Rolf Neubarth Dissertacao Defesa FINAL REVISADO

78
controles de compliance mais rígidos do que os que estão atualmente implementados e que
exigem mais que o processo de implementação desses controles adicionais. Atualmente, tais
processos são vistos como uma estratégia de investimento, no sentido de tornar a empresa mais
controlada e com um nível de maturidade maior. Entretanto, isso não significa que práticas
operacionais, como uma gestão de mudança ou mapeamento de entidades externas, sejam vistas
de forma a agregar algo à operação. Dentro de uma análise de risco operacional e gestão de
continuidade de negócios, não há boas práticas de frameworks, como o ITIL, por exemplo, ou
em nenhum nível de atuação da empresa, denotando-se a não existência de uma gestão de
mudança ou o mapeamento de fornecedores críticos que estejam refletidos em um plano de
recuperação. Há sim a gestão de fornecedores e contratos, mas somente em um nível jurídico.
O entrevistado disponibilizou, para vistas durante a investigação, documentos considerados
como dados secundários, que evidenciam que há um plano de recuperação de desastres sendo
confeccionado e com informações consideradas críticas para executá-lo. Há ainda a evidência
de que haverá a aprovação deste plano, mas não há evidências ou informações sobre um teste
sendo realizado, de forma integral, com áreas de negócio em acordo com a ISO 22301.
4.5 Instituição E
A instituição E apresenta um porte médio, em termos de plataformas tecnológicas entre
as demais unidades casos investigadas. A empresa possui unidades no Rio de Janeiro, São Paulo
e Minas Gerais, mas seu principal ponto de operações concentra-se em são Paulo.
A empresa possui 330 funcionários distribuídos nesses escritórios. O Diretor de
Operações e Tecnologia se dispôs a receber o entrevistador presencialmente. Com relação à
governança corporativa, a instituição E possui políticas e processos que se desdobram para
controles, que podem ser considerados indícios de uma governança corporativa bem
estruturada. O entrevistado representa a diretoria de operações da empresa. Esse profissional
não é certificado em GCN ou InfoSec, mas possui especialização nas áreas de risco operacional
e gerência de projetos. Seu conhecimento é focado em negócios, operações e tecnologia da
informação, no que tange à corretagem de seguros e a outras áreas de operações que envolvem
governança crítica as suas operações. Tais funções encontram-se acumuladas em sua gestão
como risco operacional, compliance, segurança da informação e aspectos regulatórios.
A instituição E não possui profissionais dedicados à disciplina de gestão de continuidade
de negócios ou governança de risco operacional, como se observou também na instituição D,