Gabarito (B) segundo a banca

Com a documentação do Cobit aberta não fica claro essa associação entre a questão e o gabarito.

Segue um resumo após algumas pesquisas dentro da própria doc do Cobit 2019 e artigos para alavancar algum outro conhecimento sobre essa questão.

No COBIT 2019

• Domain: Evaluate, Direct and Monitor

• Governance Objective: EDM03 — Ensured Risk Optimization

• Descrição

Garantir que o apetite e a tolerância ao risco da empresa sejam compreendidos, articulados e comunicados, e que o risco ao valor da empresa relacionado ao uso de TI seja identificado e gerenciado.

• Objetivo

Garantir que o risco empresarial relacionado à TI não exceda o apetite e a tolerância ao risco da empresa, que o impacto do risco de TI no valor da empresa seja identificado e gerenciado e que o potencial de falhas de conformidade seja minimizado.

Por fim, creio que a banca resumiu esse contexto com a descrição “operação com riscos controlados”.

Como o tema é mais focado em mudanças na regulamentação, parece estar mais direcionado a Governança, bem onde o objetivo EDM se encaixa no grupo de Domínios. Sendo a principal escolha do gabarito a opção mais ligada a estratégia/governança.

As outras alternativas da questão parecem estar mais associadas ao domínio de Gestão, que compeende as operações do dia a dia como:

incidentes;

problemas;

operação de serviços;

monitoramento operacional;

controle de mudanças.

Como dica de prova a ideia seria seguir temas relacionados a seu respectivo grupo de Domínios:

Governança → valor, riscos e conformidade;

Gestão operacional → serviços, incidentes, mudanças e suporte.

Fontes: Cobit 2019

https://www.estrategiaconcursos.com.br/blog/governanca-ti-cobit-2019/

https://www.devmedia.com.br/governanca-de-ti-e-cobit/27577

B — a operação com riscos controlados.

O enunciado testa a separação clássica do COBIT 5/2019 entre Governança (EDM) e Gestão (APO/BAI/DSS/MEA). O enunciado já entrega a pista: "averiguação de alinhamento com objetivos estratégicos" e "ajustes por mudança regulatória" são falas de governança, não de operação do dia a dia. Governança define apetite de risco e direciona; gestão executa dentro desse apetite.

Repare no padrão lexical das alternativas — ele não é acidente de prova, é o próprio teste:

• C — "gerência da operação de serviços" → DSS01 (Manage Operations). A palavra "gerência" já denuncia: é gestão.
• D — "gerenciamento de incidentes e problemas" → DSS02/DSS03. Mesma pegada: execução operacional.
• E — "monitoramento dos processos operacionais" → monitoramento de chão de fábrica, não do framework de governança. É MEA/DSS, não EDM.
• A — "controle das mudanças" → BAI06 (Manage Changes), fase de construção/implementação, também gestão.

B é o único item que fala a língua de EDM03 (Ensure Risk Optimization): garantir que a operação rode dentro de um nível de risco tolerável é decisão de direcionamento — a governança fixa o apetite de risco e cobra que a operação não o extrapole. Não é "gerenciar risco" no operacional (isso seria APO12), é garantir que o risco está controlado — verbo de supervisão, não de execução.