COBIT Processos Aula 4.

Apresentação em tema: "COBIT Processos Aula 4."— Transcrição da apresentação:

1 COBIT Processos Aula 4

2 Objetivos Apresentar processos do Modelo Cobit.
Conhecer os principais processos e componentes. Conhecer controles, medidas de resultados, indicadores de desempenho e níveis de maturidade.

3 Inter-relacionamento dos componentes COBIT

4 RACI Chart Responsável: Pessoa que deve garantir que uma atividade seja completada com sucesso. Accountable: Pessoa que tem a autoridade por aprovar ou aceitar a execução de uma atividade.

5 Objetivos de Controle Objetivos de controle TI são requisitos de alto nível a serem considerados pela gerência para o controle efetivo de cada processo de TI. Cada processo de TI do COBIT possui uma descrição e um número de objetivos de controle. O atendimento aos objetivos de controle é uma evidência de que o processo está sob controle.

6 Tipos de Controles Controles específicos para os 34 processos.
Controles genéricos a serem considerados juntos com os controles específicos. Controles de aplicação necessários para garantir a qualidade e segurança das aplicações.

7 Controle de Processos Genéricos
Metas e objetivos Definir metas e objetivos SMARRT (specific, measurable, actionable, realistic, results oriented e timely) para os processos de TI. Garantir a ligação com metas de negócio e uso de métricas apropriadas. Propriedade Cada processo tem um proprietário com definições claras de papéis e responsabilidades. Repetibilidade Processos repetitíveis e consistentemente com resultados esperados.

8 Cont. Papéis e responsabilidades Políticas, planos e procedimentos
Responsabilidades para atividades chaves. Accountability para resultados finais de processos. Políticas, planos e procedimentos Definir e comunicar como todas políticas, planos e procedimentos são documentados, revistos, mantidos, aprovados, armazenados e comunicados e utilizados para treinamento. Melhoria de desempenho do processo Métricas apropriadas para desempenho e resultados. Alinhar métricas com o monitoramento de desempenho global da TI.

9 CONTROLE DE APLICAÇÕES DE PROCESSOS AUTOMATIZADOS
Preparação e autorização de entradas de dados. Coleta e entrada de dados. Verificações de Acurácia, completude e autenticidade. Integridade e validade dos dados no processamento. Revisão de saídas, reconciliação e tratamento de erros. Autenticação e integridade de transações.

10 Planejar e Organizar: Processos
PO1 Definir um Plano Estratégico para TI PO2 Definir a Arquitetura de Informações. PO3 Determinar a direção tecnológica. PO4 Definir a organização de TI e seus relacionamentos. PO5 Gerenciar os investimentos em TI. PO6 Comunicar as intenções e prioridades da gerência. PO7 Gerenciar recursos humanos. PO8 Gerenciar qualidade. PO9 Avaliar e gerenciar riscos de TI PO10 Gerenciar projetos. .

11 PO1 Definir um plano estratégico para TI
Um plano estratégico de TI é requerido para o gerenciamento e alinhamento dos recursos de TI com as prioridades e estratégias do negócio. A estratégia do negócio é refletida em portfolios e executadas por planos táticos que especificam objetivos, planos de ação e tarefas compreendidas e aceitas pelo negócio e pela TI.

12 DEFINIÇÕES Plano Estratégico Plano Tático. Portfolio
Definição de estratégia ou direção da organização. Estabelece a alocação de recursos para atender essa estratégia. Plano Tático. A tática se relaciona a ações do plano estratégico. Define ações a serem executadas para tornar o plano estratégico um sucesso. Trata de questões mais específicas. Portfolio Conjunto de objetos com atributos que podem ser utilizados para comparações em tomadas de decisões. Técnica largamente empregada para análise de investimentos. Mas empregadas em outras áreas tais como gerência de projetos e serviços.

13 Objetivos de controle Gestão de valor da TI.
Em conjunto com os negócios, garantir que os investimentos de TI tragam retorno. Alinhamento de TI com o negócio. Envolver a TI no planejamento estratégico da organização. Avaliação de capacidade corrente e de desempenho. Plano estratégico para TI. Planos táticos para TI. Gestão de portfolio de TI.

14 Guia para o Gerenciamento

15

16 Modelo de Maturidade 0: Não existente quando o planejamento estratégico de TI não é realizado. A gerência não é consciente da necessidade de um plano estratégico de TI para atender as metas de negócio. 1: Inicial quando a gerência conhece a necessidade. O planejamento de TI é feito quando ocorre uma necessidade devido a um requisito de negócio específico. O alinhamento entre requisitos de negócio e a TI é feita de forma reativa e não de acordo com uma estratégia da organização.

17 Cont. 2: Repetitível mas intuitivo quando 3 Definido quando:
O planejamento estratégico é compartilhado com a gerência do negócio quando necessário. Atualizações em planos de TI ocorrem quando requerido pela gerência. Decisões estratégicas são definidas projeto em projeto sem consistência com uma estratégia organizacional. Os riscos e benefícios são reconhecidos de forma intuitiva. 3 Definido quando: Uma política define quando e como executar um plano estratégico. O planejamento segue uma abordagem estruturada, documentada e conhecida por todos. Entretanto não existem procedimentos para avaliação o processo.

18 Cont. 4 Gerenciado e mensurável quando 5 Otimizado quando
O planejamento estratégico de TI é prática padrão e exceções são identificadas pela gerência. A gerência é capaz de monitorar o processo de planejamento estratégico de TI e medir sua efetividade. 5 Otimizado quando O planejamento estratégico é um processo documentado, em uso e resulta em percepção de valor dos investimentos de TI. Riscos e retornos de valor são continuamente atualizados no plano estratégico. Benchmark frente a normas industriais confiáveis são realizadas e integradas no processo de formulação do plano. O plano estratégico de TI inclui como novas tecnologias poderão suportar a criação de novas capacidades para o negócio e melhorar a vantagem competitiva da organização.

19 PO2 DEFINIR A ARQUITETURA DE INFORMAÇÃO
Criar e atualizar um modelo de informações do negócio e definir sistemas apropriados para a otimização do uso de informações desse modelo. Inclui o desenvolvimento de um dicionário de dados corporativos com regras de sintaxe da organização, esquemas de classificação de dados e níveis de segurança. Esse processo melhora a qualidade das decisões gerenciais através da certeza de que informações confiáveis e seguras estão sendo providas.

20 Arquitetura Arquitetura é antes de mais nada construção, mas, construção concebida com o propósito primordial de ordenar e organizar o espaço para determinada finalidade e visando a determinada intenção. (Lúcio Costa). Arquitetura envolve a criação de planos para diferentes perspectivas de um sistema.

21 Um mundo sem arquitetura

22 Vista de Nova York

23

24 Uma arquitetura de TI

25 Estado corrente típico – projeto em silos
Raramente ocorre o alinhamento de requisitos funcionais entre as diferentes unidades de negócio e menos frequentemente ainda o alinhamento de níveis de serviços e outros requisitos não funcionais. Business or Organisation Business Unit A Business Unit B Business Unit C Business Unit D Processes optimised for specific BU requirements result in considerable overlap and redundancy 70% of IT projects fail to deliver their expected results because of this ‘silo’ mentality With increased complexity and integration of function, cost of change and maintenance is increasing Business processes Business processes Business processes Business processes Functional Requirements Version 1 Functional Requirements Version 2 Functional Requirements Version 3 Functional Requirements Version 4 Infrastructure and Governance Infrastructure and Governance Infrastructure and Governance Increasing complexity = increasing £££ for each change

26 Modelo de Zachman

27 Objetivos de Controles
Modelo de Arquitetura de Informação Empresarial . Estabelecer e manter um modelo de informações empresarial que suportará o desenvolvimento de aplicações e atividades de suporte a decisão de forma consistente com os planos de TI. O modelo deverá facilitar a criação, utilização e compartilhamento de forma otimizada para o negócio de um modo que mantenha a integridade, flexibilidade, custo-efetividade, atendendo a prazos, de forma segura e resiliente à falhas. Organizações do governo americano devem adotar o modelo TOGAF.

28 Cont. Dicionário de dados Empresarial e Regras de Sintaxe de Dados.
Esquema de classificação de dados. Classificação baseada em criticidade e sensitividade. Requisitos para retenção, destruição e controle de acesso. Gestão de Integridade Definir e implementar requisitos para garantir a integridade e consistência de todos os dados armazenados. Implementar políticas de qualidade de dados.

29 PO4 DEFINIR A ORGANIZAÇÃO DE TI E SEUS RELACIONAMENTOS
Existe uma organização de pessoal de TI que considera requisitos de capacidades, accountability, autoridades, papéis e responsabilidades. Comitê de direção da TI garante que os recursos de TI estejam alinhados com as necessidades do negócio. Comitê de estratégia de TI garante que a governança de TI seja adequadamente endereçada. Processos e políticas para todas as funções de TI com atenção para garantia da qualidade, gestão de riscos e segurança da informação. TI envolvida em processos de decisão relevantes do negócio.

30 Objetivos de controle Modelo de processo de TI
Definição de um modelo para execução do plano estratégico de TI. Comitê de estratégia de TI. Comitê de direção da TI. Posicionamento organizacional da função de TI Estrutura organizacional da TI Estabelecimento de papéis e responsáveis Responsabilidade pela garantia da qualidade de TI Responsabilidade por Riscos, segurança e conformidade. Propriedade de dados e sistemas Supervisão Segregação de responsabilidades

31 Adquirir e Implementar: Processos
AI1 Identificar soluções automatizadas. AI2 Adquirir e manter aplicações de software. AI3 Adquirir e manter infra-estrutura tecnológica. AI4 Habilitar operação e uso. AI5 Adquirir recursos de TI. AI6 Gerenciar mudanças. AI7 Instalar e acreditar soluções e mudanças. Present the six high-level objectives contained in the Acquire and Implement domain.

32 AI1 IDENTIFICAR SOLUÇÕES AUTOMATIZADAS
Objetivos de Controles: Definição e manutenção de requisitos funcionais e técnicos do negócio. Relatório de análise de riscos. Estudo de viabilidade e formulação de ações alternativas. Decisão e aprovação de viabilidade e de requisitos.

33 AI2 ADQUIRIR E MANTER SOFTWARE DE APLICAÇÃO
Objetivos de Controles: Design de alto nível. Design detalhado. Controle de aplicação e auditabilidade. Segurança da aplicação e disponibilidade. Configuração e implementação de software de aplicação adquirido. Upgrades para sistemas existentes. Desenvolvimento de software de aplicação. Garantia da qualidade de software. Gestão de requisitos de aplicações. Manutenção de software aplicativo.

34 AI3 Adquirir e Manter Infra-estrutura tecnológica
Objetivos de controle Plano de aquisição de infra-estrutura tecnológica. Disponibilidade e proteção de recursos de Infra-estrutura. Manutenção de infra-estrutura. Ambiente de testes de viabilidade.

35 AI4 HABILITAR OPERAÇÃO E USO
Objetivos de controle: Planejamento de soluções operacionais. Desenvolver plano que identifica e documenta todos os aspectos técnicos, operacionais e de uso de modo que todos que irão operar, utilizar e manter as soluções possam exercer suas responsabilidades. Transferência de conhecimentos para a gerência de negócios. Conhecimentos para a gerência assumir o controle dos dados e sistema e exercer as responsabilidades pela operação e administração do serviço. Transferência de conhecimentos para usuários. Transferência de conhecimentos para pessoal de operações e suporte.

36 AI5 Adquirir recursos de TI
Objetivos de controles Controle de aquisição Desenvolvimento e execução de procedimentos e padrões para aquisição de recursos de TI. Gerência de contratos de fornecedores Procedimentos para estabelecer, modificar e terminar contratos de todos os fornecedores. Seleção de fornecedores Aquisição de recursos de TI Proteger os interesses da organização em todos os contratos de aquisição.

37 AI6 Gerenciar Mudanças Objetivos de controle:
Mudança de padrões e procedimentos. Avaliação de impactos, priorização e autorização. Mudanças de emergência. Rastreamento e relatórios de status de mudanças. Documentação e fechamento de mudança.

38 AI7 INSTALAR E ACREDITAR SOLUÇÕES E MUDANÇAS
Novos sistemas ou modificações devem se tornar operacionais quando o desenvolvimento se completar. Isso requer testes em ambiente dedicado com dados relevantes, definições para rollout e migração, revisões pós-implementação, etc.

39 Objetivos de controle Treinamento Plano de testes
Plano de implementação Ambiente de testes Conversão de sistema e dados. Testes de mudanças Teste de aceitação final. Promoção para produção. Revisão pós-implementação

40 Entregar e Suportar: Processos
DS1 Definir e gerenciar níveis de serviços. DS2 Gerenciar serviços de terceiros. DS3 Gerenciar desempenho e capacidades. DS4 Garantir continuidade de serviços. DS5 Garantir segurança dos sistemas. DS6 Identificar e alocar custos. DS7 Educar e treinar usuários. DS8 Gerenciar service-desk e incidentes. DS9 Gerenciar a configuração. DS10 Gerenciar problemas. DS11 Gerenciar dados. DS12 Gerenciar o ambiente físico. DS13 Gerenciar operações. Present the 13 high-level objectives contained in the Deliver and Support domain.

41 DS1 Definir e Gerenciar níveis de serviços
A Gestão de nível de serviços procura alinhar o desempenho dos serviços de TI com as necessidades dos negócios. Envolve a definição de serviços de TI para a organização e estabelecer acordos de níveis de serviços para eles (SLA).

42 SLA e OLA A partir das SLAs são estabelecidos OLAs (Operating level agreement) com unidades internas ou externas.

43 Atendimento das expectativas de clientes

44 Cuidados com o uso de SLAs
Definir níveis de serviço aceitáveis para clientes e fornecedores. Identificar medidas significativas para o negócio. Prover recursos adequados para o nível de serviço estipulado.

45 Medidas comuns Medida Exemplo Disponibilidade
Dias e horas quando o serviço estará disponível ou % Responsividade e desempenho Velocidade ou tempo de resposta, volume de dados trocados, etc. Integridade e Acurácia Os serviços estão provendo as funcionalidades esperadas? Segurança Número de ocorrências de quebras de serviços devido a segurança. Qualidade de projeto Número de OS de retrabalho.

46 DS1 Definir e Gerenciar níveis de serviços
Objetivos de controle: Modelo de gestão de nível de serviços. Definição de serviços. Acordos de nível de serviço. Acordos de nível operacional Monitoramento e relatórios de resultados de níveis de serviço. Revisão de contratos e acordos de nível de serviço.

47 DS2 Gerenciar serviços de terceiros
Objetivos de controle Identificar todos os relacionamentos com fornecedores. Identificar e categorizar todos os serviços de fornecedores. Gestão de relacionamento com fornecedores Formalizar o processo de relacionamento com cada fornecedor. Gestão de riscos de fornecedores Gestão de desempenho de fornecedores

48 DS4 Garantir continuidade de serviço
Objetivos de controle Modelo de continuidade de TI. Necessidades, organização, identificação de recursos críticos, sites alternativos, etc. Plano de continuidade de TI Recursos críticos de TI. Manutenção de plano de continuidade. Testes de plano de continuidade. Treinamento de plano de continuidade. Distribuição de plano de continuidade. Recuperação de serviços de TI. Armazenamento de backup fora do site. Revisão pós-recuperação.

49 DS8 Gerenciar centro de atendimentos (Service desk) e incidentes
Objetivos de controle: Centro de atendimentos Registro de questões de clientes Controle (Escalation) de incidentes. Fechamento de incidentes Relatórios e análise de tendências

50 DS9 GERENCIAR A CONFIGURAÇÃO
Para garantir a integridade de configurações de hardware e software é necessário o estabelecimento e manutenção preciso e completo de um repositório de configuração.

51 Objetivos de controle Repositório e Baseline de configuração
Estabelecer uma ferramenta de suporte e um supositório para todas as informações relevantes de itens de configuração. Manter baseline para todos os sistemas. Identificação e manutenção de itens de configuração. Revisão de integridade de dados de configuração.

52 DS10 Gerenciar Problemas
Objetivos de controle: Identificação e classificação de problemas Rastreamento e resolução de problemas. Fechamento de problemas. Integração da gestão de configuração, incidentes e problemas.

53 DS13 GERENCIAR OPERAÇÕES
Objetivos de controle: Procedimentos e intruções de operação. Job scheduling Monitoramento de infra-estrutura de TI. Documentos sensitivos e dispositivos de saída. Manutenção preventiva de hardware.

54 Monitorar e Avaliar: Processos
M1 Monitorar e avaliar desempenho de TI. M2 Monitorar e avaliar controles internos. M3 Garantir conformidade com requisitos externos. M4 Prover governança de TI.

55 ME1 Monitorar e avaliar desempenho de TI
Definir indicadores de desempenho e de forma sistemática reportar resultados e iniciar ações corretivas em caso de desvios.

56 Objetivos de controle Abordagem de monitoramento
Definição de coleta de dados de monitoramento. Método de monitoramento Exemplo: BSC. Avaliação de Desempenho Relatório para alta gerência Ações de remediação

57 ME2 Monitorar e avaliar controles internos
Esse processo inclui o monitoramento e relatórios de exceções de controles, auto-avaliações e revisões por terceiros. Um benefício chave é prover garantias de que as operações são efetivas, eficientes e atendem leis e regulamentos organizacionais.

58 Objetivos de controle Modelo para monitoramento de controles internos
Revisão da supervisão Exceções de controles Auto-avaliação de controles Garantia de controles internos. Controles internos de terceirizados, Ações de remediação

59 ME3 garantir conformidade com requisitos externos
Objetivos de controle Identificar requisitos externos legais, regimentais ou contratuais. Otimização de resposta para requisitos externos. Avaliação de conformidade com requisitos externos. Garantia positiva de conformidade Relatório integrado

60 ME4 prover governança de TI
Prover governança de TI envolve estabelecer um modelo efetivo de governança com estruturas organizacionais, liderança, papéis e responsabilidades de modo a garantir que investimentos de TI sejam alinhadas e entregues de acordo com estratégias e objetivos do negócio.

61 Objetivos de Controle Estabelecer um modelo de governança
Alinhamento estratégico Entrega de valor Gestão de recursos Gestão de riscos Gestão de desempenho Garantia independente

62 CONCLUSÕES COBIT é um modelo de referência de processos TI adequado para a implantação da governança de TI Auxilia na definição de processos, emprego de melhores práticas e busca da melhoria contínua nos processos de TI. Largamente adotado (principalmente organizações financeiras). Limitações: Focado para auditoria e alta gerência.