Qual a diferença entre outsourcing e co-sourcing de serviços de TI?

Caro leitor,

O significado de todas estas buzzwords pode ser facilmente encontrado na internet pelo que gostaria de destacar sobretudo algumas das minhas principais preocupações relativamente à utilização, ou má utilização, das mesmas.

Se tivermos em consideração os dois modelos referidos pelo leitor, nos últimos anos o outsourcing foi sem dúvida um dos modelos de fornecimento de serviços de TI mais utilizados. Correndo o risco de simplificar ao generalizar, eu diria que ao longo dos anos fui ganhando bastantes reservas quanto à utilização da palavra outsourcing no contexto dos sistemas de informação. Tal deve-se ao facto de sempre ter trabalhado nos domínios de governança, gestão, riscos ou controlos de sistemas de informação, responsabilidades estas que não podem, ou pelo menos não devem ser plenamente transferidas para a responsabilidade de terceiros.

· Processos de governança, gestão e operação – Se tivermos em consideração estras três dimensões dos processos, os modelos de outsourcing serão sempre mais adequados para a dimensão das operações uma vez que a governança e a gestão deverão sempre continuar internamente. Sendo assim, empresas de fornecimento externo poderão reforçar a eficiência operacional através da adoção de boas práticas como ISO20K ou ISO27K, no entanto frameworks como COBIT 5 poderão sempre continuar a ser implementadas internamente, pois representam a forma com as tecnologias de informação corporativas deverão ser geridas por para que possam suportar a criação de valor da Empresa;

· Visão de risco e controlos – Quando analisamos o sistema de informação no seu contributo para o ambiente de controlo da Empresa, os riscos tecnológicos e a decisão sobre as estratégicas de mitigação deverão sempre permanecer sob a responsabilidade interna. Desta forma, riscos operacionais poderão ser transferidos para responsabilidades externas, no entanto os riscos tecnológicos passarão a estar relacionados com as responsabilidades de gestão e monitorização das entidades externas;

· Modelos RACI de responsabilidades – O modelo RACI ajuda a entender o que deve ou não deve ser transferido para responsabilidade externa. Em grande medida, responsabilidades de “Accountability” deveriam permanecer na Empresa, podendo as de “Responsability” ser externalizadas. Desta forma seria garantida um correto alinhamento entre as partes internas e externas relacionadas com o processo de sistemas de informação;

· Competências – O primeiro passo para a decisão da externalização deveria estar relacionado com uma decisão de otimização dos recursos relacionados com os processos e as competências contribuem em grande medida para essa decisão. As Empresas necessitam cada vez mais de garantir respostas ágeis às necessidades dos stakeholders internos e externos, sendo cada vez mais necessário gerir o alinhamento da complexidade das tecnologias de informação com as competências dos colaboradores. Ao recorrer a fornecimentos externos as Empresas deverão sempre ter em consideração quais as vantagens competitivas de desenvolver determinadas competências internas ou recorrer a fornecedores externos para suprir essas necessidades. Se tivermos em consideração as dimensões dos processos anteriormente referidas, será natural que no futuro as empresas desenvolvam internamente sobretudo as competências relacionadas com a governança e gestão (relacionadas com alinhamento, planeamento, organização e monitorização do sistema de informação) e externalizem competências mais operacionais (relacionadas com os domínios de aquisição, desenvolvimento, implementação e exploração).

Sendo assim, se tivermos em consideração uma visão mais alargada do sistema de informação, nunca se deveria referir genericamente que “as nossas TIs estão em outsourcing” , devendo sempre ser consideradas as responsabilidades internas e privilegiada uma visão mais alinhada com “as nossas Tis estão em co-sourcing ” .

Bruno Horta Soares, CISA®, CGEIT®, CRISC ^™ , PMP®