Governança de TI na prática: ITIL 4 e COBIT 2019 sem burocracia para empresas médias

Governança de TI é definir quem decide sobre tecnologia, com que critério e com qual evidência. Não é papelada. Em uma empresa média, ela cabe em sete elementos — e ITIL 4 e COBIT 2019 ajudam sem virar burocracia.

Resumo rápido

• A diferença entre governar (direcionar, avaliar, monitorar — COBIT 2019) e gerenciar (executar o serviço — ITIL 4).
• Os sete elementos do mínimo viável de governança para empresas de 20 a 300 usuários.
• Seis práticas do ITIL 4 e uma tabela com ITIL 4, COBIT 2019, ISO/IEC 20000, ISO/IEC 27001 e NIST CSF 2.0.
• Por que chamado por WhatsApp destrói a governança.

A cena que se repete na média empresa

Segunda-feira, 9h. O diretor comercial pede acesso a uma pasta pelo celular do analista. O financeiro liga dizendo que o sistema está lento. Um vendedor instalou um aplicativo e o antivírus reclama.

Às 11h alguém aprova por telefone uma alteração no firewall. Ninguém anota. À tarde o ERP para e a equipe passa duas horas tentando lembrar o que mudou de manhã.

No fim do mês o dono pergunta quanto se gastou e o que melhorou. Não há resposta com número, só a sensação de que “apagamos muito incêndio”. Isso não é falta de gente boa. É falta de governança.

O custo de não ter governança

Governança não aparece na fatura. Aparece no retrabalho, na parada sem explicação e na compra duplicada. Faça as contas com os seus números.

Sintoma	Conta que você faz
Sistema crítico parado sem causa registrada	Faturamento mensal ÷ horas úteis = custo da hora parada, × paradas do trimestre.
Chamado espalhado em WhatsApp e corredor	Pedidos/dia × minutos reconstituindo contexto × dias úteis = horas perdidas no mês.
Licenças e assinaturas sem dono	Total pago em software ÷ usuários ativos de verdade.
Mudança sem aprovação e sem plano de volta	Horas para reverter no escuro × custo/hora + a hora parada acima.
Risco de vazamento sem registro nem tratativa	A LGPD (Lei 13.709/2018), art. 52, prevê multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

Nada disso é estatística de mercado. São contas suas — e costumam assustar mais que o orçamento de TI.

Por que a governança não acontece

Confusão com burocracia. O gestor já viu manual de trezentas páginas que ninguém leu. Mas governança é decisão documentada, não documento decorativo.

Ausência de dono. Quando a TI responde a todo mundo, ninguém decide. Cada pedido vira negociação e quem grita mais alto é atendido primeiro.

Urgência permanente. Equipe que apaga incêndio o dia inteiro não organiza nada. Sem organização, o incêndio volta.

Governar e gerenciar não são a mesma coisa

Governar é o que a direção faz: avaliar opções, direcionar a escolha e monitorar o resultado. Migrar ou não para nuvem, quanto investir, qual risco aceitar. O COBIT 2019 é a referência — ele separa governança de gestão.

Gerenciar é o que a TI faz: operar e sustentar o serviço. Atender chamado, atualizar, restaurar backup, controlar mudança. Aqui a referência é o ITIL 4.

A regra: se a decisão envolve dinheiro, risco aceito ou prioridade do negócio, é governança e não se delega ao técnico. Se envolve execução, é gestão e não sobe para a diretoria.

O mínimo viável de governança: sete elementos

Empresa média não precisa de programa completo. Precisa destes sete elementos, nesta ordem.

1. Dono e orçamento definidos

Uma pessoa nomeada responde por tecnologia perante a diretoria — não “todo mundo um pouco”. E um orçamento anual separado: sem ele, toda compra vira exceção e toda exceção vira discussão.

2. Catálogo de serviços e SLA acordado

Escreva o que a TI entrega: e-mail, ERP, rede, impressão, acesso remoto, atendimento. Para cada item, horário de cobertura e prazo por prioridade. SLA (acordo de nível de serviço) é compromisso combinado com o negócio, não promessa da TI.

3. Todo chamado registrado em ferramenta

Canal único e oficial, com número, categoria, responsável e data. Sem registro não há indicador, histórico nem prova. É o retorno mais rápido — veja o que muda com um service desk profissional.

4. Gestão de mudanças simples

Não precisa de comitê semanal. Precisa de três respostas registradas antes de cada alteração relevante: o que muda, quem aprova e como se volta atrás. Mudança sem plano de retorno é aposta. Separe rotina de crítico: firewall, servidor, banco e ERP.

5. Gestão de ativos e licenças

Inventário vivo: o que existe, com quem está, quando vence garantia e assinatura. Sem isso a empresa paga licença de quem já saiu e descobre o equipamento fora de garantia quando ele quebra.

6. Gestão de riscos com registro vivo

Lista dos riscos conhecidos: o que pode dar errado, impacto, probabilidade, dono e ação. Backup não testado, senha compartilhada, fornecedor único. Revisão trimestral. Risco aceito fica registrado com o nome de quem aceitou.

7. Indicadores revisados em reunião mensal

Uma hora por mês, dono da TI e diretoria. Poucos números: chamados, SLA, principais causas, disponibilidade, gasto contra orçamento, riscos abertos. Não é auditar a equipe, é transformar percepção em fato — melhor ainda com monitoramento de infraestrutura.

O erro clássico é adotar tudo de uma vez. Política, matriz de risco, catálogo de quarenta serviços e fluxo com cinco aprovadores em dois meses: ninguém segue, e vem a conclusão errada de que governança não funciona. Comece pelos elementos 1, 2 e 3, rode um trimestre e só então avance. Processo que a equipe não cumpre ensina o time a ignorar processo.

As práticas do ITIL 4 que resolvem o dia a dia

Prática ITIL 4	O que resolve
Central de serviços	Ponto único de contato. Acaba com o pedido paralelo.
Gerenciamento de incidentes	Restaura o serviço no menor tempo possível.
Gerenciamento de problemas	Ataca a causa do que se repete. É o que faz o volume cair.
Gerenciamento de mudanças	Reduz falha por alteração: aprovação, janela e volta atrás.
Gerenciamento de nível de serviço	Transforma “está demorando” em prazo acordado.
Gerenciamento de ativos de TI	Inventário confiável de equipamentos e licenças.

Incidente é a impressora parada agora. Problema é a impressora que para toda semana. Quem só trata incidente apaga o mesmo incêndio para sempre.

Qual framework serve para quê

Framework	Para que serve	Quando adotar
ITIL 4	Práticas de gerenciamento de serviços de TI.	Desde já, por quem tem usuários para atender.
COBIT 2019	Governança de TI; separa decisão de execução.	Quando a TI já opera com processo e a diretoria precisa direcionar investimento.
ISO/IEC 20000	Norma certificável de gestão de serviços.	Quando cliente ou edital exigem certificação do serviço.
ISO/IEC 27001:2022	Segurança da informação, com o Anexo A de controles.	Quando há dado sensível ou auditoria de cliente.
NIST CSF 2.0	Cibersegurança por funções; bom mapa de maturidade.	Quando o objetivo é priorizar segurança sem certificar.

Nenhum é obrigatório. Todos são referência. Adote o que resolve o problema de agora e ignore o resto, inclusive dentro do mesmo framework.

Por que o WhatsApp destrói a governança

• Não existe fila: quem manda por último pode ser atendido primeiro.
• Não existe prioridade: o pedido do diretor e a impressora do estoque chegam iguais.
• Não existe histórico: o conhecimento fica no celular de uma pessoa e sai com ela.
• Não existe indicador: sem registro estruturado não há SLA nem causa recorrente.
• Não existe rastro de aprovação: acesso concedido por mensagem vira problema de auditoria e de LGPD.

A solução não é proibir o WhatsApp, é usá-lo só como porta de entrada que gera um chamado. Portal, e-mail integrado, categorias e inventário resolvem — é o papel do GLPI como service desk e inventário. A regra vira simples: o que não tem número de chamado não existe.

Checklist de autoavaliação

• Não há pessoa nomeada como responsável final pela TI.
• A TI não tem orçamento anual separado.
• Chamados chegam por WhatsApp, ligação ou corredor.
• Ninguém sabe quantos chamados a TI atendeu no mês passado.
• Não há prazo acordado de atendimento por prioridade.
• Mudanças em servidor, firewall ou ERP ocorrem sem registro de aprovação.
• Não existe inventário atualizado de equipamentos e licenças.
• Os riscos de TI não estão escritos em lugar nenhum.
• Não há reunião mensal de TI com a diretoria.

Régua: até 2 itens, a governança está razoável. De 3 a 5, a TI depende de pessoas e não de processo. Acima de 5, a empresa não governa a TI: reage a ela.

Quando chamar uma consultoria — e quando não chamar

Faz sentido chamar quando:

• a empresa cresceu e a TI continua do tamanho de cinco anos atrás;
• a diretoria pede números de TI e ninguém consegue apresentar;
• cliente, edital ou matriz passaram a exigir controles formais;
• o time interno sabe o que fazer, mas não tem folga;
• houve incidente sério e ninguém explicou a causa.

Não vale a pena quando:

• há poucos usuários, sistema único e nenhuma dor recorrente;
• o problema é uma compra pontual;
• a diretoria quer apenas um relatório para arquivar;
• o básico não foi feito: backup testado, senhas e atualizações vêm antes de qualquer framework.

Perguntas frequentes

Tenho 40 funcionários. Isso não é coisa de empresa grande?

O tamanho muda a dose, não a necessidade. Com 40 pessoas, governança cabe em uma página de catálogo, uma ferramenta de chamado e uma reunião mensal. O que não escala é a informalidade: quanto menor o time, mais caro sai depender da memória de um só.

Preciso certificar a empresa em ISO?

Não. Certificação é decisão comercial, puxada por exigência de cliente, edital ou matriz. Governança é decisão de gestão e funciona sem selo. Use ITIL 4 e COBIT 2019 como referência e deixe a certificação para quando houver motivo de negócio.

Já tenho TI interna. A consultoria vai passar por cima do meu time?

O objetivo é o contrário. Em geral o time interno já sabe o que está errado e não tem tempo nem respaldo para mudar. O diagnóstico dá munição documentada para levar à diretoria. Quem executa continua sendo o time.

Quanto custa implantar governança de TI?

Depende do tamanho da empresa, dos sistemas críticos e do que já existe pronto. Boa parte dos sete elementos é organização, não compra: nomear dono, escrever catálogo e marcar reunião custam tempo. O diagnóstico dimensiona isso antes de qualquer proposta.

Por onde começo se só puder fazer uma coisa este mês?

Registre todo chamado em ferramenta. É o melhor retorno por esforço: em trinta dias você tem volume, tipo de problema, tempo de atendimento e reincidência. Com esse dado, as demais decisões deixam de ser achismo.

---

Governança é o que separa TI de bombeiro

Uma TI sem governança pode ser competente, mas será sempre reativa: atende quem grita, muda sem registro e termina o mês sem mostrar valor. Uma TI governada decide com critério e prova o que fez.

São sete elementos, uma reunião por mês e disciplina para não adotar tudo de uma vez. Se a estrutura ficou para trás, responda as 8 perguntas sobre TI e crescimento e estruture com apoio de consultoria em tecnologia.