Auditoria de TI - mal necessário?
25 de maio de 2011 Emerson Dorow Governança de TI, Qualidade
Era para ser um dia normal, mas o dia começou cinza e todos estão tensos. O chefe chegou extremamente preocupado e logo de manhã reúne a equipe e diz: "Leiam os procedimentos e registrem o que está faltando, pois amanhã temos a auditoria externa. Se perdermos o selo da ISO, cabeças vão rolar!"
Quando falamos em Governança de TI, um dos objetivos de se implementar certificações/auditorias, é a busca de transparência da área de TI perante seus stakeholders (a organização, clientes e principalmente a alta administração). A TI é um ativo estratégico que representa um risco dentro da organização, já que suporta de alguma forma praticamente todos os processos de negócio, e por isso precisa ser mitigado. Alguns regulamentos, como a SOX, aumentam ainda mais esta necessidade de transparência, pois os gestores do negócio são responsabilizados em causa de fraudes e/ou por desobediência a estas leis. Neste contexto, ao contrário do cenário que abordamos no início do post, a auditoria de TI precisa ser encarada como algo que agrega maior valor a TI, e não como algo que serve para revelar as falhas das pessoas e puni-las. Um relato interessante sobre os benefícios de auditorias externas pode ser encontrado no site tiespecialistas.
Nós, profissionais de TI, precisamos nos colocar no lugar de quem está à frente do negócio. Por melhor que seja a equipe de TI, como ter certeza que de fato que a TI está alinhada com a empresa e mitigando os riscos? Nós sabemos na prática aos riscos que estamos sujeitos e o impacto que isto pode causar para o negócio, tanto em imagem quanto financeiro. Alguns exemplos de itens simples que geram grande impacto para o negócio se não forem bem gerenciados: backup, processos de gestão de serviços, segurança da informação, sistemas e etc. Isto para não entrar no mérito das empresas que necessitam de auditoria externa por obrigações legais. Acredito que este exame de conformidade que a auditoria traz, comprova que a TI está no caminho certo, ou então aponta o que está errado e precisa ser corrigido. Vejo que é uma forma do negócio compartilhar de fato as responsabilidades da TI e seus riscos.