Maturidade ISO 38500 · Governança de tecnologia da informação
Sua governança de TI, medida pela ISO 38500 e traduzida em roteiro.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO 38500 · Governança de tecnologia da informação
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO/IEC 38500:2024 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma um diagnóstico em trajetória.
As decisões de investimento em TI são tomadas com base em critérios explícitos e comparáveis?
- N1
Nenhum critério compartilhado. As decisões são tomadas conforme as demandas surgem, dependendo do responsável e do contexto do momento.
- N2
Existem critérios em um documento ou modelo de projeto, mas seu uso depende das equipes e os projetos continuam difíceis de comparar.
- N3
Os critérios são divulgados e aplicados na maioria das solicitações. Os projetos seguem um formato comum e as decisões são registradas.
- N4
Todos os investimentos em TI são analisados segundo os mesmos critérios, as decisões e seus motivos são registrados, e os desvios do formato comum são justificados.
- N5
Os critérios são revisados periodicamente com base no valor efetivamente gerado pelos investimentos anteriores, com acompanhamento documentado das revisões.
Ação para passar de N2 para N3
Exigir um projeto de investimento em formato único, com critérios de decisão e valor esperado, como condição para entrar na pauta do comitê de decisão, e registrar cada decisão em ata.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 38500.
Do que trata esse referencial
A ISO/IEC 38500 é a norma de governança de tecnologia da informação. Ela não descreve como operar um sistema de informação: ela descreve como o órgão de diretoria assume a responsabilidade por ele. Seis princípios formam sua estrutura: responsabilidade, estratégia, aquisição, desempenho, conformidade e comportamento humano. Eles se aplicam segundo um ciclo simples, avaliar, direcionar, monitorar, que a diretoria exerce sobre as decisões relativas ao digital. A norma é um referencial para dirigentes, não um catálogo de medidas técnicas, e não é certificável.
Sua aplicação prática é exigente porque toca na distribuição do poder de decisão. Quem decide entre dois projetos que disputam o mesmo orçamento, e com base em quais critérios explícitos? O comitê de investimento em TI delibera sobre casos comparáveis, ou sobre apresentações construídas por cada responsável à sua maneira? Sabe-se, um ano depois da implantação, se uma aplicação gerou o valor anunciado em seu projeto de aquisição? Em muitas organizações, essas perguntas não têm resposta rastreável, enquanto o orçamento de TI, esse sim, é acompanhado com precisão.
A revisão de 2024 concentrou o tema na diretoria e em sua relação com a gestão executiva. Ela também leva em conta o fato de que as decisões digitais não são mais tomadas apenas pela área de TI: as áreas de negócio contratam seus próprios serviços de aplicação, a inteligência artificial e os dados entram nas decisões, e as dependências externas se multiplicam. Uma confusão comum merece ser esclarecida: a ISO 38500 governa, o ITIL e o COBIT fornecem as ferramentas. Adotar um modelo de gestão de serviços não dispensa governar.
O diagnóstico de maturidade não faz a mesma pergunta que uma auditoria. A auditoria conclui com uma lacuna ou uma conformidade. O diagnóstico situa cada prática em uma escala progressiva, do gesto informal à prática revisada periodicamente, e indica a ação que faz subir um nível. Em um tema de governança, essa nuance é decisiva: quase nada está ausente, quase tudo é parcial. A pontuação por tema mostra onde a decisão está estruturada e onde ela ainda depende de poucas pessoas.
No Datamensio, o referencial está pronto para uso e você mantém o controle sobre ele. A IA ajusta os temas, as perguntas e a formulação dos níveis à sua organização, ou cria uma versão personalizada a partir de seus próprios documentos de governança: estatuto do comitê, procedimento de decisão, modelo de projeto de investimento. As avaliações realizadas em diferentes unidades de negócio são comparáveis entre si e ao longo do tempo.
Norma de referência: ISO/IEC 38500:2024
Os temas avaliados
Responsabilidade e mandatos de decisão
Atribuição explícita das responsabilidades digitais dentro da diretoria, mandato dos comitês, delegações, distinção entre governar e gerir.
Alinhamento estratégico
Tradução da estratégia corporativa em diretrizes digitais, horizonte de planejamento, consideração das mudanças tecnológicas, revisão das diretrizes.
Aquisição e decisão de investimentos
Critérios de decisão, formato dos projetos de investimento, comparabilidade das solicitações, consideração do custo total e das dependências de fornecedores.
Desempenho e valor de uso
Indicadores acompanhados pela diretoria, medição do valor após a implantação, adequação das capacidades às necessidades das áreas de negócio, qualidade de serviço percebida.
Conformidade e marco legal
Identificação das obrigações aplicáveis ao digital, acompanhamento dos compromissos contratuais, articulação com as exigências relativas a dados e IA.
Comportamento humano e uso
Consideração dos usuários nas decisões, gestão da mudança, práticas de compra de TI pelas áreas de negócio, competências dos tomadores de decisão.
Governança de dados e modelos
Vinculação das decisões sobre dados e algoritmos a uma instância identificada, propriedade dos conjuntos de dados, decisões sobre usos de IA.
Monitoramento e relatórios à diretoria
Natureza e frequência das informações repassadas, formato de apresentação dos resultados, rastreabilidade das decisões, acompanhamento das lacunas entre decisão e execução.
Gestão da carteira e dos recursos
Visão consolidada dos projetos e ativos, priorização, alocação de competências internas e externas, encerramento de iniciativas sem valor.
Melhoria do modelo de governança
Aprendizados sobre decisões passadas, revisão dos critérios e mandatos, comparação entre unidades, maturidade do próprio modelo de governança.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
A ISO 38500 é certificável?
Não. É um referencial de princípios destinado às diretorias, sem exigências auditáveis por um organismo certificador. O diagnóstico mede a maturidade de suas práticas de governança e prepara as decisões que a fortalecem.
Qual a diferença em relação a uma auditoria de conformidade?
A auditoria conclui com uma lacuna ou uma conformidade a uma exigência. O diagnóstico situa cada prática em uma escala de maturidade e indica a ação que leva ao nível seguinte. Em governança, onde quase tudo existe parcialmente, essa gradação é mais útil do que um veredito binário.
Qual a diferença em relação ao COBIT ou ao ITIL?
A ISO 38500 define quem decide e segundo quais princípios. O COBIT e o ITIL fornecem as ferramentas para a gestão de serviços e processos de TI. Os dois níveis se complementam: o diagnóstico pode inclusive revelar um modelo de gestão maduro sobre uma governança ainda informal.
Quanto tempo leva a avaliação?
A versão curta é preenchida em uma única sessão de trabalho. No modo colaborativo, com a diretoria de TI, um representante das áreas de negócio e a secretaria dos comitês, conte de uma a duas semanas, sendo que a maior parte do tempo é dedicada a reunir as evidências.
Quem deve responder às perguntas?
As perguntas tratam das instâncias, dos critérios e das decisões, não das configurações técnicas. Um diretor de TI, um diretor de transformação ou um auditor interno pode respondê-las. O modo colaborativo permite atribuir certas perguntas ao interlocutor correto.
É possível adaptar o referencial a nossa organização?
Sim. Você modifica as perguntas, os temas e a formulação dos níveis. A IA cria uma versão personalizada a partir de seus estatutos de comitê e procedimentos de decisão, para que o vocabulário do diagnóstico seja o de suas instâncias.
É possível comparar várias unidades?
Sim. A mesma avaliação realizada em diferentes unidades de negócio gera uma pontuação por tema comparável, e um roteiro transversal consolida as ações comuns em vez de duplicá-las unidade por unidade.
Onde os dados são hospedados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.