COBIT é a sigla para Control Objectives for Information and Related Technology, um framework de governança e gestão de TI corporativa mantido pela ISACA (Information Systems Audit and Control Association) desde 1996. Ele organiza um conjunto de boas práticas que ajudam uma empresa a alinhar as decisões de tecnologia com os objetivos do negócio, em vez de tratar a TI como uma área isolada que só executa demandas.

A versão em uso hoje é o COBIT 2019, que substituiu o COBIT 5 em 2018. É comum encontrar conteúdo pela internet ainda descrevendo o COBIT 5 como referência atual. Vale o alerta: se você está se preparando para uma certificação ou estruturando um projeto de governança agora, o material correto para consultar é o COBIT 2019. A ISACA, inclusive, está marcando os 30 anos do framework em 2026 tendo o COBIT 2019 como base vigente, embora já sinalize uma próxima atualização, o COBIT 7, para o fim de 2026 (mais sobre isso na seção de certificação).

Diferente do ITIL, que detalha como executar serviços de TI no dia a dia, o COBIT foca no nível estratégico: o que precisa ser controlado e avaliado para que a tecnologia gere valor e não vire um risco. As duas coisas não competem entre si e, muitas empresas usam o COBIT para desenhar a governança e o ITIL para operacionalizar os processos de serviço dentro dela.

Qual o principal objetivo do COBIT?

O objetivo central do COBIT é garantir que os investimentos em tecnologia da informação gerem valor real para a empresa, equilibrando esse retorno com os riscos assumidos e os recursos utilizados. Na prática, isso significa dar às lideranças de TI e de negócio uma linguagem comum e um jeito estruturado de decidir onde investir, o que priorizar e como medir se a tecnologia está, de fato, sustentando a estratégia da organização.

Esse objetivo se desdobra em uma separação que o COBIT trata como estrutural: governança e gestão não são a mesma coisa. Governança define a direção, prioriza investimentos e monitora se os objetivos estão sendo cumpridos, normalmente sob responsabilidade do conselho ou da diretoria. Gestão planeja, executa e acompanha as atividades do dia a dia para alcançar essa direção, sob responsabilidade dos gestores executivos. O COBIT 2019 mantém essa separação como um dos seus princípios centrais.

Os 6 princípios do COBIT 2019

O COBIT 2019 organiza seu sistema de governança em torno de seis princípios, um a mais que a versão anterior, que tinha cinco. Eles funcionam como os critérios que orientam qualquer decisão dentro do framework:

Prover valor às partes interessadas, equilibrando benefícios, riscos e recursos.
Adotar uma abordagem holística, olhando para toda a empresa, não só para o setor de TI.
Manter um sistema de governança dinâmico, capaz de se ajustar conforme mudanças internas e externas.
Separar governança de gestão, com papéis e responsabilidades distintos.
Adaptar o sistema à realidade da empresa, usando os chamados fatores de design (porte, setor, apetite a risco e estratégia, entre outros), que definem quais processos do COBIT realmente fazem sentido aplicar.
Cobrir a governança de ponta a ponta, integrando estrutura, processos e cultura organizacional em um único sistema.

A mudança em relação ao COBIT 5 não é só cosmética. Os dois primeiros princípios do modelo anterior (satisfazer as partes interessadas e cobrir a empresa de ponta a ponta) ganharam companhia dos conceitos de sistema dinâmico e de fatores de design, pensados para lidar com riscos que não tinham a mesma força em 2012, como computação em nuvem, DevOps e segurança da informação.

Os 5 domínios e os 40 objetivos de governança e gestão

O núcleo prático do COBIT é o chamado COBIT Core Model: 40 objetivos de governança e gestão, organizados em cinco domínios. A divisão entre governança (o domínio EDM) e gestão (os outros quatro) segue a mesma lógica do COBIT 5, mas o número de objetivos cresceu de 37 para 40 na atualização de 2019.

Avaliar, dirigir e monitorar (EDM) — domínio de governança, sob responsabilidade do conselho e da alta liderança. Define a direção e acompanha se os objetivos estratégicos estão sendo atingidos.
Alinhar, planejar e organizar (APO) — trata do planejamento de investimentos, arquitetura, riscos e qualidade antes de qualquer solução entrar em operação.
Construir, adquirir e implementar (BAI) — cobre a aquisição e implementação de soluções de TI, incluindo testes, documentação e gestão de mudanças.
Entregar, servir e suportar (DSS) — reúne a operação do dia a dia: entrega de serviços, segurança, continuidade e suporte aos usuários.
Monitorar, avaliar e analisar (MEA) — acompanha desempenho, conformidade e controles internos, fechando o ciclo de melhoria contínua.

Os 7 componentes do sistema de governança

No COBIT 5, esses elementos eram chamados de “facilitadores” (enablers). O COBIT 2019 manteve os mesmos sete, agora batizados de componentes, uma troca de nome que acompanha uma troca de papel: eles deixam de ser apoio e passam a ser peças que, juntas, formam o próprio sistema de governança. Os 7 componentes do COBIT 2019, são:

Processos — as práticas e atividades organizadas para alcançar os objetivos.
Estruturas organizacionais — os comitês e papéis responsáveis pelas decisões.
Princípios, políticas e frameworks — as diretrizes que traduzem o comportamento esperado em ações concretas.
Informação — os dados necessários para o funcionamento do sistema de governança, incluindo relatórios gerenciais.
Cultura, ética e comportamento — fator que o COBIT trata como tão determinante para o sucesso da governança quanto qualquer processo formal.
Pessoas, habilidades e competências — a capacidade técnica e de gestão necessária para executar as atividades.
Serviços, infraestrutura e aplicações — a tecnologia e os recursos que sustentam o processamento da informação.

Quais os benefícios de adotar o COBIT

O alinhamento entre TI e negócio é o benefício mais citado, e não por acaso: o framework nasceu para resolver exatamente esse problema. Ao formalizar o vínculo entre metas corporativas e objetivos de TI, o COBIT reduz decisões de tecnologia tomadas sem considerar o impacto no resto da empresa.

A redução de risco vem na sequência, não porque o COBIT elimina falhas, mas porque cria pontos de controle e responsabilização claros ao longo dos processos. Isso inclui a definição de indicadores de desempenho (KPI) para cada objetivo, o que facilita identificar onde um problema começou antes que ele se espalhe pela operação.

A conformidade regulatória tende a ficar mais simples também. Empresas que operam sob exigências como a Lei Sarbanes-Oxley (SOX), nos Estados Unidos, ou normas setoriais de segurança da informação encontram no COBIT uma estrutura já compatível com esses requisitos, o que evita reconstruir controles do zero a cada auditoria.

Como implementar o COBIT na sua empresa

Implementar o COBIT não é aplicar os 40 objetivos de uma vez. É selecionar, com base nos fatores de design da empresa, quais processos realmente importam para o contexto específico e seguir um ciclo estruturado até a governança virar rotina, não um projeto pontual com data para acabar.

A ISACA descreve esse ciclo em sete fases, organizadas em três camadas (gestão do programa, habilitação da mudança e melhoria contínua) que se repetem continuamente:

Quais são os direcionadores? Identificar os motivos de negócio por trás da iniciativa — incidentes recorrentes, pressão regulatória, custo de TI fora de controle.
Onde estamos agora? Diagnosticar o nível de maturidade atual da governança.
Onde queremos chegar? Definir o nível de maturidade-alvo e o escopo, apoiado nos fatores de design.
O que precisa ser feito? Priorizar quais dos 40 objetivos de governança e gestão entram no plano.
Como vamos chegar lá? Executar as mudanças, com responsáveis e prazos definidos.
Chegamos lá? Avaliar os resultados frente às metas definidas na fase 3.
Como mantemos o ritmo? Consolidar a governança como prática contínua.

Os dois erros mais comuns em implementações de COBIT são pular direto para a fase 4 sem diagnosticar a maturidade atual, e tratar a fase 7 como encerramento do projeto, quando, na verdade, a melhoria contínua é a razão de o COBIT existir como um ciclo, não como uma lista de tarefas.

Como tirar a certificação do COBIT

A certificação COBIT é emitida pela ISACA, com a trilha atual estruturada em duas certificações principais sobre o COBIT 2019: Foundation, focada em conceitos e princípios, e Design and Implementation, voltada a quem vai efetivamente desenhar e implementar o sistema de governança.

O exame COBIT 2019 Foundation tem 75 questões de múltipla escolha, dura duas horas e exige 65% de acerto para aprovação. Custa US$ 175, o mesmo valor para associados e não associados da ISACA, segundo o site oficial. É aplicado em inglês e, algumas provedoras oferecem também em espanhol ou chinês simplificado, dependendo da região, mas não há, até o momento, versão em português. Quem já possui a certificação COBIT 5 Foundation pode migrar para o COBIT 2019 por meio de um exame de transição mais curto, em vez de refazer a prova completa.

Já o exame Design and Implementation tem 60 questões, dura três horas e pede 60% de aproveitamento. Ele avalia a capacidade de aplicar os fatores de design e conduzir o ciclo de implementação descrito na seção anterior, não apenas reconhecer conceitos de memória.

Além dessas duas, a ISACA mantém certificações relacionadas que aprofundam áreas específicas de governança e risco, como o CGEIT (Certified in the Governance of Enterprise IT), voltado a quem responde pela governança de TI em nível estratégico, e o CRISC (Certified in Risk and Information Systems Control), focado em risco. Elas não substituem o COBIT Foundation, mas costumam ser o passo seguinte para quem já atua na área.

E um aviso para quem está planejando tirar sua certificação, a própria ISACA já avisa, em sua página oficial, que o COBIT 2019 Foundation será substituído pelo COBIT 7 Foundations a partir de 27 de outubro de 2026, com a versão 2019 saindo de linha em abril de 2027. Ainda não há conteúdo público sobre o que muda no COBIT 7, por isso, vale acompanhar o site da ISACA antes de se inscrever em um curso preparatório longo.

COBIT e Acelerato

Fica mais fácil sustentar as fases 5 e 6 do ciclo de implementação (executar e avaliar) quando existe uma ferramenta para acompanhar o andamento dos processos de perto. O Acelerato, plataforma de atendimento e gestão de projetos da Bluesoft, cobre essa parte operacional: automatiza fluxos como aprovação de compras e recrutamento por meio dos workflows do Acelerato, permite acompanhar projetos de ponta a ponta e consolidar Centros de Serviços Compartilhados (CSC) em um único painel, o tipo de visibilidade que o domínio MEA do COBIT pede para monitorar se a governança está, de fato, sendo cumprida no dia a dia, e não só desenhada no papel.

Quer ver como isso funciona na prática? Clique aqui e agende uma demonstração com o nosso time!