Tópico 6.4 — Governança e garantia

A governança existe para ajudar vocês a tomar decisões boas, rápidas e seguras e a provar — a si mesmos, ao seu conselho e ao público — que um serviço digital está sendo conduzido com responsabilidade; tratem-na, portanto, como um facilitador da entrega, e não como um imposto sobre ela.

Por que isso importa na saúde e nos cuidados#

Na maioria dos setores, uma governança fraca custa dinheiro e reputação. Na saúde e nos cuidados, pode custar vidas, entrincheirar a iniquidade e corroer a confiança pública da qual todo o sistema depende. Uma mudança mal governada num sistema clínico pode propagar um erro de dosagem a milhares de pacientes antes que alguém perceba; um fluxo de dados sem governança pode violar a confidencialidade das pessoas mais vulneráveis que vocês atendem; uma entrada em produção sem garantia pode fixar um serviço que exclui em silêncio quem mais precisa de cuidado. O que está em jogo é a razão pela qual "como vocês trabalham" é uma questão de segurança clínica, de equidade e de confiança, e não meramente de eficiência.

Ao mesmo tempo, a governança na saúde e nos cuidados tem uma reputação merecida de ser lenta, ritualística e desconectada da entrega. As equipes passam por reuniões de conselho que carimbam decisões já tomadas, preenchem modelos que ninguém lê e veem riscos âmbar virarem verdes na semana anterior a uma revisão só para fracassar de modo espetacular depois. Esse é o paradoxo que vocês precisam resolver. A resposta não é menos governança nem mais; é governança proporcional, que escala com o risco e o valor, dá a pessoas claras uma responsabilização clara e produz informação honesta rápido o bastante para agir sobre ela. Este tópico mostra como construí-la e como sobrepor a ela uma garantia independente, para que os responsáveis — e o público — possam ter confiança de que os controles realmente funcionam. Liga-se de perto ao Tópico 1.6 — Segurança clínica e gestão de riscos, ao Tópico 1.7 — Governança da informação, proteção de dados e cibersegurança, ao Tópico 5.3 — EPPM e ao Tópico 10.4 — Visibilidade para o CEO e a liderança sênior.

Conceitos centrais#

A governança é o sistema de direitos de decisão, responsabilização e supervisão pelo qual uma organização dirige e controla o que faz. No digital da saúde e dos cuidados, vocês gerem, na verdade, três domínios de governança sobrepostos ao mesmo tempo. A governança corporativa abrange a gestão do conselho sobre a organização como um todo — finanças, estratégia, risco e deveres legais. A governança clínica é o arcabouço pelo qual as organizações de saúde são responsáveis por melhorar continuamente a qualidade e a segurança do cuidado. A governança da informação abrange como a organização trata os dados de forma lícita, segura e ética. Um serviço digital toca os três; se vocês governarem apenas um, serão pegos de surpresa pelos outros.

A responsabilização de ponto único é a espinha dorsal da boa governança. O Responsável Sênior (SRO) é o único indivíduo nomeado pessoalmente responsável por um programa ou grande projeto atingir seus objetivos e realizar seus benefícios — um papel popularizado pelo governo do Reino Unido, mas universalmente útil. Os direitos de decisão abaixo do SRO são explicitados por uma matriz de atribuição de responsabilidades, comumente na forma RACI (responsável, aprovador/responsabilizável, consultado, informado), que previne as duas falhas clássicas de "todos pensaram que outra pessoa era dona" e "todos tentaram ser donos".

A garantia é distinta da governança. A governança é o ato de dirigir e decidir; a garantia é a confirmação independente e objetiva de que a governança e os controles estão de fato funcionando como pretendido. O modelo mental dominante são as "três linhas de defesa": a primeira linha é a gestão operacional, que é dona do risco e o gerencia no dia a dia; a segunda linha são as funções de supervisão (risco, conformidade, segurança clínica, governança da informação), que definem políticas e contestam; e a terceira linha é a auditoria interna, independente de ambas, que se reporta ao conselho. Reguladores e auditores externos formam uma quarta linha de fato.

Dois outros conceitos mantêm o sistema unido. O apetite de risco é a quantidade e o tipo de risco que a organização está disposta a aceitar na busca de seus objetivos; sem ele, a escalação é arbitrária. E o registro de riscos — frequentemente estendido a um registro RAID (riscos, premissas, problemas, dependências) construído sobre a mesma disciplina de um registro de riscos — é o registro de trabalho que mantém uma entrega honesta. Os pontos de revisão são fornecidos por uma garantia em etapas, como um processo de portões de fase e, no governo do Reino Unido, revisões do tipo gateway conduzidas pela Infrastructure and Projects Authority (IPA). Acima do nível de qualquer projeto isolado situa-se a gestão de riscos corporativos, a disciplina em toda a organização de identificar e gerir os riscos que poderiam impedir a empresa inteira de atingir seus objetivos, em vez de tratar os riscos digitais, clínicos, financeiros, cibernéticos e operacionais como silos separados.

Boas práticas#

1. Nomeiem um SRO responsável e façam isso valer. Nomeiem um único indivíduo suficientemente sênior, pessoalmente responsável pelo resultado, com autoridade para tomar decisões e que permaneça no programa por tempo suficiente para ser cobrado. Escrevam a responsabilização dele nos termos de referência e nos seus objetivos. Resistam à tentação de espalhar a responsabilização por um comitê — os comitês aconselham e decidem coletivamente, mas não podem ser responsáveis, porque responsabilização compartilhada é responsabilização ausente.

2. Projetem a governança para se ajustar ao risco e ao valor, e não ao calendário. Uma pequena ferramenta interna de baixo risco não precisa do mesmo conselho, dos mesmos portões e da mesma papelada que um prontuário eletrônico do paciente de toda uma região. Definam faixas para que o trabalho de baixo risco e baixo valor flua por uma governança leve em nível de equipe, enquanto o trabalho de alto risco ou alto valor atraia conselhos formais e revisão independente. Publiquem os limiares para que as equipes saibam em que faixa estão e possam se autoatender. A proporcionalidade é o que impede a governança de virar um gargalo que as equipes contornam.

3. Escrevam termos de referência que esclareçam os direitos de decisão. Todo conselho deve ter um breve documento de termos de referência que declare seu propósito, composição, quórum, que decisões pode tomar, o que só pode recomendar e o que deve escalar acima dele. Pareiem isso com um RACI para que os tipos recorrentes de decisão — escolhas de arquitetura, aprovação clínica, liberação de orçamento, aprovação de entrada em produção — tenham um responsável nomeado. Direitos de decisão ambíguos são a causa isolada mais comum de deriva da governança, em que as reuniões se multiplicam porque ninguém tem certeza de quem pode de fato dizer sim.

4. Separem a garantia da governança e usem as três linhas. Não deixem que as pessoas que entregam um programa sejam as únicas a garantir que ele é seguro. Assegurem que a segunda linha — responsáveis pela segurança clínica, líderes de governança da informação, cibersegurança — tenha uma voz independente e possa escalar por cima do SRO quando necessário e que a auditoria interna teste periodicamente o sistema inteiro. Essa separação é o que transforma o autorrelato otimista em garantia crível, e é uma expectativa regulatória na maioria dos sistemas de saúde, e não um enfeite.

5. Usem garantia integrada e pontos de revisão em etapas. Em vez de encomendar revisões descoordenadas, planejem um cronograma integrado de garantia e aprovação que alinhe as revisões de segurança clínica, governança da informação, técnicas e comerciais aos mesmos pontos de decisão. Adotem revisões do tipo gateway nas transições que importam — antes de comprometer dinheiro, antes de construir, antes da entrada em produção —, modeladas nas revisões de gateway da IPA e, para serviços digitais voltados ao público, nas avaliações de serviço pioneiras do Government Digital Service (GDS) e adaptadas pelo NHS. Um bom portão é um desafio de apoio que reduz o risco da próxima fase, e não uma prova a ser burlada.

6. Tornem explícito o apetite de risco e deixem-no guiar a escalação. Acordem, em nível de conselho, quanto risco vocês estão dispostos a carregar em cada domínio — segurança do paciente, dados, entrega, finanças, reputação — e expressem-no de forma concreta o bastante para que uma equipe possa dizer se um dado risco está dentro ou fora do apetite. Depois liguem a escalação ao apetite: tudo que esteja fora do apetite sobe automaticamente, com um responsável nomeado e um prazo de decisão. Isso evita os dois modos de falha de trivialidades entupindo o conselho e riscos sérios parados em silêncio numa planilha.

7. Mantenham um registro RAID vivo e um Board Assurance Framework. Mantenham um registro RAID revisto a cada ciclo de entrega, com cada entrada com dono, data, pontuação e trabalhada ativamente — e não um cemitério de itens âmbar obsoletos. Em nível organizacional, mantenham um Board Assurance Framework (BAF) que mapeie os principais riscos estratégicos aos controles existentes e à garantia de que esses controles funcionam, expondo as lacunas em que vocês dependem de esperança. O BAF é o que permite a um conselho ver, numa página, se seus objetivos mais importantes estão de fato protegidos.

8. Reportem com honestidade e acabem com o teatro da governança. Insistam em relatórios de situação francos, que tragam as más notícias cedo, e protejam as pessoas que as levantam. Fiquem atentos ao "relato melancia" — verde por fora, vermelho por dentro —, em que os painéis permanecem verdes até o momento da falha; combatam-no fazendo as funções de garantia e os líderes de entrega reportarem sobre os mesmos fatos. Cortem qualquer reunião, modelo ou relatório que não mude uma decisão. A governança que produz documentos sobre os quais ninguém age não é cautela, é desperdício vestido de diligência.

9. Gerenciem o risco em nível corporativo, e não apenas de projeto. Mantenham um registro de riscos corporativos em nível de conselho e uma declaração escrita de apetite de risco que conecte os riscos digitais, clínicos, financeiros, cibernéticos e operacionais, em vez de tratar cada um em seu silo. Muitos dos riscos que de fato afundam os serviços digitais de saúde — um parque envelhecido de sistemas legados, um ciberataque, a dependência excessiva de um único fornecedor — atravessam todos os projetos e não são de nenhum deles; deem, portanto, a cada risco transversal um responsável executivo nomeado e um lugar no registro. Essa é a diferença entre saber que os programas estão cada um mais ou menos no rumo e saber se a organização como um todo está dentro do seu apetite.

10. Agreguem os mesmos riscos até o conselho sem higienizá-los. Liguem as suas três linhas de defesa de modo que um risco visto por uma equipe de entrega suba ao registro corporativo de forma reconhecível, e não reembalado em linguagem tranquilizadora a cada camada. O BAF e o registro corporativo só são tão honestos quanto o relato que há por baixo; resguardem-se, portanto, do efeito melancia, em que o âmbar vira verde a caminho do topo, e tornem rotineiro escalar os riscos transversais — legado, cibersegurança, concentração de fornecedores — de que nenhum projeto isolado é dono. Um conselho que vê apenas números agregados e suavizados não consegue governar os riscos que mais importam.

Perguntas para discutir com a sua equipe#

1. Onde a responsabilização de ponto único é genuinamente clara no nosso trabalho digital mais importante, e onde é uma ficção confortável? Percorram as três principais iniciativas e perguntem, para cada uma, quem responderia pessoalmente perante o conselho se ela falhasse. Se a resposta honesta é "o conselho", "o programa" ou um nome que não para de mudar, vocês têm uma lacuna. Testem se o SRO nomeado de fato tem a autoridade e o tempo que o papel exige, ou se é um figurante enquanto as decisões reais acontecem em outro lugar. Considerem se a responsabilização é minada por uma matriz em que o SRO não pode dirigir as pessoas que entregam. Discutam como a continuidade é protegida quando os SROs seguem em frente, já que uma responsabilização que se reinicia a cada reorganização não é responsabilização alguma. O objetivo não é culpar indivíduos, mas garantir que, quando algo der errado, uma pessoa empoderada seja dona de consertá-lo.

2. A nossa governança é proporcional, ou estamos aplicando processo pesado a trabalho de baixo risco e vice-versa? Mapeiem os conselhos, portões e etapas de aprovação atuais frente ao risco e ao valor reais do que passa por eles. Procurem a mudança de baixo risco que esperou seis semanas por um conselho que se reúne mensalmente e a mudança clínica de alto risco que passou por conta própria de uma equipe. Perguntem se as equipes estão contornando a governança porque ela é lenta demais, o que é, em si, um sinal sério de risco. Considerem se vocês publicaram faixas e limiares claros, ou se tudo cai por padrão na cerimônia máxima por cautela. Debatam onde poderiam delegar decisões com segurança para andar mais rápido e onde têm sido perigosamente leves. A meta é um sistema em que o peso da governança acompanha visivelmente o peso do risco.

3. Como saberíamos se o nosso relato está nos dizendo a verdade? Discutam exemplos concretos recentes em que uma situação passou de verde a vermelho com pouco aviso e perguntem quais foram os sinais precoces e por que não emergiram. Explorem se os líderes de entrega e as funções de garantia reportam sobre os mesmos fatos ou sobre versões separadas e convenientemente divergentes. Considerem o que acontece, social e profissionalmente, com alguém que reporta uma situação vermelha aqui — é agradecido ou punido? Perguntem se o seu conselho vê a garantia independente ao lado do relato da própria gestão, ou só este último. Examinem se os painéis medem coisas que preveem problemas ou apenas coisas fáceis de tornar verdes. O propósito é construir uma cultura em que as más notícias honestas viajem rápido, porque um sistema de governança que não consegue ouvir más notícias não consegue governar.

4. Escrevemos o nosso apetite de risco de forma concreta o bastante para que uma equipe possa agir sobre ele, ou é um slogan? Tomem um risco vivo de um dos programas e perguntem se as pessoas mais próximas dele conseguiriam dizer, pelo apetite declarado, se ele está dentro ou fora da linha. A maioria das organizações tem uma declaração de apetite de risco que lê bem e não decide nada — "adotamos uma abordagem equilibrada ao risco" não diz a nenhum clínico se um defeito não detectado na exibição de alergias é tolerável. Discutam se o apetite é expresso por domínio — segurança do paciente, dados, entrega, finanças, reputação —, porque um único número global esconde o fato de que vocês podem ter apetite zero para defeitos de segurança clínica e um apetite real para atrasos de cronograma. Examinem se a escalação está de fato ligada ao apetite, de modo que tudo que está fora dele suba automaticamente com um responsável nomeado e um prazo, em vez de depender de alguém escolher levantá-lo. Considerem quem é dono do apetite e com que frequência é revisitado, já que um apetite definido uma vez e nunca revisitado perde o passo com o mundo real. Uma resposta honesta nomeia uma decisão recente que a declaração de apetite genuinamente moldou e admite onde a declaração está hoje vaga demais para morder.

5. Os nossos portões e revisões de garantia têm dentes de fato, ou programas em fracasso passam por eles com facilidade? Olhem para trás, para as últimas revisões de gateway ou de avaliação de serviço, e perguntem se alguma delas parou, pausou ou remodelou materialmente o trabalho — se todo programa passou por todo portão, os seus portões são quase certamente teatro. Discutam se as revisões são tratadas como um desafio de apoio que reduz o risco da próxima fase ou como uma prova a ser burlada, com o pacote de evidências curado para garantir a aprovação. Considerem se a garantia de segurança clínica, governança da informação, técnica e comercial chega nos mesmos pontos de decisão ou como um aglomerado de revisões descoordenadas que esgotam as equipes sem acrescentar confiança. Examinem que autoridade um revisor de portão realmente tem: ele pode reter uma entrada em produção e será respaldado se o fizer, ou a pressão comercial o atropelará? Explorem se as pessoas que entregam são também, na prática, as que dão a garantia — porque um portão conduzido pelos otimistas não é garantia. O objetivo é uma revisão a que um problema sério não conseguiria sobreviver, porque um portão que nada jamais reprova é um custo sem controle por trás.

6. Quais dos riscos que poderiam de fato nos afundar não pertencem a nenhum projeto isolado, e quem é dono deles? Listem as falhas mais prováveis de interromper seus serviços digitais — um parque envelhecido de sistemas legados, um ciberataque, a dependência excessiva de um fornecedor, uma força de trabalho que não consegue operar as novas ferramentas — e perguntem, para cada uma, em qual registro ela está. Esses riscos transversais são perigosos precisamente porque pertencem a todos e, portanto, a ninguém, caindo pelas frestas da governança em nível de projeto. Discutam se vocês mantêm um registro de riscos corporativos em nível de conselho que conecte os riscos digitais, clínicos, financeiros, cibernéticos e operacionais, ou se cada um é gerido em seu silo, cego aos outros. Considerem se um risco visto por uma equipe de entrega sobe ao conselho de forma reconhecível, ou é suavizado de vermelho a âmbar a verde a cada camada até que o conselho só veja tranquilização. Examinem se cada risco transversal tem um responsável executivo nomeado, com autoridade para agir entre programas. Uma resposta honesta enfrenta a lacuna entre saber que cada programa está mais ou menos no rumo e saber se a organização como um todo está dentro do seu apetite.

Na prática: um exemplo de saúde e cuidados#

Um sistema de cuidados integrados (ICS) está implantando um prontuário de cuidados compartilhado que permite a clínicos de hospitais, da clínica geral e dos cuidados sociais ver uma visão unificada de cada paciente. É de alto valor e alto risco: toca decisões clínicas, vincula dados sensíveis entre organizações e atende a uma população com grande variação de acesso digital.

No início, a responsabilização é nebulosa. Três diretores de informação se sentem, cada um, em parte responsáveis, um fornecedor conduz o cronograma e o conselho do programa, de dezoito pessoas, gasta as reuniões recebendo atualizações em vez de decidir. O relato é verde. Então um quase-acidente vem à tona: uma alergia a medicamento registrada num sistema não aparece em outro, e um clínico quase prescreve um fármaco ao qual o paciente é alérgico.

Os diretores-executivos usam isso como ponto de virada e reconstroem a governança. Nomeiam um SRO — um diretor médico com a senioridade para dirigir o programa e a posição para contestar o fornecedor. Reescrevem os termos de referência do conselho, reduzem-no aos decisores e anexam um RACI para que a aprovação de segurança clínica, a aprovação de governança da informação e a autorização de entrada em produção tenham, cada uma, um responsável nomeado. O apetite de risco é tornado explícito: apetite zero para defeitos de segurança clínica não detectados, apetite limitado para atrasos de cronograma. Essa declaração única reordena tudo.

A garantia é separada da entrega. O responsável pela segurança clínica e o líder de governança da informação se reportam de forma independente e podem escalar por cima do SRO até os diretores-executivos; o trabalho do prontuário compartilhado é acrescentado ao Board Assurance Framework de cada parceiro. Um cronograma integrado de garantia fixa três portões — antes de mais construção, antes do piloto, antes da implantação plena —, cada um combinando revisões de segurança clínica, governança da informação, técnicas e de acessibilidade, no espírito das revisões de gateway da IPA e das avaliações de serviço do NHS. O registro RAID é revisto quinzenalmente, com o defeito de exibição de alergias registrado como problema vermelho, com dono nomeado e data fixa de resolução.

O primeiro portão é desconfortável: a equipe de revisão constata que o caso de segurança clínica é mais frágil do que os relatórios verdes sugeriam, e a implantação é pausada por quatro semanas. É exatamente a melancia que o antigo relato escondia. Como a pausa ocorre antes do piloto e não depois da entrada em produção, nenhum paciente é prejudicado, o fornecedor corrige o mapeamento de dados e a implantação final é mais lenta para começar, mas muito mais segura e confiável. A governança não desacelerou a entrega; evitou uma falha que a teria interrompido por completo.

Perspectivas setoriais#

Startup#

Uma startup de tecnologia em saúde raramente precisa de conselhos e revisões de gateway, mas precisa do essencial cedo, porque reguladores, compradores e investidores perguntarão. Nomeiem um fundador ou executivo responsável pela segurança clínica e outro pela proteção de dados, mantenham um registro RAID leve e escrevam o apetite de risco, ainda que numa só página. A armadilha é tratar a governança como algo a acrescentar depois; retroajustar a evidência de decisões seguras e lícitas num produto que se move depressa é penoso e às vezes impossível. Construam a governança mínima viável que um comprador sério do NHS reconheceria e deixem-na crescer com vocês, em vez de saltar do nada à burocracia da noite para o dia.

Pequena empresa#

Um pequeno prestador estabelecido — um consultório de clínica geral, uma farmácia comunitária, uma casa de repouso ou uma clínica de unidade única — carrega os mesmos deveres estatutários de segurança clínica e proteção de dados que um grande hospital, mas sem comitê de auditoria, sem auditoria interna e, muitas vezes, sem equipe de TI dedicada para executá-los. A disciplina de governança aqui é a proporcionalidade radical: uma pessoa nomeada responsável pela segurança clínica e outra pela governança da informação (o que, numa organização muito pequena, pode ser o mesmo clínico sênior ou sócio), um apetite de risco de uma página e um breve registro RAID genuinamente revisto, e não arquivado. Apoiem-se nos arcabouços que seus reguladores já esperam — o Data Security and Protection Toolkit, os requisitos da CQC e quaisquer obrigações de segurança clínica que seus fornecedores precisem cumprir — e façam com que a garantia dos seus fornecedores de software (seus casos de segurança DCB0129, suas certificações) faça o trabalho que vocês mesmos não conseguem fazer. A armadilha realista não é o teatro da governança, mas a negligência da governança: decisões seguras e lícitas tomadas informalmente e nunca registradas, de modo que, quando chega um incidente ou uma inspeção, vocês não conseguem mostrar o que decidiram nem por quê. Mantenham a trilha de evidências leve, mas real, porque, para uma pequena empresa, o objetivo são decisões defensáveis com poucos recursos, e não uma máquina de governança que vocês não conseguem dotar de pessoal.

Grande organização#

Um grande prestador ou fornecedor já tem conselhos, comitês de auditoria e auditoria interna; o risco da grande organização é, portanto, o oposto do da startup: governança demais, mal integrada, gerando teatro. Consolidem conselhos sobrepostos, publiquem faixas de proporcionalidade e integrem a garantia clínica, de informação, técnica e comercial num único cronograma, para que as equipes enfrentem um conjunto coerente de portões e não uma dúzia de revisões descoordenadas. Assegurem que as três linhas de defesa sejam genuinamente independentes e que a auditoria interna teste periodicamente a entrega digital, e não apenas as finanças. O prêmio é transformar uma máquina de governança existente e cara numa que de fato acelere decisões seguras.

Governo#

Os órgãos nacionais e regionais — NHS England, ICBs, órgãos independentes — operam sob responsabilização estatutária, controles de gastos públicos e regimes formais de garantia, como as revisões de gateway da IPA e os processos governamentais de controle de gastos e de avaliação de serviços. Aqui o papel do SRO é codificado e pessoalmente responsável perante o Parlamento ou seus equivalentes, e a transparência é um dever, e não uma escolha. A disciplina é tornar proporcional essa governança obrigatória e alinhar as muitas demandas externas de garantia para que informem a entrega, e não meramente a auditem depois do fato. Bem feita, a governança do setor público é um modelo de responsabilização; malfeita, é a origem do "teatro da governança" que o setor inteiro teme.

Modos de falha comuns#

• Responsabilização por comitê. Nenhum SRO único; quando as coisas dão errado, todos apontam para o lado e nada tem dono.
• Teatro da governança. Conselhos que recebem em vez de decidir, modelos que ninguém lê e portões que são provas a serem passadas, e não genuína redução de risco.
• Relato melancia. A situação permanece verde até o momento da falha porque as más notícias são indesejadas e os relatórios de entrega não são contestados pela garantia.
• Processo único para todos. Governança pesada aplicada a trabalho trivial, levando as equipes a contorná-la, enquanto o trabalho genuinamente arriscado passa de leve.
• Garantia capturada pela entrega. As pessoas que constroem o serviço são as únicas a confirmar que é seguro, de modo que o otimismo fica sem verificação.
• Registros RAID obsoletos. Riscos registrados uma vez e nunca trabalhados; itens âmbar que viram verdes em silêncio antes de uma revisão sem mudança por baixo.
• Cegueira de domínio. Governar bem a entrega, mas perder a dimensão de segurança clínica, governança da informação ou equidade até que vire uma crise.
• Teatro de portão sem dentes. Pontos de revisão que nunca de fato param ou remodelam o trabalho, de modo que programas em fracasso passam por todos os portões.

Modelo de maturidade#

Lista de verificação#

• Toda grande iniciativa tem um SRO nomeado, suficientemente sênior e empoderado.
• Cada conselho tem termos de referência atuais que declaram seus direitos de decisão, quórum e escalação.
• Um RACI atribui um responsável nomeado a cada tipo recorrente de decisão.
• As faixas de governança escalam com o risco e o valor, e os limiares são publicados.
• As três linhas de defesa estão em vigor, com uma voz independente de segunda linha que pode escalar.
• Um cronograma integrado de garantia alinha as revisões clínicas, de governança da informação, técnicas e comerciais a portões em etapas.
• O apetite de risco é escrito por domínio e a escalação está ligada a ele.
• Um registro RAID vivo é revisto a cada ciclo de entrega, com cada entrada com dono e data.
• Um Board Assurance Framework mapeia os principais riscos aos controles e à garantia de que esses controles funcionam.
• Entrega e garantia reportam sobre os mesmos fatos, e levantar más notícias é seguro.
• Toda reunião, modelo e relatório que vocês mantêm muda uma decisão real.

Fontes-chave#

• Infrastructure and Projects Authority (IPA), Principles for Project Success e as orientações de revisão de gateway/garantia — Cabinet Office / HM Treasury do Reino Unido.
• NHS England, Clinical Risk Management Standards (DCB0129 e DCB0160) — para a governança clínica de TI em saúde (ver também Tópico 1.6).
• Institute of Internal Auditors (IIA), The IIA's Three Lines Model (atualização de 2020) — a declaração autoritativa da abordagem das três linhas.
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — apetite de risco, controles e garantia em órgãos públicos do Reino Unido.
• NHS England / antigo Government Digital Service, Service Standard e orientações de avaliação de serviço — garantia de serviços digitais voltados ao público.
• UK Corporate Governance Code — Financial Reporting Council — responsabilização do conselho e controle interno.

Referências#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management