Verbos típicos	avaliar, dirigir, monitorar	planejar, construir, executar, controlar

Governança de TI é o conjunto de estruturas, processos e responsabilidades que garante que a TI sustente os objetivos da organização, gerencie riscos e entregue valor. Gestão de TI executa o que a governança direciona. Em organizações públicas, esse tema se liga à prestação de contas e ao controle externo.

COBIT

O COBIT (Control Objectives for Information and related Technology) é um arcabouço de governança e gestão de TI corporativa, mantido pela ISACA. Ele não ensina a programar nem a operar um serviço: organiza o que deve ser controlado e fornece objetivos de governança e de gestão, métricas e modelo de capacidade e maturidade. Pontos estáveis, úteis para prova:

Separa explicitamente governança e gestão.
Na estrutura clássica de domínios, a governança é representada por EDM (avaliar, dirigir e monitorar), e a gestão, por APO (alinhar, planejar e organizar), BAI (construir, adquirir e implementar), DSS (entregar, serviços e suporte) e MEA (monitorar, avaliar e analisar).
Liga as metas da organização às metas de TI (cascata de objetivos), buscando o alinhamento estratégico.
Trabalha com modelo de capacidade dos processos, para medir quão bem eles são realizados.
É um referencial de controle, em geral não certificável para organizações (diferente de normas ISO).

Em uma pergunta de prova, “COBIT” costuma ser a resposta quando o enunciado fala de governança, controles, alinhamento estratégico e auditoria.

ITIL

O ITIL é uma coletânea de boas práticas para a gestão de serviços de TI, o ITSM (IT Service Management). Seu foco é entregar e sustentar serviços que gerem valor para o cliente. O ITIL é um conjunto de práticas, não uma norma certificável para organizações: as pessoas se certificam; a organização que busca certificação de gestão de serviços recorre à norma ISO/IEC 20000.

A estrutura mudou entre edições: versões anteriores organizavam o conteúdo em um ciclo de vida de serviço (estratégia, desenho, transição, operação e melhoria contínua); a edição mais recente adota um sistema de valor de serviço, com princípios orientadores, cadeia de valor e práticas, e destaca a coprodução de valor com o cliente. Por isso, confira a versão adotada no edital antes de estudar listas de processos.

Termos que atravessam as edições e são muito cobrados

Termo	Conceito
Serviço	meio de entregar valor ao cliente, facilitando resultados que ele quer, sem que ele tenha de gerir custos e riscos específicos
Incidente	interrupção não planejada de um serviço, ou redução de sua qualidade; o objetivo é restaurar o serviço o quanto antes
Problema	a causa de um ou mais incidentes; o objetivo é achar a causa raiz e evitar recorrência
Requisição de serviço	pedido de um usuário por algo previsto e padronizado (acesso, informação, instalação)
Mudança	acréscimo, modificação ou remoção de algo que possa afetar os serviços; precisa ser avaliada e autorizada
Evento	ocorrência significativa para a gestão do serviço (nem todo evento é incidente)
SLA	acordo de nível de serviço entre provedor e cliente, com metas mensuráveis
Catálogo de serviços	lista dos serviços oferecidos
CMDB	base de dados de itens de configuração e seus relacionamentos
Central de serviços	ponto único de contato entre usuários e a TI

Diferença mais cobrada: incidente x problema. O servidor de e-mail caiu e os usuários ficaram sem acesso: isso é um incidente, tratado com uma solução de contorno que restaura o serviço. Se essa queda se repete toda semana, abre-se um problema para descobrir por que e corrigir a origem. Outra diferença: a solução de contorno restabelece o serviço sem eliminar a causa; a solução definitiva elimina a causa.

Uma mudança emergencial segue um caminho mais rápido, mas ainda é controlada. Conceito vizinho: o gerenciamento de configuração mantém o registro do que existe, para que se avalie o impacto antes de mudar.

ISO/IEC 20000

É a norma internacional de gestão de serviços: define requisitos para que uma organização estabeleça, implemente, mantenha e melhore continuamente um sistema de gestão de serviços. Diferente do ITIL, é certificável. Resumo: o ITIL descreve boas práticas; a ISO/IEC 20000 define requisitos auditáveis.

Outras referências citadas em provas

Referência	Resumo
ISO/IEC 38500	princípios de governança corporativa de TI para dirigentes
ISO/IEC 27001	requisitos de sistema de gestão de segurança da informação; veja ISO 27001 em alto nível
PMBOK	guia de gerenciamento de projetos
CMMI	modelo de maturidade de processos de desenvolvimento
Métodos ágeis	veja ciclos de vida de software e Scrum

Como diferenciar COBIT, ITIL e ISO 20000

Se o enunciado fala de…	Pense em…
governança de TI, objetivos de controle, auditoria, alinhamento estratégico	COBIT
gestão do ciclo dos serviços, incidentes, problemas, mudanças, central de serviços	ITIL
requisitos auditáveis e certificação de organização na gestão de serviços	ISO/IEC 20000
projetos, escopo, cronograma	PMBOK

Governança de TI no setor público

Órgãos públicos costumam ter comitês de governança e planos de TI alinhados à estratégia institucional, com gestão de riscos e controles. O controle externo e o interno cobram resultados e conformidade. Por isso, o tema aparece também em provas de auditoria e controle. Para a atuação de TI no serviço público, veja carreiras de TI no serviço público.

Erros comuns

Confundir governança (dirigir e monitorar) com gestão (executar).
Atribuir ao ITIL a natureza de norma certificável para organizações.
Confundir incidente (restaurar o serviço) com problema (achar a causa).
Dizer que o COBIT é um guia de gerenciamento de projetos.
Decorar processos de uma versão sem checar a versão do edital.

Fontes e atualização

Não há norma oficial brasileira que defina estas referências; o conteúdo descreve, em linhas gerais, as publicações dos respectivos mantenedores e as normas ISO, que são revisadas periodicamente. Por isso, listas de processos, nomes de práticas e números de versão devem ser conferidos no edital e na bibliografia da banca. Este guia não envolve cálculos nem código executável.

Próximos passos

Estude a segurança em ISO 27001 e 27002: SGSI, PDCA e gestão de riscos.
Veja a visão de carreira em concursos para quem é formado em Tecnologia da Informação.
Conecte com a política de segurança em segurança da informação, PNSI e LGPD.