COBIT 2019, ISO/IEC 38500:2024 e ITIL 4 como modelos de referência

Do zero

Volte ao condomínio da lição de estratégia: a assembleia decide o rumo e cobra resultados; o síndico executa. Para fazer isso bem, o condomínio pode se apoiar em três tipos de guia, cada um num nível diferente:

• A carta de princípios da assembleia diz como um bom conselho se comporta: pensar no propósito do prédio, ouvir os moradores, cobrar contas, cuidar dos riscos. É curta e não diz como trocar o elevador. É a ISO/IEC 38500:2024, a norma de princípios para quem governa a TI.
• O manual completo de administração lista tudo o que precisa funcionar para o prédio ir bem (finanças, obras, segurança, contratos), separa o que é decisão da assembleia do que é tarefa do síndico e mostra como adaptar o manual a um prédio pequeno ou grande. É o COBIT 2019.
• O manual da equipe de manutenção ensina a atender chamados, consertar o que quebrou, descobrir por que a bomba queima toda semana e mudar a fiação sem apagar o prédio. É o ITIL 4, de gestão de serviços de TI.

Nenhum deles é lei; são boas práticas. A organização escolhe e adapta.

Frase para guardar: a 38500 dá princípios e um modelo a quem governa (engajar, avaliar, dirigir, monitorar); o COBIT organiza governança e gestão em 40 objetivos (EDM governa; APO, BAI, DSS e MEA gerenciam); o ITIL cuida dos serviços no dia a dia.

Em 1 minuto

COBIT 2019 (resumo dos slides do curso em fontes/normas/cobit-2019-slides.txt):

• O que é: um framework de governança e gerenciamento de informação e tecnologia (I&T) da organização inteira, não só do departamento de TI. COBIT vem de Control Objectives for Information and Related Technologies. Define os componentes e os fatores de desenho para montar um sistema de governança, e é flexível: aceita novos itens.
• O que não é: não descreve todo o ambiente de TI, não organiza processos de negócio, não é um framework técnico e não toma nem prescreve decisões de TI.
• Governança × gerenciamento: a governança avalia para chegar aos objetivos corporativos, dá a direção por priorização e tomada de decisão e garante desempenho e conformidade; o gerenciamento planeja, constrói, executa e monitora as atividades, alinhado à direção dada pelo órgão de governança. Em resumo: governança é a visão estratégica; gestão, o acompanhamento do dia a dia.
• 6 princípios do sistema de governança: prover valor às partes interessadas; visão holística; sistema dinâmico; distinguir governança de gestão; adaptado às necessidades da organização; sistema fim a fim (a empresa toda, não só a TI). Eles descrevem os requisitos de um sistema de governança.
• 3 princípios da estrutura de governança: baseada em modelo conceitual; aberta e flexível; alinhada aos principais padrões. Eles servem de base para construir o sistema de governança.
• 7 componentes: processos; estruturas organizacionais; princípios, políticas e procedimentos; informação; cultura, ética e comportamento; pessoas, habilidades e competências; serviços, infraestrutura e aplicações.
• 11 fatores de desenho: estratégia corporativa, metas corporativas, perfil de risco, questões relacionadas à TI, cenário de ameaças, requisitos de conformidade, papel da TI, modelo de fornecimento de TI, métodos de implementação de TI, estratégia de adoção de tecnologia e tamanho da organização.
• Áreas de foco: descrevem um tema, domínio ou problema de governança (segurança da informação, risco, DevOps). Combinam componentes e variantes, são em número ilimitado e entram à medida que o sistema de governança amadurece.
• Core Model, 40 objetivos: EDM (Avaliar, Dirigir e Monitorar) reúne os de governança; os de gerenciamento ficam em APO (Alinhar, Planejar e Organizar, 14), BAI (Construir, Adquirir e Implementar, 11), DSS (Entrega, Serviço e Suporte, 6) e MEA (Monitorar, Avaliar e Aferir, 4). Sobram 5 para o EDM.
• Objetivo × processo: o objetivo diz o que deve ser alcançado e se liga a um processo e a vários componentes; por isso é mais amplo que um processo.
• Cascata de metas (cascateamento): os slides só a citam entre os conceitos-chave. Ela desdobra as necessidades das partes interessadas em metas corporativas, depois em metas de alinhamento e, por fim, nos objetivos de governança e gerenciamento [CONFERIR: o detalhe não está em fontes/].
• Gestão de desempenho: processos recebem nível de capacidade e áreas de foco recebem nível de maturidade, numa escala de 0 a 5 inspirada no CMMI [CONFERIR: não está em fontes/; os slides só citam a avaliação de maturidade como benefício].
• Do COBIT 5 para o 2019: de 37 processos (Modelo de Referência de Processos) para 40 objetivos (Core Model). APO passou de 13 para 14, BAI de 10 para 11 e MEA de 3 para 4; DSS ficou em 6. Os três novos, que os slides destacam nessa comparação: APO14 Dados gerenciados, BAI11 Projetos gerenciados e MEA04 Garantia gerenciada. O foco sai do departamento de TI para a I&T da empresa toda (a sigla EGIT, governança corporativa de informação e tecnologia), com referência a práticas ágeis.

ISO/IEC 38500:2024 (prévia oficial em fontes/normas/iso-iec-38500-2024.txt: sumário, prefácio, introdução e seções 1 a 4):

• Edição: 3ª, de fevereiro de 2024; cancela e substitui a 2ª edição (ISO/IEC 38500:2015). Mudanças (Prefácio): os princípios foram elaborados e alinhados aos da ISO 37000 (governança das organizações), que é a referência normativa da norma (seção 2); o modelo passou a incluir engajar as partes interessadas; o framework de governança de TI foi atualizado a partir da ISO/IEC TR 38502.
• Para quem: principalmente o órgão de governança (o conselho de uma empresa, o colegiado de um tribunal), mas a norma reconhece que a governança ocorre em toda a organização (Introdução). Vale para todas as organizações: empresas públicas e privadas, entidades de governo e organizações sem fins lucrativos, da menor à maior, seja qual for o grau de uso de TI (seção 1).
• Natureza: diretrizes baseadas em princípios, sem detalhe de implementação; pode ser usada com outros códigos e princípios de governança (Introdução).
• Definições (seção 3): avaliar é considerar e fazer julgamentos informados (3.2); dirigir é comunicar os propósitos e resultados desejados (3.1); monitorar é revisar como base para decisões e ajustes, incluindo a conformidade com leis e políticas (3.8); governança é o sistema humano de direção, supervisão e prestação de contas (3.3); governança de TI é o sistema pelo qual o uso atual e futuro da TI é governado (3.4); gestão é cumprir os objetivos dentro da autoridade e da responsabilização definidas pela governança (3.7).
• 3 ferramentas (4.2): princípios, modelo e framework de governança de TI.
• 3 resultados da boa governança de TI (4.1): desempenho efetivo, gestão responsável dos recursos (responsible stewardship: dados protegidos, segurança, decisões automatizadas razoáveis) e comportamento ético.
• 11 princípios (seção 5, 5.2 a 5.12): propósito; geração de valor; estratégia; supervisão; prestação de contas; engajamento das partes interessadas; liderança; dados e decisões; governança de riscos; responsabilidade social; viabilidade e desempenho ao longo do tempo.
• Modelo (6.2): engajar as partes interessadas, avaliar, dirigir e monitorar são as principais tarefas de governança (Introdução); a prática de gestão de TI (6.3) cumpre os objetivos dentro da autoridade dada pela governança (3.7).
• Framework (7.2): seis elementos: direção, capacidade, política, delegação, desempenho e prestação de contas.
• Das seções 5 a 7, a prévia em fontes/ traz só os títulos do sumário; o conteúdo de cada princípio e elemento não está lá.

ITIL 4 [CONFERIR: o texto não está em fontes/]: o Sistema de Valor de Serviço reúne os 7 princípios orientadores (foco no valor; começar de onde está; progredir iterativamente com feedback; colaborar e promover visibilidade; pensar e trabalhar de forma holística; manter simples e prático; otimizar e automatizar), a governança, a cadeia de valor de serviço, as práticas (34) e a melhoria contínua, com as 4 dimensões (organizações e pessoas; informação e tecnologia; parceiros e fornecedores; fluxos de valor e processos). As práticas de incidentes, problemas, mudanças e configuração estão na lição de gestão de serviços.

Exemplo concreto: o Tribunal decide usar IA generativa

A Presidência quer usar IA generativa para resumir processos. Veja os três guias trabalhando juntos.

Pela ISO/IEC 38500:2024, o colegiado de governança:

          ENGAJAR as partes interessadas
   (servidores, auditores, jurisdicionados, MP de Contas)
                        │
     ┌──────────────────┼──────────────────┐
     ▼                  ▼                  ▼
  AVALIAR    →       DIRIGIR      →     MONITORAR
 ganhos, riscos,    política de uso,    indicadores, incidentes,
 LGPD, custos       prioridade no PDTI  conformidade com a LGPD
     ▲                                     │
     └─────────────── ajustes ─────────────┘
                        │
        GESTÃO DE TI executa (planeja, constrói, opera)

Os princípios guiam as escolhas: propósito (a IA serve à fiscalização, não à moda), dados e decisões (o resumo apoia, não substitui, o julgamento do auditor), governança de riscos (alucinação, vazamento de dados), prestação de contas (quem responde pelo uso).

Pelo COBIT 2019, o sistema de governança se desdobra:

Os fatores de desenho calibram o tamanho do esforço: requisitos de conformidade altos (LGPD), perfil de risco sensível (dados de processos), modelo de fornecimento em nuvem, tamanho médio da organização. Uma área de foco em segurança da informação ou em risco pode ser aplicada por cima.

Pelo ITIL 4, a equipe de serviços registra os incidentes do assistente, investiga os problemas recorrentes e controla cada mudança de versão do modelo.

Comparação: os três guias e as estruturas de cada um

A edição de 2015 da ISO/IEC 38500 trazia seis princípios (responsabilidade, estratégia, aquisição, desempenho, conformidade e comportamento humano) e o modelo avaliar, dirigir e monitorar [CONFERIR: a edição de 2015 não está em fontes/]. Questões antigas usam esses nomes; o edital cobra a de 2024.

Como a FCC cobra

• O que o COBIT é e o que não é.
• Número de objetivos (40) e mudanças em relação ao COBIT 5.
• Princípios do sistema × princípios da estrutura de governança.
• Público e natureza da ISO/IEC 38500 (princípios para o órgão de governança).
• Papel de cada guia: 38500 (princípios), COBIT (governança e gestão), ITIL (serviços).

Pegadinhas

Explique com suas palavras

Explique a um gestor a diferença entre a ISO/IEC 38500, o COBIT 2019 e o ITIL 4, e como o COBIT separa governança de gestão.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

A ISO/IEC 38500 é a mais curta: ela dá princípios para quem está no topo, como o colegiado do Tribunal. Diz que eles devem ouvir as partes interessadas, avaliar as opções, dirigir com políticas e prioridades e monitorar se deu certo, sempre pensando no propósito da instituição, nos riscos e em quem presta contas. Ela não diz como fazer.

O COBIT desce um nível. Ele lista quarenta objetivos que precisam funcionar e os separa em dois blocos. Cinco são de governança: avaliar, dirigir e monitorar, que é o trabalho do colegiado. Os outros trinta e cinco são de gestão, o trabalho do dia a dia: alinhar e planejar, construir e adquirir, entregar e dar suporte, e medir e conferir. Ele também ensina a ajustar tudo ao tamanho e aos riscos de cada organização. O ITIL é o mais prático: ensina a equipe de TI a atender chamados, resolver problemas e fazer mudanças sem derrubar os serviços.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

Num caso que peça um modelo de governança de TI para o Tribunal, use os três guias nos seus níveis: a ISO/IEC 38500:2024 para o papel do colegiado (engajar, avaliar, dirigir, monitorar) e seus princípios; o COBIT 2019 para desdobrar em objetivos (EDM no colegiado; APO, BAI, DSS e MEA na gestão), escolher componentes (estruturas como o comitê de governança, políticas, processos) e calibrar pelos fatores de desenho; o ITIL 4 para a operação dos serviços. Feche com indicadores no MEA e o vínculo ao PDTI.

Fontes da lição

• Edital nº 01/2026, Anexo II, Governança de Tecnologia da Informação (fontes/edital-01-2026.txt).
• ISACA, COBIT 2019, conforme os slides do curso “COBIT 2019: compreendendo princípios e estrutura” (Alura, Escola Inovação & Gestão), em fontes/normas/cobit-2019-slides.txt. Os nomes em português são os dos slides; o texto oficial da ISACA não está em fontes/ [CONFERIR].
• ISO/IEC 38500:2024, Information technology — Governance of IT for the organization, 3ª ed., prévia com sumário, prefácio, introdução e seções 1 a 4 (fontes/normas/iso-iec-38500-2024.txt). As seções 5 a 7 constam só do sumário; a tradução dos nomes é desta lição.
• AXELOS, ITIL 4 [CONFERIR: o texto não está em fontes/].