ISO/IEC 38505 · Certificamos esta norma
Governança de Dados
A ISO/IEC 38505 aplica os princípios de governança de TI (ISO/IEC 38500) ao ativo mais valioso da era digital: os dados. Orienta o corpo diretivo a avaliar, dirigir e monitorar o uso de dados — valor, riscos e restrições — cobrindo coleta, qualidade, compartilhamento, retenção e descarte.
Na auditoria
O que é esperado
- Estratégia de dados aprovada pela direção, com papéis e responsabilidades (data owners);
- Classificação de dados por valor, sensibilidade e requisitos legais;
- Políticas de qualidade, retenção, compartilhamento e descarte aplicadas;
- Riscos de dados (vazamento, viés, perda de valor) monitorados pela governança;
- Prestação de contas: indicadores de dados reportados ao conselho/direção.
Implantação
Dicas úteis para implantar
- Nomeie donos de dados por domínio de negócio — sem dono, não há governança;
- Comece classificando os dados críticos, não o acervo inteiro;
- Conecte a governança de dados à LGPD e à segurança já existentes;
- Estabeleça métricas de qualidade de dados nos processos que geram receita;
- Prepare o terreno para IA: a 42001 depende de dados governados.
Onde se aplica
Segmentos aplicáveis e recomendados
Data-driven companies
Financeiro e seguros
Saúde
Varejo e consumo
Setor público (dados abertos)
Telecom
Energia
Plataformas digitais
Diferenciais
O que sua organização ganha
Clientes públicos
Órgãos avançam nas agendas de governo digital, dados abertos e interoperabilidade (Decreto nº 10.046/2019) com papéis e políticas claros — e prestam contas do uso de dados dos cidadãos com estrutura formal.
Clientes privados
Empresas demonstram a investidores e parceiros que decisões e produtos baseados em dados têm governança de conselho — pré-requisito crescente em M&A, crédito e projetos de IA.
Base legal
Legislações e referências sobre o tema
No Brasil
Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.
Dúvidas frequentes
Perguntas sobre a ISO/IEC 38505
Governança de dados não é assunto de TI?
É assunto de direção — e essa é a mudança de mentalidade que a 38505 provoca. Quais dados valem dinheiro? Quais podem ser compartilhados, vendidos, cruzados? Quanto risco a organização aceita correr com eles? Que qualidade é exigida dos dados que sustentam decisões e receita? Nenhuma dessas é pergunta técnica: são decisões de negócio com consequências estratégicas, jurídicas e reputacionais. A TI executa as respostas com competência — mas quando ela é forçada a decidi-las sozinha, a organização tem um vácuo de governança, não uma delegação.
O que ganho antes de um projeto de IA?
O pré-requisito que a maioria pula — e paga caro depois. Modelos de IA herdam tudo dos dados que os alimentam: sem donos definidos, ninguém responde pela base de treinamento; sem qualidade medida, o modelo aprende erros com convicção; sem classificação, dados sensíveis vazam para prompts e fine-tunings; sem regras de uso, ninguém sabe o que pode ser feito. Governar os dados primeiro (é literalmente o que a ISO/IEC 42001 pressupõe) transforma projetos de IA de aposta em engenharia — e evita descobrir vieses e vazamentos em produção.
Como se relaciona com a LGPD?
São agendas complementares com um núcleo comum. A LGPD disciplina uma classe de dados — os pessoais — com foco nos direitos dos titulares; a 38505 governa todos os dados da organização (operacionais, financeiros, técnicos, de mercado) com foco em valor, risco e prestação de contas. O inventário e a classificação servem às duas: o mapa de dados que a LGPD pediu ganha as dimensões de valor e qualidade, e a governança dá à privacidade o patrocínio de direção que projetos isolados de adequação raramente têm. Um esforço, duas conformidades.
Existe certificação acreditada da 38505?
A 38505 é uma norma de governança (orienta o corpo diretivo), não um sistema de gestão certificável isolado — e desconfie de quem vender o contrário. O caminho sério: implementar a governança de dados pela 38505 e evidenciá-la dentro dos sistemas certificáveis que a tangenciam — ISO/IEC 27001 (segurança da informação, com controles de classificação e ciclo de vida) e ISO/IEC 42001 (IA, que exige dados governados). Fale conosco: desenhamos o arranjo de avaliação e certificação que faz sentido para o seu contexto.
O que faz um ‘dono do dado’ (data owner) na prática?
Responde pelas decisões sobre um domínio de dados — clientes, produtos, fornecedores, financeiro — do lado do negócio, não da TI. Na rotina: define o que cada dado significa (padrão ouro contra o qual sistemas se alinham), quem pode acessar e para quê, que qualidade é aceitável e o que fazer quando ela cai, quanto tempo reter e quando descartar. Sem donos nomeados, essas decisões acontecem por omissão, espalhadas em sistemas — e é por isso que a nomeação de donos por domínio é o primeiro passo de qualquer governança que sai do papel.
Por onde começar a classificação de dados?
Pelo crítico, não pelo acervo — classificar tudo é o jeito garantido de não terminar nunca. Selecione os domínios que sustentam receita, decisões estratégicas e obrigações legais (tipicamente: clientes, transações, produtos, pessoas) e classifique-os em poucas categorias com consequências práticas: sensibilidade (pública, interna, confidencial, restrita) e criticidade para o negócio. Cada categoria dita controles concretos — quem acessa, como protege, quanto retém. Expanda por ondas, domínio a domínio, com os donos de dados à frente e a governança medindo o avanço.
Pronto para certificar a ISO/IEC 38505?
Solicite o orçamento com dimensionamento personalizado para o seu escopo.