Gabarito disponível
Uma instituição financeira está estruturando seu sistema de governança de informação e tecnologia com base no COBIT 2019 e adotando o framework COSO para a gestão de riscos corporativos. A respeito da integração e dos princípios desses frameworks, julgue os itens a seguir.
I A ISO/IEC 38500 estabelece o princípio da responsabilidade, indicando que os indivíduos e grupos na organização devem compreender e aceitar suas responsabilidades no fornecimento e na demanda de TI, o que inclui a supervisão dos riscos.
II O COBIT 2019, em seu domínio avaliar, dirigir e monitorar (EDM), define o objetivo EDM03 (assegurar otimização de riscos), que se alinha diretamente aos componentes de avaliação de riscos e atividades de controle do framework COSO.
III O framework COSO estabelece que a gestão de riscos deve ser aplicada isoladamente pelo departamento de auditoria, enquanto o COBIT 2019 determina que os riscos de TI são de responsabilidade da equipe de segurança da informação.
Assinale a opção correta.
I A ISO/IEC 38500 estabelece o princípio da responsabilidade, indicando que os indivíduos e grupos na organização devem compreender e aceitar suas responsabilidades no fornecimento e na demanda de TI, o que inclui a supervisão dos riscos.
II O COBIT 2019, em seu domínio avaliar, dirigir e monitorar (EDM), define o objetivo EDM03 (assegurar otimização de riscos), que se alinha diretamente aos componentes de avaliação de riscos e atividades de controle do framework COSO.
III O framework COSO estabelece que a gestão de riscos deve ser aplicada isoladamente pelo departamento de auditoria, enquanto o COBIT 2019 determina que os riscos de TI são de responsabilidade da equipe de segurança da informação.
Assinale a opção correta.
Resolução comentada
Os itens I e II estão certos; o III distorce o COSO e o COBIT.
Item I certo: a ISO/IEC 38500 traz o princípio da responsabilidade, com compreensão e aceitação das responsabilidades pela oferta e demanda de TI. Item II certo: o EDM03 do COBIT 2019 trata de assegurar a otimização de riscos e se alinha à avaliação de riscos e às atividades de controle do COSO. Item III errado: o COSO envolve toda a organização na gestão de riscos, e o COBIT não restringe os riscos de TI à equipe de segurança.
Análise das alternativas
A) Ignora que o item II está certo. B, D e E consideram o item III certo, o que é incorreto.
Referência: ISO/IEC 38500; COBIT 2019 (EDM03); COSO ERM
Resolução comentada do VaiConcursos.