Archive for October, 2008

Segundo a Wikipedia:

O termo Compliance tem origem no verbo em inglês to comply, que significa agir de acordo com uma regra, um comando ou um pedido. No âmbito institucional e corporativo, Compliance é o conjunto de disciplinas para fazer cumprir as normas legais e regulamentares, as políticas e as diretrizes estabelecidas para o negócio e para as atividades da instituição ou empresa, bem como evitar, detectar e tratar qualquer desvio ou inconformidade que possa ocorrer.

Compliance é muito presente em instituições e empresas do mercado financeiro, mas tem se estendido para as mais diversas organizações privadas e governamentais, especialmente aquelas que estão sujeitas a forte regulamentação e controle.

Pois bem, durante essa semana observei a confusão de alguns colegas quanto ao termo Compliance relacionado à Governança de TI (GTI). Muitos profissionais de TI referem-se ao termo como se fosse uma referência generalista a tudo o que é de GTI. Isso é errado!

Na verdade gente, a definição de Compliance da Wiki aproxima bem o conceito que nos interessa.  Compliance em TI são marcos de regulação (leis, acordos, tratados governamentais) que representam restrições ao negócio da organização, mas que devem ser seguidos tendo em vista o potencial que têm de atração de capital de risco e geração de lucros.

Ok, mas como a TI faz isso? – Governança não trata só da implantação de melhores práticas (COBIT, ITIL, CMMI).  Cuida do alinhamento estratégico da TI ao negócio, com base na continuidade do negócio, atendimento às estratégias e conformidade com os marcos de regulação externos (Compliances). É nesse sentido que a TI (ou a GTI) deve atuar.

Ou seja, quando um marco regulatório impõe restrições ao negócio no âmbito da TI, esta deve atuar em conformidade com o mesmo. Exemplo:

Em um determinado cenário de instituições financeiras, uma lei impõe que, para atingir menor risco, os aplicativos (softwares) geradores de fatos contábeis e financeiros devem produzir artefatos auditáveis. Neste caso, cabe ao Gestor de TI gerar a demanda em sua área de desenvolvimento (ou nos terceirizados que fornecem e desenvolvem o software) de uma implementação que evidencie trilhas de auditoria e verifique minuciosamente os processos realizados dentro do sistema.

Pronto, está desfeita a confusão. Falta só citar que o atendimento à demanda que citei deverá ser feito com base em melhores práticas (apareceram as margaridas!).

Faltou dizer também que, atualmente, os marcos regulatórios mais presentes e influentes em TI são o Sarbanes-Oxley Act, o Acordo da Basiléia II e a Resolução 3380 do Banco Central do Brasil. Mas estes serão assunto pra um próximo post.

Forte abraço e ótima semana!