Governança TI e Corporativa

Podemos dizer que a Governança de TI faz parte da Governança Corporativa, podendo se ver em organizações com uma Governança Corporativa em grau mais avançado, uma Governança de TI com grande interação com o controle interno e gestão de riscos.

Dependendo do ramo de negócio, existem normas reguladoras às quais este deve se adequar. No Brasil, por exemplo, os bancos devem atender às normas do Banco Central. Na Governança Corporativa, essas regulamentações normalmente são transformadas em objetivos e entidades de controle.

O Instituto Brasileiro de Governança Corporativa (IBGC) nos apresenta o conceito de Governança Corporativa como o sistema pelo qual as sociedades são dirigidas, monitoradas e incentivadas, com um relacionamento entre os envolvidos pela gestão de uma organização.

As práticas de Governança Corporativa convertem princípios em recomendações objetivas, sendo os seus princípios:

• Transparência: obrigação de apresentar os resultados e ações;

• Equidade: tratamento igual para todos;

• Prestação de contas: os agentes envolvidos nas práticas de governança corporativa devem prestar contas e se responsabilizar pelos seus atos e omissões;

• Responsabilidade corporativa: é nela que devemos zelar pela sustentabilidade do negócio incorporando opiniões de ordem social e ambiental.

Devido a necessidade de garantir esses princípios, vemos organizações abrirem mão de modelos de controle interno e gestão de risco. Isso ocorre por vontade própria ou como um reflexo do que requer o ambiente regulatório em que o negócio se encontra.

Nesse contexto surge o principal modelo de estruturação de sistemas de controles internos e de gestão de risco, o The Committee of Sponsoring Organizations of the Treadway Commission (Comitê das Organizações Patrocinadoras - COSO).

O COSO se trata de uma entidade sem fins lucrativos, criada por iniciativa do setor privado e sendo dedicada à melhoria dos relatórios financeiros seguindo os princípios da ética, efetividade dos controles internos e governança corporativa. Em 1992, o COSO publicou um trabalho que se tornou referência para que as organizações estruturem seus sistemas de controle interno, tal trabalho possui o título de Internal Control - Integrated Framework (Controle Interno - Um modelo Integrado).

Com isso o COSO nos apresenta sua ideia de que o controle interno é um processo efetuado por qualquer funcionário, do corpo administrativo ou não, com a finalidade de possibilitar a garantia dos seguintes objetivos:

• Eficiência e eficácia das operações: Uma forma de preservar os ativos e realizar a prevenção e detecção de fraudes e erros.

• Confiabilidade das demonstrações financeiras: Apresentar exatidão, integridade e confiabilidade nos relatórios e registros financeiros e contábeis.

• Conformidade com as leis e regulamentos vigentes: Aderir normas administrativas, políticas da empresa e à legislação vigente a qual a organização está atrelada.

Em 2001, o COSO iniciou um projeto que objetivava determinar um modelo de risco corporativo, apresentando o documento Enterprise Risk Management Framework, no qual amplia o alcance dos controles internos e define processos para o gerenciamento de riscos. Isso nos traz um sistema de controle de riscos e direitos decisórios que criam restrições de operações dos serviços e projetos de TI.

Podemos ver isso de forma mais simples supondo que o sistema de controle de riscos determina que há risco em não haver um método de gerenciamento de projetos de TI, então nesse caso a TI deve implementar esse método de controle interno.

No que se refere ao controle interno, possuímos dois regulamentos bastante fortes, sendo o Sarbanes-Oxley Act e o Acordo da Basileia II. O Sarbanes-Oxley Act atinge empresas de capital aberto e que tenham ações nas bolsas de valores norte-americanas, assim como no Brasil atinge algumas empresas que possuem capital majoritariamente nacional e as subsidiárias de transnacionais. O Acordo da Basileia II, por sua vez, atinge instituições financeiras de forma geral.

Essas duas regulamentações fazem parte do nosso modelo de Governança de TI devido ao seu forte impacto na área, podendo ser necessário que sejam contempladas pelo alinhamento estratégico dependendo da organização.