Entrega contínua regulada exige governança acoplada à plataforma

A dificuldade central da entrega contínua em setores regulados não está apenas na velocidade dos times, mas no desenho da governança que autoriza essa velocidade. Simon Rohrer, chefe de arquitetura corporativa e formas de trabalho no Saxo Bank, descreve a tensão a partir de experiências em bancos: processos criados para projetos longos, com portões, formulários e revisões ocasionais, passam a bloquear a operação quando uma organização quer colocar mudanças em produção várias vezes por semana ou por dia.

O mecanismo aparece com clareza no contraste entre dois tipos de controle. No modelo antigo, cada projeto precisava passar por vários gates e produzir dezenas de artefatos antes de chegar ao ar. Arquitetura, segurança, proteção de dados e acessibilidade apareciam como checkpoints separados, muitas vezes no começo ou no fim do projeto. A alternativa apresentada por Simon foi deslocar o controle para relações e objetos de longa duração: produtos, sistemas, backlogs, documentação viva e colaboração contínua com times de risco e segurança. O objetivo não era abolir compliance, mas reduzir repetição, memória institucional perdida e custo operacional sem abrir mão da evidência exigida.

A parte mais útil da conversa está na consequência dessa mudança: quem quer entrega contínua precisa assumir também políticas, procedimentos e controles formais. Em organizações reguladas, esses documentos não são detalhe administrativo. Eles definem o que auditoria, risco e compliance vão verificar. Simon insiste que auditoria interna pode ser aliada quando o processo está escrito, seguido e demonstrável. A mesma lógica vale para o conselho de mudanças: se ele é tratado como instância consultiva e se o processo permite aprovações sob demanda, ITIL e entrega rápida não precisam ser contraditórios.

O ponto mais contraintuitivo é que a plataforma pode se tornar o lugar onde parte da governança vive. No Saxo Bank, certos componentes são obrigatórios: tarefa única de release para produção, rede protegida, hospedagem endurecida, identidade de serviço e controles automatizados. Essa imposição limita escolhas, mas também reduz o checklist de cada time e cria uma função independente de aprovação, relevante diante de exigências como as da DORA. A pergunta prática deixa de ser se regulação impede agilidade e passa a ser onde o controle deve morar para ser verificável sem transformar cada mudança em um novo projeto.

Assistir ao episódio original

Referências encontradas

Livros

• Sooner Safer Happier: Antipatterns And Patterns For Business Agility (English Edition), de Jonathan Smart — Ver livro na Amazon
• Study Guide: Because Internet By Gretchen McCulloch (SuperSummary), de Gretchen McCulloch — Ver livro na Amazon
• Summary, Analysis & Review Of Gene Kim's, Jez Humble's, Patrick Debois's, & John Willis's The DevOps Handbook By Instaread (English Edition), de Gene Kim, Jez Humble, Patrick Debois, John Willis — Ver livro na Amazon
• O Projeto Fênix – Edição Comemorativa: Um Romance Sobre TI, DevOps e Sobre Ajudar o Seu Negócio a Vencer, de Gene Kim, Kevin Behr, George Spafford — Ver livro na Amazon
• Acelerar. La Ciencia Del Desarrollo Lean Y DevOps: Construcción Y Escalado de Organizaciones Tecnológicas de Alto Rendimiento, de Nicole Forsgren, Jez Humble, Gene Kim — Ver livro na Amazon

Séries

• Star Trek: The Next Generation — Ver no TMDB

Este post contém links de afiliado. Se você comprar por eles, eu posso receber uma pequena comissão sem custo adicional para você.