O que e Governanca de TI – A Sua Origem, Historia, Conceitos e Fundamentos Basicos – Parte 1

O QUE É GOVERNANÇA  DE TI ?

A Sua Origem, História,  Conceitos e Fundamentos Básicos – Parte 1.

O que é Governança de TI ? – A Sua Orígem,  História, Conceitos e
Fundamentos Básicos – Parte 1.

1 – Introdução, Histórico e Conceitos.

1.1 – Introdução / Histórico.

 A Governança em TI ainda é um assunto bastante controverso e pouco entendido de forma geral pelos Gestores ou “Governantes” e na maioria das vezes o assunto é abordado de forma muito ampla ou superficial e não é raro observarmos abordagens equivocadas daquilo que se julgaria ser de fato Governança e ainda o que vem a ser de fato Governança de TI.

 Com o objetivo de auxiliar os colegas e gestores das empresas que necessitam dispender algum esforço em futuro próximo em direção a Governança em suas organizações,  resolvemos escrever este artigo, compartilhando algumas experiências e conhecimentos adquiridos ao longo dos últimos oito anos de atuação neste segmento de consultoria.

 É necessário prevenir ao nosso leitor que o tema Governança de TI é bastante amplo e dependendo das condições preexistentes na organização e da abordagem utilizada para a adoção dos critérios da Governança, a missão poderá ser mais ou menos complexa e ainda irá requer mais ou menos investimento e esforço para ser de fato atingida.

 Primeiramente, é necessário entendermos a origem da “Governança” e quais são os seus reais motivos e objetivos. Explicar a as razões da Governança de TI através da sua relação com a Governança Corporativa,  embora seja a “forma acadêmica” correta, enquanto “abordagem em si”,  não é de todo suficiente para exprimir todos os objetivos a serem tratados e atingidos,  e mais ainda,  não esclarece qual deve ser o papel do “Governante”  antes, durante e depois de  obter a condição de “Governança”, principalmente quando o assunto é relacionado ao uso e gestão da tecnologia da informação.

 

• O Conceito “Puro” de Governança.

 

O conceito “puro” de governança não nasceu em 2002, com a aprovação da Lei Sarbanes-Oxley pelo Governo Norte Americano, ou seja, não foi o congresso deste país que inventou o conceito de Governança (Há colegas que acreditam que isto seja uma verdade, e que a “culpa” destas obrigatoriedades tenha  sido originado pelos políticos norte americano, o que obviamente não é verdade). O conceito de Governança é muito antigo e tem a sua origem nas primeiras organizações politicas e democráticas  nas  cidades-estados da Grécia Antiga (500 AC a 300 AC).

 

O Termo  “Governança” tem origem na palavra “Governo” e representa em sua essência o “Ato de Governar”, mesmo na Grécia antiga, era exigido do “Governante” certa “conduta” durante o exercício do “poder público” e relacionado aos “Atos” praticados pelo “Governante” durante o seu “Governo”,  sendo requerida pelos “eleitores”  uma conduta baseada em “valores” tais como: “Coerência”, “Transparência”, “Responsabilidade”, “Respeito”, “Ética” em relação ao “Grupo ou coletividade” o qual o governante deveria “representar” através dos seus “atos”.

Enfim, praticar “tudo aquilo” que pudesse ser “julgado pelo bom senso de todos” como sendo um “bom governo”.

 

• O Conceito “moderno” de Governança.

 

Nos tempos atuais, o conceito “público” de governança permanece praticamente inalterado, mudando apenas as formas adotadas pelos governantes para a identificação das “necessidades” dos seus “eleitores” ou “representados” em razão do aumento significativo da quantidade de “eleitores”, e das formas adotadas para comunicar aos mesmos os seus “valores” e o “resultado” obtido pelo seu “governo”, sendo isto denominado “transparência” das ações realizadas, e visam basicamente obter “aprovação” dos “eleitores” dos atos praticados pelo  “governante” em seu “governo”.

Na Grécia antiga, bastavam os Governantes se deslocarem até a praça central e com alguma competência em oratória, quaisquer questões existentes entre  “governo” e “eleitores” poderiam ser de pronto resolvidas.

Nos dias atuais isto se tornou uma prática impossível de ser realizada “pessoalmente”, o que justifica aos “governantes” apoiarem-se nos meios de comunicação para promover a “transparência” dos atos e fatos.

 

• O Conceito “organizacional” da Governança.

 Deste ponto em diante, iniciamos o tratamento do que seja Governança no contexto anunciado como sendo o objetivo deste artigo.

• A Governança em Empresas onde o Dono é Único

 Uma organização, durante o período de tempo onde o  “proprietário” é o gestor único do seu negócio, em tese,  não há razão para aplicação dos princípios de  Governança, pois o “Único Dono” do negócio é o seu “único governante” e “ele próprio” por suas “ações”, “omissões”, “atos de empreendedorismo”  se  “auto constituiu” no exercício desta função.

  

• A Governança em Empresas onde há poucos Sócios / Investidores

 

A Partir do momento que o “único dono” recebe “sócios” ou “investidores”, surge automaticamente à necessidade de aplicar os princípios de “governança”, pois surge ai as funções de “governo”, uma vez que dentre os sócios  e investidores existentes, haverá sempre a condição de que “um” mais que os “outros”, seja denominado o “governante” da organização, ou ainda, o seu “gestor”.

Note que mesmo nesta relação, o “gestor” é “aceito” pelos demais “sócios”, materializando a  relação de “governança”, pois há um “governante” e também há  a figura dos seus “eleitores”.

 

Neste caso, os conceitos e atitudes requeridos historicamente aos “políticos” passam a ser  aplicáveis ao “gestor” da organização, agora não mais  se relacionando com “eleitores”, mas sim em relação aos  demais “sócios e/ou investidores” que o instituiram nesta função.

Como a dimensão do público aqui exposta ainda é reduzida (Quando há poucos Investidores),  o esforço praticado pelo “governante” é um pouco maior,  do que seria necessário ser praticado por um “governante” da Grécia antiga, ou seja, através da execução de algumas reuniões, atas, e comunicados, todas  as questões de “governança” e “transparência” dos atos praticados em  sua “gestão” podem ser dadas como “satisfeitos”.

Neste caso, as questões de “transparência” dos atos de seu “governo”  ainda podem ser “comunicadas” e “avaliadas” com a “presença” de todos os “interessados”.

Pelo menos em “tese”,  as questões de “governo” podem ser resolvidas assim,  em organizações onde há incidência de poucos “sócios” e um “gestor” principal.

 

• A Governança em Empresas onde há Muitos Sócios / Investidores

A partir do momento que uma organização, inicialmente com apenas “um dono” ou com “poucos sócios” resolve  “abrir” o seu “capital”, ou seja, transforma as “cotas capitais” em “ações”, e estas por sua vez, passam a serem disponibilizadas para “negociação” junto ao mercado de capitais, estas empresas passam a ser “acometidas” em termos de “governança” pelas mesmas “dificuldades” enfrentadas  pelos “políticos modernos” em razão da grande quantidade de  “eleitores”, só que agora estes “interessados” passam a ser “todos os acionistas” da organização (Aqueles que detêm ações), no entanto, um “gestor” de uma grande corporação não tem a possibilidade de utilizar-se de um canal de TV aberto ou dos meios de comunicação em massa  para comunicar e resolver ali as suas questões de “governo” e dar conta da “transparência” de suas ações,  frente ao publico em geral, uma vez que as “organizações” possuem caráter “privado”, e estas questões só dizem a respeito apenas a uma “parcela” do publico em geral composta apenas pelos seus “investidores”.

 

Então o nosso leitor poderá se perguntar: Se os assuntos de “governo”  de uma organização são tratados de forma “privada” ou “reservada”. Como então estas organizações atraem novos investidores?

 

Em resposta a esta dúvida, há ainda que explanar sobre as questões legais, relacionadas às grandes empresas (Lei das Sociedades Anônimas), regras e atribuições impostas pelo Mercado de Capital (Novo Mercado/BOVESPA, SOX, BASEL), e cuja ênfase, estão relacionadas a estabelecer critérios e proteções para o investidor, visando  promover a sua “confiança” em relação às organizações, e este,  é o “fator determinante” que irá “atrair ou repelir” novos investidores para uma organização, ou seja, o foco passa a ser uma “questão de confiança”  e não o critério de “aceitação/aprovação” como é a dimensão enfatizada pela  “governança publica”,  tanto a antiga como na moderna.

 

Em razão desta “transparência” com o seu “publico investidor”,  que uma “organização de capital aberto” estabelece a sua relação de “confiança”  entre os seus “gestores” e seu “publico investidor”. Isto em essência é o que se denomina “Governança Corporativa”.

 

Este conceito, embora possa parecer recente, também é antigo e tem a sua origem na “Revolução Industrial”, quando as primeiras “oficinas” se transformar em  “pequenas fábricas” e estas,  após  receberem a  adesão de investidores e sócios veio a se transformar nas primeiras grandes organizações modernas, ai surgiu o conceito e a necessidade do “governante organizacional” e em sua consequência as ações de “governança”.

  

• A Relação da Governança de TI com a Governança Corporativa.

 

Em meados do Século passado surge a presença da informática, e com o uso desta ferramenta, as grandes corporações elevaram a sua “capacidade” de processar grandes volumes de operações, e este aumento,  acelerou o crescimento destas empresas e aumentando mais ainda a quantidade de investidores, promovido por décadas de operações e de crescimento constante.

 

No entanto, como todo o remédio tem o seu efeito colateral, o advento da “informatização” e do aumento “em ordem geométrica” das operações, surge um “Risco” que não havia antes, ou seja,  a “Possibilidade” de que uma “ação isolada” de alguém, em um determinado momento, alterar o conteúdo de um “número” para “mais ou para menos”, e modificar com isto o “resultado final” de uma organização em detrimento da ocorrência de  “fatos reais”  que o justifiquem.

 

Este tipo de ação “fraudulenta”, uma vez de conhecida  pelo “publico” investidor, pode comprometer drasticamente a “confiabilidade”  que os investidores possuem pela empresa em questão, desvalorizando o “valor” de suas ações no mercado de capitais, e com isto,  prejudicando seriamente a todos os seus investidores.

 

Pois fatos desta natureza de fato ocorreram, envolvendo algumas empresas americanas entre os anos de 2001 e 2002, foram descobertos e após serem comunicados ao público daquele país, acabou por prejudicar as “economias pessoais” de uma grande quantidade de investidores americanos. Visando a proteção do mercado de capitais e de seus investidores, surgiu em Junho de 2002 a Lei Sarbanes-Oxley,  estabelecendo o “conceito” atual de “Governança Corporativa” e em consequência da participação e importância da “informática” nas operações das organizações, surge também a “Governança de TI”, visando exclusivamente estabelecer mecanismos de proteção, segurança, confiabilidade nas empresas e com isto evitar a ocorrência de fraudes, viabilizar meios para a sua identificação e com isto,  proteger o mercado investidor americano, e demais investidores que atuam naquele pais.

É um fato pouco conhecido como os legisladores americanos chegaram a este “formato” de exigências a serem satisfeitas pelas empresas. Após os escândalos financeiros de 2001/02, os legisladores perceberam que havia algumas empresas, mesmo em detrimento dos eventos  ocorridos no mercado de capitais, continuavam apresentando um alto índice de “confiança” pelos  seus “investidores”, e posteriormente,  visitando cada uma destas empresas,  notaram que elas possuíam em comum a adoção de modelos de gestão baseados em regras de “governo”, controle de condutas administrativas, contábeis e dos processos de qualidade relacionados ao uso da tecnologia e operações embasadas em  “documentos e processos formais que incluíam o uso de melhores práticas sugeridas por diversos padrões de qualidade entre eles: “ISO – International Organization for Standardization e BS- British Standards Institution ” e praticavam ainda uma relação  de “transparência” e  forma “regular” com os seus investidores.

 

Com base nestas constatações e na inclusão da “responsabilização criminal pela ocorrência de fraudes” a que os gestores passariam responder, foram criadas às bases dos requisitos de Governança que foram instituídos através da Lei Sarbanes-Oxley. O conteúdo da lei em si não proporciona todo o seu conteúdo, pois ela o faz com o auxilio de instruções complementares emitidas por instituições regulatórias (Self-Regulatory Organization- SRO) as quais são instituídas e apoiadas pelo Governo Americano,  tais como: PCAOB – Public  Company Accounting Oversight Board e  ISACA- Information Systems Audit and Control Association,  e que juntas deram origem a base aos requisitos daquilo que denominamos “Melhores Práticas” aplicáveis em Governança e Governança de TI respectivamente.

 

1.2 – O Início da Governança no Brasil

 

A Governança Corporativa e a Governança de TI  passam a integrar como “necessidade real” para os Gestores de TI brasileiros, somente dois anos após a aprovação da Lei Sarbanes Oxley pelo Congresso Norte Americano,  visto que nos dois primeiros anos de aplicação desta lei (2002-2003), o  foco inicial era o processos de Compliance das empresas americanas sediadas no território americano, fazendo com que a “onda de Compliance”  chegasse para valer ao Brasil apenas em meados de 2004 e que perdurou fortemente até o final de 2006 (Limite para Conclusão de Compliance SOX).

Neste período, o foco das certificações passaram a ser subsidiarias e filiais das empresas norte americanas sediadas fora do território americano e incluindo algumas poucas empresas brasileiras, que nesta mesma época,  mantinham suas ações na Bolsa de Valores de Nova York (NYSE).

 

Desta época aos dias de hoje, diversas empresas que inicialmente não figuravam nesta pequena e seleta lista, buscou atender aos requisitos e certificações necessárias e obtiveram  o “direito”  de incluir as suas ações na bolsa de valores norte americana.

 

Para quem “não é do meio”, isto pode parecer algo “sem sentido”, mas certamente o é:

 

Para exemplificar a mudança promovida por este “Compliance”, seria mais ou menos em “termos de comparação” a  um fornecedor que vende o seu produto apenas para um “mercado” nas proximidades da sede de sua fábrica e de uma hora para outra, passa e estender as suas vendas para uma grande rede de “supermercados” presentes em todo o país.

Este “aumento”  na presença no mercado e consequentemente do aumento do volume de vendas apresentado pelo “produto”  é comparável  ao  possível impacto causado quando uma “ação” passa a ser comercializada na bolsa de valores  Norte Americana,  e as consequências disto para a empresa são extremamente positivas, pois há um aumento sensível no volume de vendas das suas  “ações” e também do “aporte de recursos” quando este direito é alcançado.

 

Nesta mesma época (entre 2001/2006),  diversas bolsas de valores pelo mundo afora acabaram criando regras de proteção aos seus  mercados de acionistas, seguindo os mesmos moldes adotados pela NYSE , e no Brasil não foi diferente, e ainda em 2001, iniciamos a adoção de critérios  baseados em “Governança Corporativa”, através da adoção de regras estabelecidas pela CVM- Comissão de Valores Mobiliários e BOVESPA, onde a adesão das empresas,  continua sendo voluntária aos critérios de “Governança Corporativa”, podendo ainda receber classificações de Nível 1 e Nível 2 (Mercado Novo / Bovespa) de acordo com o seu nível de adesão.

 

Nos critérios de Governança Corporativa estabelecida pelo Nível 2 – Mercado Novo/BOVESPA, a Governança de TI, é tratada de forma “indireta” e através das “verificações” de auditoria aplicadas aos controles internos operacionais e financeiros  nas empresas e realizados com base e referencia as  “melhores práticas de mercado”, quando observadas pelas Auditorias, onde a  ênfase está direcionada a verificação dos riscos e efetividade dos controles internos (Quando menciona o atendimento de “conformidade”  e nos remete as  “melhores práticas de Mercado”, indiretamente nos remete  as “melhores práticas” aplicáveis a Governança de TI, e que são  estabelecidas pela SOX e regradas de acordo com os critérios de auditorias indicados pelo  ISACA e PCAOB.

Embora o nível de exigência aplicado no Brasil não seja o mesmo (é Mais flexível), os critérios de uma “forma geral” utilizados durante a “identificação” e “mitigação” dos riscos seguem a mesma lógica e práticas adotadas pela Governança de TI  norte americanos.

 

1.3 – Os Novos Paradigmas da Governança no Brasil

 

Pense um pouco comigo, e veja se o conteúdo do paragrafo a seguir representa ou não uma “realidade muito possível” a médio e longo prazo em nosso país:

 

“No ritmo que as empresas brasileiras estão crescendo, mais dia ou em menos dia, ela penderá para a abertura do seu capital e visando disponibilizar as suas ações para ser negociada na Bolsa de Valores, isto é algo inevitável e representa a única forma de uma empresa de “médio” ou  “médio-grande” porte se capitalizar e tornar-se uma empresa de “grande-porte” em  toda a sua plenitude.

 

E,  mesmo que a empresa onde atuamos seja uma empresa “familiar”, mesmo para elas,  este dia vai chegar, caso isto não ocorra de fato, estas empresas estão “fadadas” a permanecerem nos patamares atuais ou crescerão em ritmo mais lento, passando a correr o risco de que em algum dia, uma empresa pertencente ao “ grupo principal” venha a lhes adquirir ou venha a ocupar a sua parcela e lugar no mercado. “Infelizmente o mundo é assim mesmo, se não avançarmos rapidamente o “leão” vem e nos consome”.

Entenderá com mais propriedade o conteúdo desta frase, aquele que em alguma vez em sua vida teve a oportunidade de realizar um “salto com paraquedas”. Não é uma decisão fácil, mas será de fato “um paraquedista”, somente aquele que, efetivamente “realizar o salto”. “Para aqueles que “não saltaram” o voo foi apenas um passeio panorâmico, com uma mochila diferente atada as costas”.

 

Ou Ainda, se a empresa onde atuamos já possui ações negociadas na bolsa de valores em nosso país e obteve com isto um nível de crescimento que a tornou maior do que era inicialmente, é inevitável que em algum dia estas ações passem a ser negociadas em alguma das principais bolsas de valores espalhadas pelo mundo. Esta é a única forma de uma “grande-empresa nacional” vir a tornar-se uma multinacional global e hastear a nossa bandeira em mastros espalhados mundo afora.

 

Nada disto é, ou poderá ser possível, sem que as questões de Governança Corporativa e as relacionadas à Governança de TI estejam resolvidas e que os controles e métodos envolvidos estejam em pleno uso e funcionamento.”

 

Se a base  aplicada nesta linha de raciocínio te faz algum sentido e de alguma forma,  você leitor,  concorda com estes argumentos, você está mesmo “fadado” a vir a conhecer a aprofundar-se em “assuntos” relacionados a Governança.

 

Vamos pensar um pouco mais adiante: Se você esta no início de sua carreira (seja ela relacionada  às ciências de tecnologia ou a administração de empresas em geral), e  pretende vir a ocupar as posições de CIO ou CEO em grandes corporações daqui a  20 ou 30 anos, este é irremediavelmente o seu caminho a ser seguido,  comece a trilha-lo ainda hoje,  ou quem ocupará  esta vaga lá no futuro,  possivelmente será algum “profissional treinee” em  fase de treinamento neste assunto nos dias atuais.

Mesmo tendo atuado na organização de processos e controles organizacionais e, na organização de processos relacionados a TI durante mais de 25 anos,  confesso que  no início o entendimento e aplicação destes conceitos nos foi um pouco “confuso”, pois as abordagens utilizadas pelos diversos institutos e organizações envolvidas ou inseridas no contexto da  Governança nos parecia ser desconexas e muitas vezes sem sentido, quando analisadas de forma conjunta e integradas entre si, e infelizmente posso lhes garantir que em verdade é assim mesmo. Esta primeira “impressão” causada pelos “conceitos e aplicação” de tudo aquilo que seja relacionado à “governança” aos  “leigos” promove, e acreditamos que continuará a promover durante muito tempo ainda,  muita confusão, tentativas frustradas e uma sucessão infindável de erros de aplicação e integração dos diversos conceitos e práticas envolvidas.

 

A bem da verdade, cada instituição promove a sua “área de foco” ou “especialidade”, e cada qual,  dentro do limite estabelecido pelo universo contido em seu “quadrado”, promovem da melhor forma possível aquela “parcela” do conjunto de “conhecimentos e práticas” daquilo que denominamos ser governança de TI.  E, o grande “segredo” de tudo isto está relacionado à adoção de modelos que possam integrar e fazer interagir as diversas áreas do conhecimento envolvidas, para que tenhamos como produto final, aquilo que se denomina “Governança Funcional de  TI”.

 

1.4 – Componentes Principais da Governança de TI.

 

Vamos inserir aqui uma figura, colocando os principais modelos e recomendações, que juntos, proporcionam um “razoável” grau de cobertura  e  maturidade  em  Governança,  para que o nosso leitor possa perceber a dimensão geral do tema em questão:

 

Embora a figura represente um “organograma”, nos aludindo certa relação de “hierarquia” e “relação de dependência” entre os diversos “modelos” e “melhores práticas”, esta alusão não é de todo correta, embora exista de fato está “relação”, ela é absolutamente relativa quando passamos do campo teórico para o campo prático das relações entre os diversos processos e disciplinas que o compõe.

 

1.5– Erros comuns causados pela Unitarização dos Componentes da Governança de TI

 

O erro mais comum aplicado no entendimento e aplicação das disciplinas contidas em cada um dos componentes listados nesta figura e muitas outras variações publicadas mundo afora, é  acreditar que colocá-las em ordem unitária em um plano de ação  (To-do-list) e priorizar uma sequencia para a sua aplicação e então adotá-las  e ainda, que ao final desta  “jornada”,  o “assunto” governança estará resolvido,  Quem pensa assim,  sugerimos repensar imediatamente os seus conceitos, pois embora esta seja uma “abordagem possível”, é também aquela que representa o principal motivo pelo qual a adoção da  “Governança” seja tão dispendiosa, traumática e tão complexa para as empresas.

 

Vou lhes citar um exemplo, que pode nos representar isto que lhes afirmo, em relação ao volume de investimentos e das inúmeras “rodadas” de “tentativas e erros” que são necessárias muitas vezes para adotar uma melhor prática exigida pela Governança. Vamos citar aqui apenas um,  mas que geralmente é o “mais comum” é o mais “representativo” , e é o que mais facilmente pode ser percebido e entendido.

 

Exemplo:

 

Imaginemos que a nossa empresa “fictícia”,  necessita adotar uma “Metodologia”  para manter as suas iniciativas de mudanças em “projetos” sob controle, e com isto, atender aos requisitos estabelecidos pela Governança TI em relação a mudanças e projetos.  (Veja PO10 e AI6 – COBIT 4.1).

 

Por cinco minutos, vamos “fazer de conta” que a figura contida no gráfico acima citado “não existe ou ainda não seja conhecido por completo”, e sendo assim, “seria razoavelmente correto” imaginar que ao contratar alguém ou você mesmo compor uma metodologia para gerir os seus projetos de “desenvolvimento de sistemas” seria o “suficiente” para considerar o assunto “Gerenciamento de Projetos e mudanças” por concluído e atendido.

Em primeira análise, esta “missão” seria uma atividade razoavelmente “simples”, bastaria alocar alguns de nossos melhores analistas de sistemas, e determinarmos a eles que definam um modelo de trabalho “metodologia” se possível obtendo um “consenso” com os demais analistas de sistemas e programadores da companhia, e era isto, Em pouco tempo, teremos um “método” em uso para promover as mudanças e os projetos de desenvolvimento de sistemas na companhia.

 

No entanto, se trouxermos o “conteúdo contido em nossa figura” de volta a vida, e repassar cada quadro com um pouco mais de “critério”, facilmente poderemos perceber que  um “projeto”  que se propõe a  “desenvolver ou modificar  um sistema”,  possa ter algum tipo de “relação” e poderia muito bem “causar impactos” em quase “todos”  os quadros que compõem o referido organograma contido em nossa figura.

 

Vamos entender alguns relacionamentos possíveis, enumerando “uma pergunta” para cada “quadro”, considerando nela algumas “possíveis relações” entre a “disciplina” descrita em cada quadro com um “projeto/atividade” que se propõe a desenvolver/modificar um novo sistema:

 

• O controle de acesso a ser inserido no escopo de desenvolvimento do sistema/aplicação foi avaliado pela equipe de riscos e segurança, no momento de analisar os requisitos da nova aplicação?
• O desenvolvimento e testes, segregação entre as funções / perfis envolvidos na operação do sistema, alçadas e controles compensatórios, conflitos de interesse entre os usuários foram considerados como requisitos no escopo da nova aplicação?
• Os requisitos do sistema consideram somente as questões de negócio (solicitante) ou também são consideradas as questões de ordem técnicas de TI, tais como: Modelos de  arquitetura, padrões de infraestrutura e serviços de TI, padrões de analise e codificação segura de sistemas,  integrações com os demais sistemas?
• A Infraestrutura, serviços de apoio e suporte para a nova aplicação foram avaliadas durante o levantamento dos requisitos técnicos para o novo sistema?,  há recursos de TI capazes de absorver a nova aplicação sem causar impacto nas demais existentes?
• O método de engenharia de software contempla ações de governança em relação ao registro de requisitos, analise, construções, validações e testes,  responsabilidades pela implantação e suporte aos usuários do negócio? – Normalmente as metodologias somente atendem a este requisito.
• O projeto possui controles que possibilitam o seu gerenciamento durante todo o seu  ciclo de vida de desenvolvimento do software? – Normalmente é construída uma MDS para tratar as questões do ciclo de vida do software  e uma  MGP  atendendo as questões relacionadas ao ciclo de vida do Gerenciamento de projetos. Nestes casos, quando o projeto “não dá certo”,  não há formas de identificar claramente onde ocorreu a falha (Eis aqui a eterna discussão entre o PMO, GP , Analista de Sistemas, Programadores e Testadores, onde cada um fez exatamente a sua “cota parte”, mas o sistema não saiu conforme o combinado.).
• E Por último e não menos importante,  estão as questões de segurança e não vamos nos enganar acreditando que a segurança deve estar restrita apenas as questões de acesso, pois há ainda as questões de segurança física, redes, backup /restore, continuidade, contingencias, e tudo mais relacionado ao gerenciamento da segurança da informação.

 

E  para Concluir,  duas perguntas finais:

 

• Seria sensato incluir no ciclo de vida de desenvolvimento de sistemas,  “gatilhos” que pudessem atender e responder a estas questões  “durante” o ciclo de vida do projeto?

 

ou

 

• Faria mais sentido não incluir estes “gatilhos”  no contexto da metodologia e deixar para que todas as áreas impactadas  controlem estas “integrações”  de forma paralela a Metodologia Desenvolvimento do sistema?

 

Quando ocorre uma resposta não adequada para estas perguntas,  verificamos posteriormente a existência de alguns possíveis “vícios”,  mesmo depois de investirmos tempo e dinheiro no desenvolvimento de  metodologias continuamos não atingindo o resultado proposto pela Governança TI e consequentemente causando impactos desastrosos na Governança Corporativa,  no que tange as questões relacionadas a “manter projetos sob controle”, e dai verificam-se situações como as abaixo relacionadas:

 

• Sistemas sem controle de acessos, segregação de função, ou com controles falhos e incompletos.
• Sistema que criam novas situações de risco para a TI e ao negócio, fraudes, erros, inconsistência de dados, apurações incorretas de valores, etc.
• Sistemas, embora tecnicamente bem desenvolvidos, que não possuem os recursos de infraestrutura e serviços necessários para lhe oferecer o devido suporte, provocando paradas no negócio, perda performance, atrasos operacionais, incidentes recorrentes, etc.
• Sistemas que acarretam impacto no ambiente e performance em recursos destinados a suportar outros  sistemas pré-existentes (Funcionava bem no inicio, agora demora ou perdeu a performance de uma hora para outra sem nenhuma explicação ou motivo aparente),
• Projetos que demandam mais tempo para serem concluídos do que o inicialmente planejado, o software ficou pronto e a infraestrutura ainda não, faltam periféricos, instalações de rede até o ponto de utilização, etc.
• Projetos que demandas mais recursos do que os inicialmente previstos,
• Sistemas que apresentam falhas de engenharia de software ou de atendimento de escopo,  faltando ou sobrando requisitos em seu produto final,
• Sistemas confeccionados para os usuários, mas estes,  inexplicavelmente não o utilizam ou apoiam o uso do sistema,
• Sistemas sem documentação, sem rastreabilidade em seu processo de produção, quem mesmo foi o usuário que solicitou este sistema?
• Sistemas que após serem concluídos, demandam novas solicitações de desenvolvimento para então integra-los aos sistemas pré-existentes,
• E tantos outros vícios que poderiam ser aqui relacionados, cuja causa é a falta de  integração entre  a aplicação das melhores práticas com as demais melhores práticas de TI e que na grande maioria das vezes não tem nenhuma relação com aspectos de competência dos técnicos que construíram as soluções, mas sim os que definiram a amplitude dos seus métodos de trabalho (Aqui vale registrar a máxima de Albert Einstein, onde a “pergunta “certa” contém “metade” da resposta”, e a qual eu acrescentaria ainda um pequeno complemento: “Quando a “pergunta” ou a  “resposta” é errada, teremos como resultado o “dobro ou o triplo” do esforço que seria “realmente necessário” para obter a resposta “realmente certa”.)

Ai o nosso leitor poderá se perguntar, ou ainda continuar tendo dúvidas, relacionadas ao real motivo pelo qual devemos adotar “melhores práticas” em TI para o gerenciamento de projetos e mudanças e os motivos pelos quais estes métodos devem ser integrados a todos os
demais processos de TI.

A resposta é bastante “simples”,  quando inserimos a Tecnologia nas questões de governança, estamos endereçando com isto o “risco” atrelado as suas “operações” e incluindo nelas as atividades de  “desenvolvimento e manutenção” dos sistemas e consequentemente as informações que eles manipulam e armazenam (estas informações irão compor o resultado da empresa ao final do exercício contábil, e serão endereçadas e publicadas no seu Balanço).

Os fatos ocorridos em 2001/2002 ocorreram devido a “fraudes” relacionadas à “manipulação indevida” das informações das empresas.

O “ato” de “desenvolver ou modificar” sistemas esta relacionado diretamente as “informações”, seja através de “projetos ou atividades mudanças” aplicada em sistemas, e ainda, manter isto “sob controle” é um dos  “pontos chaves” da governança corporativa e Governança de TI,  pois interage diretamente na “relação” de Integridade, confiabilidade e disponibilidade das “informações”, e isto,  é à base da “confiabilidade” a que os “governantes”  devem “transparecer” para as partes  “interessadas” em seu “governo”, e, portanto, o resultado obtido pela sua gestão.

Fim Artigo.

—–

• Este artigo está disponível para download no formato de Documento (PDF) no seguinte endereço:  Http://www.aghatha.com opção Free whitepapers.

——

• FRAMEWORK DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI

Convidamos a Navegar pelo em Nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI. você

poderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).

http://www.aghatha.com/processos.htm  , clique nos fluxos para acessar o Suite de Navegação no Framework AGHATHA para o Compliance de Processos e Controles de TI.

Ou ainda, Leia mais sobre este mesmo assunto,  em nosso POST.

https://aghatha.wordpress.com/2012/05/24/como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroe/

—- Fim Conteúdo Artigo —-

Agradecimentos e Convites:

Seu feedback é muito importante para nós,  caso você tenha alguma dúvida ou necessidade de informações adicionais para o seu entendimento ou aplicação, entre em contato conosco através do e-mail abaixo.

Abraço e Felicidades a Todos,

Eurico Haan de Oliveira

http://www.aghatha.com/index.htm  

• Siga-nos pelo Twitter, e receba comunicados de novos artigos e/ou revisões deste texto.
• Convidamos a participar de nossos Grupos de Discussão no Linkedin: https://aghatha.wordpress.com/aghatha_grupo_de_usuarios_ti/

———

Declaração e Preservação de Direitos Autorais e de Propriedade:

Todas as marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

•  COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
• Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA http://www.aghatha.com/index.htm / Http://www.aghatha.com ), sendo todos os direitos  autorais preservados, incluindo a sua utilização e exploração comercial.
• COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
• ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
• ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
• PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
• PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright —

– Fim Artigo

Compartilhe este post:

Read Full Post »

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGOCIO – 2 Parte – Levantamento Analise e Desenho do Fluxograma

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO

Parte 2 – Levantamento, Analise e Desenho Fluxograma (Passo-a-Passo).

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO – Parte 2 – Levantamento, Analise e Desenho Fluxograma (Passo a Passo) – Rev.2.

Em continuação primeira parte do artigo  “Como desenhar fluxogramas de processos de Negócio”, trataremos neste artigo algumas técnicas que podem ser utilizadas para a realização de levantamento de informações de processos de negócio, analise das informações coletadas e finalmente o desenho do processo de negócio.

1.     – Termos e Nomenclaturas Utilizados:

• Analista: Pessoa Responsável pelo levantamento, a analise e confecção do fluxograma de processo.
• Usuário: Pessoa responsável pela transmissão do conhecimento do processo a ser analisado e representado graficamente.
• Organização: No contexto deste artigo é o Domínio onde os processos de negócio se desenvolvem – Mesmo que Empresa, Filial ou subsidiária.
• Unidade de Negócio: No contexto deste artigo, é o local onde um ou mais processos se desenvolvem – Mesmo que Gerencias (Financeiro, Comercial, Controladoria, etc.).
• Área de Negócio: No contexto deste artigo é o local responsável pela execução de um ou mais processos – Mesmo que Departamentos (Contas a Pagar, Contas a Receber, Pedidos, Faturamento, Patrimônio, Contabilidade, etc..).

2.     – Preparação para a Realização do Levantamento de informações do Processo de Negócio

Recomendamos ao Analista a execução de algumas atividades preliminares que lhe poderão ser muito úteis durante a realização do levantamento e entendimento do processo a ser avaliado, são elas:

2.1 – Entendimento da Estrutura Organizacional

Realizar o entendimento da estrutura organizacional onde o processo está inserido proporcionará ao Analista a “localização” do processo a ser avaliado dentro do contexto da Organização,  além da identificação dos cargos/funções e a cadeia hierárquica existente na organização e que possa ter algum vinculo ou relacionamento com o processo a ser avaliado.

E, ainda no momento em que o processo for entendido e posteriormente desenhado, pode-se utilizar o Organograma para referenciar corretamente as denominações de cargos e funções existentes, identificar os responsáveis pelas autorizações e ainda identificar as relações processuais existentes entre as “Unidades de Negócio”, se estas estão ou não subordinadas ao mesmo gestor;

Ex:

 2.2 – Entendimento do Modelo de Integração do Negócio

É importante o Analista conhecer o modelo de integração entre os processos de negócio existente na organização, ou seja, possuir uma visão de alto nível dos principais eventos de integração existentes e onde eles ocorrem no contexto de sua estrutura organizacional.

Esta visão auxiliará o Analista no entendimento das integrações entre as Unidades de negócio, suas respectivas Áreas de Negócio e consequentemente entre os Processos que as mesmas executam.

Ex:

Se entendermos que uma Unidade de Negócio (Financeiro) representa um grupo de processo que são executados pelas suas Áreas de Negócio a ela subordinadas (Contas a Pagar, Contas a Receber, Caixa e Bancos, etc…) e que ainda, há pontos de integração e relacionamento entre estes processos (Entrada-Processamento-Saída), conseguimos ter uma visão de alto nível dos processos que são executados na Unidade de negócio (Financeiro) e como eles se relacionam entre si.

Expandindo esta mesma visão, verificando as integrações existentes entre o Financeiro e as demais unidades de negócio da Organização, poderemos entender como a organização funciona e como as suas áreas de negócio interagem e se integram entre si (Modelo Funcional do Negócio).

Ex: 

O pré-conhecimento deste nível macro de integrações e relacionamentos existentes  entre os processos, certamente irá dirimir muitas questões e dúvidas no momento do levantamento e entendimento das informações de cada processo individualmente, com base no modelo de integração e na visão de grupo entre os processos.

2.3 – Identificação do Responsável pelo Processo

É uma tarefa importante identificar quem será o responsável pela transmissão das informações relativas a cada processo individualmente, pois o mesmo deve conhecer em detalhes todas as atividades, controles e todos os demais itens que deverá compor a documentação do processo. Quanto maior for o nível de conhecimento do Responsável pelo Processo, maior será a riqueza de detalhes contida na documentação a ser gerada para o mesmo.

É natural que o Responsável pelo processo seja um componente de sua estrutura organizacional, em Tese não se deve utilizar recursos de áreas diferente para documentar processos de outra área. Necessariamente o responsável deve pertencer e estar inserido no grupo de pessoas que executam de fato as atividades. Agindo de forma diferente o Analista estará “inferindo” os eventos do processo e não levantando de fato os eventos que ali ocorrem e,  certamente não conseguirá identificar todas as integrações e relacionamentos existentes (Corre-se o risco de que algum processo possa  ficar sem uma de suas entradas ou uma de suas saídas poderá não ser comunicada adequadamente a todos os seus processos clientes) – Esta é a origem da maioria das falhas de Integração e de comunicação entre os processos de negócio.

3.     – Técnicas de Execução do Levantamento das informações do Processo de Negócio

Para o leitor/Analista  iniciante em atividades de levantamento de informações sobre processos,  recomendamos o uso de uma técnica muito simples mas que pode auxiliar na realização da entrevista, possibilitando o mapeamento adequado das informações sobre o processo de negócio, e ainda, poderá ser muito útil durante a etapa de analise do processo e posterior documentação e desenho do fluxograma do processo.

3.1  – Método 5w2h

Abaixo descrevemos o que cada campo significa, para o entendimento do conteúdo a ser incluído em cada Questão/item:

• O que?

Esta questão determina as ações ou atividades que são executadas pelo usuário durante toda a extensão do processo, podem ser ações de Processamento, Decisões a serem tomadas, autorizações a serem solicitadas e executadas, enfim é através desta descrição tomamos conhecimento do que de fato é efetuado durante o processo.

Recomenda-se desdobrar as ações descritas pelo usuário em um verbo, ou seja, em uma ação executada. É comum ao descrever uma ação, considerar mais de um verbo ou mais de uma atividade contidas em uma única ação.

Ex:  O que ?: Receber um documento e conferir o seu conteúdo.

O mais recomendado é dividir esta “atividade composta”  em duas  “atividades simples”, pois isto facilitará a analise de lógica posterior no fluxograma ou ainda não devemos utilizar mais de um “verbo” em cada ação. No caso do exemplo foram descritos dois: “receber” e “conferir” indicando que são duas ações e não apenas uma.

• Quem?

Esta questão determina ou identifica que deve ser o agente executor de uma ação ou atividade, da mesma forma que na questão anterior uma atividade não pode ser executada por duas pessoas ao mesmo tempo, o mesmo ocorre com o executor, caso isto “venha a ocorrer”, é possível que estejamos considerando “duas atividades” sendo executadas “simultaneamente por duas pessoas” e de acordo com as definições básicas de processo (Entrada-Processamento-Saída) isto não pode ocorrer. Se por algum motivo esta hipótese venha de fato a ocorrer, deverá ser desdobrada e documentada em duas ações, cada qual um com o seu executor.

• Onde?

Esta questão determina ou identifica os locais onde a atividade ocorre, podendo indicar um Departamento ou
Localidade. Esta informação possibilita organizarmos o fluxograma do processo no “espaço”. O cruzamento desta informação com o conteúdo da coluna “Quem?”, será a base necessária para a construção do fluxograma, quando escolhido o formato “cross-functional”.

• Quando?

Esta questão determina um  situação qualquer ou condições necessária para que a ação ocorra. Nos casos onde o “Quando” não puder ser identificado pode-se considerar simplesmente que a ação é “eventual”.

Alguns erros muito comuns quando se usa este método para o mapeamento e/ou levantamento de processos e considerar o “quando” como prazo, e na realidade este campo só tem esta função, quando se usa o mesmo método para estabelecer as atividades de um plano de ação.

Em nosso caso, utilizamos  o método para levantamento de processos e esta informação passa a ser utilizada para determinar a existência de alguma condições que possa vir a ser necessárias para disparar a execução de uma determinada ação. (Quando tal fato ocorrer….).

Ex.:

• Confeccionar o Balanço Contábil de uma empresa é uma ação que somente pode ser executada após o fechamento contábil ter sido concluído (Evento de Saída de um processo que possibilita o evento de entrada para um outro processo).
• Mesmo que esta atividade tenha uma data e hora marcada para ocorrer, há uma condição de processo que precisa ser atendida para que ação de confecção do balanço possa ser disparada (Condição de entrada), e, no caso em questão, será iniciada somente após a conclusão do fechamento contábil, tenha sido ele executado ou não dentro do prazo (Para efeito de mapeamento e desenho de processo esta informação não tem fundamento). Durante a avaliação do processo, depois de documentado é que poderá ser avaliado a pontualidade ou não do processo.

• Por quê?

Esta questão identifica a razão ou motivo pelo qual a ação deve ser executada. Embora isto possa parecer “o obvio”, em alguns processos (Principalmente os Técnicos) é muito comum e em alguns casos muito importante identificar a razão ou motivo de execução de uma determinada ação,  pois identifica qual é o motivo técnico ou qual é o requisito de uma determinada norma ou regra que deva ser cumprido. Caso a norma ou regra vier a ser alterada, pode-se identificar rapidamente nos processos onde ela ocorre e revisar os processos.

Em processos de negócio o motivo ou razão de execução de uma ação pode estar relacionado a necessidade de autorizações, desmembramento de atividade para garantir regras de segregação de função, mitigar um determinado risco ou na maioria dos casos esta informação pode ficar sem conteúdo (Não Aplicável), pois a ação poderá ser apenas um componente dentre uma sequencia de passos destinados a atingir um objetivo único, ou seja, as ações podem ser o meio de atingir o objetivo ou a razão determinado pelo próprio processo.

Ex:

• Ao atingir 300º Celsios o equipamento deverá ser desligado.

O motivo para esta atividade podem os mais variados possíveis, tais como: Por quê? : Acima de 300º o equipamento pode ser danificado, pode haver risco de explosão, e assim por diante.

• Solicitar autorização do superior imediato do solicitante.

O motivo ou razão para a ocorrência desta atividade indica a necessidade de autorização prévia para que a atividade solicitada seja considerada válida somente e após  existência de uma autorização.

• Como?

Esta questão identifica o método ou forma que a ação deverá ser executada, podendo indicar ou referenciar uma sequencia inteira de ações ou atividades (Descrição detalhada do Método) através de outro documento que demostre o método a ser utilizado com mais detalhes Ex: (Lista de Critérios de aprovação, Lista de Regras de Negócio, Instrução Técnica contendo instruções passo-a-passo, Manual, etc.).

• Quanto?

Esta questão identifica o montante a ser gasto ou quanto custa à execução da ação. Em tese este valor é um resultado de alguma formula destinada a  apuração dos valores. Sugerimos levantar os elementos necessários para calcular o valor ou ainda indicar onde o valor pode ser obtido e mais importante ainda, onde ele poderá ser posteriormente atualizado. Infelizmente é comum encontrarmos fluxos contendo valores de atividades com mais de 5 anos de idade e totalmente defasados ou desatualizados.

3.2 – Informações Adicionais ao Método 5w2h

Agora vamos sugerir algumas outras informações que podem ser adicionadas e  levantadas e com isto complementar a visão oferecida pelo método 5w2h.

Vejam algumas possíveis:

Custo Hora/Recurso?

Esta questão identifica os recursos necessários para execução de uma determinada ação, Recursos podem ser por exemplo: (Telefone, Mão de Obra, Máquina ou equipamento, serviços de telecomunicações, correio, entre outros). Com a identificação destas variáveis o custo de uma ação poderá ser melhor entendido e calculado e/ou posteriormente atualizado.

Artefato?

Esta questão identifica quais documentos, evidencias, controles ou documentos são emitidos ou confeccionados através da ação (Se a ação produz algum entregável). Com esta informação adicional podemos identificar onde os artefatos são gerados no contexto do processo, oportunizando ainda outras informações adicionais, como: Tempo de retenção do documento, forma de armazenamento, o que deverá ser feito para o descarte , classificações de segurança das informações contidas no artefato, e assim por diante. a quantidade de informações sobre os artefatos podem variar muito, dependendo do objetivo desejado pela documentação do processo em questão.

Quantas Vezes?

Esta é uma informação interessante, quando se pretende avaliar a capacidade ou a carga exercida por um processo, vamos detalhar este assunto em um artigo específico.

Não é incomum um processo ocorrer um determinado numero de vezes durante uma jornada de trabalho e o tempo disponível para executa-lo não ser suficiente para a sua completa execução na mesma jornada. Com base nesta informação e na informação contida na questão seguinte (Quanto Tempo?), consegue-se identificar “gargalos” nos processos de negócio, ou ainda, identificar a quantidade necessária de pessoas para atender um determinado processo e mantendo um nível aceitável de serviço.

Ex:

São emitidos em média 300 pedidos de vendas a cada jornada de trabalho.

Quando Tempo?

Esta informação identifica a quantidade de tempo médio para a execução de uma ação ou atividade. Em combinação com a informação anterior (Quantas Vezes?) pode nos indicar quanto uma atividade consome em termos de capacidade de trabalho (tempo disponível) da equipe.

Ex:

Um Pedido de venda consome 5 minutos para ser concluído, multiplicando-se esta informação pela quantidade média de pedidos emitidos durante uma jornada de trabalho (Quantas Vezes?), podemos calcular que esta atividade consome (5 min x 300 pedidos = 1.500 minutos / 60 min = 25 horas de trabalho por jornada). Se uma jornada de trabalho possui 9 horas, em tese, são necessários pelo menos 3 colaboradores alocados na execução desta atividade, para que não fiquem pedidos pendentes de serem processados de um dia para o outro. E mais ou menos assim que calcula-se a quantidade de atendentes de caixa em um bancos, supermercados, lojas e etc…

3.3  – Preparação do “Check List” para levantamento dos Dados.

Recomendamos preparar uma planilha para documentar o levantamento dos processos, além de possibilitar o acréscimo posterior de fórmulas de calculo para o tratamento dos valores, disponibiliza funcionalidade de filtros de conteúdo de campos, geração de visões e gráficos que podem ser muito úteis nas analises posteriores. Se o Analista utilizar editores de texto os cálculos e visões auxiliares demandarão mais esforço para serem  executadas.

Ex Planilha para Levantamento de Informações do Processo:

4.     – Execução das Entrevistas de Levantamento de Informações dos Processos

Embora o método em questão seja bastante simples, é preciso tomar alguns cuidados,  pois em virtude da quantidade de informações que serão levantadas para cada atividade, corre-se o risco de que a lógica de continuidade do processo seja “perdida” ou “quebrada” , em função das interrupções causadas pelas lista de perguntas que deverão ser necessárias para o preenchimento de todas as colunas.

Para que isto não ocorra, sugerimos levantar as informações em ciclos completos, iniciando pelo conteúdo das colunas (O que?, Quem? e Como? Artefato?) executando o levantamento do processo do inicio até o fim e mantendo o foco inicial no mapeamento destas informações.

Após o término deste primeiro ciclo, retorne a primeira atividade e execute as perguntas complementares relativo as demais colunas, Oportunize a cada ciclo realizado no mesmo processo a execução de possíveis revisões de conteúdo do que já foi documentado. Não é raro ao repassarmos um processo junto com o usuário, que o mesmo venha a lembrar de “detalhes” que foram esquecidos ou ainda não declarados nos ciclos/rodadas anteriores.

As demais colunas, portanto, representam informações adicionais e destinadas ao detalhamento e compreensão do conteúdo contido nas quatro primeiras e, podem ser identificadas em ciclos posteriores ao levantamento inicial, sem que isto venha a causar prejuízos ao resultado obtido no levantamento do processo.

Caso o processo a ser levantado seja muito complexo e envolva um número exagerado de pessoas para a sua execução, é interessante avaliar a hipótese de realização do levantamento em uma única sessão com a presença de todos os envolvidos. Agindo assim, o Analista obterá como resultado uma visão de consenso sobre o processo e ainda,  será muito mais simples a aprovação do resultado final pelos envolvidos.

5.     – Desenho do Fluxograma do Processo de Negócio

Bem agora como já sabemos como são estruturados os processos, critérios de integração, e já possuímos um método para execução dos levantamentos das informações junto aos usuários responsáveis dos processos, vamos mostrar um processo mapeado segundo as informações principais do Método 5w2h e como este processo pode ser representado graficamente através de um fluxograma no formato Cross-Functional.

5.1 –  Exemplo de Resultado obtido no Levantamento do Processo.

Observação:

Embora não tenha sido mostrado na tabela acima o conteúdo da coluna (Onde?), estamos considerando, para efeito deste exemplo que todas as atividades ocorrem na “Área Comercial”.

5.2 – Passo-a-Passo para Confecção do Fluxograma.

5.2.1 – Preparativos Iniciais – “Folha de Desenho”

Após a validação da planilha de levantamento do processo de negócio ter sido concluída e validada junto ao
usuário, estaremos prontos para o início da etapa de desenho do fluxograma.
Para que não percamos tempo durante a execução desta atividade, recomenda-se que a “Folha de desenho” seja previamente preparada. Caso seja adotado o formato “cross-functional”, convém identificar todos os “atores”  e “locais” que serão endereçados pelo fluxograma e isto pode ser facilmente identificado através de  “filtros” na coluna (Quem?) e (Onde?) da planilha de levantamento de informações (5w2h).

Ex: Em nosso exemplo temos:

Atores:

• Auxiliar Vendas
• Vendedor Responsável

Locais:

• Área Comercial

Portanto a nossa “folha de desenho” ficará composta da seguinte estrutura.

5.2.2 – Desenhando Fluxo – Convenções Gerais para o Desenho e Leitura do Fluxograma / Conectores / Setas

• Sentido de escrita e leitura dos Símbolos aplicados no Fluxograma

Embora esta “convenção” não seja obrigatória, é extremamente interessante que o fluxo seja desenhado no mesmo sentido e direção aplicados pela escrita normal, ou seja, da Esquerda para a Direita, e de Cima para Baixo.
Esta convenção é realmente bastante útil e facilita bastante à leitura do fluxo, pois é a forma natural adotada por todos nós quando realizamos a leitura de qualquer  documento,  porém nem sempre a mecânica do desenho permitirá a sua aplicação durante toda a amplitude do desenho, vez por outra, seremos forçados a desenhar algum símbolo no “contra fluxo” definido por esta convenção,  mesmo assim recomendamos adota-la como um critério geral.

• Sentido das linhas de Conexão e o uso de setas indicativas de direção

Há ainda uma Convenção relacionada ao uso de setas nas  “linhas de conexão” utilizadas entre os “símbolos”
a qual define que nas situações onde uma linha esteja conectando dois símbolos e o sentido de conexão estiver indicando o mesmo sentido de direção definido pela “convenção de escrita/leitura” – (da Esquerda para a Direita, e de Cima para Baixo) não é necessário a colocação de “seta” no final da linha de conexão  Ex. ( 1 ao 2), ( 1 ao 3) e (3 ao 4). Segundo esta “mesma convenção”, As setas, devem ser usadas apenas nos casos onde o sentido
apontado pela  conexão esteja apontando no “contra fluxo” estipulado pela convenção aplicada para a sua  leitura Ex. ( 2 ao 3 ) e ( 4 ao  2 ). Ex:

Para evitar qualquer tipo de confusão, causada pela eventual esquecimento deste detalhe, sugerimos aplicar o uso generalizado das “setas”, é mais simples e rápido de executar o desenho, como foi a “regra” adotada em nosso modelo final, mais adiante demonstrado.

5.2.3 – Desenhando Fluxo – Cabeçalhos e Informações de Identificação dos Fluxos

Não há uma convenção fixada para definição de um cabeçalho ou informações necessárias para a indicação de fluxogramas de processos de negócio, para isto recorremos às referencias aplicáveis as tabelas de identificação de plantas de engenharia, ou até mesmo controles aplicações documentos em geral.

Há campos que são importantes, tais como:

• Titulo ou Descrição do Fluxograma, Versão e Revisão
• Autor Desenho, Data de emissão
• Revisor Desenho, Data Revisão, se houver.

O Quadro de identificação normalmente é posicionado na parte inferior, direita do fluxograma (Fim do Documento), da mesma forma que buscamos um índice ao final do livro, mas esta convenção não é rígida e a presença da tabela pode ocorrer onde for possível coloca-la na “folha de desenho”. Ex:

5.2.4 – Desenhando Fluxo – Identificando o Início e Fim de Processos

Utilizar os símbolos indicando onde o mesmo “inicia” e onde é “finalizado” é uma indicação lógica e
recomendamos sempre utilizar estes símbolos ao desenhar qualquer fluxograma, por mais simples que seja e por consideração ao leitor do fluxo.

É importante lembrar que os fluxos devem possuir um “inicio” e pelo menos um “fim”, exceto em casos muito
específicos tais como o fluxo de processos contínuos, onde ao final de um ciclo, retornamos a condição de “inicio” de forma contínua e ciclicamente.

Há casos onde um fluxo possui uma indicação de “inicio” e pode possuir mais de uma forma de ser “Finalizado”, e
isto é uma condição normal, visto que um processo pode ter diversas possibilidades de “saídas” ou até mesmo formas de ser “finalizado”, vejamos um exemplo:

Em um processo de Vendas, inicia com a chegada do vendedor na sede do cliente, e o fluxograma do processo de
venda pode encerrar nas seguintes situações, todas possíveis:

• Com o cancelamento da visita pelo cliente
• Com a ocorrência da reunião sem realizar uma venda efetiva
• Com a emissão do pedido de venda
• Entre outras situações….

A figura demonstrada no item 5.2.2 , ilustra graficamente o uso dos conectores de inicio e fim de um processo.

5.2.5 – Desenhando Fluxo – Tratamento de Atividades Sequenciais

Procure detalhar o máximo possível em cada símbolo de atividades a ação a ser executada, sendo indicado sempre iniciar o texto a ser empregado na  “atividade” por um verbo, indicando a ação de fazer alguma coisa.

Ex:

• “Conferir” a assinatura do cliente no pedido
• “Arquivar” o documento na pasta de pedidos

Dependendo do nível de detalhamento realizado durante o  levantamento de informações do processo, pode
haver diversas atividades, executadas em sequencia, sem que algo seja efetivamente  produzido entre elas, além
da execução da própria atividade em si. O importante em relação ao sequenciamento é identificar a ordem de execução das ações no contexto de um processo, ao contrário da regra em que a “ordem dos fatores não altera o resultado do produto”, em termos de processo, a ordem pode significar muito para o resultado final desejado, e devido a isto deve ser muito bem identificada e principalmente validada junto aos seus responsáveis.

Ex:

“De nada adianta solicitar os dados de identificação de pessoa, para lhe franquear o acesso ou não a um determinado ambiente proibido, depois que ela já estiver no interior do próprio ambiente. Neste caso: A ordem indicada seria, primeiro solicitar a identificação, avaliar a situação  e, somente depois disto, liberar o acesso ao referido ambiente”.

Quando uma atividade estiver relacionada ao preenchimento de um documento, por exemplo, ela poderá ser representada através de uma única atividade (“Preencher tal documento…”), sendo desnecessário identificar uma
atividade para cada campo contido no corpo deste documento. Este nível de detalhamento e outros tantos exemplos a ele relacionados, não é indicado, pois torna o fluxo além de muito extenso, extremamente cansativo no momento de ser interpretado.
Exceções existem, e nestes casos, faça o uso deste tipo de representação apenas quando houver motivos muito relevantes para o entendimento do processo em si. Isto é uma questão de “bom senso”, (“Nem “8” e nem “80””).

Ex:

As Atividades (1), (2), (3) e (4), são sequenciais e indicam a ordem exata das atividades a serem executadas no contexto do processo.

5.2.6 – Desenhando Fluxo – Tratamento de Documentos (Artefatos)

É função excencial dos processos a produção de algum “Resultado tangível” em algum momento de sua execução esta resultado encerra o ciclo de vida do processo, pois está relacionado ao se componente de “Saída”,
conforme tratamos na 1ª Parte deste artigo.

• (Quando o Processo é “Formal” e o Resultado é “Informal”).

Quando estamos desenhando um processo de negócio e não identificamos oo mesmo não produz um “resultado tangível” no final do seu ciclo de vida, este processo tem um erro de concepção grave:

Quando um Processo é “Formal”, mas o “Resultado produzido” pelo mesmo é “algo intangível ou não formal”, todo o processo passa a ser classificado como um “processo informal”. E, portanto não produziu nenhum sentido ou efeito concreto a atividade realizada para a sua documentação. Ex:

Pensemos juntos: “Quando desenhamos um processo, sob a ótica da documentação de processos, ele até que poderá ser categorizado como um  “processo formal”, pois esta ali, descrito e documentado. No entanto, se, ao analisarmos o contexto do processo em si, e notamos a “ausência” de “evidências materiais e concretas”
durante todo o seu ciclo de vida, Podemos concluir, que mesmo tendo sido documentado formalmente ele ainda continua sendo um PROCESSO INFORMAL. (Ele não produziu nada, apenas documentou os  esforços tidos pelas atividades sem fornecer nenhuma evidência de que de fato foi executado).”

Em processos de negócio, onde estes estão inseridos no mecanismo de funcionamento de uma empresa, padronizando eventos, integrando equipes, produzindo obrigações e direitos em quase todos os eventos são raros
os casos onde as “permissões ou possibilidades” de que os ”produtos” produzidos pelos processos possam ser “informais”.

• (Quando o Processo é “Formal” e o Resultado é “Formal”).

O mais comum é que os processos “produzam” durante o seu ciclo de vida “algum artefato ou evidencia”, tais como,  documentos, controles, registros de dados em sistemas e tantas outras possibilidades formais de comprovar que aquele ciclo de fato ocorreu. A isto se denomina “Prova Material” produzida pelos processos.

No momento de desenhar os “artefatos” em um fluxograma, o mesmo deve ser inserido sempre e logo após a ultima atividade que concluiu a sua produção ou que efetivamente tenha o  produzido.

Nos casos onde um documento é finalizado e em seguida enviado para outra pessoa ou área de negócio, é uma boa prática representa-lo no processo fornecedor e indica-lo novamente na entrada do processo cliente.
Faz-se isto para que o leitor, ao interpretar o processo cliente, não tenha que navegar até mesmo identificar de qual “artefato” está se tratando.

Há ainda algumas convenções que sugerem marcar no documento, um traço diagonal, no momento onde é gerado pela primeira vez, e ainda, há convenções que determinam um traço para cada via emitida. Embora a informação
possa ser útil de alguma forma, este método é raro de ser observados nos dias atuais e praticamente caiu em desuso.

Vamos ao Ex:

Na representação abaixo, podemos concluir que a Atividade (3) produziu o Artefato (4), e que as atividades (1) e (2) podem estar relacionadas as atividades de preparação para a sua produção.

5.2.7 – Desenhando Fluxo – Representando as Decisões Tomadas

As decisões representam a “alma” dos fluxogramas, pois são através delas que podemos representar à graficamente a dinâmica e as alternativas existentes nos processos, regras de negócio, enfim tudo aquilo que diferencia um fluxograma de uma “Receita de bolo, Lista de compras do Supermercado, lista de pendencias,
entre outros”.

O conceito de fluxograma somente existe, se houverem situações de decisão ou de alternativas distintas de ação frente a uma situação positiva ou negativa qualquer. Onde houver a possibilidade de duas alternativas em relação a uma situação qualquer, esta, poderá ser representada através de um fluxograma.

Embora o losango, símbolo convencionado para as decisões possua 4 vértices, utiliza-se apenas 3 nas representações dos fluxos, sendo sempre 1 entrada e 2 saídas possíveis, frente a uma Questão interrogativa qualquer, indicando pela resposta “SIM / POSITIVO” um caminho e “NÃO / NEGATIVO” o outro caminho a ser seguido pela lógica representada pelo grafia do fluxo.

É um erro muito comum, incluir no símbolo a ação que pretere a decisão lógica, quando o correto é colocar esta ação em uma atividade anterior a decisão, e deixar para incluir no símbolo apenas questões simples e diretas (Perguntas Fechadas são as mais recomendadas, pois não deixam dúvidas em relação ao caminho a ser seguido).

Ex:

Se pretendermos verificar a completude de um documento, antes de tê-lo como concluído, (Validação de preenchimento, por exemplo).

 

5.2.8 – Desenhando Fluxo – Tratamento de Arquivos

Deixamos este símbolo por ultimo, pois ele sem sempre consta em todos os fluxos. Representa o destino final de um “artefato”, e que poderá vir a ser um Arquivo, depósito, Almoxarifado, ou até mesmo a sua destruição ou
descarte.

As convenções mais antigas do uso deste símbolo recomendavam inserir no interior do triangulo, algumas letras indicando a “ordem” de arquivamento que deveria ser adotada como índice de ordem de arquivamento, esta
informação poderia ser ainda acompanhada pelo tempo em (M – Meses / D – Dias / A – Anos), que o documento deveria ser mantido, até ser descartado/destruído.

Ex.:

(A/3 A)- Alfabética – Destruir após 3 anos, (D /3M) – Ordem Cronológica, (N /30D) – Ordem Numérica) ou ainda, se estivesse sem conteúdo  (Sem a presença de Letras seria o equivalente a arquivar o artefato em Ordem de Chegada – ( – /3A) – Ordem de Chegada, destruir após 3 anos),

ou ainda,

Uma segunda indicação de qual a Informação deveria ser utilizada como índice para a ordem de arquivamento (Nr. Pedido/A3 – Destruir após 3 Anos, Razão Social, CNPJ).

Nos casos onde o documento não seria arquivado e sim destruído, convencionava-se colocar um X cobrindo todo o triangulo ou o símbolo do próprio documento, indicando a destruição do documento. Embora estas informações também fossem interessantes, atualmente fazem sentido em apenas alguns casos de processos (Ex: Processos de ordem jurídicas ou legais, Processos de produção envolvendo fórmulas químicas).

• Situações onde o Arquivamento encerra o Processo

O mais comum, e encontrarmos símbolos de arquivo no fim de processos, onde após ser executadas todas as ações e atividades previstas e ainda depois de serem produzidas todas as evidencias (Artefatos), o destino final da documentação é indicada nos processos através do arquivamento dos documentos.

Para efeito de organização e métodos: Mais importante do que indicar o arquivamento de um artefato em um fluxograma  é,  tê-lo de fato disponível para uso. No local indicado no fluxo, e  ainda, em acordo com a ordem
de armazenamento previstas no mesmo fluxo.

• Situações onde o Arquivamento Inicia o Processo

Embora seja menos comum, também podemos encontrar símbolos de arquivo no inicio dos processos. Isto normalmente ocorre nos casos envolvendo rotinas de “limpeza e descarte” das próprias informações contidas nos arquivos ou ainda informações que estavam armazenadas de forma temporária ou aguardando um evento ou data para serem recuperadas e processadas.

Vamos Exemplificar, para facilitar o entendimento:

5.3 – Representação Gráfica do Processo (Fluxograma)

Observação:

Demonstramos o processo de Vendas, anterior ao processo tratado em nosso exemplo (Processamento do Pedido de Vendas),  com o objetivo de demonstrar a orígem do documento “Pedido de Vendas”, como sendo a (Saída do Processo anterior) e a sua respectiva entrada em nosso processo de exemplo.

Fim do Conteúdo deste Artigo.

———-

———-

·  Download do conteúdo deste Artigo :

O Conteúdo deste artigo está disponível para download no formato Arquivo  (PDF) na pagina Free Whitepaper publicada em nosso site

www.AGHATHA.com , acessando a pagina :  http://aghatha.com/index.php/whitepapers.html , você poderá realizar o download do mesmo gratuitamente.

Faça-nos uma visita, caso opte por assinar a Nossa Newsletter, você passará a receber avisos de atualizações e ampliações do conteúdo deste artigo e/ou comunicados sobre a publicação de outros artigos relacionados com este mesmo assunto.
———-

• Visite nossa Webstore :

Economize centenas de horas com a realização de levantamentos, definição, documentação e organização de processos e controles em Tecnologia da Informação.

Agora é possivel obter suites contendo modelos pré-definidos, integrados e  prontos para utilização / implementação e contruídos em conformidade com as regras e requisitos estabelecidos nos diversos padrões de compliance em TI.

• AGHATHA Framework – Compliance Norma ISO-27002

http://aghatha.com/index.php/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

• AGHATHA Services – Serviços Suporte Técnico e Consultoria Técnica Sob Demanda.

http://aghatha.com/index.php/servico-consultoria-suporte-tecnico-compliance-ti-nao-presencial.html

———-

• Framework de processos e controles para o Compliance de TI.

Convidamos a conhecer  nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o Compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI.

Nele, você poderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).

• http://www.aghatha.com/processos.htm ,

Ou ainda, Leia mais sobre este mesmo assunto, em nossos POSTs.

• https://aghatha.wordpress.com/2012/05/24/como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroe/

Framework Compliance Norma ISO-27002

• http://aghatha.com/index.php/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

———-

·       Mais Artigos desta Série:

1 Parte – Introdução, Conceitos e Modelos

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO – Parte 1 – Introdução, Conceitos e Modelos.

• Veja Conteúdo em :

https://aghatha.wordpress.com/2011/07/03/como-desenhar-fluxogramas-de-processos-de-negocio-1-parte-introducao-conceitos-e-modelos/

 

3 Parte – Analise Técnica de Processos de Negócio.

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO – Parte 3 – Analise Técnica de Processos de Negócio.

Neste artigo trataremos algumas analises técnicas de processo de negócio, tais como Carga, Capacidade, Nível de Serviço entre outas análise possíveis através do fluxograma de processos de negócio.

• Veja Conteúdo em :

https://aghatha.wordpress.com/2011/07/16/como-desenhar-fluxogramas-de-processos-de-negocio-3-parte-analise-capacidade-carga-processos/

Outros Artigos Relacionados em Conteúdo:

• Em artigo anterior, descrevemos como formatar, organizar e estruturar a documentação de processos, contendo ainda o modelo de template destinado a descrição passo-a-passo dos processos disponível para download, vamos utilizar este modelo no próximo artigo para descrever um processo e em seguida utilizar o mesmo para produzir o fluxograma:
• Veja o conteúdo em: https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

———–

·       Outros Artigos Relacionados com este Assunto:

• Como Formatar, Organizar, Estruturar documentação de Processos (Politicas, Normas e Procedimentos).

Em artigo anterior, descrevemos como formatar, organizar e estruturar a documentação de processos, contendo ainda o modelo de template destinado a descrição passo-a-passo dos processos disponível para download, vamos utilizar este modelo no próximo artigo para descrever um processo e em seguida utilizar o mesmo para desenhar o respectivo fluxograma:

https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

—–

·       Agradecimentos e Convites:

Seu feedback é muito importante para nós, caso você tenha alguma dúvida ou necessidade de informações adicionais para o seu entendimento ou aplicação, entre em contato conosco através do e-mail abaixo.

Todos os artigos estão disponíveis para download no formato de Documento (PDF) na pagina Free Whitepaper em nossa WebStore em AGHATHA.com em : Http://www.aghatha.com , faça-nos uma visita e assine a nossa newsletter, para receber atualizações deste artigo e outros relacionados ao mesmo assunto.

Abraço e Felicidades a Todos,

Eurico Haan de Oliveira

www.aghatha.com/index.htm

Siga-nos pelo Twitter, e receba comunicados de novos artigos e/ou revisões deste texto.

• Convidamos a participar de nossos Grupos de Discussão no Linkedin: https://aghatha.wordpress.com/aghatha_grupo_de_usuarios_ti/

———

Apresentação AGHATHA Framework – Norma ISO-27001:2/2005.

———

·       Declarações de Direitos de Copyright

·        Declaração e Preservação de Direitos Autorais e de Propriedade:

Todas as marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

• This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:
  • COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
  • Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (www.aghatha.com/index.htm  / Http://www.aghatha.com), sendo todos os direitos autorais preservados, incluindo a sua utilização e exploração comercial.
  • COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
  • ISO-IEC® Standard – São de propriedade exclusiva do International Organization for Standardization (ISO®) e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
  • ITIL V-3 ® – IT Infrastructure Library® (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
  • PCAOB ® é propriedade exclusiva do Public Company Accounting Oversight Board – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
  • PMI ® / PMBOK ® propriedade exclusiva do Project Management Institute ( www.pmi.org/), sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright

—

· Compartilhe este Artigo:

Read Full Post »

Como reduzir custos em TI através da aplicação racional dos objetivos estabelecidos pela Governança TI – Parte 1

Como reduzir custos em TI através da aplicação racional dos objetivos estabelecidos pela Governança TI – Parte 1

Muitas vezes nos deparamos com a dificuldade dos Gestores de TI em identificar vantagens econômicas na adoção de boas práticas e padrões da TI tais como, (ISO/IEC-27.002, ISO/IEC-20.000, ITIL V3, COBIT, COSO, ISO/IEC-12.207 e tantas outras. Em razão disto, daremos inicio a uma série de artigos abordando cada padrão individualmente e lhes enumerando algumas sugestões e alertas nesse sentido.

O conteúdo abordado neste artigo não é e nem pode ser considerado como algo definitivo, uma vez que existem disciplinas especificas e destinadas à completa gestão do planejamento e controle orçamentário em geral.

Nosso objetivo e identificar algumas diretrizes e práticas contidas no COBIT que podem promover ou gerar alguma economia de receitas ou em alguns casos até mesmo promover a geração de resultados econômicos como consequência da sua adoção no conjunto de boas práticas em TI. Neste artigo trataremos situações contidas e referenciadas no primeiro Objetivo previsto no COBIT, denominado PO – Planejamento e Organização.

1 – Matriz de Custos em Tecnologia da Informação.

Primeiramente é necessário tratar alguns conceitos gerais que nos serão bastante úteis no entendimento dos custos e benefícios que por ventura possam vir a ser explorados pelo Gestor de TI.

Devido a grande quantidade de variáveis contidas no universo da TI, vamos evoluir nossas abordagens através da regra (80/20), estabelecida pelo economista Italiano Vilfredo Pareto, onde: “80% dos problemas estão concentrados em 20% das possíveis causas”, com o objetivo de focar as analises e sugestões naquilo que realmente possa ser relevante.

1.1 – Grupos de Despesas

Por “convenção”, de uma maneira geral, vamos classificar os custos envolvidos de acordo com os seguintes grupos principais de possíveis despesas em TI.

•  Aquisição de Infraestrutura,
• Aquisição de Sistemas / Aplicações,
• Aquisição de Mão de Obra (Pessoas),
• Aquisição de Serviços,

Utilizaremos estes grupos na medida em evoluirmos a avaliação das práticas e recomendações e indicando algumas sugestões de reduzir estes custos através da aplicação das práticas envolvidas em cada análise:

É importante lembrar que algumas despesas, economias ou resultados a serem obtidos podem ocorrer uma única vez ou ainda, podem ocorrer de forma recorrente (Por evento, Mensal, Semestral, Anual):

Ex:

•  Ao ser adquirido um novo Servidor ou um novo Software, além dos valores relacionados à sua aquisição e instalação/implementação, passaremos a ter outros custos recorrentes relacionados à sua manutenção, upgrade de sistemas operacionais, energia elétrica, suporte da equipe ao equipamento, etc..  (= TCO – Custo de Propriedade).
• Ao ser eliminado um Sistema / Aplicativo: Há redução dos custos recorrentes de Manutenção, renovações de licenças de uso, alocação de serviços de suporte, custos de desenvolvimento que não serão mais necessárias realizar.

1.2 – Fatores Geradores de Despesas em TI  – “Gatilhos”.

Há ainda grupos de necessidades a que poderíamos classificar como “Gatilhos”, pois atuam como fontes de demandas ou de necessidades, que nos levam a realizar novos investimentos em TI.

Para exemplificar, vamos listar alguns “gatilhos”: Atender novas necessidades do Negócio, mitigar Riscos, Upgrades,  Nível de serviço, Disponibilidade, Performance, Capacidade, Segurança, Requisitos legais entre outros desafios a que os gestores de TI estão sujeitos a tratar no seu dia a dia.

 

 2 –   COBIT – PO Planejamento e Organização

Este objetivo é muito importante, pois as ações de planejamento e organização direcionam as ações conduzidas nos objetivos dos capítulos AI – Aquisição e Implantação e DS – Entrega dos Serviços.

2.1 – Alinhando TI ao Negócio:

Adotar critérios de alinhamento ao negócio pode auxiliar a reduzir custos em TI e em alguns casos até promover a geração de receitas  ao negócio:

•  Direcionar ações e investimentos que “agregam valor” ao negócio.

TI proporciona “valor agregado” ao negócio quando lhe oferece diferenciais competitivos através da aplicação da Tecnologia, ou seja: Fazer mais em menos tempo, mais com menos esforço, mais com menos custo, mais nível de serviço ao produto do negócio, mais funcionalidade ao produto do negócio, e tantos outras.

Embora seja razoavelmente fácil entender estes valores, não é uma tarefa muito simples colocá-las em prática, pelo menos inicialmente, em identificar situações que promovam dois, três ou até mais “valores agregados” de forma simultânea, mas lhes garanto que esta dificuldade diminui com exercício de planejamento e execução de projetos e quando se adota o nesta atividade, o  critério citado acima como sendo uma regra geral.

Ex:

Já vivenciamos situação onde um Gestor de TI de uma determinada empresa, iniciava o ano com uma bolsa de valores a serem investidos, apuradas com base neste critério e um plano de ação previamente acordado com os gestores das áreas de negócio identificando as iniciativas e prioridades de execução. Este valor era então destinado às equipes destacadas para a execução de cada iniciativa.

Cada iniciativa deveria promover como resultado econômico do projeto um determinado índice de retorno (Payback) a ser calculado com base no valor investido. Ao final do  projeto o retorno efetivo para o negócio era apurado e o capital investido era retido (Devolvido ao Negócio), e somente as sobras (Eficiência econômica do Projeto), retornavam para o montante destinado a prover os investimentos dos demais projetos daquela mesma  equipe.

Depois de alguns anos, o CIO passou a iniciar o ano com apenas 3/5 do montante necessário para promover todas as iniciativas em TI, e resultado obtido pelos próprios projetos deveriam gerar o montante necessário para a execução dos restantes 2/5.

Assim sendo, nesta empresa não havia nenhuma iniciativa que de fato não agregava valor efetivo ao negócio e as equipes aprenderam com o passar dos anos a propor iniciativas que efetivamente proporcionassem retornos e consequentemente valor ao negócio,  e que ainda, pudessem prover sobras suficientes para realização de outros projetos.

Um fato interessante sobre este caso é que mesmo em tempos de crises,  esta empresa não reduzia os valores destinados aos investimentos em TI, e o orçamento de TI era sempre o primeiro a ser aprovado pela empresa, e por motivos óbvios.

Este é o poder de uma Diretriz aplicada e orientada a trazer vantagens e competitividade ao negócio, pois se reduziam tempos, custos, esforços, agilizavam-se entradas e saídas de materiais, reduzia-se o tempo de produção, eliminavam-se tarefas desnecessárias e assim por diante.

Traçar diretrizes que tragam resultados é uma ação de inteligência e surte os efeitos desejados hoje e no decorrer do tempo, sobretudo pela liderança do Gestor em relação motivação de suas equipes em mantê-la ativa e gerando os resultados desejados durante muitos anos.

Alertas:

•  Nos casos onde não há a adoção de critérios técnicos  para a proposição de soluções e projetos em TI, é possível que algumas iniciativas venham a  apresentar resultados não concretos para a organização e ainda fortalecer a imagem de que a  TI seja apenas uma fonte de custos para o negócio.
• Mesmo que o alinhamento das demandas seja totalmente orientado a oferecer valor agregado ao negócio, se estes resultados não forem mensurados e previstos “antes” e confirmados “depois” da conclusão dos projetos, poderá surgir duas situações possíveis:  Ou a iniciativa não cumpriu o que se propunha a realizar e nunca saberemos os reais motivos, Ou a iniciativa foi concluída com pleno êxito, e nunca saberemos se ele o resultado foi em razão da competência da equipe ou simplesmente uma (“Obra do acaso”). Ou seja, qualquer iniciativa que se proponha a gerar valor ao negócio, deve prever o “quanto” e o “como” o negócio será beneficiado. Somente assim, os resultados obtidos poderão ser validados e poderemos evoluir nos critérios de avaliação de novas iniciativas.

2.2 – Arquitetura da Informação.

Embora o COBIT trate fortemente este assunto mais orientado a Arquitetura da Informação, Conteúdo dados, Desenho modelo dados, Dicionário de Dados, iremos abordar aqui a “Arquitetura” de forma mais ampla, pois a arquitetura da informação requer outras camadas, para lhe prover suporte e/ou sustentação e que também necessitam possuir algum modelo ou padrão de arquitetura relacionado. Como a nossa ênfase aqui é analisar as possibilidades de redução de custos, seguiremos nesta linha, pois ela irá nos proporcionar mais opções a explorar.

Estes modelos de Arquitetura se fazem necessários para manter e suportar a Arquitetura da Informação e que também devem ser alinhados a atender aos objetivos e necessidades do negócio, tais como: Arquitetura de Comunicação de Dados, Servidores, Estações Trabalho, Sistemas Operacionais, Serviços (e-mail, Active directory, VMs, Sistemas e Aplicações de suporte ao negócio, e etc.

Se entendermos que todos estes modelos, sejam camadas sucessivas e posicionadas acima ou abaixo da camada das  informações com o objetivo de juntas proporcionarem suporte e sustentação aos dados, podemos dar inicio a nossa analise de custos.

Adotando um  modelo de arquitetura que represente um ambiente de TI,  que possa interagir de forma integrada e convergente entre si e  que facilite ainda  as integrações técnicas entre as camadas e equipes envolvidas, é certo que custos destinados a upgrades, suporte, integrações, pessoal, serviços de manutenção e outros serão mantidos sob controle a médio e longo prazo. Isto somente será possível se os modelos definidos, uma vez adotados, sejam de fato considerados como um  “padrão a ser seguido ou perseguido por todos” ,  no momento de propor / avaliarem as possíveis alternativas de soluções para o atendimento das demandas da TI.

Vejamos um exemplo de uma diretriz que possibilite este tipo de economia ou redução dos custos:

•  As Soluções propostas para a TI devem estar alinhadas aos padrões e modelos de arquitetura vigentes.

Por mais singelo que isto possa parecer, esta diretriz certamente proporciona redução de custos e ainda auxilia a prevenir muita dor de cabeça aos gestores de TI ao longo do tempo, vejamos como:

Caso não exista um padrão técnico que sirva de filtro as proposições de solução as  demandas de TI, é mais provável que as soluções atendam ao proposito único das necessidades que as deram origem, e este aparente grau de liberdade passará a promover lenta e progressivamente o que denominamos “O efeito da Torre de Babel” em TI, ou seja, teremos em um futuro muito próximo uma variabilidade tal de soluções e variantes de arquiteturas,  que se fará  necessário para mantê-las a contratação de uma infinidade de novos cargos e/ou funções adicionais em TI  (Um DBA para cada banco de dados a ser suportado: Oracle, SQL Server, MySQL, …), Um especialista de Suporte aos Sistemas Operacionais (Windows, Linux), Equipes de Manutenção para cada plataforma a ser mantida e integrada (Abap, .Asp. .Net, Java, …) e ainda em função das demandas e integrações do negócio, e muito possível uma vez ou outra promover  interfaces entre as soluções através de investimentos com aquisição de bens e/ou serviços.

Normalmente quando nos damos conta deste “efeito”, pode ser tarde demais para promover algum tipo de convergência ou padronização das arquiteturas existentes por ser tecnicamente inviável ou custar muito caro.

É possível que este seja o motivo mais comum para os seguintes efeitos:

•  Estruturas de TI com elevado “head-count”  de pessoas e cargos,
• Nível de granularidade / especialidades técnicas muito distribuídas,
• Interferência atuação desintegradas entre as equipes de TI,
• Surgimento de Ilhas Tecnológicas,
• Aumento do tempo e esforço requerido para definição e aplicação de soluções aos problemas/ atendimento de demandas,
• Indisponibilidade de recursos técnicos especializados e em numero suficiente para atender a todas as tecnologias e plataformas existentes (elevado valor com terceirizações e serviços complementares).
• Elevação de custos e complexidade em atendimento mesmo para demandas simples ou não muito complexas.

Todos estes efeitos a que as equipes de TI estão expostas e consequentemente os custos necessários para a sua manutenção  são invariavelmente consequências impostas pelas limitações técnicas de integração entre as plataformas e tecnologias a que estas mesmas equipes devem oferecer suporte.

Alertas:

•  Como a tecnologia é bastante dinâmica, não podemos levar este critério ao “pé da letra”, pois estaríamos bloqueando a entrada de novas tecnologias e/ou  inovações que poderiam ser utilizadas a favor do negócio. Devido a esta hipótese, quando uma iniciativa propõe algo que não esteja alinhado aos padrões vigentes, antes de lhe bloquear o prosseguimento, há de se ponderar se a “novidade” irá ou não agregar valor ao negócio (hoje, amanha ou por um bom tempo até que algo melhor lhe venha a substituir).  Se depois de ponderada, a resposta for positiva, pode-se agregar mais um padrão ao modelo de arquitetura ou ainda dar inicio a migração de um padrão existente para um novo padrão mais eficiente ou que promova maiores resultados para o  negócio. É assim que os modelos de arquitetura evoluem no tempo e proporcionam valor ao negócio. (Em função disto, devem ser controladas as diferenças entre uma versão e a outra dos padrões de arquitetura, e ainda, mantidos os registros históricos das avaliações e justificativas utilizadas na época em que mudanças foram adotadas).
• Não devemos esquecer que uma vez modificado as bases da arquitetura vigente, se ganha com isto uma nova missão: “migrar o legado existente para o novo padrão proposto” (Alterar padrões de Arquitetura é um forte “gatilho” para geração de despesas em TI, e não migrar acarreta o fortalecimento do efeito “torre de babel”), portanto, este assunto deve ser tratado com muita cautela.
• Não se deixe levar por modismos ou termos de ocasião,  ou isto custa caro hoje ou pode custar  muito mais caro amanhã, diante disto considere os custos e esforços de migração do legado quando houver necessidade de mudanças em plataformas de tecnologia, ou prepare-se para justificar o aumento do “head-count” de TI e revisar os valores previstos para investimentos em treinamentos, certificações, processos e controles adicionais e tudo mais que poderá advir,  e que certamente se farão necessários.

 2.3 – Processos, Organização e Relacionamentos de TI.

Neste item o COBIT nos propõe, talvez o seu objetivo mais importante, pois nenhuma outra recomendação ou objetivo será de pleno factível se não houver processos formais que promovam a sua organização, execução, controle e monitoramento dos resultados obtidos.

Os processos formais tem esta função e de fato transformam as iniciativas em ações recorrentes no dia a dia das organizações.  Veja um outro artigo nosso, indicando instruções para formatar e organizar processos para implementar boas práticas em TI , incluindo um modelo de template para ser utilizado como plataforma de organização dos processos em TI:  https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/ )

Um processo necessita atender a alguns requisitos para ser efetivo de fato, são eles:

As atividades de TI devem ser suportadas através de processos formais que determinem claramente:

• O que deve ser feito,
• Porque deve ser feito,
• Quem deve fazer,
• Como deve ser documentado,
• Como será monitorado ou mensurado,
• Quais são os critérios de qualidade serão aplicados para a sua avaliação e promoção de melhorias.
• Alguns motivadores para justificar a formalização e padronização através de processos:
  • Principio da geração de conduta, onde a regra escrita promove uma conduta ou resultado desejado a um determinado público,
  • Principio de Melhoria continua dos processos, através da repetitividade de execução e avaliação contínua dos resultados e identificação de melhorias,
  • Principio da previsibilidade das ações e dos resultados esperados,
  • Principio da materialização dos fatos, através de registros e evidencias produzida pelas ações realizadas.

Qualquer iniciativa em algum momento irá requerer a necessidade de execução repetitiva de alguma ação ou atividade com objetivo de produzir um determinado resultado: executar um conjunto de atividades, promover um controle, produzir uma evidência ou ainda, comunicar um fato ocorrido a uma determinada pessoa ou grupo de pessoas.

Realizar isto, sem que haja um guia formal indicando o que deve ser feito,  quem são os responsáveis, quando e como deverão ser executados,  para uma ou duas atividades, se combinarmos bem o que deve ser feito com os atores envolvidos,  até poderá se tornar possível, mas quando se tem necessidade de adotar um conjunto de práticas e com a necessidade de execução de 20 ou 30 processos, cada um contendo diversas atividades e atores distintos,  isto se torna  impraticável, correto?.

Para facilitar o entendimento: Os processos têm como componentes fundamentais: entradas, processamentos e saídas e, se alinharmos estes componentes de acordo com a lógica de construção de algum resultado esperado ou desejado, verá que isto possibilita ao gestor atingir efetivamente quaisquer resultados que seja por ele  proposto.

Quanto mais integrada e eficiente for uma equipe através dos processos, maiores serão as chances e possibilidades de reduzir e/ou economizar recursos, pois as equipes poderão ser dimensionadas sem que haja sobrecarga ou sobreposição de atividades, eliminar retrabalhos e conflitos desnecessários, reduzir a incidência de erros operacionais, eliminar a omissão de práticas requeridas pelo negócio ou pela legislação, e assim por diante.

Melhorias operacionais com base nas analises de processos existentes, proporcionam o dimensionamento dos custos envolvidos,  simplesmente comparando quanto custava um processo antes da aplicação da uma melhoria e qual será o valor  após a aplicação da mesma. Multiplicando o valor da diferença apurada pela quantidade de eventos executados em um mês,  e o produto deste cálculo,  multiplicado pelos 12 meses do ano, passamos a perceber quanto uma melhoria em algum processo pode impactar economicamente no orçamento da TI;

O tempo de implantação ou de adoção de melhores práticas pode ser reduzido em muitos meses de trabalho, quando se opta pela utilização de frameworks ou pacotes contendo modelos de processos já testados e validados.

É mais fácil, econômico e muito mais eficiente adaptar e integrar modelos existentes do que “costurar processos sob medida a partir do zero”, simplesmente com base na percepção de que empresa onde atuamos “é diferente” das demais.

Alertas:

•  Nossa experiência nos diz que o índice de variação entre os processos de uma empresa e outra, somente em casos absolutamente raros ultrapassa a 30% (seja qual for o segmento, tamanho ou complexidade), no entanto,  a diferença de valores a serem dispendidos comparando uma situação com a outra, poderá variar entre 10 a 20 vezes mais e levar 10 vezes mais tempo e esforço, ficando ainda gap´s de integração por serem otimizados ou implementados posteriormente.
• Nos casos onde as Organizações optam por “costurar” seus processos internamente. Nestes casos, há de ser verificado se os processos resultantes atendem de fato aos requisitos e objetivos propostos pelo padrão ou prática que se deseja adotar. É comum observar adaptações  “míopes”, onde o padrão é  “atendido” e mesmo com a evidência do  “processo formal”, depois de uma análise mais apurada,  de todos os detalhes existentes em comparação com a melhor prática, verificamos que a “idéia” não foi completamente atendida, ou está sendo “praticada”  na forma “híbrida” ou “não recomendada”, ou seja, a melhor prática define o que deve ser feito, adotá-la parcialmente com a retirada de itens importantes e incluindo itens das práticas atuais não proporciona “em tese” o completo status de Compliance a uma prática/recomendação.
  • Ex1: (Já observamos diversas vezes a ocorrência deste exemplo em empresas de todos os tamanhos e complexidades) –  “PMO”- (Escritórios de Projetos), onde o colaborador responsável apenas tinha a função de recolher e consolidar as informações dos projetos existentes e os apresentava regularmente a um comitê de representantes de Organização. Com base nestas atividades os projetos eram “declarados sob controle”,  quando na verdade, as práticas e atribuições recomendadas para um Escritório de projetos promover o controle dos projetos deveria incluir Atividades de Fomento as práticas de Gerenciamento de Projetos, o que poderíamos listar aqui a algumas atividades compreendidas nesta função: Definir padrões, métodos e controles de gerenciamento de projetos, promover a integração das equipes envolvidas, Formar e treinar continuamente pessoas em técnicas de GP e nos padrões internos definidos pelo PMO, cogerir projetos, apoiar os GP na identificação e superação de dificuldades apresentadas pelos projetos (Mentoring/Coaching) em questões de planejamento, execução e controle, apoiar tecnicamente as ações corretivas  e o uso de ferramentas de apoio, e construir na forma mais efetiva possível os resultados a serem obtidos pelos projetos, e ao final de cada período apresentá-los aos gestores da organização em companhia dos GP envolvidos, reportando os acertos,  erros cometidos e das ações corretivas que já estariam sendo aplicadas para corrigir  ou melhorar os resultados a serem obtidos no próximo período/avaliação.
  • Ex2: (Já presenciamos casos onde outra empresa, onde o PMO executava todas estas atividades e realizava a cogerência e apoio ao grupo de GP existentes, e ainda apresentando excelentes resultados, mesmo realizado tudo isto em ainda co-gerenciando mais de 30 projetos em TI sendo executados simultaneamente. Tudo isto possível apenas pelo uso de uma metodologia que promovia a integração dos projetos ao negócio e aos demais processos de TI).
• Devemos lembrar que os processos de TI devem promover as integrações, distribuir as responsabilidades e distribuir as cargas de trabalho observando os demais processos existentes. Caso o processo não atenda a estes requisitos, poderá promover a existência de “falsos gargalos”, onde uma série de atividades é interrompida, pela falta de comunicação de um grupo ao outro, que a etapa foi concluída, promovendo atrasos e perda de tempo na execução de uma ação. Em primeira análise a segunda equipe foi ineficiente, pois causou o atraso, mas na realidade há uma falha de integração entre os dois processos.
• Caso você vivencie este tipo de situação, antes de tomar qualquer iniciativa, observe se os processos envolvidos são de fato integrados e se as entradas requeridas em processo são claramente identificadas nas saídas dos processos que lhes são fornecedores, se as responsabilidades estão claras, e etc… Ao traduzirmos esta ineficiência em custos ou prejuízos causados desnecessariamente ao negócio, é bem possível que você tenha uma surpresa.

Uma situação mais grave ainda é quando não há processo algum, onde todos estes problemas deixam de ser exceções e passam a ser regras, onde é comum escutarmos frases do tipo “eu fiz a minha parte…” e não há nenhuma evidencia ou registro daquilo que todos reportam terem realizado. É bem possível que à origem real da frase “administração do caos” tenha surgido a partir deste tipo de situação.

2.4 – Avaliar e Gerenciar Riscos

Gerenciar riscos é uma atividade que requer o uso de uma boa carga de bom senso. Não é raro observarmos situações onde se realizam investimentos visando mitigar um risco com montante igual ou até mesmo maior que o próprio dano econômico causado na hipótese da sua ocorrência.

A situação mais comum na tomada de decisão para mitigação de um risco é avaliar apenas o custo da ação direta ou principal destinada a mitigar um risco, comparado ao valor do possível dano causado  sem levar em consideração os custos secundários “gatilhos” que são disparados em consequência das ações adotadas.

Como estes custos normalmente não são observados ou considerados parcialmente, infelizmente não é raro observar casos onde figurativamente falando “Paga-se mais pelo seguro do automóvel do que o seu valor de venda no mercado” porque faltaram ser computados no custo de mitigação um ou mais efeitos secundários na tomada de decisão para a mitigação dos riscos.

Um critério a ser adotado é a determinação do nível de risco que a companhia estaria disposta aceitar  e traduzir este nível de apetite ao risco a um valor ou percentual em relação a algum índice do negócio (Ex: tratar Riscos individuais cujo impacto seja maior que X%  do valor do patrimônio e o impacto aceitável dos riscos restantes e tratados, somados juntos, não podem ultrapassar a X% do Valor do patrimônio). A partir daí calcular os valores dos impactos de todas as situações de risco identificadas e avaliar se o mesmo está acima ou abaixo desta linha de base.

Esta prática, além de liberar a equipe para focar na mitigação dos riscos que realmente possam provocar danos graves ao negócio, reduz significativamente o montante de recursos a serem investidos na mitigação de riscos menores ou que causam baixo impacto no negócio, o que de fato teria algum sentido mitigar, se houvesse alguma possibilidade de que todos os riscos não mitigados pudessem vir a ocorrer simultaneamente, o que matematicamente poderíamos classificar como uma situação “possivelmente improvável” e mesmo que isto viesse a ocorrer estaria dentro do limite estabelecido de aceite dos riscos.

Uma situação que nos deparamos muito são os riscos que promovem algum tipo de dano a “imagem”, “marca”, “confiança”, ou qualquer outro tipo de variável que “teoricamente” seria intangível ou “difícil de estimar”. Infelizmente a matemática não nos oferece esta opção (Imagine o valor do Seguro do Museu do Louvre), e se “algo” não puder ser traduzido em números, este “algo” ou não existe ou não possui valor algum (é Zero), e, portanto o impacto causado por um risco, mesmo que o valor seja em tese “Intangível” ele deverá necessariamente ser “tangibilizado ou dimensionado” através da apuração de um valor, mesmo que este valor não seja exato, deverá ser calculado ou estimado de alguma forma.

Uma vez “definido” o valor do Impacto do risco, a analise de risco poderá seguir o seu caminho natural ate a mitigação do risco.

Continuaremos os demais objetivos através de um próximo artigo – Aqui tratamos itens relacionados ao PO – Planejamento e Organização do COBIT, agradecemos a sua visita e a leitura deste artigo.

—- Fim Conteúdo Artigo —-

———

Este artigo está disponível para download no formato de Documento (PDF) no seguinte endereço:  Http://www.aghatha.com   opção free whitepapers.

———

Outros Artigos Relacionados com este Assunto:

• Como Formatar, Organizar, Estruturar documentação de Processos (Politicas, Normas e Procedimentos)

Em artigo anterior, descrevemos como formatar, organizar e estruturar a documentação de processos, contendo ainda o modelo de template destinado a descrição passo-a-passo dos processos disponível para download, vamos utilizar este modelo no próximo artigo para descrever um processo e em seguida utilizar o mesmo para desenhar o respectivo fluxograma:

https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

• FRAMEWORK DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI

• Convidamos  a conhecer e navegar em nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI.
• Nele, vocêpoderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).
• http://www.aghatha.com/processos.htm  , clique nos fluxos para acessar o Suite de Navegação no Framework AGHATHA para o Compliance de Processos e Controles de TI.
• Ou ainda, Leia mais sobre este mesmo assunto,  em nosso POST.https://aghatha.wordpress.com/2012/05/24/como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroe/

—–

• Agradecimentos e Convites:

  Seu feedback é muito importante para nós,  caso você tenha alguma dúvida ou necessidade de informações adicionais para o seu entendimento ou aplicação, entre em contato conosco através do e-mail abaixo.

  Abraço e Felicidades a Todos,

  Eurico Haan de Oliveira

  http://www.aghatha.com/index.htm

• consulting@aghatha.com
  • Siga-nos pelo Twitter, e receba comunicados de novos artigos e/ou revisões deste texto.
  • Convidamos a participar de nossos Grupos de Discussão no Linkedin: https://aghatha.wordpress.com/aghatha_grupo_de_usuarios_ti/

———

Compartilhe este post:

• Declarações de Direitos de Copyright
  

  Declaração e Preservação de Direitos Autorais e de Propriedade:

  Todas as marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

  O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

  Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

  This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

  Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

  • COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
  • Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (Website: http://www.aghatha.com/index.htm / Webstore: Http://www.aghatha.com ), sendo todos os direitos  autorais preservados, incluindo a sua utilização e exploração comercial.
  • COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
  • ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
  • ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
  • PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
  • PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

–———

Fim Declarações de Direitos de Copyright —

–———

Fim Artigo

Read Full Post »

COMO FORMATAR E ORGANIZAR A DOCUMENTAÇÃO DE PROCESSOS DE BOAS PRÁTICAS– ISO-27.002 / ISO-20.000 / COBIT / ITIL-V3

COMO FORMATAR E ORGANIZAR A DOCUMENTAÇÃO DE PROCESSOS  DE BOAS PRÁTICAS– ISO-27.002 / ISO-20.000 / COBIT / ITIL-V3.

Após a decisão em adotar algum padrão ou recomendações tais como (ISO/IEC-27.002, ISO/IEC-20.000, ITIL, COBIT, COSO e tantos outros existentes, surge a pergunta: COMO COLOCAR EM PRÁTICA AS AÇÕES NECESSÁRIAS?,

Depois de alguns anos chegamos a um modelo que é bastante efetivo em termos de conteúdo e praticidade para formalização de processos e controles.

Embora existam normas especificas de qualidade que contemplam recomendações e práticas neste sentido, há necessidade de fazermos algumas adaptações para implantar boas práticas relacionadas à Tecnologia da Informação, as quais passaremos a abordar. O nosso leitor poderá adotar ou não estas sugestões, mas vamos procurar explanar o que elas representam e porque são recomendadas.

1 – A Estrutura Hierárquica da Documentação.

Primeiramente é necessário definir a estrutura a ser seguida na organização dos documentos, lembrando que é necessário contemplar nesta estrutura todos os escalões hierárquicos existentes na organização e lhes referenciando a cada um os tipos de documentos sob sua responsabilidade organizacional ou institucional. Vejamos um exemplo na figura abaixo:

Politicas:  Estabelecer o nível estratégico a ser cumprido na adoção das melhores práticas. É atribuída pelo nível diretivo das organizações e estabelece as diretrizes gerais a serem observadas por todos.

Normas: Estabelecer o nível tático e estabelece as regras a que as áreas operacionais deverão observar para o cumprimento das diretrizes ditadas pelas políticas. É atribuída aos gerentes e gestores das áreas envolvidas em cada prática ou modelo que será adotado.

Procedimentos: Estabelecer o nível operacional e estabelece o “como será feito!”, descrevendo passo a passo as atividades, responsáveis, evidências a serem produzidas, e ainda em um segundo momento, poderão ser adotadas métricas que possibilitem a medida de eficiência e de nível de serviço obtido pelo processo.

Controles e Métricas: Estabelece o “Entregável ou Evidencia física da execução do Processo”, ou seja, o processo de fato foi executado, quando ao final de seu ciclo, o usuário tenha produzido o controle ou a evidencia nele instituído.

Pode-se ainda vincular métricas ou indicadores de controle para medir a efetividade do procedimento, e dependendo do resultado ser favorável ou não, identificar a necessidade de melhorias ou ajustes no processo até que o índice desejado seja atingido.(Assim se estabelece o ciclo de melhoria contínua dos processos).

2 – A Estrutura Física dos Documentos

Uma vez estabelecido à estrutura hierárquica da documentação, e o seu endereçamento nas escalas de comando da companhia, passamos a estabelecer o conteúdo físico de cada tipo de documento, cada um estabelecendo o conteúdo a ele determinado na estrutura hierárquica da documentação (Item 1).

Na figura abaixo, exemplificamos um modelo de documento muito fácil de ser entendido e ao mesmo tempo bastante completo em termos de conteúdo e formato de apresentação.

2.1 – Composições de Estrutura Comum (Politicas, Normas e Procedimentos).

Tipo de Documento:  é recomendado que o documento possua uma indicação claramente visível que identifique ao leitor o tipo de documento (ex. Politica, Norma, Procedimento, Controle, Instrução Técnica, entre outros).

Cabeçalho / Identificação: Deve haver um quadro incluindo as informações relacionadas a identificação do documento, tais como Título/Descrição do Documento, Identificação, Versão, Data emissão, data de Inicio Vigência, Data de fim da vigência, e data prevista para a sua próxima revisão, responsáveis, classificação de sigilo, áreas responsáveis.

Objetivo do Documento: Descrever de forma clara o objetivo do documento, ou o proposito desejado do documento.

Abrangência/Aplicação: Descrever ao leitor qual é a abrangência de uso do documento, se é um documento de uso corporativo, aplicável a apenas uma Unidade, departamento ou a um grupo de pessoas. A informação deve ser clara ao leitor quando ele puder ser identificado no grupo de pessoas que deve ou não cumprir o que está estabelecido no documento.

Terminologia: Identificar os termos técnicos não usuais e o seu significado através de uma descrição clara e preferencialmente não técnica, e que possa ser entendido por pessoas leigas em relação ao termo técnico, siglas ou palavras em outros idiomas.

 2.1.1 – Composições Especificas  (Descrição de Politicas).

Descrição das Diretrizes: Identificar o conteúdo detalhado das Diretrizes forma mais detalhada e clara possível.

Sugerimos adotar o formato de uma tabela, contendo em cada coluna as informações requeridas em cada Diretriz, sendo no mínimo: Numero sequencial, descrição ou enunciado das Diretrizes a serem seguidas e um campo para Observações e informações complementares. Ex:

Descrição das Diretrizes de Uma Politica:

Seq	Diretrizes	Observações
1	As entradas e Saídas de Colaboradores nas dependências da organização deverão ser controladas através de identificação funcional padrão.	São considerados colaboradores, todos os níveis hierárquicos da Organização, incluindo Diretores, Gerentes, Supervisores, colaboradores e estagiários.

 2.1.2 – Composições Especificas  (Descrição de Normas).

Descrição das Normas: Identificar o conteúdo detalhado das normas a serem seguidas para a aplicação das Diretrizes, estabelecendo regras na forma mais detalhada e clara possível..

Sugerimos adotar o formato de uma tabela, contendo em cada coluna as informações requeridas em cada Regra, sendo no mínimo: Numero sequencial, descrição ou enunciado das Regras a serem seguidas e Observações. Ex:

Descrição das Regras de uma Norma:

Seq	Regras	Observações
1	Todos os colaboradores da organização serão identificados através de identidades funcionais, seguindo o modelo padrão da companhia.	São considerados colaboradores, todos os níveis hierárquicos da Organização, incluindo Diretores, Gerentes, Supervisores, colaboradores e estagiários.
2	As identidades funcionais devem ser providenciadas pela Área de RH e entregues no primeiro dia de trabalho. Os colaboradores que ainda não possuem a identidade funcional deverão receber a sua identificação até 30 dias da data de inicio de vigência desta norma.
3	Os colaboradores deverão apresentar as suas identidades funcionais na portaria nas ocasiões de movimentação de entrada e saídas das dependências da organização.	O procedimento de entrada e saída identificadas entrará em vigora 30 dias após a data de inicio de vigência desta norma
4	Nos casos de perdas e extravio o colaborador deve reportar formalmente o fato a Área de RH, para que seja providenciada a emissão de nova identidade funcional.

 2.1.3 – Composições Especificas  (Descrição de Procedimentos).

Descrição do Processo:  Identificar o conteúdo detalhado do Procedimento na forma mais detalhada e clara possível..

Sugerimos adotar o formato de uma tabela, contendo em cada coluna as informações requeridas em cada atividade, sendo no mínimo: Numero sequencial, descrição da Atividade e Observações, podendo-se ainda incluir campos adicionais e facultativos, tais como, a Identificação do Responsável (Quem?) as situação ou condição de execução da atividade (Quando?). Quanto mais informações, mais completo será o conteúdo do processo e mais demorado e complexo será a sua confecção, isto posto, sugerimos iniciar com modelos mais simplificados e complementando campos adicionais na medida em que se fizerem necessários. Ex:

Descrição das Atividades de um Procedimento (Procedimento de Entrada e Saída na Portaria de Pedestres):

Seq	Descrição Atividade	Observações	Quem?	Quando?
1	Verificar a identificação do colaborador na ocasião de entrada do colaborador.	Modelo Identificação MOD-001 – Identidade Funcional	Vigilante	No momento de entrada e saída dos colaboradores na empresa
2	A identidade funcional do colaborador é valida?	N.A.	Vigilante	N.A.
3	Caso Positivo:Liberar o acesso ao colaborador	N.A.	Vigilante	N.A.
4	Caso Negativo:Encaminhar o colaborador ao RH, para que seja providenciada emissão de nova identidade funcional / Identidade provisória.	N.A.	Vigilante	N.A.

 2.1.3 – Composições Comuns  (Campos de Controle dos Documentos).

No Item 2.1 e seus subitens tratamos as partes específicas de cada documento, informando as variações de conteúdo dependendo de cada tipo de documento (Politica, Norma ou Procedimento). Após esta parte, o documento pode ser padronizado nas questões de controle e referencias.

Sugerimos incluir após a parte especifica os seguintes campos de controle.

Documentos Referenciados /Anexos: Identificar ao leitor a relação de documentos relacionados, por Exemplo, identificar em uma política quais normas está a ela subordinada, identificar em uma norma quais procedimentos a ela estão subordinados, e etc..

Este tipo de informação dá ao leitor informações de referencia entre os documentos, uma vez que a Politica gerou uma determinada norma, e esta gera uma determinada relação de procedimentos, desdobrando uma Diretriz em Regras e esta em um ou mais procedimentos.

Pode-se ainda desenhar graficamente os processos através de fluxos das atividades demonstrando as atividades passo-a-passo e facilitando em muito o entendimento do processo. (Politicas e Normas não possuem Fluxogramas), mas podem conter desenhos esquemáticos que facilitem o entendimento dos objetivos das mesmas.

Classificação da Informação: Nos casos onde as organizações possuem politicas de segurança da informação é importante identificar nos documentos a sua classificação de segurança (Documento de Uso Interno, Documento Confidencial, Documento Restrito a um determinado Grupo de Pessoas).

Controle de Aprovação / Revisão: Tabela contendo a identificação dos responsáveis pela aprovação e revisão do documento, local para assinatura e data dos responsáveis, e identificação de contato.

Anexos: Convém incluir toda e qualquer informação adicional, modelos e templates necessários para a execução ou entendimento como anexo ao final do documento. Recomendamos enumerar os anexos e referencia-los no corpo do documento para facilitar a navegação e leitura.

3 – Controles da Documentação.

3.1 – Lista de Documentos e Controle de Revisão.

Na medida em que os documentos sejam confeccionados é recomendado que sejam apontados em um controle destinado a relacionar os documentos vigentes, em revisão, revogados, e  a identificação do documento, Numero de sua versão, Identificação de seus responsáveis, data de inicio de vigência, data de fim da vigência e data prevista para a sua próxima revisão, resumo de revisões realizadas identificando o que mudou entre uma versão e outra.

Regularmente recomendamos a verificação deste controle, com a finalidade de promover as revisões periódicas de conteúdo e de aplicação de melhorias nos processos, sendo que pelo menos 30 dias antes da data de vencimento da data prevista para a revisão, o responsável pela documentação deve enviar uma notificação de revisão ao responsável para que o documento seja revisado até a data do seu aniversário.

As boas práticas determinam que a documentação deva ser revisada pelo menos uma vez a cada ano, e não é incomum encontrar documentos com mais de 10 anos de vigência e com 30 ou 40 revisões, ou seja, um processo é uma entidade com vida própria e está em constante evolução. Não existe processo perfeito e ele sempre poderá ser melhorado, simplificado, apoiado por aplicações automatizadas, e assim por diante.

3.2 – Visões de Hierarquia entre os documentos (Mapa de Processos).

Com o acumulo de práticas a serem adotadas e a quantidade de documentos que se fazem necessários confeccionar para atender as boas práticas, há alguns anos atrás montamos uma visão hierárquica dos documentos, isto facilita em muito o controle e visão holística dos processos (A mesma visão da Pirâmide demonstrada no item 1, com um organograma dos documentos demonstrando as suas dependências e relações mutuas).

A seguir ilustraremos um modelo, para quem estiver interessado em seguir.

4 – Mapa Geral de Processos – Compliance Norma ISO-IEC-27002 – Gerenciamento de Segurança da Informação

Modelo acima representa o Mapa Geral de Politicas, Normas e Procedimentos requeridos para a Implantação de Politica de Segurança da Informação, conforme as recomendações da Norma ISO-27.002.

Framework Compliance Norma ISO-27002, Veja mais informações em:

• Post
• http://aghatha.com/index.php/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html
•  https://aghatha.wordpress.com/2011/05/22/compliance-de-processos-norma-isoiec-27-002-gerenciamento-de-seguranca-informacao/ – SUGESTÃO DE ESTRATÉGIA – ADOÇÃO DAS RECOMENDAÇÕES DA NORMA ISO-27.002 – SEGURANÇA DA INFORMAÇÃO
• Link de Licenciamento em nossa Webstore
• https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

5 – Mapa Geral de Processos – Compliance COBIT  – Governança TI e Sarbanes Oxley Compliance

 

Modelo acima representa o Mapa Geral de Politicas, Normas e Procedimentos requeridos para a Implantação da Governança de TI e Sarbanes Oxley Compliance, conforme as recomendações do COBIT,  PCAOB e Norma de Segurança e Modelos de Gerenciamento de Serviços ITIL-V3.

Veja em nosso outro artigo, como desenhar fluxograma de processos de negócio, em:

https://aghatha.wordpress.com/2011/07/03/como-desenhar-fluxogramas-de-processos-de-negocio-1-parte-introducao-conceitos-e-modelos/

—-

———-

·  Download do conteúdo deste Artigo :

O Conteúdo deste artigo está disponível para download no formato Arquivo  (PDF) na pagina Free Whitepaper publicada em nosso site

www.AGHATHA.com , acessando a pagina :  http://aghatha.com/index.php/whitepapers.html , você poderá realizar o download do mesmo gratuitamente.

Faça-nos uma visita, caso opte por assinar a Nossa Newsletter, você passará a receber avisos de atualizações e ampliações do conteúdo deste artigo e/ou comunicados sobre a publicação de outros artigos relacionados com este mesmo assunto.
———-

• Visite nossa Webstore :

Economize centenas de horas com a realização de levantamentos, definição, documentação e organização de processos e controles em Tecnologia da Informação.

Agora é possivel obter suites contendo modelos pré-definidos, integrados e  prontos para utilização / implementação e contruídos em conformidade com as regras e requisitos estabelecidos nos diversos padrões de compliance em TI.

• AGHATHA Framework – Compliance Norma ISO-27002

http://aghatha.com/index.php/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

• AGHATHA Services – Serviços Suporte Técnico e Consultoria Técnica Sob Demanda.

http://aghatha.com/index.php/servico-consultoria-suporte-tecnico-compliance-ti-nao-presencial.html

———-

• Framework de processos e controles para o Compliance de TI.

Convidamos a conhecer  nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o Compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI.

Nele, você poderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).

• http://www.aghatha.com/processos.htm ,

Ou ainda, Leia mais sobre este mesmo assunto, em nossos POSTs.

• https://aghatha.wordpress.com/2012/05/24/como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroe/

Framework Compliance Norma ISO-27002

• Post
• http://aghatha.com/index.php/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html
• Link de Licenciamento em nossa Webstore
• https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

———-

—- Fim Conteúdo Artigo —-

Agradecimentos e Convites:

As informações e comentários existentes neste artigo são o fruto de observações e experiências adquiridas pelo autor durante a  execução de projetos ao longo de 30 anos de atuação no mercado. Utilizamos este espaço para a divulgação e intercâmbio destes conhecimentos junto aos nossos leitores, clientes e amigos.

Caso você tenha alguma dúvida ou necessidade de informações adicionais para o seu entendimento ou aplicação, entre em contato conosco através do e-mail abaixo.

Abraço e Felicidades a Todos,

Eurico Haan de Oliveira

http://www.aghatha.com/index.htm

Siga-nos pelo Twiter, e receba comunicados de novos artigos e/ou revisões deste texto.  

• Convidamos a participar de nossos Grupos de Discussão no Linkedin: https://aghatha.wordpress.com/aghatha_grupo_de_usuarios_ti/

———

Apresentação AGHATHA Framework – Norma ISO-27001:2/2005.

———

———

Declaração e Preservação de Direitos:

 Todas as demais marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

•  COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
• Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (http://www.aghatha.com/index.htm  / Http://www.aghatha.com ), sendo os direitos preservados todos os direitos autorais e exploração comercial.
• COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
• ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
• ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
• PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
• PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright —

— Fim Artigo

Read Full Post »

Blog Oficial – Aghatha Maxi Consulting

AGHATHA MAXI CONSULTING é especializada em Governança de TI e Serviços Gerenciados de Segurança da Informação. Fornecemos framework integrado de processos e Serviços que possibilitam a conformidade aos seguintes padrões: GRC,SOX,PCI,COSO,COBIT,ISO-27.002,ISO-20.000, ITIL,Gerenciamento de Mudanças e Gestão de Portfólio de Projetos de TI através de PMO – Escritório de Projetos. Conheça melhor a nossa empresa  ( Http://www.aghatha.com.br / http://www.aghatha.com).

Somos Distribuidores no Brasil das Soluções Integradas e Convergentes da ACCELOPS / USA , para monitoramento de Disponibilidade, Performance e Segurança – AccelOps SIEM e AccelOps PAM –  Monitoramento integrado e Convergente de Data Center e SOC/NOC. (Veja mais detalhes em nosso site em http://www.aghatha.com.br/solucoes.htm e http://www.aghatha.com.br/datacenter.htm

——–

Declaração e Preservação de Direitos Autorais:

 Todas as demais marcas, modelos, desenhos, nomes, incluindo o conteúdo os textos integrais dos artigos contidos neste BLOG, são de propriedade dos seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste BLOG , desde que mantidas as observações relativas as proteções de direitos autorais e de propriedades intelectuais, referencias da sua origens e identificação dos respectivos autores e proprietários.

O  leitor não é autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefícios comerciais de forma direta ou indireta para sí ou em favor de terceiros.

This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

——–

Na confecção dos artigos contidos neste Blog, serão regularmente citados e/ou utilizados como referenciais técnicos os seguintes nomes, marcas e publicações:

• ACCELOPS , ACCELOPS SIEM® , ACCELOPS PAM®  São nomes e marcas de propriedade exclusiva da Accelops Inc (www.Accelops.net ),   sendo Todos os direitos autorais reservados.
• Conteúdo deste  BLOG – O Conteúdo dos Artigos escritos e publicados pelo autor neste blog, compreendendo  (Textos, Figuras, Modelos, Esquemas), e que a partir deste site  são comunicados e replicados a outros Sites e Redes Sociais, são de propriedade intelectual exclusiva do autor “Eurico Haan de Oliveira”  e a  Aghatha Maxi Consulting (www.aghatha.com.br  / www.aghatha.com ) , sendo Todos os direitos autorais reservados e protegidos de acordo com o previsto na Lei Federal do Brasil de nr. 9.610 de 19 de fevereiro de 1998 e em tratados internacionais mantidos pelo Governo Brasileiro com as outras nações.
• OBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
• COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
• ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
• ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
• PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
• PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

 — fim declarações de Copyright —

As informações e comentários existentes neste BLOG  são o fruto de observações e experiências adquiridas pelo autor durante a  execução de projetos ao longo de 30 anos de atuação no mercado. Utilizamos este espaço para a divulgação e intercâmbio destes conhecimentos junto aos nossos leitores , clientes e amigos.

Caso você tenha alguma dúvida ou necessidade de informações adicionais sobre qualquer artigo, conceitos ou conteúdos, entre em contato conosco através do e-mail abaixo.

Abraço e Felicidades a Todos,

Eurico Haan de Oliveira

www.aghatha.com.br

Consultoria@aghatha.com.br

Siga-nos pelo Twiter, e receba comunicados de novos artigos e revisões.   

Skype : aghatha.maxi.consulting

Skype : eurico.haan.de.oliveira

 

Read Full Post »