Duas das metas organizacionais (Enterprise Goals) mais relevantes na auditoria de sistemas são a EG03, Conformidade com Leis e Regulamentos Externos (Compliance with external laws and regulations), e a EG11, Conformidade com as Políticas Internas (Compliance with internal policies). Dos objetivos de governança e gerenciamento (Governance and Management Objectives) a seguir, assinale o que auxilia diretamente na realização de uma destas metas.
- A)Objetivo de Governança EDM04 (Ensured Resource Optimization), por exemplo, na forma da métrica "Níveis de Satisfação da Diretoria Executiva com as Capacidades dos Processos do Negócio."
Errada: otimização de recursos é importante, mas não é um objetivo diretamente ligado à conformidade com leis ou políticas internas.
- B)Objetivo de Gestão APO07 (Managed Human Resources), por exemplo, na forma da métrica "Produtividade da Força de Trabalho em Relação à Referência"
Errada: gestão de recursos humanos trata de capacitação e produtividade, sem vínculo direto com o cumprimento de políticas internas.
- C)Objetivo de Gestão APO01 (Managed I&T Management Framework), por exemplo, na forma da métrica "Percentual das Partes Interessadas que Conhece as Políticas"
Certa: o APO01 estrutura o framework de gestão de TI e a métrica sobre conhecimento das políticas ajuda diretamente a promover conformidade interna.
- D)Objetivo de Governança EDM03 (Ensured Risk Optimization), por exemplo, na forma da métrica "Frequência de Atualização do Perfil de Risco da Organização"
Errada: otimização de riscos contribui de forma indireta para controle, mas não é o objetivo mais diretamente associado à conformidade com políticas.
- E)Objetivo de Gestão APO04 (Managed Innovation), por exemplo, na forma da métrica "Percentual de Políticas Apoiadas por Práticas de Trabalho"
Errada: inovação pode gerar melhorias, mas não é um objetivo voltado diretamente ao atendimento de regras e políticas internas.
Gabarito: C
No COBIT 2019, as metas organizacionais da empresa (Enterprise Goals) servem para mostrar o que a organização quer alcançar no nível mais alto, e depois os objetivos de governança e gestão ajudam a transformar isso em prática. Quando a meta é conformidade, o raciocínio é bem simples: não basta existir política no papel, voce precisa de mecanismos para divulgar, aplicar e acompanhar essas regras no dia a dia. A EG03 trata de conformidade com leis e regulamentos externos, enquanto a EG11 trata de conformidade com políticas internas. Então, a alternativa correta precisa apontar para um objetivo que fortaleça a estrutura de gestão e a adesão às políticas. É exatamente isso que faz o APO01, Managed I&T Management Framework: ele organiza o framework de gestão de TI, incluindo políticas, papéis, responsabilidades e comunicação. A métrica citada na alternativa C, "Percentual das Partes Interessadas que Conhece as Políticas", é bem alinhada com essa lógica. Se as partes interessadas conhecem as políticas, aumenta a chance de cumprimento das regras internas. Em auditoria, isso é música para os ouvidos do auditor: política conhecida tende a ser política seguida, ou pelo menos auditável. As demais alternativas falam de recursos, pessoas, risco ou inovação, temas importantes, mas sem ligação direta e imediata com conformidade. Por isso, o gabarito é a letra C: ela é a que melhor auxilia diretamente a realização da meta de conformidade com políticas internas.