Avaliação

A avaliação tem o propósito de ser uma prática de assegurar transparência e confiança, então assegurar que os avaliadores sejam independentes e qualificados é uma forma de contribuir para esse propósito.

É recomendado que as organizações tenham um processo de avaliação independente, seja interna ou externa, para verificar a conformidade da TI com as leis e regulamentos pertinentes; as políticas e procedimentos da organização; e, com práticas do desempenho de TI. Normalmente vemos essa avaliação independente ser realizada por empresas de auditoria (avaliação externa), sendo chamada de auditoria de terceira parte.

Quando as organizações já são maduras na governança corporativa, realizam auditorias periódicas por meio de empresas especializadas. As auditorias focam nos controles internos utilizados na TI, como em projetos de desenvolvimento de sistemas ou no gerenciamento de serviços.

Importante cuidarmos que a auditoria somente irá verificar o que consta no sistema de controle interno da organização e nem tudo é colocado nesse sistema, pois depende do grau de risco que esse controle representa para o negócio. Mapas de riscos dos processos de negócio devem ser utilizados para apontar quais controles internos devem ser adicionados ao sistema.

Podemos no entanto incluir outros itens sem alto grau de risco, mas que ainda sejam importantes para o desempenho dos serviços de TI. Então o ideal é que sejam colocados no sistema de controle interno processos que efetivamente agregam valor para o negócio e permitem uma gestão mais eficaz e eficiente da TI.