Governança não é burocracia: é quem decide e responde por quê

Governança reúne mecanismos de liderança, estratégia e controle para avaliar, direcionar e monitorar quem executa, e vira burocracia quando falta evidência. O Decreto nº 9.203/2017 e a Resolução CMN nº 4.893/2021 fixam princípios e exigem diretor responsável. Aplicada à telemetria, decide atributos, retenção, acesso e custo, distribui papéis nominais e se implanta em cinco passos.

Duas perguntas separam governança de teatro corporativo: quem decidiu isto, e com base em qual evidência. Organizações que não respondem às duas produzem ata, não decisão. A diferença aparece no dia em que alguém precisa explicar, meses depois, por que o sistema parou.

A palavra nomeia também a governança clínica, a familiar, a global e a de hotelaria. A governança organizacional, a que direciona a execução e presta contas pelo resultado, é a que responde àquelas duas perguntas dentro de uma empresa ou de um órgão público.

O que é governança, na definição que sustenta decisão

Governança é um sistema, e não um documento nem uma reunião. O Decreto nº 9.203/2017, no Art. 2º, inciso I, define governança pública como o conjunto de mecanismos de liderança, estratégia e controle postos em prática para avaliar, direcionar e monitorar a gestão. O Instituto Brasileiro de Governança Corporativa, ou IBGC, usa a mesma chave e descreve governança corporativa como o sistema de princípios, regras, estruturas e processos pelo qual as organizações são dirigidas e monitoradas.

Governança e gestão não são a mesma coisa

Governança é a função direcionadora e gestão é a função realizadora, na formulação do Tribunal de Contas da União, ou TCU. A distinção é de competência decisória, e não de hierarquia ou de tamanho de equipe.

Governança decide o que precisa acontecer e gestão faz acontecer. Quando a mesma pessoa exerce as duas funções sem separação de papéis, o que sustenta o resultado é confiança pessoal, e não controle verificável.

Os três mecanismos: liderança, estratégia e controle

Liderança, estratégia e controle são os três mecanismos que sustentam governança, e também os pilares fixados no Decreto nº 9.203/2017. Liderança é quem tem autoridade formal para decidir e assume o efeito da decisão, o que exige nome de pessoa e não nome de área.

Estratégia é a direção escolhida somada ao que a organização aceita sacrificar por ela, porque direção sem renúncia declarada não orienta prioridade. Controle é o modo como se verifica, com dado, se a direção está sendo seguida, e é o mecanismo que falha primeiro quando a evidência não existe de forma consultável.

O ciclo avaliar, direcionar e monitorar

Governança opera em ciclo, com três verbos fixos. Avaliar é ler o cenário com evidência antes de decidir, comparando a latência do pagamento com o limite que o negócio aceita. Direcionar é emitir a decisão de forma explícita, com dono e prazo. Monitorar é acompanhar o resultado por indicador verificável.

A mesma tríade aparece na norma brasileira e no modelo Evaluate, Direct, Monitor da ISO/IEC 38500, cuja terceira edição é de fevereiro de 2024. Convergência entre norma nacional e norma internacional reduz o custo de sustentar dois vocabulários de governança dentro da mesma organização.

O que governança não é: compliance, auditoria e gestão de riscos

Governança convive com compliance, auditoria interna e gestão de riscos, em vez de ser substituída por qualquer uma delas. Compliance verifica aderência a regra externa e auditoria interna verifica de forma independente. Gestão de riscos é, no Art. 2º, inciso IV do Decreto nº 9.203/2017, processo permanente direcionado pela alta administração, e serve de insumo à governança.

Governance, Risk and Compliance, ou GRC, é o guarda-chuva que reúne as três disciplinas em uma estrutura única de reporte. Governabilidade é outra coisa ainda: a condição de exercer poder, enquanto governança é o modo como esse poder é exercido e registrado.

Por que governança virou sinônimo de burocracia

A fama de burocracia tem origem concreta. Na reunião mensal, o número de disponibilidade aparece na tela, alguém do time de aplicação afirma que o mês foi pior porque o pagamento ficou instável na terça, e ninguém checa a origem dos dois números. A ata registra “alinhar metodologia de cálculo” e o ciclo recomeça no mês seguinte.

A causa desse ritual é a ausência de fato. Decisão sem evidência precisa de formalidade para parecer legítima, e quanto pior a evidência, mais assinatura o processo exige. Governança serve para o oposto, porque a decisão passa a ter dono, evidência e prazo de revisão.

Três perguntas testam qualquer decisão. Quem decidiu, com nome de pessoa. Com qual evidência, e onde ela está consultável hoje. Quando a decisão será revista, com data no calendário. Se as três respostas existem, há governança. Se falta uma, o que existe é procedimento.

Os princípios de governança que já estão escritos no Brasil

Decreto nº 9.203/2017 e a governança pública

A governança pública brasileira tem seis princípios no Art. 3º do Decreto nº 9.203/2017: capacidade de resposta; integridade; confiabilidade; melhoria regulatória; prestação de contas e responsabilidade; transparência. O decreto define ainda valor público, no Art. 2º, inciso II, como os resultados que representem respostas úteis ao interesse público.

IBGC: os cinco princípios da 6ª edição

A governança corporativa brasileira tem cinco princípios na 6ª edição do Código das Melhores Práticas do IBGC, lançada em 01 de agosto de 2023: integridade, transparência, responsabilização, equidade e sustentabilidade. Integridade entrou como princípio novo nessa edição. Responsabilização, ou accountability, é assumir a responsabilidade pelas consequências dos próprios atos e omissões.

Governança de TI: ISO/IEC 38500 e COBIT

Governança de TI aplica esses mecanismos ao uso de tecnologia, definindo quem decide sobre investimento, arquitetura e risco tecnológico. A ISO/IEC 38500 estrutura a decisão no ciclo de avaliar, direcionar e monitorar, e o COBIT é o framework de controle e auditabilidade que separa o domínio de governança dos domínios de gestão.

O Art. 50 da Lei nº 13.709/2018, a LGPD, acrescenta o programa de governança em privacidade, com comprometimento demonstrável e políticas baseadas em avaliação sistemática de impactos e riscos. A exigência de demonstração é o ponto que aproxima privacidade de observabilidade, porque demonstrar exige registro retido.

Quando a norma nomeia uma pessoa: a Resolução CMN nº 4.893/2021

A Resolução CMN nº 4.893, de 26 de fevereiro de 2021, é o ponto em que governança deixa de ser abstração no Brasil. O Art. 7º determina que as instituições autorizadas pelo Banco Central designem diretor responsável pela política de segurança cibernética e pela execução do plano de resposta a incidentes.

A mesma resolução exige, no Art. 3º, controles voltados para a rastreabilidade da informação e para o registro da causa dos incidentes relevantes. O Art. 8º determina relatório anual com data-base de 31 de dezembro, apresentado ao conselho de administração até 31 de março. A norma brasileira já resolveu a questão do responsável: governança sem nome não é governança.

Governança aplicada aos dados: onde a decisão encontra a evidência

Governança precisa monitorar, e monitorar exige dado. O dado de operação, com log, métrica e trace, responde às quatro perguntas de qualquer governança de dados: o que entra, quanto tempo fica, quem vê e quem paga. É por isso que a observabilidade full-stack, que reúne aplicações, infraestrutura, cloud e experiência digital no mesmo contexto correlacionado, virou pauta de conselho de administração.

Governança de atributos: quando o nome do dado é decisão

Governança de atributos decide como cada coisa se chama dentro da telemetria. O OpenTelemetry é o padrão USB-C da telemetria, e suas semantic conventions, ou convenções semânticas, definem service.name como o único atributo obrigatório de um recurso, em minúsculas e com namespace separado por ponto.

O erro de campo é banal e caro. Uma equipe emite app.name em vez de service.name, outra emite region em vez de cloud.region, e o mesmo serviço passa a existir com três nomes. O dashboard deixa de agrupar, e para o Site Reliability Engineer, ou SRE, em plantão, isso separa achar a causa raiz em minutos de reconstruir o caminho manualmente.

A regra que resolve o problema na origem é curta: atributo obrigatório definido em convenção escrita, prefixo reservado para atributo customizado e validação antes da entrada em produção. Corrigir depois exige reprocessar histórico, o que custa mais do que a convenção teria custado.

Em 21 de maio de 2026 a CNCF anunciou a graduação do OpenTelemetry, com mais de 12.000 contribuidores de mais de 2.800 empresas. Nessa escala, nome de atributo deixa de ser convenção interna e vira interface entre empresas.

Governança de retenção: quanto tempo o dado precisa existir

Retenção é decisão de governança, e não configuração técnica. Ela se define por obrigação regulatória, por valor de investigação e por custo, com prazos distintos por tipo de dado. Na plataforma Dynatrace, a decisão vira bucket do Grail, unidade que particiona o dado por conformidade, retenção ou licenciamento.

Logs são o diário de bordo. Quando o auditor pergunta meses depois, a resposta vem de consulta no Dynatrace Query Language, ou DQL, sobre o histórico retido, e não de reconstrução a partir de memória de equipe.

Governança de acesso: quem pode ver qual dado

Governança de identidade e acesso decide quem pode ver qual dado. Telemetria carrega informação sensível, e deixar todo mundo ver tudo também é uma decisão, ainda que não declarada em lugar nenhum. Na plataforma Dynatrace, a política atua em nível de registro e pode negar leitura de dado classificado como sensível.

Governança de custo: volume sem dono cresce sem limite

Custo de telemetria sem dono é a conta que vem maior e ninguém explica por quê. A plataforma Dynatrace aloca por dois eixos simultâneos, centro de custo e produto ou serviço, o que muda a conversa de cortar dado para cada área enxergar o que gera.

Sampling é a pesquisa eleitoral. Em sistemas críticos, o sampling tail-based é geralmente preferido, porque decide o que guardar depois de observar o resultado da transação e preserva justamente os eventos que precisam de análise. Identificador único por requisição explode a cardinality e multiplica custo sem melhorar decisão alguma.

Quatro perguntas que viram controle

As quatro decisões dependem de saber como o ambiente está conectado agora. Para o arquiteto, o Smartscape é o mapa das dependências. Para o SRE em plantão, é o atalho que mostra o caminho do impacto.

Quem responde por quê: desenhando a atribuição de responsabilidade

Governança se torna operável quando quatro papéis recebem decisões diferentes, cada um com a evidência que sustenta a sua e com um destinatário definido de prestação de contas.

A matriz RACI organiza isso em quatro posições: quem executa, quem responde no fim, quem é consultado e quem é informado. Aplicada a uma decisão como aprovar nova fonte de ingestão, ela mostra que o responsável pela execução e o responsável final são pessoas diferentes, e essa separação é segregação de funções.

A objeção previsível de quem trabalha em entrega contínua é que controle atrasa implantação. A resposta é técnica: governança define o critério uma vez e delega a aplicação, e a operação o aplica muitas vezes sem pedir licença. A regra de prefixo em atributo customizado vira política escrita em Rego e executada pelo Open Policy Agent a cada build.

Governança na prática por setor

Governança muda de ênfase conforme o setor, e quatro recortes cobrem a maior parte dos casos brasileiros.

Em órgãos públicos, a pergunta que a governança precisa responder é quem decidiu qual lentidão é aceitável para o cidadão no último dia do prazo de um portal de tributos. O custo da indisponibilidade é social e político antes de ser financeiro, e a resposta precisa estar documentada quando o controle externo perguntar.

Em instituições financeiras, a Resolução CMN nº 4.893/2021 dá prazo e nome à resiliência operacional, com diretor responsável, rastreabilidade da informação e cenários definidos para o teste de continuidade de negócios. A obrigação regulatória transforma evidência retida em requisito, e não em boa prática opcional.

Em cooperativas, a mesma resolução admite política única por sistema cooperativo de crédito, o que permite muitas praças sob uma governança só. A contrapartida é a convenção de nomes: se cada praça nomeia o serviço de um jeito, o painel regional não agrupa e a comparação de performance entre praças deixa de existir.

Em empresas privadas de grande porte, a governança se mede pelo critério escrito sobre o que degrada experiência digital. Com esse critério definido antes da implantação, a equipe entrega mais rápido, porque a discussão sobre risco já foi feita e não se repete a cada versão.

Erros comuns de governança e o que cada um custa

Governança falha de maneiras previsíveis, e três erros aparecem com frequência em implantação real.

Coletar tudo sem propósito dispara o custo de ingestão e derruba a velocidade de consulta, até a equipe perder confiança na plataforma. Decidir o que entra fica mais simples quando as cinco capacidades essenciais estão nomeadas: Application Performance Monitoring, ou APM, monitoramento de infraestrutura e cloud, Digital Experience Monitoring, ou DEM, Artificial Intelligence for IT Operations, ou AIOps, e compliance e governança de performance.

Governança sem responsável nominal produz o efeito conhecido de que, quando todo mundo é responsável, ninguém responde. Área não presta contas, porque área não comparece a reunião de conselho nem assina decisão. O nome de uma pessoa resolve o problema que nenhum organograma resolve.

Buscar causa raiz por dashboard é o terceiro erro. A IA causal atua na identificação da causa e do contexto do problema, enquanto os dashboards organizam e tornam exploráveis os sinais operacionais. O Davis, dentro do Dynatrace Intelligence, é o motor de inteligência artificial causal que aponta a causa raiz sobre o mapa de dependências, descreve o impacto no negócio e indica as transações afetadas.

Como implantar governança sem transformar tudo em comitê

Governança começa pelo diagnóstico das decisões que já existem, e não pela redação da política. São cinco passos, nesta ordem.

1. Mapear as decisões tomadas hoje sobre o ambiente, e por quem.
2. Identificar as que não têm evidência consultável no momento em que alguém perguntar.
3. Escolher as três mais críticas pelo efeito no negócio.
4. Definir responsável nominal e indicador para cada uma delas.
5. Escrever a política só depois disso.

A avaliação inicial de maturidade cabe nesse movimento. A implantação em ondas entrega valor visível em poucas semanas, em vez de um modelo completo que ninguém verifica. Governança que não se revisa apodrece, porque o critério envelhece junto com o ambiente que ele pretendia descrever.

Revisões com data marcada, que reajustam critério, retenção e alocação de custo, são o que sustenta governança de performance continuada. O gargalo, a essa altura, deixou de ser conceito e passou a ser cobertura: o OneAgent descobre toda a stack de um host, contêiner ou ambiente cloud a partir de uma instalação, sem configuração manual por componente.

O modelo híbrido de OneAgent com OpenTelemetry é a resposta usual de quem tem parque legado convivendo com serviços novos. Treinamento por perfil profissional entra junto, porque plataforma subutilizada vira custo sem contrapartida, e critério que ninguém sabe aplicar não vira controle.

São cinco os elementos mínimos: política escrita, papel responsável nomeado, indicador verificável, evidência retida e cadência de revisão. Faltando um deles, o que existe é intenção.

Perguntas frequentes sobre governança

O que é governança de dados no dia a dia?

Governança de dados responde a quatro perguntas: o que se coleta, quanto tempo se retém, quem consulta e quem responde pelo custo. As quatro valem tanto para dado cadastral quanto para dado de operação, e nenhuma delas é resolvida por configuração de ferramenta.

Existe lei brasileira que obrigue a nomear um responsável pela governança?

Sim, no setor financeiro. A Resolução CMN nº 4.893/2021 determina, no Art. 7º, que instituições autorizadas pelo Banco Central designem diretor responsável pela política de segurança cibernética e pela execução do plano de resposta a incidentes.

Qual a diferença entre governança e compliance?

Governança decide e presta contas pela decisão, enquanto compliance verifica aderência a regra externa já existente. Uma organização pode estar em conformidade com todas as normas aplicáveis e ainda assim não ter governança, se não souber dizer quem decidiu o que, com qual evidência e em qual data.

Governança exige criar comitê?

Não. Comitê é um dos formatos possíveis de instância decisória, e não o requisito. Os elementos mínimos são política escrita, responsável nomeado, indicador verificável, evidência retida e cadência de revisão. Uma decisão registrada com dono e data cumpre mais governança do que uma reunião mensal sem evidência.

Como governança de observabilidade se relaciona com governança corporativa?

Governança de observabilidade é a aplicação dos mesmos mecanismos ao dado de operação, decidindo atributos, retenção, acesso e custo. Ela alimenta a governança corporativa com a evidência que o conselho de administração cobra quando pergunta por que o sistema parou e o que impede a reincidência.

As três perguntas de governança, quem decide, com qual evidência e quando isso será revisto, só têm resposta quando existe uma camada de dado confiável embaixo delas. Desenhar essa camada é trabalho de decisão antes de ser trabalho de ferramenta, e a Rike IS conduz esse desenho com as equipes de operações e de arquitetura, do diagnóstico do ambiente atual às políticas que passam a valer, com consultoria, implantação, treinamento e governança contínua em observabilidade sobre a plataforma Dynatrace. Governança não é o comitê que se marca, é a decisão que se consegue explicar depois.

Este conteúdo tem finalidade informativa e não constitui orientação jurídica nem parecer de conformidade. A responsabilidade pela adequação às normas aplicáveis é da organização contratante.