Versão em Português COBIT 4.1 Tradução pelo ISACA - Trainning

ME3
Monitorar e Avaliar
Assegurar a Conformidade com Requisitos Externos
Modelo de Maturidade
ME3 Assegurar a Conformidade com Requisitos Externos
O gerenciamento do processo de “assegurar a conformidade com requisitos externos” que satisfaça ao requisito do negócio para
a TI de “estar em conformidade com leis, regulamentações e requisitos contratuais” é:
0 Inexistente quando
Há pouca consciência sobre requisitos externos que afetam a TI, sem que haja processo de conformidade com os requisitos contratuais,
legais e regulatórios.
1 Inicial/ Ad hoc quando
Há consciência do impacto dos requisitos legais, regulatórios e contratuais na organização. Processos informais são adotados
para manter a conformidade, porém somente quando surge a necessidade em novos projetos ou em resposta às auditorias ou
análises críticas.
2 Repetível, porém Intuitivo quando
Há entendimento da necessidade de aderir aos requisitos externos e isso é comunicado. Onde a conformidade tornou-se um requisito
recorrente, como no caso de regulamentações financeiras ou leis de privacidade, foram desenvolvidos procedimentos específicos
de conformidade que são seguidos anualmente. Entretanto, não há uma abordagem padronizada. Existe grande confiança
no conhecimento e na responsabilidade das pessoas, e existe a probabilidade de erros. Há treinamento informal sobre requisitos
externos e aspectos de conformidade.
3 Processo Definido quando
Políticas, procedimentos e processos foram desenvolvidos, documentados e comunicados para assegurar a conformidade com as
obrigações legais, contratuais e regulatórias, porém nem sempre podem ser cumpridos integralmente e podem estar desatualizados
ou ser inviáveis. Há pouco monitoramento, e existem requisitos de conformidades que não foram tratados. É fornecido treinamento
sobre os requisitos legais e regulatórios externos que afetam a organização e os processos de conformidade definidos. Existem
contratos pro forma e processos de cunho legal padronizados que visam minimizar os riscos associados às responsabilidades
contratuais.
4 Gerenciado e Mensurável quando
Há um completo entendimento das questões e exposições provenientes dos requisitos externos e da necessidade de assegurar a
conformidade em todos os níveis. Há um esquema de treinamento formal que assegura que toda a equipe esteja consciente de
suas obrigações de conformidade. As responsabilidades são claras e a propriedade dos processos é entendida. O processo inclui a
revisão do ambiente para identificar requisitos externos e mudanças constantes. Há um mecanismo implementado para monitorar a
não-conformidade com os requisitos externos, reforçar as práticas internas e implementar ações corretivas. Problemas de não-conformidade
são analisados em sua causa-raiz de uma forma padronizada, com o objetivo de identificar soluções sustentáveis. Boas
práticas internas e padronizadas são utilizadas para suprir necessidades específicas, como regulamentações vigentes e contratos de
serviço recorrentes.
5 Otimizado quando
Há um processo bem organizado, eficaz e obrigatório de adesão aos requisitos externos com base em uma função central única que
fornece orientação e coordenação para a organização inteira. Há vasto conhecimento dos requisitos externos aplicáveis, inclusive
de tendências futuras e mudanças previstas, assim como da necessidade de novas soluções. A organização participa de fóruns
de discussão externos com grupos ligados ao segmento e sujeitos às respectivas regulamentações para entender a influência dos
requisitos externos que os afetam. Melhores práticas foram desenvolvidas, assegurando a conformidade eficaz com os requisitos
externos, com casos raros de exceção. Existe um sistema de rastreabilidade central e global na organização, permitindo à direção
documentar o fluxo de trabalho, avaliar e melhorar a qualidade e a eficácia do processo de monitoramento da conformidade. Um
processo de autoavaliação da conformidade com os requisitos externos está implementado e foi refinado no nível de boas práticas.
O estilo de gestão e a cultura de conformidade da organização são suficientemente fortes, e os processos são suficientemente
desenvolvidos para que o treinamento seja limitado a novas equipes e sempre que houver mudanças significativas.
166
© 2007 IT Governance Institute. Todos os direitos reservados. www.itgi.org