COBIT 2019 e Governança de IA – parte III: um case real
Por Felipe Siqueira
Quando se observa o movimento recente de KPMG e da Microsoft para escalar agentes de IA corporativos com Agent 365 e Copilot, é possível enxergar, em um caso concreto, o tipo de cenário no qual o COBIT 2019 pode auxiliar na governança de IA.
Não é mais o uso pontual de IA em um piloto isolado; é IA distribuída em larga escala entre profissionais de auditoria, impostos e consultoria, com preocupação explícita com governança, risco, compliance e responsabilidade. Em vez de falar só em “ferramenta” ou “assistente”, a empresa está desenhando um sistema de IA que precisa ser governado como parte da própria TI corporativa.
IA deixando de ser experimento
O anúncio conjunto mostra dois movimentos importantes:
A criação de uma camada de coordenação de IA para toda a organização, que passa a gerenciar como “agentes de IA” são desenhados, implantados, monitorados e atualizados.
A expansão de soluções baseadas em IA para dezenas de milhares de profissionais, integrada às plataformas de trabalho já existentes, como ambientes de auditoria digital e de colaboração corporativa.
Em termos práticos, isso significa tratar IA como parte do modelo operacional, e não como um acessório: a IA entra em fluxos de trabalho reais (planejamento de auditoria, análise de dados, atendimento a clientes), usando dados sensíveis e influenciando decisões relevantes. Esse tipo de cenário não se sustenta sem um sistema de governança bem estruturado.
O que é o Workbench da KPMG
Nesse contexto, a peça central é a KPMG Workbench. Em vez de ser “mais uma ferramenta”, a Workbench é descrita pela própria KPMG como uma plataforma de IA multiagente, desenvolvida com tecnologia da Microsoft, que reúne diferentes “assistentes digitais” em um único ambiente controlado.
A Workbench é um ponto central onde a empresa acompanha todos os agentes de IA que usa: quais existem, onde estão rodando, que tarefas executam, a quais dados têm acesso e sob quais regras.
Ela é construída sobre serviços de nuvem voltados a IA, com recursos para garantir interoperabilidade (os agentes conseguem “conversar” entre si quando necessário), controle sobre dados (soberania, proteção, conformidade regulatória) e integração com outros sistemas corporativos já em uso.
A plataforma é apresentada como base estruturante de outras soluções da KPMG, como ambientes de auditoria digital, portais de consultoria e ferramentas de gestão fiscal, dando um lugar único para desenhar e aplicar políticas de governança sobre IA.
Se traduzirmos isso para a linguagem do COBIT, a Workbench é um dos elementos do sistema de governança de TI, pois ajuda a garantir que os usos de IA estejam sob controle, alinhados às estratégias, integrados ao gerenciamento de risco e apoiados por processos com trilha de auditoria.
Onde COBIT 2019 se conecta a esse cenário
Mesmo que o case não cite COBIT diretamente, a estrutura pode ser lida à luz dos domínios de governança e gestão que você já viu nas Partes 1 e 2.
No nível de governança (domínio EDM – Avaliar, Direcionar e Monitorar), o que aparece é a decisão estratégica de adotar IA de forma ampla, mas com ênfase em confiança, controle e responsabilidade. É aqui que se define: a finalidade de uso de IA, qual é o grau de apetite de risco, quais princípios éticos e regulatórios precisam ser respeitados.
No nível de gestão (APO – Alinhar, Planejar e Organizar), entra o desenho do modelo de IA: quem são os responsáveis, quais processos receberão apoio de agentes de IA, como isso será integrado à arquitetura de TI e aos planos de transformação digital.
Em BAI – Construir, Adquirir e Implementar, vemos o desenvolvimento e implantação dos agentes dentro da Workbench e de plataformas como KPMG Clara (auditoria digital), sempre seguindo diretrizes de segurança, qualidade de dados e aderência a requisitos de negócio.
Em DSS – Entregar, Servir e Suportar, a IA passa a atuar no dia a dia: agentes que ajudam na preparação de papéis de trabalho, na análise de grandes volumes de dados, em verificações de identidade ou em tarefas de compliance, com suporte a usuários e monitoramento de disponibilidade e desempenho.
Em MEA – Monitorar, Avaliar e Analisar, surge a necessidade de acompanhar continuamente como a IA está performando, se existem riscos novos emergindo (por exemplo, erros sistemáticos de modelos, uso indevido de dados) e que ajustes precisam ser feitos nas políticas e controles.
Ou seja: os domínios de COBIT 2019 oferecem uma estrutura de perguntas que se encaixa bem nesse tipo de iniciativa. Quem está em GRC ou auditoria de TI consegue olhar para um caso como o da KPMG e perguntar, com base em COBIT:
Como se dão as decisões de alto nível sobre IA (EDM)?
Como o plano de IA está integrado com estratégia corporativa e a operação da TI (APO)?
Os agentes são desenhados e implantados com controle (BAI)?
Como a operação diária dos agentes é suportada e protegida (DSS)?
Que tipo de monitoramento e avaliação existe sobre esse ecossistema (MEA)?
Fechando a série: de princípios a casos reais
Na Parte 1 desta série, a discussão foi sobre a base: como COBIT 2019 pode servir de referência para pensar governança de IA de forma estruturada, sem tratar IA como algo “exótico” separado da governança de TI.
Na Parte 2, o foco foi em ligar IA aos domínios de COBIT – EDM, APO, BAI, DSS e MEA –, mostrando que é possível encaixar decisões, riscos e controles de IA em uma linguagem já familiar para auditores, gestores de TI e profissionais de GRC.
Agora, na Parte 3, o caso KPMG + Microsoft ajuda a visualizar isso em um ambiente real: uma firma global usando IA em escala, com uma plataforma multiagente (Workbench) como ponto central de governança e uma preocupação explícita com segurança, controle sobre dados e conformidade.
Para quem está desenhando planos de auditoria, revendo matrizes de risco ou atualizando políticas de TI, a reflexão que fica é: IA já está deixando de ser piloto e se tornando parte estrutural do fluxo processual e operacional de muitas organizações. A diferença entre fazer isso de forma improvisada e fazê-lo apoiado em um sistema de governança como o descrito em COBIT 2019 pode ser a diferença entre gerar valor de forma consistente para o negócio ou acumular risco silencioso e não gerido.
Encerrar a série aqui é, na verdade, abrir uma próxima frente: olhar para o seu próprio contexto – seus dados, seus projetos de IA, seus processos de negócio – e perguntar com sinceridade: estamos prontos para tratar IA como parte da governança de TI corporativa, ou ainda estamos no modo “experimento” sem governança por trás?
