ISO/IEC 38500: o padrão internacional de governança de TI

O que é ISO 38500 — e o que não é

Confusão comum: confundir ISO 38500 com COBIT ou ITIL. Diferenças fundamentais:

ISO 38500: governança (direção estratégica)

Padrão para o conselho, board, CEO. Responde: "como TI contribui para objetivos corporativos? Quem decide sobre TI? Como monitoramos se TI está entregando valor?" Framework estratégico, não prescritivo. Oferece 6 princípios que devem ser adaptados ao contexto de cada organização.

Público-alvo: Board, CEO, CFO, diretor geral, acionista.

Foco: Alinhamento estratégico, valor, risco corporativo.

COBIT: gestão (operação inteligente)

Framework de gestão de TI para executivos de TI. Responde: "como operamos TI de forma governada, eficiente e alinhada com estratégia?" COBIT é prescritivo — oferece processos, controles, métricas concretas.

Público-alvo: CIO, diretor de operações de TI, gestores de processos.

Foco: Processos operacionais, controles internos, eficiência.

ITIL: serviço (como entregar)

Framework de gestão de serviços de TI. Responde: "como entregamos serviço de TI de qualidade, confiável e alinhado com demanda?" ITIL é tático — como estruturar help desk, incidente, mudança, continuidade.

Público-alvo: Gestores de operações, leads de processos, técnicos sênior.

Foco: Entrega de serviço, qualidade, SLA.

Relação entre os três

Pirâmide: ISO 38500 (topo) define os princípios de governança corporativa de TI. COBIT (meio) operacionaliza ISO 38500 com processos e controles. ITIL (base) implementa processos de COBIT através de gestão de serviços. Todos os três juntos = governança completa de TI.

Os 6 princípios de ISO 38500

ISO 38500 oferece 6 princípios que devem guiar governança de TI em qualquer organização. Não são prescritivos (não dizem "faça isto"), mas sim orienta­dores (indicam direção):

1. Responsabilidade (Responsibility)

Princípio: Cada pessoa envolvida em decisão, implementação ou uso de TI tem responsabilidade clara e acordada.

Prática: Matriz RACI explícita — quem decide (accountable), quem executa (responsible), quem consulta, quem informa. Exemplo: decisão de migração para cloud — CEO é accountable (responde por consequência), CIO é responsible (executa), CFO é consulted (custo), áreas são informed (impacto).

2. Estratégia (Strategy)

Princípio: Estratégia de TI está conectada (e derivada) da estratégia corporativa. Não é TI que define o que é importante; é negócio.

Prática: Plano estratégico de TI derivado de OKRs corporativos. Exemplo: se empresa quer crescer em vendas online, TI prioriza: plataforma de e-commerce, analytics, segurança de pagamento. Não é TI que decide (internamente) focar em "modernizar arquitetura" sem conexão com negócio.

3. Aquisição (Acquisition)

Princípio: Aquisição de TI (compra de ferramenta, contratação de serviço, decisão de build vs. buy) ocorre com rigor — custo, qualidade, risco considerados.

Prática: Processo formal de seleção de fornecedor, avaliação de custo total (TCO), análise de risco. Não é compra impulsiva ("tecnologia X é nova, vamos usar") ou apenas preço mais baixo. Inclui conformidade, suporte, viabilidade de integração.

4. Performance (Performance)

Princípio: TI é medida e monitorada — não apenas quanto custa, mas se entrega valor e opera eficientemente.

Prática: KPIs de TI acompanhados: ROI de projetos, custo por usuário, uptime, satisfação do usuário, alinhamento com estratégia. Dashboard apresentado regularmente a board/CEO. Não é vago ("TI está bom") — é dado.

5. Conformidade (Conformance)

Princípio: TI opera em conformidade com regulamentos, políticas internas e padrões éticos. Risco legal, regulatório e reputacional é gerenciado.

Prática: Conformidade com LGPD, SOX (se aplicável), requisitos setoriais. Controles internos sobre mudança, segurança, acesso. Auditorias internas e externas sobre aderência. Não é apenas "TI sabe das regras" — é comprovado.

6. Comportamento Humano (Human Behaviour)

Princípio: Governança de TI funciona apenas se pessoas entendem seu papel, têm competência e estão motivadas.

Prática: Treinamento de board em TI (literacy), desenvolvimento de CIO/liderança de TI, comunicação clara de decisões. Não é apenas estrutura — é cultura e capacidade. Exemplo: board que não entende TI nunca vai tomar decisão inteligente sobre modernização.

Implementação de ISO 38500: começar simples

ISO 38500 não é "certificação" (diferente de ISO 27001 ou COBIT que oferecem certificação formal). É um padrão que você se "aproxima" — auto-avaliação + auditoria confirmam conformidade.

Passo 1: Avaliar onde você está hoje

Checklist simples dos 6 princípios: (1) Responsabilidades de TI são claras? (2) Estratégia de TI está conectada a estratégia corporativa? (3) Aquisições TI têm processo rigoroso? (4) TI é medida e monitorada? (5) Conformidade com regulamentos é garantida? (6) Board/liderança entende TI? Marque sim/não. Resultado mostra gaps.

Passo 2: Escolher 2–3 princípios para começar

Não implemente todos de uma vez. Comece com: Estratégia (alinhar TI com negócio), Responsabilidade (deixar claro quem decide), Performance (começar a medir). Os outros (aquisição, conformidade, comportamento) vêm depois.

Passo 3: Documentação mínima

Não crie burocracia. Para PME: governance charter de 1 página com responsabilidades. Para média empresa: 5 páginas. Para grande: mais formal, mas sempre focado em prática, não em processo vazio.

Passo 4: Apresentar a board/CEO

Board precisa aprovar (explicitamente) governança de TI. Reunião 1 hora, explicar 6 princípios, apresentar status ("estamos aqui", "vamos para lá"), pedir aprovação. Formaliza o compromisso.

Passo 5: Acompanhamento contínuo

Revisão trimestral ou semestral: estamos aderentes aos princípios? O que melhorou? O que precisa ajuste? Evolução é normal — ISO 38500 não é "implementou e pronto"; é melhoria contínua.

ISO 38500 x COBIT: como usar os dois

Pergunta frequente: "implemento ISO 38500 ou COBIT?" Resposta: use os dois, em camadas diferentes.

Modelo integrado

Nível board/estratégico: ISO 38500 — responsabilidades, alinhamento estratégico, conformidade, performance em nível corporativo.

Nível executivo de TI: COBIT — processos de governança (avaliar capacidade, direcionar melhorias, monitorar efetividade), gestão de riscos, controles internos.

Resultado: Board estabelece direção via ISO 38500 ("TI precisa estar alinhada com negócio e controlada"). CIO operacionaliza via COBIT ("implementar governança através de processos de avaliação, direcionamento, monitoramento").

Matriz de mapeamento

• ISO 38500 Estratégia ? COBIT Estratégia: Alinhamento de plano estratégico TI com corporativo
• ISO 38500 Performance ? COBIT Gestão de Desempenho: Medição e comunicação de KPIs
• ISO 38500 Aquisição ? COBIT Gestão de Fornecedor: Avaliação, contratação, gestão de fornecedor
• ISO 38500 Conformidade ? COBIT Gestão de Riscos e Conformidade: Controles de conformidade, auditoria

ISO 38500 como integrador de risco corporativo

Conceito importante: ISO 38500 não é apenas sobre "TI estar governada". É sobre risco corporativo — TI tem impacto direto nos riscos da empresa.

Exemplos de risco corporativo de TI

• Risco de segurança (vazamento de dados)
• Risco operacional (downtime paralisa negócio)
• Risco regulatório (não conformidade com LGPD, SOX)
• Risco estratégico (TI não habilitando crescimento)
• Risco financeiro (investimento em TI sem retorno)

ISO 38500 diz: board precisa entender esses riscos, TI precisa geri-los, e há processo de monitoramento. Não é responsabilidade exclusiva de TI — é corporativa.