Poucos frameworks geram tanta resistência inicial quanto o COBIT, associado por muitos profissionais técnicos a auditorias burocráticas e documentação excessiva, distante da realidade operacional do dia a dia. Rolando Bonaccorsi, engenheiro de computação com MBA executivo, defende uma leitura diferente: bem aplicado, o framework funciona menos como camisa de força e mais como tradutor entre a linguagem técnica de operações e a linguagem de risco que conselhos e diretorias precisam entender.
Desenvolvido pela ISACA, o COBIT organiza a governança de TI em torno de objetivos de controle que conectam diretamente práticas operacionais a riscos de negócio, oferecendo uma estrutura que permite a uma diretoria não técnica avaliar se a área de tecnologia está gerenciando riscos de forma adequada, sem precisar mergulhar em detalhes de implementação técnica.
O problema de falar de risco técnico sem tradução para negócio
Um relatório técnico detalhado sobre vulnerabilidades de segurança ou débito técnico acumulado raramente comunica, por si só, o risco real que essas questões representam para o negócio. Conselhos e diretorias precisam entender o impacto financeiro, reputacional e regulatório, não apenas a complexidade técnica de um problema específico de infraestrutura.
Sob a visão de Rolando Bonaccorsi, essa é justamente a lacuna que frameworks como o COBIT ajudam a preencher, oferecendo uma estrutura de objetivos de controle que conecta diretamente decisões técnicas a categorias de risco que fazem sentido para quem toma decisões estratégicas, sem exigir que essas pessoas dominem detalhes de arquitetura de sistemas.
Auditoria como ferramenta de melhoria, não apenas de conformidade
Muitas empresas tratam auditorias de TI como evento pontual e desconfortável, conduzido apenas para satisfazer exigências regulatórias externas, sem aproveitar o processo como oportunidade genuína de identificar melhorias estruturais na operação. Essa postura defensiva reduz drasticamente o valor que uma auditoria bem conduzida poderia gerar para a própria organização.
Sendo especialista em gestão de operações de TI e excelência em serviços, Rolando Bonaccorsi nota que empresas de alta maturidade tratam achados de auditoria como insumo valioso para priorização de investimentos em governança, e não apenas como lista de pendências a serem resolvidas o mais rápido possível para encerrar um processo burocrático incômodo.
Adaptando o framework à realidade de cada organização
Aplicar integralmente todos os objetivos de controle previstos pelo COBIT, sem qualquer priorização, costuma sobrecarregar empresas de porte médio com processos desproporcionais ao seu risco real, gerando burocracia sem retorno equivalente em redução efetiva de risco operacional.
No entendimento de Rolando Bonaccorsi, a aplicação inteligente do framework começa por identificar quais objetivos de controle realmente importam para o perfil de risco específico daquela organização, adaptando o nível de rigor conforme a criticidade de cada processo, em vez de aplicar uniformemente o mesmo padrão de controle a operações com níveis de risco completamente diferentes.
Governança de TI como vantagem em processos de fusão e aquisição
Empresas que passam por processos de due diligence, seja para captação de investimento ou fusão com outra companhia, frequentemente descobrem que a maturidade de sua governança de TI influencia diretamente a percepção de risco por parte de investidores e potenciais compradores, algo raramente antecipado por lideranças técnicas focadas apenas na operação do dia a dia.
Rolando Bonaccorsi resume o valor estratégico dessa maturidade ao considerar que documentação organizada, controles rastreáveis e processos auditáveis não servem apenas para evitar problemas regulatórios, mas se tornam ativo tangível durante negociações que dependem diretamente da confiança que investidores depositam na solidez operacional de uma empresa.
Frameworks de governança, como o COBIT, não deveriam ser vistos como imposição externa desconectada da realidade técnica, mas como ferramenta de tradução entre dois mundos que, com frequência, falam linguagens diferentes dentro da mesma organização. Quando bem aplicado, o framework aproxima decisões técnicas de decisões estratégicas, em vez de mantê-las isoladas em silos que raramente se comunicam com clareza.
Empresas que investem em traduzir risco técnico para linguagem de negócio constroem, com o tempo, relações de confiança mais sólidas entre tecnologia e liderança executiva, o que facilita tanto a aprovação de investimentos necessários em segurança e infraestrutura quanto a capacidade de responder com solidez a qualquer avaliação externa de risco operacional.
