Português 
English
Governança de TI é o conjunto de papéis, regras de decisão e indicadores que garante que a tecnologia entregue valor ao negócio com risco controlado. Na prática, ela responde a quatro perguntas: quem decide, com base em quê, como se acompanha o resultado e o que se cobra de cada parte (time interno e fornecedores).
Este guia foi escrito para CTOs, gerentes de TI e líderes de tecnologia de empresas médias e grandes. Ele traz um modelo de comitê, um painel de indicadores, um checklist para contratos de desenvolvimento de software e um roteiro de 90 dias para sair do papel.
O que é governança de TI?
Governança de TI define o direcionamento da área e monitora se os resultados chegam; a gestão de TI planeja e executa o dia a dia. Essa separação aparece de forma explícita no COBIT 2019, da ISACA: o domínio EDM (avaliar, dirigir e monitorar) trata de governança, enquanto APO, BAI, DSS e MEA tratam de gestão. Ao todo, o framework organiza 40 objetivos de governança e gestão.
Outra referência é a ISO/IEC 38500, que estabelece seis princípios para o uso da TI pela alta direção: responsabilidade, estratégia, aquisição, desempenho, conformidade e comportamento humano. Ela não prescreve ferramentas; orienta como a diretoria deve avaliar, dirigir e monitorar.
Para evitar confusão, vale distinguir os três níveis:
| Nível | Pergunta central | Quem responde | Exemplo |
|---|---|---|---|
| Governança | Estamos investindo nas prioridades certas, com risco aceitável? | Diretoria, comitê de TI | Aprovar o portfólio de projetos do ano |
| Gestão | Como vamos executar e entregar? | Gerentes e líderes de TI | Planejar sprints, alocar equipes, gerir contratos |
| Operação | O serviço está funcionando? | Times de produto, infraestrutura e suporte | Resolver incidentes, publicar versões |
Governança também não se confunde com certificação. COBIT e ITIL são referências úteis, mas nenhuma empresa precisa adotá-los por inteiro. O ponto de partida é mais simples: decisões claras, números confiáveis e uma rotina de revisão.
Como montar um comitê de governança de TI
Um comitê de governança de TI funciona quando tem autoridade para decidir, uma pauta fixa e participantes de negócio, não apenas de tecnologia. Sem esses três elementos, ele vira uma reunião de status.
Um estudo apresentado à Sociedade Brasileira de Computação sobre comitê ágil de governança de TI (caso de um órgão público) destaca duas ideias aplicáveis a qualquer organização: o comitê precisa de poder para mudar processos, e vale começar pelo processo que ainda não tem nenhum indicador. Como o contexto é público, o aprendizado deve ser adaptado à realidade privada.
Um exemplo de atribuições reais está no relatório do Comitê de Governança de TI do Senado Federal (2025): políticas, planos e indicadores de desempenho fazem parte do escopo. A estrutura é de uma instituição pública, mas a lógica de pauta é transferível.
Cinco passos para estruturar o comitê
- Defina o objetivo e a autoridade: escreva em uma página o que o comitê decide (priorização de investimentos, riscos, políticas) e o que fica com a gestão.
- Escolha os participantes: inclua o CTO ou líder de TI, um representante de cada área de negócio relevante, segurança da informação e finanças. Em empresas médias, quatro a seis pessoas costumam bastar.
- Fixe a cadência: mensal ou bimestral para o comitê principal; trimestral, na versão enxuta, para empresas com TI menor.
- Padronize a pauta e os materiais: o painel de indicadores é enviado antes da reunião; a reunião serve para decidir, não para apresentar slides.
- Registre decisões e responsáveis: toda deliberação sai com dono, prazo e critério de conclusão, revisados na reunião seguinte.
Pauta modelo de 60 minutos
- 10 minutos: decisões pendentes da reunião anterior
- 15 minutos: painel de indicadores (desvios em relação à meta)
- 15 minutos: portfólio e prioridades (novos pedidos, mudanças de escopo)
- 10 minutos: riscos e segurança
- 10 minutos: fornecedores e contratos (desempenho, renovações, alertas)
Indicadores de governança de TI: o que medir
Bons indicadores ligam a TI ao resultado do negócio e têm definição, fórmula, fonte, dono e frequência. Um painel enxuto, com 6 a 10 itens, funciona melhor que dezenas de métricas sem responsável.
Uma pesquisa publicada na Revista Formadores (2015), com foco em uma instituição de ensino, mostrou que os indicadores mais valorizados foram continuidade de serviços, planejamento de TI (PDTI, o Plano Diretor de TI) e segurança lógica. O dado é antigo e de contexto específico; serve como ponto de partida, não como regra.
Sugestão de painel, organizado em cinco níveis:
| Nível | Indicador | Fórmula ou definição | Dono | Frequência |
|---|---|---|---|---|
| Negócio | Entrega de valor do portfólio | Projetos entregues com o benefício previsto ÷ projetos concluídos | Diretoria de TI e negócio | Trimestral |
| Entrega | Frequência de deploy | Número de publicações em produção por período | Engenharia | Mensal |
| Entrega | Lead time de mudanças | Tempo entre o commit e a publicação em produção | Engenharia | Mensal |
| Serviço | Disponibilidade | Tempo de serviço disponível ÷ tempo total | Operações | Mensal |
| Risco | Vulnerabilidades críticas em aberto | Quantidade acima do prazo de correção | Segurança | Mensal |
| Fornecedor | Cumprimento de SLA | Entregas dentro do acordado ÷ entregas totais | Gestor do contrato | Mensal |
Para o nível de entrega, as métricas DORA são a ponte mais usada entre o comitê e a engenharia: frequência de deploy, lead time de mudanças, taxa de falha em mudanças e tempo para restaurar o serviço. A edição de 2024 da pesquisa passou a considerar também a taxa de retrabalho. Antes de citar números do relatório, confirme a edição no site.
Erros comuns com indicadores
- Métricas de vaidade: números que sobem sem refletir resultado (horas trabalhadas, linhas de código).
- Excesso: painéis com dezenas de itens que ninguém lê.
- Falta de dono: indicador sem responsável não muda.
- Sem meta: um número isolado não diz se está bom ou ruim.
- Sem rotina de revisão: o painel precisa ser discutido, ajustado e, às vezes, descartado.
O que cobrar do time interno?
Do time interno, cobre clareza de papéis, práticas mínimas de engenharia e disciplina de revisão. A governança falha menos por falta de framework do que por responsabilidades ambíguas.
- Papéis definidos: dono do produto, responsável por arquitetura, responsável por segurança e gestor de cada contrato relevante.
- Práticas mínimas: controle de versão, revisão de código, testes automatizados nos fluxos críticos, pipeline de entrega e registro de decisões de arquitetura.
- Rotina de revisão: retrospectivas com dados, atualização trimestral do painel e revisão anual do próprio modelo de governança.
- Transparência: o time publica as métricas; o comitê não depende de relatórios manuais.
O que cobrar dos fornecedores de software?
De um fornecedor de desenvolvimento, cobre critérios mensuráveis no contrato, métricas transparentes e direito de auditar. O COBIT 2019 trata do tema em dois objetivos: APO09 (acordos de serviço) e APO10 (fornecedores gerenciados), incluindo o monitoramento contínuo do desempenho do fornecedor (APO10.05).
Na prática, a governança de um contrato de software se resume a dez itens:
- Escopo e entregáveis descritos de forma verificável.
- SLAs mensuráveis: prazo de entrega, tempo de resposta a incidentes e tempo de correção.
- Critérios de qualidade: definição de pronto, cobertura de testes e revisão de código.
- Métricas de entrega compartilhadas: lead time, taxa de falha e retrabalho, no mesmo formato do seu painel.
- Segurança: práticas de desenvolvimento seguro, tratamento de dados e aderência à LGPD.
- Propriedade do código e da documentação pertencendo ao contratante.
- Transparência: acesso a repositórios, backlog e ambientes.
- Governança do contrato: reuniões periódicas, relatório mensal e escalonamento definido.
- Gestão de pessoas-chave: regras de substituição e continuidade de conhecimento.
- Saída: plano de transição e entrega de todo o material caso o contrato termine.
Esse conjunto é mais simples de cumprir quando o modelo de entrega já nasce estruturado. Em uma fábrica de software, por exemplo, o escopo, os indicadores e a rotina de revisão são acordados desde o início, o que reduz a distância entre o que o comitê quer enxergar e o que o fornecedor reporta. A Fábrica de software da NextAge atua nesse formato, com times que entregam software de acordo com o escopo e as métricas combinados com o cliente.
Como começar nos próximos 90 dias
O caminho mais seguro é começar pequeno: um diagnóstico, um comitê piloto e um painel com poucos indicadores.
Dias 1 a 30: diagnóstico
- Mapeie decisões de TI hoje (quem decide o quê) e identifique lacunas.
- Liste os contratos de fornecedores e os indicadores que já existem.
- Escolha o processo sem indicador para começar.
Dias 31 a 60: piloto do comitê
- Defina objetivo, participantes e cadência.
- Realize duas reuniões com a pauta modelo.
- Registre decisões e donos.
Dias 61 a 90: painel e fornecedores
- Publique o painel com 6 a 10 indicadores.
- Revise os contratos com o checklist de dez itens.
- Avalie o modelo de entrega: equipe interna, alocação de profissionais ou fábrica de software, conforme o grau de controle e previsibilidade que a empresa precisa.
Para a TI de empresas públicas, o acórdão do TCU 588/2018 mostra o levantamento de maturidade de governança que orientou o setor (dados de 2017). Em empresas privadas, o mesmo raciocínio pode ser usado como autoavaliação.
Perguntas frequentes
O que é governança de TI?
É o conjunto de papéis, decisões e indicadores que alinha a TI às metas do negócio, controla riscos e garante retorno dos investimentos.
Qual a diferença entre governança e gestão de TI?
A governança define o direcionamento e monitora os resultados; a gestão planeja e executa no dia a dia. No COBIT 2019, a governança está no domínio EDM.
Como montar um comitê de governança de TI?
Defina objetivo e autoridade, convide negócio, TI, segurança e finanças, fixe uma cadência (mensal ou bimestral) e adote uma pauta padrão com indicadores e decisões.
Quais indicadores de governança de TI acompanhar?
Entrega de valor, desempenho de entrega (métricas DORA), disponibilidade e incidentes, risco e segurança, e desempenho de fornecedores.
O que cobrar de um fornecedor de desenvolvimento de software?
SLAs mensuráveis, critérios de qualidade, segurança, transparência de métricas, propriedade do código e relatórios periódicos.
COBIT, ITIL e ISO 38500 são excludentes?
Não. São complementares: a ISO 38500 dá os princípios, o COBIT organiza os objetivos de governança e gestão, e o ITIL detalha a gestão de serviços.
Empresas médias precisam de governança de TI?
Sim, em versão enxuta: um comitê trimestral, 6 a 8 indicadores e contratos de fornecedor com critérios claros.
Próximo passo
Se a sua empresa quer ganhar previsibilidade na entrega de software sem perder visibilidade, vale conversar com quem já opera nesse modelo. Conheça a Fábrica de software da NextAge ou fale com um especialista.
