Área: Gestão Administrativa

Relatório: Adoto, como relatório, a instrução da unidade técnica [...], nos seguintes termos: "[...] Falhas na gestão de riscos de TI Embora o Departamento de TI da Eletrobras (DAI) tenha escritório de risco em funcionamento, foram encontradas falhas na gestão de riscos de TI relacionadas com o tratamento dado aos riscos identificados e avaliados. Além disso, verificou-se que a gestão de riscos de TI não está alinhada com a gestão de riscos corporativos da empresa. [...] Falhas no tratamento de riscos [...] Dentre os riscos identificados na matriz do quarto ciclo, foram selecionados os que deveriam ter sido tratados (peça 25) , ou seja, aqueles para que, de acordo com a política de gestão de riscos de TI (peça 97) , a área proprietária do risco de TI deveria ter apresentado plano de tratamento dos riscos, com opção de tratamento, ação proposta, responsável, prazo e recursos necessários. Entretanto, verificou-se que existem riscos na matriz para os quais ainda não foram apresentados planos de tratamento, e outros riscos cujos planos de tratamento não estão iniciados ou estão atrasados. Dentre esses riscos, o Quadro 2 destaca aqueles que, com base em seus atributos de probabilidade e impacto, foram classificados como de nível alto. Em conformidade com o documento Critérios de Riscos (peça 22) , a equipe de auditoria classificou como de nível alto os riscos com valor igual ou superior a quinze para o produto dos atributos de probabilidade e impacto. [...] Acrescente-se que a apresentação dos resultados do terceiro ciclo da gestão de riscos de TI apontou algumas percepções do escritório de risco (peça 24, p. 13) , sob a forma de relato de impropriedades no processo, tais como planos de tratamento não entregues, não planejados, replanejados, não iniciados ou interrompidos; aparente falta de interesse com as atividades de risco; aparente baixa prioridade para riscos por causa da concorrência com projetos e atividades; e ausência de informações imprescindíveis sobre a gestão de riscos por parte das divisões. Dessa forma, vários riscos identificados não foram adequadamente tratados pelas áreas gestoras, sendo que, em diversos casos, não se chegou nem mesmo a definir medidas para o tratamento dos riscos. Isso evidencia que o processo de gestão de riscos na entidade auditada apresenta falhas. Ausência de alinhamento entre as ações de gestão de riscos de TI e corporativos [...] Dessa forma, verifica-se que não há integração entre as atividades realizadas pela área de gestão de riscos corporativos (PGA) e pela área de gestão de riscos de TI (DAIQ) , o que demonstra não alinhamento das ações relativas a gerenciamento de riscos empreendidas na Eletrobras. [...] Efeitos e riscos decorrentes da manutenção da situação encontrada - respostas inefetivas aos riscos de TI; - indefinição das ações para tratamento dos riscos de TI identificados; - priorização dos riscos de TI desalinhada com as prioridades do negócio. Boas práticas Merece destaque o fato de o DAI, por meio de escritório de risco atuante, realizar gestão contínua de riscos de TI. Além disso, registre-se que, enquanto o DAI já está no seu quarto ciclo de gestão de riscos, o Departamento de Gestão de Riscos e Conformidade de Controles (PGA) , responsável pela gestão corporativa de riscos na Eletrobras, foi criado recentemente e ainda está no primeiro ciclo de gestão de riscos corporativos. Isso evidencia que a cultura de riscos está presente na área de TI antes mesmo do seu estabelecimento no âmbito corporativo da empresa. Acórdão: 9.2. Recomendar à Eletrobras que: [...] 9.2.2. aperfeiçoe o processo de gestão de riscos de TI, à semelhança das orientações do Cobit 4.1, PO9.5 - Resposta ao Risco e PO9.6 - Manutenção e Monitoramento do Plano de Ação de Risco;