Checklist de controle de qualidade para terceirizacao de TI

Terceirizacao de TI nao falha por falta de boa vontade: falha por lacunas de controle, contrato e operacao que so aparecem no primeiro incidente ou na primeira auditoria. Terceirizar significa delegar atividades, mas nunca delegar responsabilidade sobre disponibilidade, dados e continuidade do negocio.

A primeira decisao pratica e simples: antes de assinar, transforme promessas em criterios verificaveis (evidence-based), com um checklist que cubra escopo, SLA, seguranca, LGPD, continuidade, governanca e saida (offboarding).

1) Definicao de escopo e fronteiras de responsabilidade

Controle de qualidade comeca evitando o erro mais comum: escopo generico. Defina o que entra e o que fica fora (suporte a usuarios, servidores, redes, impressoras, CFTV, backup, seguranca, projetos). Para cada item, determine quem executa, quem aprova e quem responde por risco.

Amarre o escopo a um inventario vivo de ativos e servicos, porque sem isso nao existe medicao de performance nem previsibilidade.

Na pratica, e comum observar conflito quando o fornecedor atende chamados, mas nao tem autonomia para mudar padroes, ou quando a empresa muda equipamentos (ex: troca de HD por SSD, upgrade de memoria RAM) sem registrar e depois exige garantia de desempenho.

Checklist de escopo operacional

• Mapa RACI por processo: suporte, mudanca, incidentes, problemas e ativos
• Catalogo de servicos com limites: horario, unidades (ex: Interlagos e Zona Sul SP), remoto e presencial
• Inventario minimo: notebooks, desktops, switches, roteadores, impressoras, cameras e links
• Matriz de dependencia: internet, energia, provedores, aplicativos e acessos criticos

2) Due diligence do fornecedor e evidencias de capacidade

Qualidade na contratacao exige evidencias, nao apenas discurso. Solicite sinais concretos de maturidade em seguranca e gestao de servicos, como certificacoes ISO/IEC 27001 e ISO 20000 ou, quando nao houver, evidencias equivalentes de controles (politicas, auditorias internas, trilhas de acesso, gestao de vulnerabilidades).

Pergunte por relatorios recentes de testes de seguranca e por como tratam nao conformidades. O objetivo nao e “caçar” o fornecedor, e reduzir assimetria de informacao: voce precisa saber como ele opera sob pressao, com prazos e rastreabilidade.

Checklist de verificacao tecnica

• Evidencias de controles de seguranca alinhados a ISO/IEC 27001 e gestao de servicos alinhada a ISO 20000
• Procedimentos documentados: onboarding, padronizacao de maquinas, hardening e atualizacoes
• Modelo de atendimento: triagem, escalonamento e cobertura de plantao quando aplicavel
• Referencia tecnica verificavel: ambientes similares e complexidade equivalente

3) Contrato, SLA e metricas que realmente controlam qualidade

Um SLA util precisa ser mensuravel por prioridade, com tempos de resposta e resolucao, janela de atendimento e criterios de severidade claros. Inclua penalidades proporcionais e, principalmente, indicadores que mostram qualidade real: MTTR, reincidencia, disponibilidade por servico e taxa de resolucao no primeiro atendimento.

Use como base boas praticas de SLA e indicadores para servicos terceirizados, como discutido em materiais tecnicos de gestao de SLA (ex: oHub Base). Sem metricas, o relacionamento vira opiniao contra opiniao e o custo aparece como “urgencia permanente”.

Checklist de SLA e governanca contratual

• Tabela de prioridades com exemplos: impressora nao imprime, queda de rede, notebook corporativo sem boot
• MTTR e taxa de reincidencia por categoria (rede, endpoints, impressao, seguranca)
• Regras de mudanca: o que pode ser feito sem aprovacao, e o que exige CAB ou aceite formal
• Relatorios mensais e revisao trimestral de KPIs com plano de melhoria

4) LGPD, DPA e rastreabilidade de acessos

Terceirizacao de TI quase sempre envolve tratamento de dados pessoais: contas de e-mail, arquivos, logs, imagens de CFTV e backups. Por isso, inclua um DPA (Data Processing Agreement) e clausulas de subcontratacao, confidencialidade, retencao e destruicao segura.

Estabeleca obrigacao de notificacao de incidente em prazo maximo definido e direito de auditoria de acessos. Uma referencia pratica sobre DPA em contratos de TI ajuda a estruturar esse anexo (contratos-ti.com.br). A qualidade aqui nao e burocracia: e garantir rastreabilidade de quem acessou o que, quando e por qual motivo, com trilhas auditaveis.

Checklist LGPD e seguranca juridico-tecnica

• DPA anexado ao contrato: finalidade, categorias de dados, local de tratamento e suboperadores
• Registro de acessos privilegiados com justificativa e aprovacao (break glass quando necessario)
• Politica de senhas e MFA para administracao; proibicao de contas compartilhadas
• Clausula de incidente: notificacao, contencao, evidencias e cooperacao em pericia

Conclusão

Um checklist de controle de qualidade na terceirizacao de TI funciona como um “sistema de freios”: ele impede que velocidade de contratacao vire risco operacional.

Se o escopo esta fechado, a capacidade foi evidenciada, o SLA mede o que importa, e LGPD, backup e acessos tem rastreabilidade, a empresa ganha previsibilidade: menos paradas, menos retrabalho e menos surpresa em auditorias.

O ponto decisivo e tratar terceirizacao como governanca continua, com rotinas de revisao e um plano de saida documentado para nao ficar refem de credenciais, configuracoes e conhecimento tacito.