Questão de TI - Gestão e Governança de TI — NBR ISO/IEC 38500 - Governança Corporativa de TI — CESPE / CEBRASPE 2025

Governança corporativa de TI e a norma ISO/IEC 38500

Gabarito: CERTO. A afirmação está correta: a ISO/IEC 38500 é, de fato, a norma internacional que fornece diretrizes para a governança corporativa de TI, orientando as organizações a garantir que a TI apoie seus objetivos e sua estratégia de forma eficaz. A norma estabelece princípios e um modelo para que a alta direção avalie, direcione e monitore o uso da TI, alinhando-o ao negócio.

A governança de TI, em sentido amplo, é o conjunto de práticas, processos e estruturas que garantem que a área de TI esteja alinhada às necessidades e estratégias da organização, agregando valor e gerenciando riscos. A norma ISO/IEC 38500, publicada originalmente em 2008 e atualizada em 2015, é a referência internacional para esse tema. Ela não é uma norma de certificação (como a ISO 9001 ou a ISO/IEC 27001), mas sim um guia de boas práticas para a alta direção (conselho de administração e diretoria executiva) exercer a governança sobre a TI.

O núcleo da norma é o modelo de três tarefas principais: avaliar (o uso atual e futuro da TI, considerando o ambiente e as necessidades do negócio), direcionar (estabelecer políticas, planos e prioridades para a TI, alinhados à estratégia) e monitorar (acompanhar o desempenho e a conformidade com as políticas e planos). Essas três tarefas são aplicadas sobre seis princípios: responsabilidade, estratégia, aquisição, desempenho, conformidade e comportamento humano. O objetivo final é exatamente o que o enunciado afirma: garantir que a TI apoie os objetivos e a estratégia da organização de forma eficaz.

É importante distinguir a ISO/IEC 38500 de outras normas do universo de TI. A ISO/IEC 27001 trata de segurança da informação (sistema de gestão de segurança da informação – SGSI). A ISO/IEC 20000 trata de gestão de serviços de TI (IT Service Management). A ISO 9001 trata de sistema de gestão da qualidade. A ISO/IEC 38500 é específica para governança corporativa de TI, ou seja, o nível estratégico de decisão sobre a TI, exercido pela alta direção. Essa distinção é a pegadinha clássica da banca: trocar o escopo de uma norma pelo de outra.

Na prática, a norma funciona como um guia para que os líderes da organização respondam a perguntas como: "A TI está alinhada com a estratégia do negócio?", "Os riscos de TI estão sendo gerenciados adequadamente?", "Os recursos de TI estão sendo usados de forma eficiente?". Ela não prescreve processos operacionais detalhados, mas sim princípios e um modelo de governança que a alta direção deve adotar.

A banca, ao afirmar que a norma "fornece diretrizes para a governança corporativa de TI, ajudando as organizações a garantirem que a TI apoie seus objetivos e sua estratégia de forma eficaz", está reproduzindo fielmente o propósito central da norma. Não há qualquer erro ou inversão de conceitos. A afirmação é uma descrição precisa e genérica do que a ISO/IEC 38500 se propõe a fazer.

✅ CERTO — A afirmação está correta e reflete o propósito da norma ISO/IEC 38500.

Gabarito: CERTO