ESG e governança de TI: como a tecnologia sustenta o “G”

Nas conversas sobre ESG, o ambiental e o social costumam roubar a cena. Mas é o “G”, de governança, que dá credibilidade aos outros dois: quem decide, com base em quais informações, com que controles e prestando contas a quem. E hoje praticamente toda informação que sustenta essas decisões passa por sistemas, bases de dados e, cada vez mais, por modelos de inteligência artificial.

O Código das Melhores Práticas de Governança Corporativa do IBGC, em sua 6ª edição, de 2023, passou a listar cinco princípios: integridade, transparência, equidade, responsabilização e sustentabilidade. Nenhum deles se sustenta se os dados forem pouco confiáveis, os acessos estiverem descontrolados ou os riscos de tecnologia forem invisíveis para o conselho. É aí que a governança de TI entra.

Por que o “G” depende da tecnologia

Na definição consagrada pela ISO/IEC 38500, governança de TI é o sistema pelo qual o uso atual e futuro da tecnologia é dirigido e controlado. Ela não se confunde com a gestão de TI, que executa. Na prática, a governança garante que investimentos em tecnologia sigam a estratégia, que riscos cibernéticos e de dados estejam no radar de quem decide e que as informações reportadas sejam rastreáveis.

O tema ganha peso com a agenda de relatórios. A CVM adotou, pela Resolução CVM nº 193/2023, as normas do ISSB para relatórios de sustentabilidade. Em maio de 2026, a Resolução CVM nº 244 tornou essa divulgação facultativa, no modelo “pratique ou explique”. Para quem decide publicar, a lógica é tratar essas informações com processos e controles semelhantes aos da informação financeira, e boa parte desses controles vive em sistemas.

O modelo que organiza o trabalho

A principal referência internacional é a ISO/IEC 38500, cuja terceira edição foi publicada em 2024. Segundo o comitê da ISO responsável, a nova versão está alinhada aos princípios da ISO 37000, norma sobre governança das organizações, e parte do modelo e dos princípios da edição de 2015. A ideia central é separar papéis: o órgão de governança avalia, dirige e monitora; a gestão planeja, executa e opera. Para o dia a dia, frameworks como o COBIT, da ISACA, ajudam a transformar esse modelo em objetivos, processos e indicadores.

No setor público, a lógica já está na lei. O art. 11 da Lei 14.133/2021 atribui à alta administração de órgãos e entidades a responsabilidade pela governança das contratações, com processos e estruturas de gestão de riscos e controles internos para avaliar, direcionar e monitorar licitações e contratos, o que inclui as contratações de tecnologia.

Os números que pedem atenção do conselho

Estudos recentes mostram onde estão as lacunas. A governança de inteligência artificial ainda é incipiente na maioria das organizações, e o uso de tecnologia fora do controle da TI, a chamada shadow IT, encarece os incidentes.

Os dois temas têm a mesma raiz: decisões de tecnologia tomadas sem dono claro, sem critério de risco e sem registro. Uma área que contrata uma ferramenta de IA por conta própria ou que guarda dados de cidadãos em uma planilha compartilhada não está, necessariamente, agindo de má-fé. Ela apenas não encontrou um caminho de governança simples o bastante para seguir.

A tecnologia também aparece nos outros pilares do ESG, em temas como eficiência energética da infraestrutura, acessibilidade de serviços digitais e inclusão. Sem governança, porém, esses projetos ficam sem metas, sem medição e sem prestação de contas, e o que deveria ser resultado vira apenas intenção.

Como começar sem criar burocracia

1. Mapeie as decisões: quem aprova investimentos, aceita riscos, contrata fornecedores e autoriza o uso de IA.
2. Crie um fórum com poder real: um comitê de tecnologia, riscos ou dados que reporte ao conselho ou à alta administração.
3. Conecte riscos de TI ao mapa corporativo: ataques, indisponibilidade, vazamentos e dependência de fornecedores medidos na mesma régua dos demais riscos.
4. Escolha poucos indicadores: disponibilidade de serviços críticos, incidentes relevantes, maturidade de controles e execução do portfólio de projetos.
5. Documente para prestar contas: atas, políticas e relatórios que permitam a terceiros entender e verificar as decisões.

Próximos passos

Faça um diagnóstico rápido: a alta direção conhece os principais riscos de tecnologia? Existe política de uso de IA? Os dados que alimentam relatórios têm dono e trilha de auditoria? As respostas mostram por onde começar e quais lacunas atacar primeiro.

A Midnal apoia órgãos públicos, empresas e organizações do terceiro setor com consultoria de TI, gestão de serviços e governança, ajudando a conectar decisões de tecnologia à estratégia e à prestação de contas. Conheça a frente de consultoria e terceirização de TI e a de governança, LGPD e compliance.