A Governança de TI e os ilusionistas

Nos últimos anos eu venho recebendo uma grande quantidade de mensagens de profissionais enaltecendo os seus méritos nos projetos de governança de Tecnologia de Informações (TI) realizados pelo setor financeiro nacional. Todos destacaram que os sistemas são robustos com elevada disponibilidade e alto nível de segurança.  Muitos destacaram os papéis que eles desempenharam nos projetos de ITIL e COBIT dos bancos. Em geral estes profissionais que destacaram o enorme avanço da governança no setor financeiro alegavam que estavam sem tempo para responder as minhas perguntas sobre como os projetos foram executados. Eles preferiam alardear apenas palavras de ordem.

Lamentavelmente a realidade dos fatos é cruel contra os que vivem no mundo das ilusões. O artigo” MPF investiga 'erro' que custou R$ 1 bilhão à Caixa” (http://epocanegocios.globo.com/Empresa/noticia/2016/10/mpf-investiga-erro-que-custou-r-1-bilhao-ao-banco.html, acessado em 27/10/2016) revelou o altíssimo custo da fragilidade da governança de TI para os bancos brasileiros. Por um erro (ainda está sendo investigado se foi realmente erro) foi publicado (entre setembro de 2008 e agosto de 2009) na produção um aplicativo com falhas estruturais que gerou uma perda de 1 bilhão de reais para o banco. Caso a governança de TI estivesse tão avançada e madura como os terceiros de empresas terceirizadoras afirmavam existiriam mecanismos e processos que impediriam que este aplicativo fosse instalado e permanecesse no ambiente de produção. No mínimo existiriam relatórios de auditoria apontando o problema, os responsáveis, as soluções e quem determinou que um aplicativo com erro entrasse em produção.

Nada disto existe. Os pejotinhas não apontaram os problemas nos relatórios de auditoria. Os que olham os fatos com conhecimento e capacitação perguntam como foi possível ter tantos profissionais enaltecendo o pleno sucesso na adoção do COBIT e ITIL e inexistir a competência de gerenciamento das liberações? A competência é um item básico destas melhores práticas.

Os fatos mostram que que o corrido não é um fato isolado. Em 2016, o processo de migração dos clientes corporativos do HSBC para o Bradesco falhou e como consequências milhares de trabalhadores não receberam os seus salários na data correta. O artigo “Clientes que eram do HSBC têm salário atrasado com migração para Bradesco” (http://www1.folha.uol.com.br/mercado/2016/10/1824084-clientes-que-eram-do-hsbc-tem-salario-atrasado-com-migracao-para-bradesco.shtml, acessado em 27/10/2016) revelou um grande volume de falhas na migração das contas pessoas jurídicas. Não existiu um plano alternativo. O básico da governança exige que antes de publicar uma revisão de um software, que o mesmo seja testado em um ambiente isolado e controlado e depois que o mesmo seja simulado fora da produção em um ambiente que é a cópia fiel do ambiente de produção. No caso explicitado pelo artigo, A falha no processo de liberação de uma nova versão de aplicação ocorreu sem a execução de um plano de contingência contra falhas (assumindo que ele existisse). O erro ocorreu e quem foi chamado para pagar a conta foram os trabalhadores que ficaram sem os seus salários.

O artigo “Caixa Econômica Federal fica fora do ar em todo o país” (http://www1.folha.uol.com.br/mercado/2014/11/1544212-caixa-economica-federal-fica-fora-do-ar-em-todo-o-pais.shtml, acessado em 27/10/2016) é de 2014. Ele reforça que as fragilidades na governança de TI estão presente no sistema financeiro nacional há muito tempo e pouco ou nada vem sendo feito para eliminá-las.

O artigo “Brechas em sites do Bradesco e do Banco do Brasil expõem milhões de clientes” (http://www1.folha.uol.com.br/tec/2013/08/1331286-brechas-em-sites-do-bradesco-e-do-banco-do-brasil-expoem-milhoes.shtml, acessado em 27/10/2016) revelou que um jovem analista de sistemas identificou falhas de segurança nos sites do Banco do Brasil, do Bradesco, do serviço de pagamentos Moip e da Boa Vista Serviços (administradora do cadastro de devedores SCPC) que expuseram a privacidade dos clientes. Foi preciso a manifestação de uma pessoa de fora para que estas organizações descobrissem as suas graves vulnerabilidades de segurança. O básico da governança de TI afirma que devem ser realizados testes periódicos de segurança e que as falhas graves devem ser corrigidas imediatamente. Mais uma vez o sistema financeiro apresentou uma governança de TI frágil.