Toda empresa tem governança de TI. A diferença é se ela foi escrita ou se ela é apenas o hábito de quem grita mais alto.
Onde não existe uma regra formal sobre quem aprova a compra de um software, alguém aprova mesmo assim — normalmente o diretor com mais influência naquele mês. Onde não existe política de acesso, os acessos são concedidos assim mesmo: por mensagem, “só dessa vez”, e nunca revogados. Onde não existe critério de priorização, as demandas são priorizadas assim mesmo — pela ordem de insistência de quem pediu.
Governança de TI não é sobre criar controle onde não havia. É sobre tornar visível e intencional um controle que já existe de forma informal, invisível e, quase sempre, injusta.
Este texto é um mapa para quem está entrando na área: o que a disciplina realmente é, o que estudar, como é o dia a dia de verdade, o que cai em entrevista e o que esperar do ambiente corporativo.
Se você guardar uma única ideia deste artigo, guarde esta. É também, com folga, a pergunta mais frequente em entrevistas da área.
Governança decide. Gestão executa.
| Governança | Gestão | |
|---|---|---|
| Pergunta central | Estamos fazendo as coisas certas? | Estamos fazendo do jeito certo? |
| Quem exerce | Conselho, alta direção, comitês | Gerentes, coordenadores, times |
| Ciclo (COBIT) | EDM — Evaluate, Direct, Monitor | PBRM — Plan, Build, Run, Monitor |
| Horizonte | Estratégico e plurianual | Tático e operacional |
| Produto do trabalho | Direção, política, alçada, decisão de investimento | Entrega, projeto, chamado, serviço no ar |
| Analogia | O conselho define o destino do navio | O comandante conduz o navio até lá |
Um exemplo prático da diferença: decidir que a empresa vai migrar para nuvem, com qual apetite de risco e qual teto de investimento, é governança. Executar a migração dentro do prazo e do orçamento é gestão. São duas pessoas diferentes, em duas reuniões diferentes, respondendo a duas perguntas diferentes.
Corolário importante: governança de TI não é uma disciplina de TI. É um braço da governança corporativa. Ela existe porque a tecnologia virou risco de negócio — e risco de negócio é assunto de conselho, não de sala de servidores.
Todo framework de governança, no fundo, persegue as mesmas três coisas:
Quando alguém perguntar “para que serve governança de TI?”, essa é a resposta de três linhas.
O maior erro do iniciante é tentar decorar uma sopa de siglas em ordem alfabética. O caminho melhor é entender qual pergunta cada framework responde.
| Framework | Para que serve |
|---|---|
| COBIT 2019 | O framework de governança por excelência. Traz 40 objetivos distribuídos em 5 domínios, separa explicitamente governança (EDM) de gestão (APO, BAI, DSS, MEA) e usa design factors para adaptar ao contexto da empresa |
| ISO/IEC 38500 | A norma internacional de governança corporativa de TI. Curta, principiológica, boa para entender o “porquê” |
| NIST CSF 2.0 | Framework de cibersegurança que, na versão 2, ganhou a função Govern ao lado de Identify, Protect, Detect, Respond e Recover |
| Framework | Para que serve |
|---|---|
| [[ITIL 4]] | O vocabulário do dia a dia: incidente, problema, mudança, requisição, catálogo de serviços, SLA. É a porta de entrada mais acessível da área |
| ISO/IEC 20000 | A norma certificável de gestão de serviços de TI |
| Norma | Para que serve |
|---|---|
| ISO/IEC 27001 | Sistema de Gestão de Segurança da Informação (SGSI) — a norma certificável |
| ISO/IEC 27002 | O catálogo de controles que dá corpo à 27001 |
| LGPD | Lei 13.709/2018. Obrigatória no Brasil. Define bases legais, direitos do titular e o papel do encarregado (DPO) |
| GDPR | O equivalente europeu. Relevante se a empresa trata dados de residentes na União Europeia |
PMBOK/PMI e PRINCE2 cuidam da governança de projetos; a ponte com análise de negócio está em [[Entendendo o BABOK v3]], e a discussão sobre cadência e entrega em [[Fundamentos Ágeis]]. Vale saber que governança e agilidade não são opostos — o que muda é a frequência e o formato do controle, não a existência dele.
Este é o bloco que separa um candidato genérico de um candidato preparado para o mercado local:
A regra que vale para todos eles: ninguém implanta um framework inteiro. O COBIT chama isso de tailoring; o ITIL, de “adotar e adaptar”. Uma empresa de 80 pessoas que tentar implantar os 40 objetivos do COBIT vai produzir papel, não governança.
Aqui a teoria encontra a mesa de trabalho. Estes são os documentos e mecanismos que você vai ler, escrever, revisar e cobrar.
Confundir estes quatro níveis é o erro mais comum de quem está começando:
| Nível | O que é | Exemplo |
|---|---|---|
| Política | O “o quê” e o “por quê”. Curta, estável, aprovada pela alta direção | “Todo acesso a sistemas corporativos é concedido pelo princípio do menor privilégio” |
| Norma | O “quanto” e o “quando”. Define parâmetros mensuráveis | “Senhas devem ter no mínimo 12 caracteres e ser trocadas a cada 180 dias” |
| Procedimento | O “como”. Passo a passo do processo | “Fluxo de solicitação de acesso: abertura de chamado, aprovação do gestor, provisionamento” |
| Instrução de trabalho | O “como”, na tela | “Como criar um usuário no Active Directory” |
Política que desce ao nível de configuração de tela envelhece em três meses. Procedimento que não se ancora numa política não tem autoridade para ser cobrado.
Comitê sem pauta preparada, sem ata e sem acompanhamento da deliberação anterior é reunião, não comitê.
Define, para cada atividade, quem é Responsável pela execução, quem Aprova (e só pode haver um), quem é Consultado antes e quem é Informado depois. É a ferramenta que resolve a frase mais cara do mundo corporativo: “achei que era você quem ia fazer”.
A cadeia importa: prometer 99,9% ao negócio quando o contrato do datacenter garante 99% é assumir um risco que não se pode cumprir.
O ciclo é sempre o mesmo: identificar, analisar, avaliar, tratar e monitorar. As quatro respostas possíveis a um risco:
| Resposta | Quando usar |
|---|---|
| Mitigar | Reduzir probabilidade ou impacto com um controle |
| Transferir | Passar o impacto financeiro adiante (seguro, contrato, terceirização) |
| Evitar | Não fazer a atividade que gera o risco |
| Aceitar | Conviver com ele — desde que formalmente, por quem tem alçada |
Para priorizar o que tratar primeiro, a [[Matriz GUT]] (Gravidade, Urgência, Tendência) funciona bem como apoio quando ainda não existe uma matriz de risco formal implantada.
Três conceitos que caem em prova e em entrevista:
RTO e RPO caem em entrevista com frequência quase garantida. A forma mais fácil de nunca mais confundir: RTO é tempo de volta ao ar; RPO é tempo de dado perdido. Um backup diário à meia-noite implica um RPO de até 24 horas, não importa quão rápida seja a restauração.
O CMDB é a base que registra os itens de configuração e suas relações. É a peça que permite responder “se esse servidor cair, quais serviços de negócio param?” — pergunta impossível de responder sem ela. Vale ver [[CMDB]] e [[CMDB - Terminology]] para o vocabulário.
| Conceito | Significado |
|---|---|
| CAPEX | Investimento em ativo, depreciado ao longo do tempo |
| OPEX | Despesa operacional recorrente — o modelo típico da nuvem |
| TCO | Custo total de propriedade, incluindo operação, licença, suporte e descomissionamento |
| Business case | O documento que justifica o investimento com benefício esperado |
| Chargeback / showback | Cobrar (ou apenas mostrar) às áreas de negócio o custo de TI que elas consomem |
KPI mede desempenho (disponibilidade, tempo médio de atendimento, aderência a prazo). KRI mede exposição a risco (número de acessos privilegiados sem revisão, tempo médio de aplicação de correções críticas).
A regra de ouro dos indicadores: um indicador que não muda nenhuma decisão é apenas trabalho. Antes de criar um, responda: quem vai olhar, com que frequência, e o que essa pessoa fará se o número piorar?
Esta é a parte que quase nenhum material de estudo conta, e é onde a expectativa do iniciante costuma se quebrar.
Você não vai configurar o firewall. Você vai garantir que exista registro de quem configurou, com qual aprovação, sob qual justificativa e com qual data de revisão. Cerca de 80% do tempo é conversa, documentação, evidência e acompanhamento; os outros 20% são análise técnica.
Para quem vem da operação, essa mudança é desconfortável no começo — a sensação de “não estar produzindo nada” é comum nos primeiros meses. O produto do seu trabalho é menos visível, mas aparece quando a auditoria passa sem apontamento, quando um incidente é contido porque o acesso já estava segregado, ou quando um projeto caro é barrado antes de começar porque o business case não se sustentava.
Governança pede documento, cobra prazo, barra exceção e faz perguntas incômodas em reunião. Isso gera atrito por definição — não por falha sua.
O que separa quem prospera de quem se queima na área não é o domínio das normas: é a capacidade de negociar. A postura que funciona é a de parceiro, não a de fiscal. Em vez de “isso viola a política”, o que abre porta é “entendi a urgência; o caminho formal leva dois dias, e existe um procedimento de exceção emergencial — vamos por ele e registramos o risco?”.
Governança tem um ritmo próprio, e entender esse ritmo ajuda muito a se organizar:
| Ritmo | Atividades típicas |
|---|---|
| Diário / semanal | Análise de mudanças (CAB), tratamento de exceções, apoio a demandas de auditoria, triagem de solicitações de acesso |
| Mensal | Comitê de TI, fechamento e publicação de indicadores, acompanhamento de planos de ação, revisão de incidentes relevantes |
| Trimestral | Revisão da matriz de riscos, recertificação de acessos, avaliação de desempenho de fornecedores |
| Anual | Auditoria externa, revisão do corpo normativo, ciclo orçamentário, teste do plano de recuperação de desastres, revisão do plano diretor de TI |
Governança é uma função-ponte. Suas contrapartes constantes serão auditoria interna, compliance, jurídico e o encarregado de dados (DPO), segurança da informação, financeiro (para orçamento e contratos), suprimentos (para fornecedores) e, o tempo todo, as áreas de negócio.
Isso significa que vocabulário de negócio vale tanto quanto vocabulário técnico. Saber traduzir “latência do banco de dados” em “o faturamento atrasa quatro horas e a equipe fiscal faz hora extra” é a habilidade mais valiosa da função.
Não vale a pena estudar ferramenta antes do conceito. Ferramenta se aprende em duas semanas; critério, não.
As perguntas abaixo cobrem a maior parte do que se pergunta a candidatos iniciantes e plenos. Mais importante do que a resposta certa é entender o que o entrevistador está testando.
| Pergunta | O que está sendo avaliado |
|---|---|
| Qual a diferença entre governança e gestão de TI? | A pergunta eliminatória. Responda com o par “decide × executa” e cite EDM × PBRM |
| O que é o COBIT e quando você o usaria? | Se você conhece o framework ou apenas a sigla |
| Diferença entre política, norma e procedimento | Maturidade documental |
| O que é segregação de funções e por que importa? | Noção de controle interno e prevenção a fraude |
| Explique RTO e RPO | Fundamento de continuidade |
| Como você mediria se a TI está entregando valor? | Se você pensa em negócio ou só em disponibilidade |
| O que é um ITGC? | Preparo para ambiente auditado (SOX) |
| Como priorizar demandas com orçamento limitado? | Raciocínio de portfólio: valor, risco, custo e capacidade |
“Um diretor pede uma exceção à política de acesso, com urgência, para fechar o mês. O que você faz?”
Essa pergunta não testa conhecimento — testa postura. A resposta fraca é “eu nego, a política é clara”. A resposta igualmente fraca é “eu libero, ele é diretor”.
A resposta forte reconhece que governança não é obstrução e que exceção é um instituto legítimo, desde que formal: entender a real necessidade, verificar se existe um caminho dentro da política e, se não existir, acionar o procedimento de exceção — com registro do risco, aceite formal de quem tem alçada para aceitá-lo, escopo mínimo necessário e prazo de reversão definido. Depois, levar o caso ao comitê: se a exceção se repete todo mês, o problema não é o pedido, é a política, que precisa ser revista.
Use o método STAR — Situação, Tarefa, Ação, Resultado — e tenha três histórias prontas: uma sobre conflito com uma área de negócio, uma sobre um erro seu e o que aprendeu com ele, e uma sobre uma melhoria que você propôs por conta própria. Vale revisar [[Perguntas e Respostas - Job Interview]] e [[Skills - Analista de TI]].
Perguntar bem sinaliza senioridade. Três boas opções: Qual o nível de maturidade atual da governança aqui?; A área responde à TI, ao compliance ou diretamente à diretoria?; Existe patrocínio da alta direção ou a governança ainda está sendo construída de baixo para cima? — a resposta a esta última diz mais sobre o seu futuro cotidiano do que qualquer descrição de vaga.
A ordem importa. Esta é uma escada, não uma lista de compras:
| Etapa | Certificação | Por quê |
|---|---|---|
| 1 | ITIL 4 Foundation | Porta de entrada mais acessível e a mais citada em vagas de nível júnior. Dá o vocabulário do dia a dia |
| 2 | COBIT 2019 Foundation | O salto para governança de fato. Consolida a distinção governança × gestão |
| 3 | ISO/IEC 27001 Foundation | Segurança da informação é hoje a maior fatia da agenda de governança |
| 4 | Especialização | CISA (auditoria de sistemas), CRISC (risco), CGEIT (governança sênior), PMP/CAPM (projetos) |
Além das certificações, três hábitos rendem mais do que parecem: ler as normas na fonte (a ISO/IEC 38500 tem poucas páginas), acompanhar acórdãos do TCU sobre contratações de TI (didáticos e gratuitos, mesmo para quem não visa o setor público) e ler relatórios de auditoria reais quando houver acesso a eles — nada ensina mais rápido do que ver um apontamento bem escrito.
Nenhum controle sobrevive sem propósito. Antes de criar qualquer regra, política ou indicador, aplique as sete perguntas do [[5W2H]] — especialmente o porquê. Governança que não sabe responder por que existe vira exatamente aquilo que seus críticos dizem que ela é.
Renée Maksoud - agosto de 2026