COBIT 7: entenda todas as mudanças da nova versão

1. O COBIT chega à 7ª edição

O COBIT 7 tem lançamento previsto pela ISACA para 19 de novembro de 2026. É a nova versão de um dos frameworks de governança e gestão de informação e tecnologia (I&T) mais reconhecidos internacionalmente. O lançamento coincide com os 30 anos do COBIT, criado em 1996. E o nome é esse mesmo: COBIT 7, a sétima iteração do framework.

A mensagem central da ISACA cabe numa frase: o COBIT 7 é uma evolução, não uma substituição. O modelo conceitual do COBIT 2019 continua de pé. O que muda é a forma de acesso, que passa a ser uma plataforma digital, e o ferramental prático para desenhar, implementar e avaliar o sistema de governança, agora com riscos de IA dentro dos fatores de design e um módulo de avaliação em três níveis.

2. 30 anos: da auditoria financeira ao conselho

O COBIT nasceu em 1996 com um propósito bem mais estreito do que o atual: ajudar auditores financeiros a avaliar ambientes de TI. A cada versão, o escopo subiu um degrau, até chegar à governança de I&T da empresa inteira, com o conselho de administração no topo da cadeia de responsabilidade.

A evolução do COBIT em 30 anos. Diagrama criado pela TIexames. Clique na imagem para ampliar.

Dois marcos ajudam a entender o COBIT 7. O COBIT 5, de 2012, trouxe os princípios e a separação clara entre governança e gestão. O COBIT 2019, publicado no fim de 2018, trouxe os fatores de design, que permitem ajustar o sistema de governança ao perfil de cada organização, e passou de 37 processos para 40 objetivos. O COBIT 2019 já tinha guias de design e de implementação e um toolkit em Excel. O COBIT 7 mantém essas bases e amplia os recursos de aplicação: acesso digital, conteúdo atualizável, toolkit de design revisado e novas ferramentas de avaliação.

3. O que não muda: o núcleo preservado

Para quem já investiu no COBIT 2019, a melhor notícia do lançamento é esta: o núcleo conceitual não foi mexido. Os mesmos princípios, os mesmos 40 objetivos, os mesmos 5 domínios, os mesmos 7 componentes e as mesmas 231 práticas.

O que fica e o que muda no COBIT 7. Diagrama criado pela TIexames.

Governança e gestão continuam separadas

Na maioria das organizações, a responsabilidade geral pela governança cabe ao órgão de governança, normalmente o conselho de administração: avaliar as necessidades das partes interessadas, dirigir por meio de priorização e decisão, e monitorar desempenho e conformidade. A gestão cabe à diretoria executiva, que planeja, constrói, executa e monitora as atividades dentro da direção definida.

Princípios

Seguem os seis princípios do sistema de governança: gerar valor para as partes interessadas, abordagem holística, sistema dinâmico, governança distinta da gestão, adequação às necessidades da organização e governança de ponta a ponta. Seguem também os três princípios do framework: modelo conceitual, abertura e flexibilidade, e alinhamento às principais normas. Neste último ponto houve trabalho: as referências foram revisadas, como a ISO/IEC 27001, e entraram novas, como a ISO/IEC 42001, de sistemas de gestão de IA.

Os 40 objetivos, como um mapa de metrô

Os 40 objetivos se distribuem em 5 domínios. O domínio de governança, EDM (Avaliar, Dirigir e Monitorar), tem 5 objetivos e é responsabilidade do conselho. Os outros 35 ficam nos quatro domínios de gestão: APO (Alinhar, Planejar e Organizar), BAI (Construir, Adquirir e Implementar), DSS (Entregar, Servir e Suportar) e MEA (Monitorar, Avaliar e Analisar). Pense neles como linhas de metrô: nenhuma estação foi desativada, mas cada uma ganhou mais conteúdo.

Os 40 objetivos de governança e gestão, com nomes resumidos e traduzidos livremente. Diagrama criado pela TIexames. Clique na imagem para ampliar.

Os 7 componentes do sistema de governança

Os 7 componentes já existiam no COBIT 2019. A tabela mostra o conteúdo de cada um e indica onde o COBIT 7 traz mudança.

Os mapeamentos para outras normas e frameworks, como ISO, NIST, DTEF e GDPR, também foram atualizados em todos os objetivos.

4. Por que a ISACA fez um COBIT 7

Se os objetivos são os mesmos, por que uma nova versão? Porque o COBIT 2019 foi concebido para a transformação digital, e o ambiente mudou mais depressa do que um ciclo de publicação em PDF consegue acompanhar. A ISACA apontou cinco vetores:

1. Cenário de ameaças. Cibersegurança, resiliência, privacidade, terceiros e cadeia de suprimentos viraram riscos interligados. Lisa Cook citou ainda IA, blockchain e computação quântica.
2. Regulação em evolução. As exigências de conformidade crescem em várias jurisdições e chegam ao conselho como cobrança direta.
3. Normas novas e atualizadas. O framework precisa conversar com padrões como a ISO/IEC 27001 e a ISO/IEC 42001.
4. IA e tecnologias emergentes. Trazem exigências novas de governança, responsabilização, gestão de riscos e asseguração.
5. Negócio digital acelerado. A I&T está embutida em produtos e operações, e os modelos de entrega se diversificaram. Lisa Cook lembrou que o modelo em cascata ficou para trás.

Antes de fechar o produto, a ISACA ouviu mais de 900 usuários em mais de sete regiões, incluindo a América Latina, por meio de duas pesquisas de larga escala, sete grupos de foco e mais de 75 entrevistas e demonstrações. O lançamento estava previsto para o fim de outubro e foi adiado justamente para incorporar esse retorno.

5. De PDF para plataforma digital

A mudança mais visível é de formato. O COBIT 7 deixa de ser um conjunto de PDFs e passa a ser lido na plataforma digital da ISACA, a mesma que já hospeda o DTEF (Digital Trust Ecosystem Framework). Na prática, isso significa:

• Busca em vários livros ao mesmo tempo, em vez de abrir arquivo por arquivo.
• Acesso pelo computador e pelo navegador do celular.
• Atualizações frequentes de exemplos e práticas, sem esperar uma nova versão completa. A ISACA deixou claro que o núcleo não será revisado todos os anos.
• Mapeamentos em pop-up. Cada prática tem um ícone que abre as correspondências com outras normas. No exemplo demonstrado, a prática EDM01.01 se ligava ao DTEF, ao GDPR e à ISO 37000.
• Seções expansíveis, para ver mais ou menos detalhe de cada objetivo.
  
  

6. Os 13 fatores de design e a entrada da IA

Os fatores de design são o mecanismo que torna o COBIT ajustável: estratégia, metas, perfil de risco, porte e outras características da organização determinam quais objetivos merecem mais atenção e qual nível de realização (achievement level) buscar em cada um. No COBIT 7 eles passam de 11 para 13, e cada um passa a indicar se olha para o futuro, para a situação atual ou para ambos.

A melhor forma de visualizar o novo Design Toolkit é como uma mesa de som. Cada fator é um fader com peso de 0 a 4, sendo 0 um fator não considerado. A mixagem de todos eles gera, na saída, o nível-alvo de realização sugerido para cada um dos 40 objetivos.

Os 13 fatores de design como uma mesa de som. Posições dos faders ilustrativas. Diagrama criado pela TIexames.

DF11: saúde organizacional

O primeiro fator novo posiciona a empresa em relação a três situações, cada uma pontuada de 1 a 5: estado estável (operação normal, pouca pressão financeira), transformação (mudança controlada, como numa fusão) e crise (de "apagar incêndios" até risco à continuidade do negócio). Faz sentido: uma empresa em crise não precisa do mesmo sistema de governança que uma empresa em operação estável.

DF12: estratégias de informação e dados

O segundo fator novo trata dados como eixo estratégico, avaliado em quatro contínuos:

• Orientação defensiva (conformidade, manutenção da operação) ou ofensiva (novos produtos e estratégias).
• Modelo operacional centralizado (centros de excelência, serviços compartilhados) ou federado (mais autonomia para as áreas).
• Filosofia de gestão de dados mestres: um único MDM, vários ou nenhum.
• Estratégia analítica: centrada em relatórios, em análise avançada e IA, ou em inteligência de decisão.

A IA entra pelo perfil de risco

No DF3 (perfil de risco de I&T), a categoria de risco foi renomeada para abranger tecnologias emergentes, e o detalhamento traz cenários específicos de IA. Os exemplos citados no webinar foram decisões de IA com efeito discriminatório e a degradação do modelo ao longo do tempo. No DF4 (problemas relacionados a I&T) entraram itens como incidentes de segurança em endpoints, ransomware, phishing, dívida técnica e tratamento de dados pessoais. O DF9 (métodos de implementação) ganhou habilitadores de entrega ligados à IA.

7. Avaliação em 3 níveis de profundidade

Esta é, provavelmente, a novidade de maior impacto para auditores, consultores e profissionais de GRC. O COBIT 7 traz um módulo de avaliação completo, com guia, planilha e vídeo explicativo para cada nível. A lógica é a de um mergulho: o praticante escolhe a profundidade de acordo com o esforço de coleta de evidências que pode ou precisa fazer.

Os 3 níveis de avaliação do COBIT 7. Diagrama criado pela TIexames. Clique na imagem para ampliar.

Nível do conselho. Feito para comitês de auditoria e de governança, oferece uma visão do estado da governança de I&T e do valor entregue. Na demonstração, a avaliação se apoiava sobretudo em entrevistas, com pouca análise documental. Ela parte das expectativas do conselho em relação à I&T, com afirmações derivadas dos princípios da ISO/IEC 38500, e segue com 25 afirmações de resultados desejados e 40 de boas práticas. O resultado ajuda a identificar necessidades de melhoria e onde vale fazer avaliações mais detalhadas.

Alto nível. Feito para a diretoria executiva e o comitê de direção de I&T. Cada aba cobre um objetivo inteiro, com metas de alinhamento, práticas, atividades e os demais componentes ponderados. Para componentes que não são processos, como estruturas, políticas e cultura, a ISACA criou dimensões de desempenho que funcionam como as práticas do processo. O resultado indica onde vale aprofundar.

Detalhada. Feita para o CIO, a média gerência de TI, a auditoria de TI e os profissionais de governança. São oito planilhas: uma por componente e duas para estruturas organizacionais, separando estruturas coletivas, como o conselho e o PMO, de papéis individuais, como CIO e CTO. É a base para um plano de melhoria fundamentado.

8. Como migrar do COBIT 2019 sem recomeçar

A recomendação da ISACA para quem já usa o COBIT 2019 é direta: não reiniciar a implantação. As mudanças devem ser incorporadas ao roteiro existente, em cinco passos.

Os 5 passos da transição para o COBIT 7. Diagrama criado pela TIexames.

1. Avaliar. Revisar o sistema de governança atual, identificando lacunas e o que já funciona, com o novo guia de avaliação.
2. Atualizar o desenho. Revisitar metas, perfil de risco e fatores de design, incluindo os dois fatores novos e os cenários de risco de IA.
3. Definir o que muda. Mapear o COBIT 2019 para o COBIT 7 e listar práticas, papéis, políticas e métricas a revisar, priorizando por valor e risco.
4. Atualizar e implementar. Ajustar o roteiro de governança e integrar as mudanças às iniciativas em andamento.
5. Medir e sustentar. Reavaliar o desempenho, acompanhar as melhorias e continuar a revisão conforme o COBIT evoluir na plataforma.

Para quem está começando do zero, Lisa Cook sugeriu outra ordem: conhecer o framework, estudar os objetivos, percorrer os guias de implementação e de design e só então levar os conceitos aos executivos. Segundo ela, os executivos hoje resistem menos, porque entendem o risco pessoal e corporativo envolvido.

9. O que será gratuito e o que será pago

O modelo comercial também deve mudar. Tudo o que está nesta seção vem do webinar de pré-lançamento e ainda não foi confirmado oficialmente pela ISACA. A previsão apresentada é que 3 dos 5 livros fiquem abertos a qualquer pessoa, membro da ISACA ou não.

10. COBIT 7 e GRC: onde o framework se conecta

Um ponto do webinar merece destaque. Perguntada sobre a relação com o NIST e outros frameworks, a ISACA reforçou que o COBIT funciona como um guarda-chuva: ele não detalha, por exemplo, como gerir um servidor. Os mapeamentos mostram como cada prática se liga a outras normas, que entram como complemento. Até ferramentas de GRC foram citadas como apoio à adoção.

Na prática, isso coloca o COBIT 7 no centro das referências de GRC, ao lado de normas que costumam complementar a atuação profissional na área. As relações abaixo são uma síntese interpretativa da TIexames e não reproduzem uma matriz oficial de correspondência da ISACA.

É por isso que o COBIT raramente é aplicado sozinho. Ele dá a estrutura de governança de I&T, e as normas ISO dão a profundidade em cada tema. O raciocínio é o mesmo que descrevemos no artigo Como integrar normas ISO num único sistema de gestão: frameworks e normas funcionam melhor quando integrados do que como projetos paralelos.

11. Formações da TIexames em governança, riscos e compliance

O COBIT 7 reforça a abordagem organizacional da governança de I&T: ela conversa com riscos, compliance, dados e IA, e é cobrada pelo conselho. A TIexames oferece uma série de treinamentos que contribuem para a formação de profissionais na área de governança de TI:

• MBA em GRC (Governança, Riscos e Compliance), registrado no MEC: a trilha completa, com 360 horas e até 6 certificados internacionais, pensada para quem atua na interface entre TI e negócio.
• ISO/IEC 38500 Lead IT & Corporate Governance Manager: a norma cujos princípios aparecem na avaliação do COBIT 7 no nível do conselho.
• Process Governance Manager: governança de processos, base para os objetivos de gestão.
• ISO/IEC 20000-1 Lead Auditor: gerenciamento de serviços de TI, a profundidade operacional que o COBIT não detalha nos objetivos de entrega e suporte (domínio DSS).
• ISO 31000 Risk Manager: gestão de riscos corporativos, com complementos para segurança da informação, privacidade e IA.
• ISO/IEC 38505 Data Governance Manager: governança de dados, o tema do novo fator de design DF12.
• Formação AI Governance Manager e ISO/IEC 42001 Lead Implementer: para aprofundar a governança e a gestão de IA, temas contemplados nas atualizações do COBIT 7.

12. Por onde começar

O COBIT 7 preserva a base conceitual e amplia os recursos de aplicação: conteúdo vivo numa plataforma digital, fatores de design que enxergam IA e dados, e um módulo de avaliação que vai do conselho ao detalhe de cada componente. Quatro passos práticos para sair deste artigo com algo em andamento:

1. Acessar o material gratuito. A partir de 19 de novembro, se a previsão se confirmar, os livros 1, 2 e 4 estarão abertos na plataforma da ISACA. A página "COBIT 7 Coming Soon" já permite baixar uma visão geral e se inscrever para receber novidades.
2. Revisar o perfil de risco. Leve os cenários de IA e os dois fatores novos para a próxima revisão do sistema de governança. Mesmo quem não vai assinar o Premium pode usar a lógica dos fatores como roteiro.
3. Testar uma avaliação no nível do conselho. É a forma mais rápida de mostrar à alta direção onde a governança de I&T está e por que ela importa.
4. Atualizar a formação do time. Governança de I&T hoje se beneficia de conhecimento em riscos, compliance, dados e IA ao mesmo tempo. Quem tiver essa visão integrada vai liderar a próxima geração de programas de GRC.