Versão em Português COBIT 4.1 Tradução pelo ISACA - Trainning

Planejar e Organizar
Avaliar e Gerenciar os Riscos de TI
PO9
Diretrizes de Gerenciamento
PO9 Avaliar e Gerenciar os Riscos de TI
Origem
PO1
PO10
DS2
DS4
DS5
ME1
ME4
Entrada
Planejamentos estratégico e tático de TI;
Portfólio de serviços de TI;
Plano de gerenciamento de risco de projetos;
Riscos de fornecedores;
Resultados dos testes de contingência;
Vulnerabilidades e ameaças de segurança;
Histórico de eventos e tendências de riscos;
Grau aceitável corporativo de riscos de TI
Saída
Destino
Avaliação crítica de riscos; PO1 DS4 DS5 DS12 ME4
Relatório de riscos;
ME4
Diretrizes para a gestão de riscos de TI;
PO6
Planos de ação para remediação de riscos de TI PO4 AI6
Tabela Raci
Atividades
CEO
CFO
Executivo de Negócio
CIO
Proprietário do Processo de Negócio
Responsável por Operações
Responsável por Arquitetura
Responsável por Desenvolvimento
Res ponsável pela Adm inistração de TI
PMO
Funções
Promover o alinhamento da gestão de riscos (por exemplo: avaliação de riscos); A R/A C C R/A I I
Entender os objetivos estratégicos de negócio relevantes; C C R/A C C I
Entender os objetivos de processos de negócio relevantes; C C R/A I
Identificar objetivos internos de TI e estabelecer contexto de risco; R/A C C C I
Identificar eventos associados com objetivos [alguns eventos são orientados
Uma tabela RACI identifica quem é responsável (R), responsabilizado (A), consultado (C) e/ou informado
I A/C A R R R R C
ao negócio (negócio é A); alguns são orientados a TI (TI é A, negócio é C)];
Avaliar criticamente os riscos associados com eventos; A/C A R R R R C
Avaliar respostas aos eventos; I I A A/C A R R R R C
Planejar e priorizar as atividades de controle; C C A A R R C C C C
Aprovar e assegurar o financiamento de planos de ações para riscos; A A R I I I I I
Manter e monitorar os planos de ações para riscos A C I R R C C C C C R
Con formidade, auditoria, risco e segurança
Objetivos e Métricas
Objetivos de TI Objetivos de Processos Objetivos das Atividades
Objetivos
· Garantia de que os objetivos de TI sejam atendidos;
· Esclarecimento dos impactos ao negócio devido a
riscos relacionados a objetivos e recursos de TI;
· Cuidar e proteger todos os ativos de TI.
define
· Determinação e redução da probabilidade de
ocorrência e impacto de riscos de TI;
· Determinação de planos de ação com custos
eficientes para riscos críticos de TI.
define
· Garantia de que o gerenciamento de risco
está completamente integrado aos processos
gerenciais;
· Realização frequente de avaliações de risco com
Alta Direção e pessoal chave;
· Recomendação e comunicação de planos de
ação de remediação dos riscos.
medido por
direciona
medido por
direciona
medido por
Métricas
· Percentual de objetivos críticos de TI cobertos por
avaliações de risco;
· Percentual de avaliações críticas de TI integradas a
abordagem de gestão de riscos de TI.
· Percentual de riscos críticos de TI identificados
que tenham sido avaliados criticamente;
· Quantidade de novos riscos críticos de TI identificados
(comparado com o exercício anterior);
· Quantidade de incidentes significativos causados
por riscos não identificados no processo de
gestão de riscos;
· Percentual de riscos críticos de TI identificados
que tenham planos de ação desenvolvidos.
· Percentual do orçamento de TI gasto nas atividades
de gestão de riscos (avaliação crítica e mitigação);
· Frequência de revisão dos processos de gestão
de riscos de TI;
· Percentual de avaliações de riscos críticas
aprovadas;
· Quantidade de relatórios de monitoração de
riscos em um determinado período;
· Percentual de eventos de TI identificados que
são utilizados nas avaliações de risco críticas;
· Percentual dos planos de ação de gestão de risco
aprovados para implementação.
© 2007 IT Governance Institute. Todos os direitos reservados. www.itgi.org 67